企業勝敗榮辱　存乎「雲端安全」關鍵

2013/02/04-DIGITIMES企劃

回顧2012年9月，行政院針對雲端運算之應用與產業發展，訂定了五大發策略，包括優先推動民眾有感應用、建構創新應用開發能量、奠定系統軟體基礎、落實雲端基礎建設，及發揮綠色節能效率；政府上雲決心已然旺盛，企業更應如此！

根據政府雲端應用發展計畫，今後將大舉孕育警政雲、食品雲、健康雲、環資雲、農業雲、交通雲、圖資雲、防救災雲、教育雲及文化雲等10項應用項目，亟盼藉由這一連串計畫的紮根落實，營造「庶民有感」之效益。

持平而論，論及政府的政策發展，一舉一動皆攸關全體民眾的福祉，堪稱動見觀瞻、茲事體大，複雜度肯定極高，干擾因子絕對不少，因此每一步都需要審慎為之；在此前提下，政府提出的每一項應用與產業發展方案，必定經過縝密的盤算與思慮，力求在效益與風險之間，取得最佳平衡點，絕無可能奠基於有欠成熟的技術基礎，雲端運算自然不例外。

放大 「資安考量」是企業上雲的一大路障。

由此可見，隨著雲端運算議題延燒至此，已經跳脫了停看聽、呼口號的前置階段，而猶如箭在弦上、不得不發，一旦蹉跎，恐對日後競爭力造成深遠影響，施政考慮因素可謂千頭萬緒的政府機關，尚且對此汲汲營營，那麼相對容易放手一搏的企業，更無理由持續坐壁上觀。

可惜的是，儘管跨出雲端這一步的企業數目，確實持續攀升中，但迄今猶未達到遍地開花的境地，依舊不乏遲疑觀望之現象，何以致此？

路障一一清除，只剩「安全」！
DIGITIMES在2012年間執行一項企業E化投資調查，其間也置入了有關雲端運算投資的題目，依據調查結果，也可看出企業何以卻步或猶豫之端倪。

經過統計，依得票率高低，企業導入雲端運算的潛在阻礙大致有三，分別是成本效益、技術成熟度、資安考量，三者各自獲票58.9%、56.7%與55.8%，由於彼此差距甚小，且領先其餘選項一大截，所以意欲鼓舞企業漫步雲端，理應從剷除這三大路障著手。

時至今日，這三道障礙是否已遭破除？且讓我們逐項檢視之。首先談到「成本效益」，其實早已相當明確，根據IBM同樣在2012年針對全球CIO做的調查，高達9成受訪者皆對雲端深表認同，主因在於，藉由雲端運算伸展自如所衍生的彈性、靈活度，企業可以一反傳統IT資源低效運用的僵局，僅須動用精簡資源，不僅能妥善維持商業運轉所需IT能量，即便遭逢突如其來的複雜計畫推展需求，亦可從容應對無虞，不會再因為IT部署不及而影響Time-to-Market進程；投入更少、獲得更多，成本效益是高是低，似乎已無須贅言。

差別僅在於，過去曾有一段「人雲亦雲」時期，很多產品或工具不管有關沒關，經常都為了趕流行，硬冠上「雲端」封號，導致企業雖已知悉雲端效益，仔細一探究竟，卻又發現不是那麼一回事，才因而望而卻步；如今隨著美國國家專利局為雲端賦予明確標準，使得輪廓愈趨鮮明，某種程度也有效導正了用戶的認知，對於哪些東西可被視為雲端，視為雲端後可望產生哪些預期效益，均已豁然開朗，此部分疑慮已然大幅減低。

至於企業對於「技術成熟度」所產生的疑惑，其實也夾雜頗多迷思。嚴格來說，雲端運算並不是一項新技術，甚至不能算是技術，比較像是一種新概念，一種能使得運算資源利用率急遽提升的概念，支撐這個概念發展的技術精髓，主要不脫兩個，其一是「一變多」，意即將單一實體主機分割為無數台虛擬機器，每台虛擬機器皆可各自運行不同的作業系統、應用程式，並共享實體主機的運算、網路、儲存等一切資源；另一則是「多合一」，也就是將眾多實體主機虛擬成為一個大資源池，藉以擴大資源調度的靈活度。

