虚拟云计算敲响新安全时代

首席信息官(CIO)和首席信息安全官(CISO)们承受着压力,要重新设计他们的信息安全策略以适应新的商业模式:虚拟云计算环境。在该环境中,资源被共享且可转移。

  这些技术主管正在设置新策略,并投资新技术以考虑公共和私有云的弹性、自服务供给和共享数据的基础设施。随着用户开发了用于防火墙之外(甚至在防火墙内)的第三方服务,以实共享环境中的协作,用于身份管理的新的策略和系统正在设计中。此外,需要确定数据安全和隐私监测的新界限,牢记迁移到一个虚拟云环境将如何影响合规性。

  马萨诸塞州沃尔瑟姆的Raytheon公司的公共领域并没有冒险使用云。为实现成本节约,这家国防设备制造商正在开发共享的、私有的“云类型服务”,如果它和它的合作伙伴可以就美国空军、陆军和海军喜欢的新的程序和产品进行测试、构建和协作,那么该服务可以实现。

  Raytheon公司的副CISO兼IT服务总监Michael Daly说:“[在虚拟云计算环境中的]安全问题和控制更复杂。不仅仅是管理简单的变更控制,还需要经历许多信任和祈祷:‘嘿,防火墙控制随着[数据或服务]迁移了吗?当生成和删除这些虚拟机时,负责加密的[安全]密钥得到维护了吗?’”

  当谈到共享环境的安全时,,和许多其它的IT主管一样,在这一点上Daly的问题比答案多:随着项目的启动和关闭,公司如何知道谁需要访问哪些信息?用户是否有权访问它?在私有云上参与开发的各方如何就取消用户配置达成一致?这种情况超越了云模型。他说,在业务模式转向业务共享资源,以在协作环境中开发产品和服务方面,云说到底是一个副产品或一种手段。

  内部和外部身份管理

  企业用户绕过IT部门登录以访问虚拟云计算服务。因此,问题变成,谁有权拨入和拨出云服务?

  纽约人寿投资管理公司位于马萨诸塞州的纽约人寿退休计划服务(RPS)部门的IT团队已经选择了阻止访问第三方虚拟云计算服务,并在从自己的网络转移信息的风险方面教育用户。

  纽约人寿RPS的管理董事兼首席信息官Neal Ramasamy说:“我知道,[对用户来说],移动到云服务非常容易,但随之带来了很大的风险。我和请求者一起坐下来,以了解为什么他们要访问第三方云。考虑我们的公司战略,我的目标是不要有四家不同的[云供应商],而是挑选一家。”

  当Raytheon公司的IT部门标记第三方的云服务请求时,Daly和他的团队解释为什么把文档上传到Google Apps不是好主意。他们然后向业务用户展示其他的安全选项,如公司批准的EMC公司的Documentum系统。

  Daly说:“我们要遵守ITAR [武器贸易条例中的国际交通]和其他法规,因此我们可以看到正上传文档和、信息和其他的东西到Google的人的位置,并且我们需要向人们展示正确的做法。”

  Raytheon正转移到私有云,为此建立了联邦身份管理系统。这意味着,Raytheon公司将验证它自己的员工,但加入开发项目的公司将负责它们自己的身份验证。

  这听起来简单,但事实并非如此。Daly说:“我们必须在我们之间达成法律协议,并且让我们的[云]开发伙伴说:‘好吧,如果我们要检查身份,你将以同样的方式检查身份’,因为并不总是如此。”

  遏制风险是在私有云背后的想法,但即使在一个私有云社区,企业也需要处理用户的隔离、权限划分、登录和取消配置。Daly说:“你真的需要知道你最终的边界,以最小化风险。我们并不需要地球上的每个人都有机会参加我们计划的云服务,因此物理安全和更多传统的IT安全防火墙规则是非常重要的。”

  然而,这些预防措施也并不没有合规。Gartner公司的研究副总裁Chris Wolf说:“厂商谈跟随用户[通过联邦身份]的跟随我(follow-me)数据,采用加密技术将数据分散到不同的地方,但CIO们需要思考的是在云中的跟随我的规定。有时敏感数据不能跨越边界。”

