對于合規(guī)性的關(guān)注是阻礙眾多公司使用云服務(wù)的主要原因之一。價格低廉、計算靈活，可根據(jù)需求創(chuàng)建、拆開、重配置、擴張和收縮，這些都是其吸引人的特點，但是它是否包括了必要的監(jiān)管要求？

諸如Massachusetts隱私法(201 CMR17)、PCI-DSS、SOX、Nevada SB-227和HIPAA之類的標準與法規(guī)都要求眾多組織對他們的數(shù)據(jù)保護措施進行安全評估。將數(shù)據(jù)和應(yīng)用遷移至云將影響該組織遵守這些法規(guī)和標準的能力。在本文中，我們將主要探討云計算對企業(yè)保持合規(guī)性能力產(chǎn)生負面影響的兩個特點。

關(guān)于合規(guī)性問題，每個法規(guī)都需要各組織充分保護他們的實體資產(chǎn)和信息資產(chǎn)。要達到這個目的，需要對整個系統(tǒng)有一個很好的控制，并且確定：

* 系統(tǒng)中存儲什么信息？

* 存儲的信息位于何處？

* 誰能夠訪問系統(tǒng)？

* 他們可以訪問什么？

* 訪問是否合適？

所有這些問題意味著一個資產(chǎn)所有權(quán)的級別問題，也就是云合規(guī)性問題的核心所在。在公共云環(huán)境中，您可以肯定地回答第一個問題，但是剩余四個問題在合規(guī)性方面就有一定的麻煩，我們來分別對其進行分析。

存儲的信息位于何處？

在一個典型企業(yè)數(shù)據(jù)中心或托管中心中，大家都知道磁盤和服務(wù)器實際的物理位置所在，這一事實可在審核過程中得到證實。通常而言，即使是一個共享服務(wù)供應(yīng)商也能告訴你，你所使用系統(tǒng)的是哪一個物理系統(tǒng)，并根據(jù)審核的目的來辨識數(shù)據(jù)的位置。即使對于虛擬化和災(zāi)難恢復(fù)，你也可以想辦法來確定信息資源所在的物理位置。根據(jù)其定義，這并不符合公共云的情況，這便是我們所談到的第一個云合規(guī)性問題。

在云中，我們并不期望供應(yīng)商方能夠提供信息實際位置的相關(guān)信息。但這并不是說供應(yīng)商不能這么做，然而市場并未要求他們提供該項服務(wù)。同時，說句公道話，要求了解數(shù)據(jù)位置的需求與云計算的本質(zhì)目的是相矛盾的。

那么，你可以做什么？確保你的供應(yīng)商也愿意與你合作，提供并檢測你可能遇到的數(shù)據(jù)位置限制。

誰將訪問系統(tǒng)、訪問系統(tǒng)的哪些信息以及為什么訪問系統(tǒng)？

公共云中第二個合規(guī)性問題如下因素相關(guān)：

* 誰能夠訪問你的信息存儲系統(tǒng)？

* 他們可以訪問哪些信息？

* 服務(wù)是否合適(也就是說為什么要提供這種服務(wù))？

關(guān)于訪問權(quán)限問題，除了你所控制的一方，供應(yīng)商工作人員也可以訪問系統(tǒng)。在供應(yīng)商方，我們所關(guān)注的主要人員是系統(tǒng)管理員和應(yīng)用管理員。我們需要了解系統(tǒng)管理員和應(yīng)用管理員是的身份。當考慮他們能夠訪問什么信息時，我們主要關(guān)注供應(yīng)商訪問我們底層信息存儲基礎(chǔ)設(shè)施或應(yīng)用的能力。了解他們是通過管理程序(如基礎(chǔ)設(shè)施即服務(wù)，IaaS)還是在應(yīng)用層(如平臺即服務(wù)，PaaS)訪問？

最后的一個問題是他們“為什么”需要訪問系統(tǒng)？這也是Security 101所規(guī)定的：必須基于工作角色來確定訪問權(quán)限，必須對訪問等級提供明確的說明。

事實上，這也是一個共享主機設(shè)備中出現(xiàn)的問題。其主要區(qū)別在于許多云供應(yīng)商并不能滿足眾多合規(guī)性文件中規(guī)定的要求，而共享主機設(shè)備已足夠成熟具備該能力。

那么，你需要做的就是確保合作供應(yīng)商能夠并愿意證明他們提供的管理功能能夠?qū)崿F(xiàn)職責分離，而且他們有能力“證明”誰有機會訪問系統(tǒng)和信息，并提供訪問的時間信息。請注意，還有最后一個要求，你需要部署健全的、與最新安全等級相關(guān)的日志解決方案。

作為附帶說明，我認為整個行業(yè)需要對公共云供應(yīng)商進行認證，而那些認證對于用戶合規(guī)性而言是可以接受的。

總結(jié)

大部分合規(guī)性要求是為了對有機會訪問資產(chǎn)的人員、他們所訪的問等級以及那些等級的維護進行適當?shù)目刂�。通常的方法是對我們的進程進行審核。公共云環(huán)境的相對不成熟性將使得審核過程變得非常困難，有時甚至是不可能實現(xiàn)。改變這一狀況要從以下兩方面入手：

* 公共云產(chǎn)品必須成熟，更加遵守標準。

* 公共云供應(yīng)商必須與用戶簽署相關(guān)合同協(xié)議，這有助于客戶滿足云合規(guī)性的需求。