有人认为云安全是整个行业最棘手的问题，近期内不会解决，但也有人认为云安全问题不大，因为云服务商的安全措施比客户更严格。
在许多关于这个主题的调查中，安全性始终是一个重要的关注点，它们已经成为许多IT商店的重中之重。目前有一些安全标准的创新方案，最终可能有助于消除一些问题，但距离这些标准出台还有很长的路要走。
现在，有一点是明确的，那就是在充分调查自己之前，不要做任何假设。市场研究公司Gartner的分析师杰伊·海泽(Jay Heiser)一直致力于研究企业和法规所面临的潜在风险。海泽说:“服务提供商可能正在做大量工作来保护数据，或者创建更安全的应用框架，这很好，但最大的问题是你如何确定他们在做这项工作？如果供应商不能证明他们产品的安全性。这样，你就无法决定是否选择他们。”
印第安纳大学莫里尔法学院网络安全应用研究中心主任弗雷德·凯特(Fred Cate)表示，谈到云安全，公司面临的最大问题是法律应该由谁来负责。
凯特说:“云服务提供商认为公司应该为此承担责任，而公司认为云服务提供商应该承担责任。为了解决这个问题，一些公司选择了值得信赖的服务提供商，如微软。”但他指出，这种方式大大减少了客户的选择，同时，这种方式也无法保证数据的安全性，因为你只为你的云基础设施选择了一家知名的服务提供商。
幸运的是，一些新技术正在帮助确保云的安全性，至少员工在公共云中发布知识产权或敏感数据将变得更加困难。
美联航空公司:在飞机上部署云计算
美联航空开始了一个激进的实验。美联航今年将向机组人员提供1万台苹果iPad。这些iPad将取代存储手册、图表和其他非敏感信息的飞行包，用于飞行准备。机组成员可以访问Jeppesen等托管服务提供商，获得在线飞行手册服务。美联航也用iPad作为通讯工具，更新公司新闻和员工信息。
John Van Hoogstraten是联合航空公司负责IT安全和风险管理的董事总经理。他表示，公司倾向于逐步进行云相关部署，但由于iPad等移动设备具有诸多优势，因此不能再拖延相关部署事宜。这些优势包括更好地管理飞行手册和更低的燃料成本，因为机组人员不再需要携带沉重的飞行包。
他说，该公司目前正在使用赛门铁克产品进行身份管理和病毒防护。下一步，他们将考虑部署名为“Symantec O3 Cloud Identity and Access Control”的单一登录产品来执行单一身份验证过程。
美国联合航空公司负责IT安全和风险管理的董事总经理John Van Hoogstraten表示，他们正在考虑使用单点登录技术来简化云软件的认证。
Hoogstraten:“我们需要使用安全的认证系统来确保使用iPad的人的身份，尤其是当飞行员飞往那些缺乏安全保障的第三世界国家时。”他的计划是使用单点登录，因为它可以访问联合航空公司的活动目录系统，并为机组成员提供访问服务提供商的入口。这意味着飞行员不必多次登录不同的服务，可以节省飞行员的时间。
单点登录是处理云安全问题最常见的新机制。这意味着当出现问题时，只有一个故障点。O3将作为工具在数据中心运行，这意味着所有的云访问都将流经设备，这可能会降低连接速度。
Heiser表示:“单点登录解决了云安全的根本问题，即便捷性和安全性的平衡。当然，认证并不总是最大的问题。我们来回顾一个Gmail事故。在事故中，人们很容易接近。许多公司应该意识到密码是有缺陷的。”
为了解决这个问题，赛门铁克使用了双因素身份认证。通常，员工需要在iPad上安装标签ID和密码才能访问云服务。
凯特表示，在处理像iPad访问公司系统这样的新安全问题时，一个安全的解决方案是将安全审计作为部署内容的一部分。审计的一个好处就是可以发现一些潜在的风险，比如对某个策略的过度依赖。“如果你在一个地方存储了大量数据，你就越容易成为目标，同时，黑客花时间攻击你就越值得。”
他说，安全评估必须一丝不苟。除了数据存储和策略，还需要检查iPad或智能手机等特定设备。这意味着使用自动化风险管理工具和风险评估。比如美联航的飞行员会率先在公司内使用iPad交流新闻。如果高管决定向地勤人员部署平板电脑，公司应该评估整体风险。
“每个公司都应该考虑这些问题:如果这样做，会遇到多大的麻烦，这样做的风险有多大？不要只关注合法生产中的麻烦，还要关注对公司声誉和股东的影响。”
罗奇福德:在云上存储社交网络记录
对于伊利诺伊州的罗奇福德来说，任何涉及云计算的解决方案都受到政府法规的约束。例如，伊利诺伊州引入了地方记录法案。该法案规定，包括基于云的数据在内的公共记录必须存档一段时间。但具体时间和国家、市规定不一样。
与此同时，罗奇福德决定开始一种新的交流方式来与市民互动。凯冯·海斯(Kevon Hayes)是该市的一名网络开发人员和管理员，他说，市政府希望使用Twitter或脸书，但他们必须找到一种方法来确保这些数据的备份可以安全存储，并在需要时检索。
Kevon Hayes表示，市政府希望使用Twitter或脸书，但为了遵守当地的记录法，他们必须找到一种方法来确保这些数据的备份能够安全存储。
罗奇福德选择了Backupify服务。存档服务可以扫描市政领导人发送到社交网络的帖子，并将这些数据存储在亚马逊S3云存储服务中。
海斯说，大约1000名员工和6名部门负责人将在社交网络上发帖。每三个月，他都会检查亚马逊上的XML数据，看看社交网络记录是否存储在那里。
