確保云中的數(shù)據(jù)安全

責(zé)任編輯:editor04

2014-12-18 20:18:42

摘自:e-works

云計(jì)算的早期采用者已經(jīng)在引吭高歌,對(duì)云計(jì)算提供的彈性、可擴(kuò)展性以及靈活性贊不絕口,這最終引起了企業(yè)的注意。實(shí)際上,德國(guó)的規(guī)定超過了EU法律的要求,規(guī)定即使是出于維護(hù)以及災(zāi)難恢復(fù)的目的,德國(guó)的數(shù)據(jù)必須保留在本國(guó)。

云計(jì)算的早期采用者已經(jīng)在引吭高歌,對(duì)云計(jì)算提供的彈性、可擴(kuò)展性以及靈活性贊不絕口,這最終引起了企業(yè)的注意。但隨著公有云變得越來越成熟,有關(guān)隱私以及數(shù)據(jù)主權(quán)的關(guān)注正在阻礙擁有國(guó)際用戶的組織部署云服務(wù)。

云服務(wù)商喜歡將云描述為超越物理位置以及政治管轄權(quán)限制的無限資源,但事實(shí)并非如此。因?yàn)槟愕臄?shù)據(jù)在云中并不意味著其不受當(dāng)?shù)胤傻谋O(jiān)管。而且,去年有關(guān)美國(guó)政府監(jiān)視范圍的啟示已經(jīng)給很多組織使用公有服務(wù)的意愿蒙上了一層陰影,尤其是由美國(guó)公司所提供的公有云服務(wù)。

對(duì)于擁有歐洲用戶的組織來說,問題尤為嚴(yán)重,因?yàn)闅W洲擁有嚴(yán)格的數(shù)據(jù)隱私規(guī)則。Clarify360公司是一家云以及數(shù)據(jù)中心外包咨詢公司,該公司融 合云與數(shù)據(jù)中心業(yè)務(wù)副總裁Jo Peterson說云計(jì)算絕不會(huì)受這些限制。如果公司的顧客受特定規(guī)則的支配,那么其所在的公司應(yīng)該也不例外。

云技術(shù)合作伙伴公司(CTP)是一家總部位于波士頓的云咨詢公司,該公司的高級(jí)副總裁John Treadway說:“這將導(dǎo)致很多無故抱怨、耗時(shí)的嚴(yán)格評(píng)估以及不理想的解決方案,對(duì)使用云的用戶來說這一切都將轉(zhuǎn)換為更高的使用成本。事情會(huì)慢到要去 律師事務(wù)所咨詢的地步?,F(xiàn)在使用云的用戶正在支付額外的費(fèi)用來處理這些問題。”

現(xiàn)在是11點(diǎn),你知道你的數(shù)據(jù)在哪兒?jiǎn)幔?/strong>

使用云服務(wù)供應(yīng)商的遠(yuǎn)程數(shù)據(jù)中心具有巨大的激勵(lì)作用。對(duì)于有用戶遠(yuǎn)離大本營(yíng)的組織來說,使用其他基礎(chǔ)設(shè)施獲得數(shù)據(jù)的機(jī)會(huì)可能有助于組織減少大量的資本支出。

Peterson說:組織考慮進(jìn)入特定區(qū)域時(shí),要考慮的第一件事就是給定數(shù)據(jù)中心的技術(shù)特性,比如延遲、連通性、數(shù)據(jù)共享以及應(yīng)用相關(guān)性以及可移動(dòng)性。

但即使遠(yuǎn)程托管工作負(fù)載在技術(shù)上是可行的,仍舊要考慮合規(guī)性。

Peterson說“用戶往往受困于合規(guī)性。無論企業(yè)是否決定進(jìn)入特定的市場(chǎng),最終數(shù)據(jù)主權(quán)規(guī)則往往是決定性因素。”

Peterson說:“企業(yè)會(huì)問‘我們是否想服務(wù)于這一市場(chǎng)?收入足以抵消額外的成本嗎?如果答案是肯定的,那么我們必須按照游戲規(guī)則辦事。’”

