擁抱雲端運算　從掌握安全威脅開始

前言：
近2年來，雲端運算(Cloud Computing)成為資訊產業的熱門話題，IT大廠爭相投入資源，舉辦各式活動與研討會，大力鼓吹雲端的效益；相較於供應端的賣力演出，需求端(即企業)的反應顯然冷淡許多，關鍵就在資安，雲端服務的安全威脅，已成為市場發展的絆腳石。

本文：
資訊產業更新速度快，每隔幾年總有不同話題出現，近2年最火熱的話題非雲端運算莫屬，不只微軟(Microsoft)、惠普(HP)、IBM及Google等資訊大廠強力推動雲端運算，就連各國政府也紛紛投入資源，希望幫助該國廠商在雲端產業取得一席之地，包括日本、韓國、大陸、歐盟各國及台灣，皆是如此。

台灣除了發展政府雲，藉此整併各公家單位的IT資源外，行政院也在2010年4月宣布啟動「雲端運算產業發展方案」，規劃5年內投入新台幣240億元，希望達成雲端服務應用體驗1,000萬人次、帶動企業研發投資127億元，促成雲端運算產值累計達1兆元的目標。

雲端安全堪慮　使用者裏足不前

嚴格來說，雲端運算並非新技術，以基礎架構即服務(Infrastructure as a Service；IaaS)、平台即服務(Platform as a Service；PaaS)、軟體即服務(Software as a Service；SaaS)這3種目前雲端運算的主要服務類型來看，早在多年前，便有廠商提出SaaS服務模式，之所以近幾年再度冒出頭的原因，在於網路技術發展成熟，加上金融風暴過後，企業對成本預算管控相對嚴苛許多，正好與雲端運算「降低成本」的訴求不謀而合，也因此顯現發展契機。

對於採用雲端應用服務，企業的著眼點在於可達到降低IT成本的效益，無需支付部署與維運資訊系統的費用，包含人力、產品和設備，只要透過網路訂閱，就能即時取得雲端資訊應用服務，依照需求使用服務，並按使用量來計費；再者，雲端應用程式整合性高，可在數天內上線運作，能有效提升工作績效，這是企業使用雲端服務的另1項優勢。

雖然雲端應用效益顯著，且根據DIGITIMES企業IT所執行的「2011年台灣製造業e化大調查」，有高達68.3%的製造業資訊部門受訪者，認為該項技術將於今後3年內，在台灣製造業e化進程中，造成深遠影響，不過，資策會FIND於2010年第2季發表的「企業雲端服務需求調查」卻發現，現階段僅4.9%企業採用雲端形式的資訊系統，另有36%的企業考慮在未來1年內將資訊系統與服務轉變成雲端架構。

進一步分析這些具備潛在雲端運算需求的企業，其對於主機、資料儲存等硬體設備的需求較高，有近5成(48.4%)的企業表示，未來考慮主機或網站採用代管形式，另外，近8成(77.7%)受訪者表示，未來有異地資料備援需求，由此可見，訴求架構即服務的IaaS，將成為未來重要的雲端服務模式。

隨著產業與政府大舉投入資源，雲端運算看似發展潛力無窮，對比雲端市場供應端的積極態度，需求端顯然冷淡許多，造成落差的原因當然很多，最關鍵的因素就是安全疑慮。

根據趨勢科技調查顯示，在200位IT決策人員與CIO當中，有89%的受訪者希望尋找具備雲端防護的資訊安全解決方案，有些受訪者甚至認為，雲端安全防護是不可或缺的要素，同時有將近40%的受訪者表示，只會考慮具備雲端威脅情報的資訊安全解決方案。

剖析雲端運算7大安全威脅

傳統資訊架構，所有IT相關的軟硬體設備與人員(如伺服器、儲存設備、程式開發人員等)，都在可掌握的公司環境內，因此，無論要執行安全管控或事後稽核，皆非難事，然而當一切放上雲端後，資料的儲存與運算處理，可能分散在雲端各個角落，安全控管與維護將變得更不容易。

究竟採行雲端運算會帶來哪些安全問題？雲端安全聯盟(Cloud Security Alliance)在2010年3月發布的《Top Threats to Cloud Computing V1.0》報告中指出，雲端運算正面臨7大安全威脅，其中，除了第1點比較針對雲端服務供應商來探討外，其餘6點皆是使用者應注意的安全威脅，提供給準備朝雲端發展的企業參考。

1、不安全的介面與應用程式介面(APIs)
雲端服務供應商提供軟體介面或應用程式介面，以便用戶使用雲端服務，因此，這些介面的安全性，與雲端服務的安全性與可用性息息相關，倘若雲端平台提供第3方供應商的加值服務，則這些服務的使用介面，也可能會增加原本應用程式介面的複雜性及風險，企業必須一併加以考量。

