云数据安全：利用第三方还是自己动手？

进入公共云的门槛虽然很低，只需要一张信用卡就可以购买到服务，但是要安全地运行云中企业应用并不简单。组织需要了解该部门的安全责任分工以及云部署特有的安全需求。

接下来，一个合乎情理的问题是，你自己处理云数据安全还是聘请第三方?答案是：看情况。

专门从事降低云计算风险的顾问兼讲师Thomas Trappler谈到，对于内部部署应用程序以及新接触基础设施即服务(IaaS)的组织来说，“有一些关于如何使用这种服务的知识，对这些人来说是新知识” 。

云数据安全

云学习曲线

例如，公司普遍希望基于云的应用与本地系统集成。Trappler谈到：“有些东西可能会保留在内部，需要与云打交道。公司可能需要一些专门技术，来使云和内部系统能共同工作。”他补充说，但是企业是否有足够的资源来获取这些技能还是一个“问号”。

PricewaterhouseCoopers信息安全和风险保障的经理Nikita Reva表示认可。“技术学习曲线确实存在，并且最大的问题是缺乏云安全技能，”Reva说，“这个行业正在逐步形成新的认证和培训服务，因为世界正在向云迈进，并且没有几个人能真正理解云安全。”

这种情况限制了云的成功，他继续说到：“一些客户将不再使用云，因为他们不了解如何保护基础设施，并且他们不具备相关人员，他们也负担不起聘请顾问。他们的员工不能迅速地赶上节奏。”

IaaS提供商未必能使情况变好。每个提供商承担着不同级别的云数据安全责任，并且为客户提供不同的资源，使客户了解他们的职责。

例如，亚马逊提供给客户强大的文档和一个很好的基准。Reva说：“如果相对来说，客户具备一定技术能力，他们应该能够使用文档以及基于文献资料配置实例，但有一点让人束手无策，即有非常多的文献资料。与其他人相比，他们已经做得足够好，但是对于那些没有经验的人来说，数百页、数量巨大的文献资料，确实有一点让人束手无策。”与此同时，他补充说：“其他提供商提供的产品并没有这么一目了然。你需要更多的技术知识，做更多的探索工作。”

云代理的角色

Trappler说，对于能负担得起的组织，云代理或者云顾问“从技术的角度来看，有助于你安装并运行云服务”。

云代理提供许多不同的功能。“所有的代理都不一样，他们具有不同的能力，”推广最佳实践和提高云安全培训的组织—云安全联盟的执行主任Jim Reavis表示，云代理是“一个新兴领域，云代理是与时俱进的，但是对我来说，云代理只是中间件技术的一个组合，也是系统集成商业模式(集成为你提供你所需要的业务和技术解决方案)的演变。”

他说，云代理“提供抽象的技术层来帮助你简化大量虚拟机的管理，并且可能帮你做很多安全管理工作以及将不同的系统划分，确保他们使用的是共同的安全性配置文件。”

此外，作为“新一代的系统集成商，”云代理也可以管理客户合同，同时提供其他的业务及符合规定措施，Reavis表示：“一个大型的云提供商通常不会定制(服务水平协议)和诸如此类。云代理是一种中介，能够帮你实现定制的合同要求、财务要求、符合性要求。反过来，这些要求也可能管理更多的技术云代理”。

云代理或云顾问能够帮你保证(运行在公共云中的)企业应用的安全，但是首先你必须找出云代理或者云顾问。“这是个挑战，因为一些人认为【云代理】仅仅是一个技术块。你必须提出正确的问题，并且他们不会设立一个标牌，上面写着‘我是云代理’”，Reavis说，“那些说会帮你管理你的云关系，或者提供更多的技术解决方案，来帮你管理你的云基础设施的经销商或顾问通常都属于云代理。” 

via http://cloud.51cto.com/art/201306/400456.htm