實(shí)際上,不同國(guó)家對(duì)本國(guó)公民的個(gè)人數(shù)據(jù)應(yīng)該保存在哪兒以及如何被管理的看法有很大的不同。不同國(guó)家有關(guān)數(shù)據(jù)應(yīng)該如何保存、遷移以及保護(hù)的法律同樣有很大不同。數(shù)據(jù)主權(quán)規(guī)則有時(shí)被稱之為“避風(fēng)港”,在不同國(guó)家間的差異很大,實(shí)際上甚至在不同省以及州之間都有差異。

Carbon60 Networks是一家主機(jī)托管供應(yīng)商,該公司的CIO Kelly Beardmore說,加拿大不列顛哥倫比亞省針對(duì)公有以及私有組織的法律有明顯的區(qū)別。公共部門的數(shù)據(jù)不能離開本省,但其他省并未如此嚴(yán)格。

CTP公司的Treadway說盡管沒人關(guān)注,但美國(guó)馬薩諸塞州的法律也有類似的規(guī)定,禁止本區(qū)域的數(shù)據(jù)離開本州。

最典型同時(shí)可能是最有效的避風(fēng)港法律在德國(guó)。作為歐盟的成員國(guó),從理論上講德國(guó)應(yīng)該遵守EU Directive 94/46/EC,也就是數(shù)據(jù)保護(hù)指令,禁止將隱私以及數(shù)據(jù)轉(zhuǎn)移到成員國(guó)范圍之外。

實(shí)際上,德國(guó)的規(guī)定超過了EU法律的要求,規(guī)定即使是出于維護(hù)以及災(zāi)難恢復(fù)的目的,德國(guó)的數(shù)據(jù)必須保留在本國(guó)。

這使得與歐洲最大的經(jīng)濟(jì)體德國(guó)做生意的組織陷入了困境。他們應(yīng)該將所有的數(shù)據(jù)保留在本地還是應(yīng)該將德國(guó)的數(shù)據(jù)保留在德國(guó),同時(shí)使用其他數(shù)據(jù)中心保留剩下的數(shù)據(jù)?

與此同時(shí),全世界各地的云供應(yīng)商都在部署數(shù)據(jù)中心資源。例如AWS在全世界已經(jīng)擁有7個(gè)地區(qū)以及26個(gè)可選區(qū)域服務(wù)全球用戶。IBM SoftLayer現(xiàn)在有13個(gè)數(shù)據(jù)中心,只有兩個(gè)位于美國(guó)以外——一個(gè)在荷蘭阿姆斯特丹,一個(gè)在新加坡。IBM SoftLayer產(chǎn)品創(chuàng)新副總裁Mark Jones說公司計(jì)劃投資12億美元將數(shù)據(jù)中心的總數(shù)增加到40個(gè),初步考慮的城市包括香港、倫敦、多倫倫、墨西哥、法蘭克福以及巴黎。

針對(duì)諸如加拿大以及澳大利亞等國(guó)家避免個(gè)人數(shù)據(jù)離開本國(guó)邊界的要求,IBM計(jì)劃構(gòu)建多個(gè)數(shù)據(jù)中心,這樣用戶就能夠在IBM SoftLayer 云中遷移數(shù)據(jù),維護(hù)或者進(jìn)行災(zāi)難恢復(fù)時(shí)數(shù)據(jù)仍舊在本國(guó)的邊界以內(nèi),不用擔(dān)心與數(shù)據(jù)主權(quán)法律發(fā)生沖突。

沒消息就是壞消息

不僅僅是合理確定數(shù)據(jù)的位置,同樣要確保數(shù)據(jù)不會(huì)被移動(dòng),即使是進(jìn)行維護(hù)活動(dòng)時(shí)也要滿足該要求。早期的云采用者認(rèn)為這些保證措施并非總是很到位。

總部位于美國(guó)的人員配置供應(yīng)商最近承擔(dān)了一個(gè)項(xiàng)目,將全球16個(gè)CRM軟件實(shí)例整合到Salesforce.com,另外在AWS上運(yùn)行定制代碼。負(fù)責(zé)該項(xiàng)目的IT主管說讓Salesforce符合避風(fēng)港規(guī)程的要求簡(jiǎn)直是小菜一碟,但這對(duì)AWS來說卻是個(gè)災(zāi)難。