綜觀上述兩大技術，除了牽涉到虛擬化，也有部分取材自高速運算(HPC)的分散式計算概念，這些技術項目，皆非此刻才初來乍到的新興產物，甚至已存在世界上長達十年、甚至二十年光景，以如此豐厚歷練，早就遠遠脫離了技術初萌芽的青澀期，所以集結這些技術所演化而來的雲端運算，實已蘊含相當高的成熟度。

而當多數企業IT人員深入研習後，多能參透箇中來龍去脈，逐漸不再以看待新興技術的視野，來詮釋眼前蓬勃興起的雲端浪潮。

隨著成本效益、技術成熟度兩道圍牆逐一崩解，當下企業對於雲端運算的疑慮，明顯只剩下「資安考量」這一項，且即使聽聞相關服務供應商、解決方案提供者再三詳述，似乎也感到「此事不若想像般棘手」，但仍舊多所躊躇，暫持保留態度。

檢視威脅來源，逐一強化防禦
由於雲端運算具備「超大規模」、「虛擬化」、「高可靠度」、「高通用性」、「低成本」、「高擴充性」等多重利基，因此絕對是繼Web之後，最重要的新一波科技應用趨勢，展望不久的將來，必定成為參與全球商業競局的關鍵入場券之一，誰參與得愈深、運用得愈純熟，誰就能獲得愈堅實的營運後盾，要成為市場贏家的機率，就比對手多了好幾分，反之，倘若誰兀自置身事外，企圖以老舊疊床架屋架構迎接挑戰，自然備極艱辛。

因此，遙望未來的5到10年，任一企業究竟成為贏家、抑或輸家，所有的勝敗榮辱，都維繫於「雲端安全」之上，因為若未能做好這一步，導致上雲之路停滯不前、或是無視風險而橫衝直撞，那麼便難以破舊立新，最終得到的，恐怕就是令人無法承受的「敗」與「辱」結局！

有鑑於雲端安全議題成為重大關鍵，近年來開始出現諸如「雲端安全聯盟(Cloud Security Alliance；CSA)」等第三方機構，試圖藉由相關安全戰略的催生，加速建構一個可信賴的雲端生態系統；而該聯盟也在2012年透過「創新雲端應用暨資安趨勢論壇」活動宣布，將在2013年於亞太地區致力推廣CSA STAR認證計畫，一方面鼓勵雲端服務供應商徹底健檢其資安防護體質，二方面也藉由持續性的GRC(管理、風險與相容性)監測機制，俾使有意採用SaaS、PaaS或IaaS的客戶，因而提高安定感、繼而加速採購服務，觸動整個雲端生態的良性循環，後勢發展相當值得觀察。

然萬變不離其宗，不管論及公有雲、私有雲或混合雲，意欲築起安全防護堡壘，先決條件皆是釐清資安威脅來源，這些來源大抵出現在3個層次，分別是雲端服務平台系統、雲端Web應用服務、及雲端服務存取終端；而欲架設雲端服務中心的業者，無論是xSP或企業機構本身，皆需全面綜觀這三大層次，分別在容易出現安全破口之處，部署相對應的解決方案或防護工具，接著佐以完善的組織架構，形塑一個具有PDCA特質的資安管理計畫，藉以延展為持續進化的資安治理流程，如此一來，基本上就可趨吉避凶。

總結來說，因應上述三個防禦層級，所須配置的關鍵防護技術，主要包含了「雲端服務存取終端」的終端裝置安全(譬如防毒、NAC、DLP、HIPS防火牆等等)，「雲端Web應用服務」的Web入口安全防禦(包括網頁應用程式保護、DDoS防護、APT防護等等)、雲端內容存取安全(例如虛擬主機安全、系統活動監控、資料庫活動監控、資料外洩防護、帳號密碼管理等等)，以及「雲端服務平台系統」的雲端系統弱點掃瞄管控(含弱點管理、IP-MAC管理、雲端資料加密等等)。