對于Logiq3公司來說，與基于云的基礎(chǔ)設(shè)施提供商合作的決定是一個成本與靈活性問題。
Logiq3公司是一家總部位于多倫多的人壽再保險管理公司。這家公司在2006年才開始營業(yè)。據(jù)Logiq3的技術(shù)副總裁David Westgate稱，由于是新公司，因此他們無法建立并運作一個。公司最終選擇了和管理IT服務(wù)提供商BlueLock公司以幫助他們解決對數(shù)據(jù)的需求。
BlueLock的環(huán)境允許數(shù)據(jù)和容量以動態(tài)的低成本方式在兩個系統(tǒng)間調(diào)整。Westgate稱，這種方式在傳統(tǒng)托管環(huán)境中不可能實現(xiàn)。
在Logiq3將他們的關(guān)鍵系統(tǒng)委托給BlueLock的云時，還有必須要解決安全疑慮。公司經(jīng)常處理包括社會安全號碼等個人信息在內(nèi)的死亡記錄，以及大型金融客戶投保的主要資產(chǎn)的財務(wù)數(shù)據(jù)和信息
盡管Logiq3并不受到美國政府的《薩班斯-奧克斯利法案》的管理，但是在該公司金融業(yè)務(wù)的客戶是受到該法案的管理的。對此Westgate稱："因此他們會對我們進(jìn)行審計。"為此，Logiq3需求潛在的云服務(wù)提供商展示他們遵從適用的管理條例，并且具有很高的安全性。
并不是只有Logiq3一家公司遇到這一問題。盡管安全和符合問題出現(xiàn)在任何基于Web的外包安排中，公司無可非議的考慮將所有的事情都放到虛擬云上。Gartner公司的分析師Jay Heiser稱："這是一個相當(dāng)新的服務(wù)領(lǐng)域，其風(fēng)險目前還不可預(yù)測。我們無法知道它有什么樣的危險。如果我們無法預(yù)測出事物的危險程度，那么我不得不認(rèn)為它不是安全的。"
目前，聯(lián)盟LinkedIn組內(nèi)的IT專家對能夠在何種程度上利用云弱點爭的不可開交。迄今為止，還很少有黑客成功公共云、大規(guī)模盜取數(shù)據(jù)的案例出現(xiàn)。不過，在去年冬天，一些黑客試圖在亞馬遜EC2云計算基礎(chǔ)設(shè)施內(nèi)建立一個Zeus專門盜竊密碼的僵尸網(wǎng)絡(luò)，這也是對由亞馬遜托管網(wǎng)站的首次黑客攻擊。
換句話說，目前云計算行業(yè)還處于初級階段。云廠商已經(jīng)開始在安全性上奮起直追，IT經(jīng)理們也開始試圖準(zhǔn)確找出云的風(fēng)險，以及應(yīng)對這些風(fēng)險的方法。
對于云服務(wù)提供商和他們的潛在客戶來說，關(guān)鍵的第一步是坐下來，決定誰將對IT基礎(chǔ)設(shè)備的安全和防護(hù)組件負(fù)責(zé)。
有時候，特別是與IaaS提供商的協(xié)商中，勞動力部門是可流轉(zhuǎn)的。比如說，Westgate決定讓BlueLock處理Logiq3的分配與配置管理，原因是他熟悉由Shavlik 技術(shù)公司提供的工具BlueLock軟件。
Westgate稱，由于沒有哪一個公司和哪一個人擁有整個王國的鑰匙，因此在Logiq3和BlueLock間的勞動力部門實際上強化了安全性。他稱："比如說，由于BlueLock管理著，我的任何一名管理員都不能進(jìn)入和決定出售或移動數(shù)據(jù)。BlueLock的管理員也無法這樣做，因為他們并不控制系統(tǒng)。"
云服務(wù)提供商承擔(dān)多少責(zé)任很大程度上決定于服務(wù)的類型。
安全廠商Trend Micro公司數(shù)據(jù)保護(hù)組高級總監(jiān)Todd Thiemann稱，在IaaS中，客戶經(jīng)常負(fù)責(zé)保護(hù)和API之上的所有事物，包括應(yīng)用和。比如，亞馬遜IaaS服務(wù)條款中明確規(guī)定客戶有責(zé)任保護(hù)放在公共云上的數(shù)據(jù)。
與IaaS形成鮮明對照的是，在軟件即服務(wù)協(xié)議中，提供商通常負(fù)責(zé)保護(hù)云上的任何客戶應(yīng)用和數(shù)據(jù)。軟件即服務(wù)通常更適合預(yù)算緊張的公司，因為這些預(yù)算緊張的公司可以獲得更先進(jìn)的安全技術(shù)和資源，而這些通常是他們無法負(fù)擔(dān)的。
在線協(xié)作服務(wù)副總裁Sean Poulley舉例稱：“IBM的LotusLive 軟件即服務(wù)解決使普通公司擁有了與大型公司和重要相同的安全性，因為我們使用了相同的標(biāo)準(zhǔn)和管理?！?LotusLive數(shù)據(jù)中心受到了物理和控制的保護(hù)，其中包括閉路電視。訪問控制由IBM的企業(yè)級軟件Tivoli控制。
許多云服務(wù)提供商，特別是廠商認(rèn)為他們的安全實踐和技術(shù)給他們帶來了競爭優(yōu)勢，所以他并不愿意談?wù)撍麄兘鉀Q安全性的辦法。這意味著公司不得不采信廠商們的說辭。這些廠商一直宣傳他們的系統(tǒng)是安全和符合規(guī)定的。
對此，Gartner的分析師Heiser稱，：“這些廠商很少調(diào)整他們的安全風(fēng)險評估。他們或許有難以置信的安全措施和強大系統(tǒng)，但是我們并沒有證明這一切的辦法?！?/P>
他指出，雖然諸如 27001和 70 Type 2等安全認(rèn)證提供了一些保證，不過27001只是與云安全有關(guān)，當(dāng)應(yīng)用在新的技術(shù)形式中其是脆弱的。
法規(guī)挑戰(zhàn)
公共云為管理法規(guī)帶來了一系列新的挑戰(zhàn)。如今，提供商、用戶和管理者都開始重新審視這些問題。HIPAA和薩班斯-奧克斯利法案中的隱私與數(shù)據(jù)保留規(guī)定并不是為云服務(wù)量身訂做的。
Forkish 稱：“IT人員不得不尋找新的方法分析和評估風(fēng)險，以及如何符合規(guī)定。許多規(guī)定需要指出數(shù)據(jù)的位置、哪些在云上是不可能的。同時還需要合法搜索—在需要進(jìn)有權(quán)訪問數(shù)據(jù)。在由這些數(shù)據(jù)在云上，在第三方進(jìn)行搜索時是否就不需要你的知情了?我認(rèn)為這些是今后需要研究的?！?/P>
與此同時，F(xiàn)orkish建議，許多公司，特別是那些在高度監(jiān)管的行業(yè)中的公司應(yīng)當(dāng)將他們的敏感數(shù)據(jù)交由私有云或是傳統(tǒng)管理服務(wù)托管，并保持現(xiàn)狀。
Westgate表示，他認(rèn)為云計算是管理系統(tǒng)的一個自然演進(jìn)。他稱：“關(guān)于這一演進(jìn)的關(guān)鍵之處不是為什么，而是為什么不?！?當(dāng)然目前已經(jīng)出現(xiàn)了許多像Logiq3公司的Westgate這樣的先鋒人物。