2003年5月，美国《哈佛商业评论》刊载了尼古拉斯·卡尔的《IT不再重要》一文。他将IT发展与电力发展相比较，认为IT发展将归于云计算模式——就像今天的电厂一样，实现标准化的按需供给和收费。
时至今日，云计算作为未来信息社会发展的可能趋势，已经成为业界共识。无论在学术界还是在产业界，云计算都是被热烈探讨的话题之一。
但随着探讨的深入，人们逐渐认识到：比特不是电子，业务流程也不是电机和电灯。云计算正在遭遇以往电气时代所从未遇到过的难题——如何保障云计算的安全。
“云时代”的安全难题
在12月18日由CCF YOCSEF举办的“云计算时代的国家信息安全战略”论坛上，中国科学院软件所研究员、信息安全国家重点实验室主任冯登国指出，信息安全技术的发展，除了其自身体系发展之外，有很多技术是伴随着信息技术的发展而产生的。
在电子通信时代，信息安全的重点是如何实现通信保密，因此当时研究的重点是密码技术。到了个人计算机时代，信息安全的重点则是以计算机为主的安全保障体系建设，也可以称之为“主机安全”。互联网兴起之后，以往的“主机安全”策略难以满足用户需要，人们更加重视对来自网络上的各类风险的防护。而在云计算时代，共享、动态的云计算资源减弱了用户的控制能力，因此给信息安全带来了新的挑战。
冯登国认为，云计算时代的到来，主要给信息安全带来了3方面挑战。
首先是云计算系统的安全防护问题。在云计算模式下，用户数据以共享和动态的方式被保存，这使其安全性面临巨大风险——如果服务提供商对数据有访问权，则可能随意处置用户的数据，甚至可能产生倒卖行为，造成用户数据权利的损失。而对于这类行为，用户往往难于追查和取证。
“云服务商的动态虚拟化管理及多租户共享模式，缺乏清晰的安全边界，从而容易引发运行环境的安全问题。”冯登国说。
其次，云计算还将对现有安全体系产生冲击。云计算为用户提供了更强大的计算和存储能力，但云服务商很难识别用户行为的目的，无法区分用户的计算任务是否合法。这些潜在风险是现有安全体系很难应对的。
“基于云的安全攻击无疑将带来安全的噩梦。如果云服务平台被攻击者控制，安全漏洞被利用或云用户身份被盗用，攻击者将可以利用庞大的网络资源、用户身份资源和计算资源，组织DDOS类型的更大规模攻击。”冯登国说。
冯登国指出，在云计算时代，随着系统规模的扩大和复杂性的提高，外部攻击也将更有效率，从而将传统的安全问题进一步放大，带来更艰巨的挑战。
第三方面的挑战，则来自安全监管问题。在云计算时代如何对信息内容进行监管和引导，是关系到社会稳定和国家安全的关键问题。现有的监管与预警体系主要针对传统的Web等开放式应用，而云计算则给监管体系的建立带来新的问题，所需工作量也更大。
安全已成发展瓶颈
上述的信息安全问题，显然在一定程度上制约了云计算的发展和普及。而就中国而言，这一制约更为明显。
在今年5月举行的第二届中国云计算大会上，埃森哲与中国电子学会共同发布了一份名为《中国云计算发展的务实之路》的报告。报告指出，安全问题是全球对云计算最大的质疑。而这种担忧在中国尤为突出，“以至于首席信息官们如履薄冰，特别是面对公有云服务时”。
报告显示，有59%的中国受访者表示“十分担心”云中数据的安全性、私密性和机密性，高于美国的50%以及中国以外其他国家的42%。相比其他所有国家，更高比例的中国受访者认为其所在企业和机构拥有不得外泄的敏感数据。中国高管尤其担心数据遭黑客盗窃，或是意外泄露给同一云供应商的其他用户或本企业的非授权员工。
“我本人不看好商业公有云计算。管理层最关注的就是数据的安全问题。商业机密如果存放在和其他人共用的公有云里，数据安全得不到保证，一旦泄露给竞争对手，那结果会很可怕。除非解决了相应的法律、法规和SAL协议这些商业环境，同时对供应商定期评估、检测和审核。”新奥集团信息中心经理肖鹏如此阐释自己对云计算的态度。