Backupify也是一个备份工具，可以将来自Google Apps、Gmail和Salesforce的数据存档。由于数据存储在亚马逊S3上，罗奇福德的数据可以通过亚马逊服务传输到许多偏远地区。
风险管理公司Kroll的分析师Alan Brill认为，云安全不仅仅是加密远程连接和认证用户。很多公司忽略了员工在日常工作中访问社交网络和消费者网站的行为。
布里尔说:“一家公司是否将社交网络纳入其整体云安全战略至关重要。一切都处于危险之中。公司需要一些工具来了解发生了什么，谁在云上发布了什么信息，以及如何获取数据。”
Cate说:“云备份最大的优势是增加了灵活性。用户可以通过桌面或远程设备随时随地访问归档的数据。目前用于备份的磁带会消磁，用户必须升级备份手段。另一方面，选择云服务会导致用户把有价值的资源交给别人。所以用户要对这种需求进行全面细致的调查。”
Cate认为公司需要调查数据存储位置。如果存储行为会跨越国界，用户要及时确认这样做的法律后果。如果数据存储在其他国家，用户需要确认他们可以自由访问这些数据。
好看的鞋子:保证远程影评的安全性
许多IT经理认为，云安全是为了保护数据或确保在Dropbox上共享文件的“流氓”员工不会泄露公司机密。然而，对于主要为碧昂斯等艺人制作电视广告和mv的Nice Shoes来说，云安全远不止于此。他们的目标是保护创作内容的安全。
该公司的首席信息官罗伯特·凯斯克(Robert Keske)表示，客户经常要求参加非正式的电影审查会议，以检查工作的进展。
虽然视频会上传到云端，但公司会控制它们的安全性和质量。有两个重要的标准。一个标准是公司不希望原始资料被盗。另一个标准是，远在洛杉矶或世界其他地方的客户看到的视频，在分辨率和色彩方面，必须与制作人在纽约办公室看到的视频相同。
Nice Shoes的首席信息官罗伯特·凯斯克(Robert Keske)表示，公司允许客户观看他们的电视广告和mv，但公司非常重视对安全和质量的控制。
尼斯鞋安装了内部IPTV，其实和你在家里看到的ATT U-verse很像。通过Cisco ASA 5520安全工具建立数据连接和IPsecVPN。后者实际上扩大了公司的私有网络。
为了保证质量符合标准，Nice Shoes采用了一种叫做FEC的技术。这项技术可以持续监控数据流，并纠正传输中的像素级错误。尼斯鞋安装的符合特定标准的色彩校正软件，会在另一个地方的电影考场使用。
另一个显著的特点是Nice的IPsec配置在Cisco的硬件上，可以自动报告。这意味着客户不再需要对思科生态系统中的设备进行任何设置。当客户第一次建立安全连接时，Nice Shoes的IT人员可以远程设置设备。
不提供公共访问，因此客户电影审查的安全性得到进一步保护。客户只能通过端点工具观看广告或mv，这是唯一的办法。如果没有设置正确的IPsec、VPN和FEC，系统将无法工作。
莫康生酿酒公司:云身份管理
在丹佛的摩根康生公司，身份管理系统与时俱进。
该公司的首席安全信息官Kevin Schmitt发现，一个由八名员工组成的小型安全团队难以支持现有的应用程序。培训新员工，设置密码，提供访问权限，成了一件很累的工作。目前公司的身份管理很可能会迁移到云端，主要是因为公司的数据中心已经外包给了服务商。
施密特说:“我们必须找到一个新的身份管理系统。新系统不应该像现在这样支离破碎，还必须包括所有员工身份和外部承包商管理规定。”
Schmitt说他没有考虑单点登录产品，因为公司的基础设施不仅仅是访问网络服务。他希望找到一个“全面”的解决方案，即身份管理系统可以跨越所有托管的业务平台和Web服务，包括本地托管的业务平台和Web服务。
最后，他决定与专门销售身份和访问管理软件的灯塔安全集团合作。在新系统大规模部署之前，公司的旧身份管理系统可以多次登录，甚至与分配的员工角色无关的人也可以登录。此外，公司需要管理配置和取消配置、Web SSL、登录、VPN和其他接入点。
施密特充分意识到复杂性。Schmitt在数据中心运行身份管理系统的经验是，他必须知道自己的系统和传输到云身份管理的主要数据元素。同时，他确信自己拥有管理系统的钥匙，可以防止供应商破产。
Schmitt权衡了云安全因素，认为学习身份管理对他的员工来说将是一场噩梦。目前这些员工压力很大。“我不能说我对新系统没有任何担忧和疑虑。虽然这些云提供商的认证方式不同，但是公司内部的身份管理系统并不比他们有优势。”
密切关注自己的数据平台，评估使用云服务的风险，然后确定是否能满足公司的综合需求。Brill表示，尽管云安全给决策带来了一些担忧，但如果我们充分了解其中涉及的风险以及它们如何影响公司，我们就可以缓解这些担忧。
正在开发的云安全标准
目前，美国联邦政府正在参与标准的制定。美国联邦风险和授权管理项目试图引入一套云安全标准，让企业可以对第三方云服务提供商进行评估。该标准尚未发布。观察人士指出，FedRAMP仍在激烈讨论中。
第二个方案是一般担保到期模型，其目的是开发一个评分系统。这个系统和数据中心的能效没有太大区别。Gartner的分析师杰伊·海瑟(Jay Heiser)表示，虽然这个第三方评估程序的应用前景不错，但这已经是暂时的，持续了6个月。