有一家禁止員工公開發(fā)表言論的公司,該公司的IT主管說“AWS對(duì)談?wù)摫茱L(fēng)港、安全、國(guó)際數(shù)據(jù)以及你想在哪兒保存數(shù)據(jù)根本不感興趣。”

從之前的多次會(huì)議以及郵件溝通情況來看,AWS對(duì)該話題并不感興趣。該IT主管回憶說“看來AWS針對(duì)數(shù)據(jù)主權(quán)并沒有做任何事,每個(gè)合規(guī)性問題都是一個(gè)獨(dú)特的事件。”

該公司并未決定放棄使用AWS,而是決定解決該問題并將所有數(shù)據(jù)加密保存在美國(guó),法律顧問認(rèn)為這樣做應(yīng)該能夠滿足國(guó)際用戶對(duì)合規(guī)性的要求。

盡管這看起來像是一個(gè)優(yōu)雅的解決方案,被網(wǎng)絡(luò)安全專家所認(rèn)同,但對(duì)IT來說同樣是個(gè)負(fù)擔(dān)。為避免承擔(dān)責(zé)任,AWS拒絕管理該顧客的加密密鑰,有時(shí)亞馬遜的其他服務(wù)比如RDS也會(huì)采取同樣的方式。IT主管說“安全人士愛加密,而我只希望易于管理。”

同時(shí),在談到數(shù)據(jù)主權(quán)時(shí)其他服務(wù)供應(yīng)商開始強(qiáng)調(diào)透明度。例如,iLand是一家數(shù)據(jù)中心位于美國(guó)和愛爾蘭的VMware vCloud 供應(yīng)商,該公司重點(diǎn)描述了其數(shù)據(jù)移動(dòng)策略。

iLand產(chǎn)品管理及市場(chǎng)副總裁Lilac Schoenbeck說:”某些云服務(wù)的特性之一就是在多個(gè)區(qū)域之間均衡負(fù)載而且未必會(huì)告訴你。”而iLand恰恰相反,”如果你想,我們會(huì)出于災(zāi)難恢復(fù)的考慮均衡負(fù)載,但這完全取決于客戶的決定。”

Schoenbeck說: “相反,AWS不僅不提供上述信息,而且對(duì)其究竟做了什么同樣不是很透明。這可能要比沒有保證還要糟糕。”亞馬遜拒絕就此發(fā)表評(píng)論。

美國(guó)數(shù)據(jù)泄露的啟示

去年美國(guó)國(guó)家安全局(NSA)監(jiān)視云供應(yīng)商的啟示帶來了某些難以接受的事實(shí),并威脅禁止使用位于美國(guó)的云服務(wù)。

451 Research公司EMEA服務(wù)研究主管Rory Duncan說這非但扼殺掉云市場(chǎng),同時(shí)對(duì)數(shù)據(jù)主權(quán)以及隱私權(quán)的關(guān)注已經(jīng)蔓延到美國(guó)之外。某些服務(wù)商銷售他們自己的云服務(wù),而其他服務(wù)商只是轉(zhuǎn)售支持本地語言并提供本地服務(wù)的全球云服務(wù)。

增加的價(jià)值有哪些?他們承認(rèn)只在歐洲保存數(shù)據(jù)還不夠。Duncan說“顧客對(duì)全球供應(yīng)商說我們想要云服務(wù),但是我們希望這些服務(wù)位于波蘭并能夠復(fù)制到法國(guó)東南部。”

Duncan相信位于美國(guó)的服務(wù)供應(yīng)商通過與本地供應(yīng)商合作能夠獲得巨大成功。一般來講直銷模式在歐洲并非一個(gè)很好的銷售方式,供應(yīng)商可以通過與本地供應(yīng)商建立合作伙伴關(guān)系,重新銷售云服務(wù)。他們發(fā)現(xiàn)自己已經(jīng)不再被視為美國(guó)公司了。

Duncan說主動(dòng)回避美國(guó)云供應(yīng)商是否合乎情理仍舊在爭(zhēng)論中,F(xiàn)UD(恐懼、不確定性以及懷疑)肯定會(huì)加劇這種爭(zhēng)論。我們真正要思考的是用戶應(yīng)該考慮使用哪些云服務(wù),而且并非只有歐洲人需要思考這個(gè)問題。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)