而由于对云服务可靠性和数据敏感性的担心，中国企业不是特别信任国外云供应商或新兴企业，不愿将数据托付给他们。报告显示，在数据保存在中国境内的前提下，也仅有不足1/2的受访者表示会选择国外供应商。而如果供应商未在中国设立数据中心，该比例则跌至20%以下。
神华国华电力公司技术中心总经理助理丁涛表示，目前国内厂商即使因技术壁垒难以与全球性大企业抗衡，也不愿选择国外的云提供商。他坚信中国本地的云供应商能够为当地客户提供更好的服务。他认为国内云计算市场尚不成熟，政府和企业应继续制定相关技术标准，而这需要政府部门、研究机构、供应商、集成商和咨询公司等各方面的共同努力。
由此可见，待解的安全问题是影响云计算在中国落地的重要因素。该份报告显示，更多中国企业的IT经理人希望政府积极参与标准的制定和产业的规范，让云计算在技术和法律方面更加安全，从而在中国得到广泛应用。
如何突破安全“桎梏”
那么，在云计算发展过程中，应如何突破安全的“桎梏”呢？
冯登国认为，应该从应用基础平台、关键技术、标准规范、监督管理等多方面进行变革。
在他看来，云计算既带来了信息安全的挑战，同时也促进了信息安全的变革。这种变革主要体现在3个方面，即技术理念的变革、产业发展的变革和安全战略的变革。
冯登国表示，技术理念的变革，主要指的是平衡多方的安全需求。
“用户有安全需求，云服务商也有安全需求，二者之间有时是矛盾的，如何在数据安全和隐私保护两方面取得平衡？这就需要我们从技术理念上进行变革。”冯登国说。
而产业发展的变革，则指的是信息安全由产品研发向服务化进行转变。在冯登国看来，应积极推动信息安全产品和技术转型，从产品研发转向基础设施、服务的研究，从而通过标准化服务解决用户所面临的各种各样的安全问题。
监督管理的变革，指的是市场监管引导的重点发生了转移。比如过去更重视骨干网络基础设施的安全保障工作，而在云计算时代，则将更加重视对网络空间大规模攻击的防范，新建立的基础设施也要采取相应的技术保障手段。
冯登国表示，虽然云计算推进了信息安全的变革，但这种变革并非意味着对原有技术体系的颠覆。
“比如说传统的权限管理和身份认证技术，随着云计算的发展，这些技术也要发展和拓展功能，从而增强安全保障的能力和水平。”冯登国说。
在工业和信息化部电信研究院通信标准所互联网中心主任何宝宏看来，除了在信息安全的技术理念、产业和安全战略方面进行变革，还应该从法律层面、行政层面及行业自律的层面，对云计算的安全进行监管。
何宝宏认为，应进一步健全隐私保护、数据安全的相关法律；政府可以从政策层面对云计算进行界定，并通过通信质量、安全等测试，对云服务提供商进行资格认证；此外，还可以借助行业协会的力量，在商业层面和市场竞争的层面采取一些有约束性的举措，从而维护行业的正常秩序。
赛门铁克首席信息安全解决方案顾问林育民此前在接受媒体采访时也表示，云计算的安全问题不仅仅是技术问题，还与行业标准、政策法规以及市场成熟度有很大关系。
“如果由于资料外泄给用户带来了损失，客户首先会通过法律手段追究云计算运营方的责任。同时也会有一些政策法规、审计方面的要求。”林育民说。
林育民表示，随着云计算慢慢普及和标准化，会形成良性的市场竞争机制，由若干运营商共同提供云服务。如果某一家运营商所提供的云服务性能不佳、稳定性不强，用户将转而购买其他运营商的服务。在这种情况下，安全问题与云计算运营方的关系密切，安全问题不解决，很可能就运营不下去，因此运营商会非常重视安全问题，进而推动和催进云服务稳定性的提高及云计算安全难题的解决。
《科学时报》 (2010-12-30 A1 要闻)