2、惡意的內部員工
此處指的是雲端服務供應商的內部員工，他們是最有機會接觸企業資料的人，但是企業卻不知道他們如何被規範，也許連招聘的條件與方式都不清楚，這些未知都是1種潛在威脅，畢竟「人」是作業環節中最難管控的部分，再加上雲端平台又最容易接觸到各企業的資料，所以內部員工竊取資料的風險相對高於一般企業組織。因此，企業擁抱雲端的第1步，就是瞭解雲端服務供應商對其內部員工的管控規範原則，以降低潛在未知的安全風險。

3、共享環境所造成的議題
採用雲端運算之所以能降低成本，關鍵在於善用資源，使用者看似擁有獨立運算環境和資料儲存空間，實際上卻是與他人共用1台主機，只不過透過虛擬化技術，在實體環境上產生多個虛擬空間，此時，雲端服務供應商如何儲存及保護客戶的資料？不同企業平台能否有效隔離、避免彼此存取對方資源？這些都是雲端運算安全的重大挑戰。

4、資料遺失或外洩
資料遺失或外洩的方法有很多種，例如：在沒有備份的情況下刪除或修改資料、遺失加密金鑰導致資料被破壞等，對企業來說，資料遺失或外洩所造成的影響，絕對不是只有金錢損失而已，還包括商譽受損、客戶不信任等無形衝擊，而雲端環境受到平台架構與運作特性影響，不僅風險愈來愈高，資料外洩的威脅也隨之攀升，使用者必須評估雲端供應商的驗證、授權和稽核控制措施是否完善，加密技術合法性、資料刪除方式是否安全、災難復原能力等，才能降低在雲端遺失或洩露資料的風險。

5、帳號或服務被竊取
駭客竊取使用者帳號並非新議題，攻擊方法不外乎釣魚、詐欺及利用軟體漏洞，但在雲端環境裡，這類問題所造成的衝擊更大。因為在傳統IT環境下，使用者擁有硬體控制權，可透過一些補救措施，降低帳號或服務被竊的損失；但在雲端環境中，使用者沒有控制權，可能也無法執行補救措施，甚至還必須設法證明自身為帳號或服務的合法使用者，否則駭客很可能完全取代原先使用者的身分。

6、其他未知的風險
目前市場上在談論雲端應用時，普遍強調其特性、效益與功能，但更深1層的資訊卻往往不太清楚，例如：雲端供應商內部安全流程、平台架構、修補程式、稽核制度、Log紀錄、如何儲存客戶資料、誰有存取權利等，諸如此類的問題，其實都沒有清楚的答案，也沒有公開的監督機制，偏偏這些資訊是用以評估雲端平台安全程度的要素，倘若沒有這些資訊，企業也無法有效評估雲端安全風險。

7、稽核與蒐證
在傳統IT架構下，企業要進行內部稽核與電腦搜證已相當不容易，因為步驟繁瑣，且牽涉層面廣，而當資訊架構雲端化後，企業要執行稽核與搜證作業會變得更加困難，關鍵點在於如何獲得有用且有效的資料，尤其當遇到法律爭議時，如果雲端服務供應商沒有相對應的機制，企業該如何證明資料的有效性與合法性，這是企業必須審慎思考的課題。

從私雲到公雲　提高安全風險掌握度

台北醫學大學附設醫院資訊室主任謝逸中指出，採用雲端運算可為企業節省很多成本，是未來必然的發展方向，顯見雲端運算的確有益於企業，即便至今仍存在許多安全問題，但是只要企業事先做好規劃，仍然可以從容擁抱雲端。至於要如何做好安全規劃，除了前述談到的7大威脅外，企業可參考以下2點做法：

1、從私有雲到公有雲
公眾雲端服務是達到降低成本效益的最佳選擇，但是在擁抱公有雲之前，資訊科技服務供應商岱凱(Datacraft)認為，企業應先建立1朵小規模的私有雲，將其視為雲端資安的演練場。然而私有雲畢竟與原先的IT架構有所差別，在安全的考量上也有其特別之處，企業必須特別注意身分認證機制、資料遺失防護措施、可用性、以及應用程式安全等面向的完備度，當私有雲安全度可被信賴時，再把相關的經驗法則複製到公有雲上，就能確保對公有雲安全風險的掌握度。

不過要注意的是，私有雲經驗雖然可複製到公有雲上，但2者的安全訴求仍略有差異，私有雲強調的是伺服器主機安全，公有雲則需注意加密金鑰管理。

2、建立檢查表
企業在選擇雲端服務供應商時，應先建立1個安全檢查表，以便了解自身的資訊安全政策與機制，檢查項目可包含：實體及邏輯網路的屏障、端點的存取控制及管理、非密碼認證機制、憑證的質量控制、密碼重設的流程與機制、即時的異常檢測、事件日誌的完整度與備份、分析，簡單來說，就是要注意端點的存取控制及認證方式，存取前的身分識別機制，以及存取後的稽核與紀錄。