  位于马萨诸塞州萨德伯里的SystemExperts公司的副总裁Richard E. Mackey说,企业开始考虑部署围绕云服务的安全性实践之前,它应该问“外包应用程序用作什么?”和“谁将要使用它?”他说:“当有人称之为云计算时,许多变量决定你的安全性是完全不同的,这取决于您要部署在哪一种模式上:私有云、软件即服务(Software as a Service)、基础设施即服务(Infrastructure as a Service)还是平台即服务(Platform as a Service)。

  受惠于云提供商的安全实践

  选择一家云提供商类似于与其结婚,因为客户使用提供商确定的系统和安全政策。

  企业如何监控用户对虚拟云计算服务的访问,取决于云提供商为其提供的接口。Mackey说:“一个请求回来并击中你的网络之前,[云提供商]如何确保用户是真正的用户?另一种情况是,一些服务允许您使用您的谷歌或Facebook帐户登录。这样不直接经过[活动目录],除非你这样设计它。”

  纽约人寿RPS的Ramasamy可以考虑为像电子邮件和Web服务这样的非关键服务寻找云供应商,他说,但他想知道云提供商是否将为公司搭建一个私有云,在私有云中,没有其他人能够进入该环境。如果环境被共享,资源如何被共享,且谁可能靠近相邻的资源集?提供商通过了什么安全审计,遵循国际安全委托授权的哪一部分?

  Raytheon公司的Daly说,合同谈判期间的灵活性意愿将成为他的公司选择云供应商的一个决定性的因素。他说:“我不希望必须告诉[业务部门],他们不能外包的东西,因为如果我们这样做,我们将失去保护,所以我要确保如果我们需要,我们可以[与提供商一起]改变我们的密码复杂性,或把我们密码改到356位。当你转向云安全时,灵活性将是合同管理的一个巨大的元素。”

  还有一点要说明的:如果一个企业要其数据安全托管于别人,它需要有一种方式可以测量该环境安全性能。Daly说:“如果供应商不让你这样做,你可能不希望与他们达成协定。”

TechTarget中国原创内容,原文链接:http://www.searchcio.com.cn/showcontent_52233.htm?lg=t

时间: 2024-10-26 02:07:07

虚拟云计算敲响新安全时代的相关文章

虚拟云计算敲响新安全时代 慎重选择云提供商

首席信息官(CIO)和首席信息安全官(CISO)们承受着压力,要重新设计他们的信息安全策略以适应新的商业模式:虚拟云计算环境.在该环境中,资源被共享且可转移. 这些技术主管正在设置新策略,并投资新技术以考虑公共和私有云的弹性.自服务供给和共享数据的基础设施.随着用户开发了用于防火墙之外(甚至在防火墙内)的第三方服务,以实共享环境中的协作,用于身份管理的新的策略和系统正在设计中.此外,需要确定数据安全和隐私监测的新界限,牢记迁移到一个虚拟云环境将如何影响合规性. 马萨诸塞州沃尔瑟姆的Raytheo

视频会议新格局确立 云计算开启技术叠加时代

随着计算机.通信.互联网以及云计算.大数据等技术的飞速发展,曾经"遥不可及"的视频会议正由专业领域.大型企业等高端用户向中小企业以及普通个人用户拓展.方便性.快捷性.易用性成为未来视频会议发展的大趋势.在新的技术浪潮下传统视频会议已被云视频会议所取代,并向着多元化方向发展未来将有更多新技术被叠加,视频会议将进入加速创新时代. 传统视频会议消亡倒计时 云视频技术能否建立新格局? 根据思科可视化网络指数显示,视频在互联网总流量的占比从2008年的35%增长到目前的75%,预计在2020年,

大数据时代云计算在新媒体平台的应用研究

4G 网 络及云计算等新技术的大数据时代, 给新媒体提供了 更大的技术支撑, 本文分析了 大数据. 云计算. 新媒体等技术的特点, 探讨建立和完善应用 于新媒体的云计算模式. 4G 网络已经铺开, 在这大信息. 大数据时代, 新媒体已逐渐成为媒体传播的主要渠道. 而云计算作为一种新兴的技术, 对提升. 优化大数据. 对新媒体信息的处理有着巨大的作用. 云计算逐渐成为储存信息的主要方式, 数字信息化进程中, 产生了大规模的数据, 大数据的生成. 处理和分析对传播学研究, 既是一种挑战也是一种机遇.

第三代外包采购——基于云计算的新时代

[文章摘要]外包管理已经充分的展示出了它的相对优势与劣势.外包模型经历了多年的发展如今正在加速发展. 外包管理已经充分的展示出了它的相对优势与劣势.外包模型经历了多年的发展如今正在加速发展. 外包模型的第一代是资产管理的传递时期,将公司的资产管理职能交给那些可以让你的http://www.aliyun.com/zixun/aggregation/10148.html">企业运营问题减到最少的资源供应商手里.而外包模型的第二代通过与提供商一起进行资产管理优化了采购模型.在两个版本的模型中,都

一个新的时代—云端时代

云.管.端是组成云计算的三个层次.随着后台数据中心的发展.网络带宽提速,运营商向云转型,云终端的发展前景也被业内人士广泛看好. 在这里,简单阐述几个自己关于云终端的观点: 云计算时代,云厚了,端就要薄 随着云计算解决方案的出现,计算能力.基础设施.用户桌面.应用软件等资源都集中在了云端,并且能够以服务的方式提供给客户使用.云厚了,相匹配的客户端设备就不需要像传统PC那样有目前这样强的计算能力,一个能够承载轻量级远程客户端的设备就能很好的满足应用的要求,瘦客户机正是这样的设备,其"精简系统,绿色节

新计算时代等级保护建设面临新挑战

近期,斯诺登爆出的"棱镜"计划,在信息安全界引起了轩然大波.随着"第二届全国信息安全等级保护技术大会"在合肥顺利召开,等级保护这个话题在"斯诺登"事件的热潮中,也得到了来自各行各业领导专家的重视.由于当前我们建设的云计算平台仍然缺乏安全标准和法律法规,造成了整个云平台安全风险不可控,而且随着安全边界消失,等级保护"分区.分级.分域"的原则无法有效应用.很多企业认为:我的业务应用已经部署在云平台上了,只要整个云平台符合等保要求,

中昇国计张学军:云计算与大数据时代的计算机终端安全

ZDNET安全频道 05月08日 综合消息: 第十五届中国信息安全论坛今日在北京召开,中昇国计研发部经理张学军带来<云计算与大数据时代的计算机终端安全>的主题演讲.现场文字整理如下: 大家上午好! 大家知道,在云计算与大数据时代背景下,因为数据更加集中,所以信息泄露会造成更大的危害. 这里简单列举一下国内外出现的各种安全威胁事件,比如2011年,中国的CSDN网站中的超过600万的用户信息泄露,填鸭社区四千万用户资料包括明文密码泄露,在去年如家七天酒店两千万条客户开放信息泄露.在上个月,携程的

IBM:四大策略构建新互联网时代下银行核心竞争优势

ZDNet至顶网软件频道消息:8月28日,在2014年中国国际金融(银行)技术暨设备展览会上,IBM强调随着政策.经济.技术.客户需求及竞争五大方面的变化与影响,利率市场化.风险管理.互联网金融模式的兴起等新挑战不断出现,中国银行业正在形成满足政策合规.改善运营管理及构建新核心竞争优势的三大发展趋势.同时,数据已经成为21世纪全新的自然资源,并作为银行运营的核心之一,银行急需利用创新技术释放大数据的价值,构建新互联网时代下的核心竞争优势.面对这些挑战与机遇,IBM建议银行需要通过以人为本,刷新移

一个新的时代——云端时代

2011年12月12日一场以"分享云思想,体验云创新,探索云未来,共创云世界"为主题的"云"的盛会在北京亦庄创意生活广场隆重召开."北京云基地"旗下的云端时代.天云科技.天地超云等云系企业悉数出席.http://www.aliyun.com/zixun/aggregation/25252.html">趋势科技创始人张明正.TCL董事长李东升.用友董事长王文京.微软大中华区董事长梁念坚.英特尔中国区总裁杨叙.Citrix云平台CTO