做好系统工程

　　在传统的安全命题上，强调的是边界安全，通过防火墙、防病毒软件以及防入侵检测等各种安全工具把边界保护起来。

　　然而，道高一尺，魔高一丈。吴锡源表示：“云计算背景下，我们发现最大的安全威胁不是来自于外部，反而是内部。因为只有内部的人才真正了解机密的信息到底藏在哪里，才更容易将机密信息泄漏出去。”

　　因此，云安全改变了以往边界安全的模式，而是转向全面的安全保护。“防信息外泄比保护边界安全更为重要。这一点从我们公司相关安全软件的出货量也可以看出。”吴锡源说，近两年，赛门铁克的信息安全防护产品DLP呈现两倍甚至更多的趋势增长。

　　与此同时，需要注意的是，在包括“云-管-端”的云计算架构中，用户往往担心“云”安全而拒绝使用云服务。殊不知，安全威胁更多的是发生在“端”。

　　“很多用户对安全重视程度不高，例如他们在使用笔记本、平板电脑以及手机等多种终端时，随意的输入账户密码等各种机密信息，或者当遇到有弹出框提示安全警告时，他们也会选择忽略。这些行为都埋下了安全隐患。”吴锡源谈到，用户一定要提高个人的安全重视程度，这样才能使得云安全获得全面的保护。

　　在最新一期的《赛门铁克互联网安全威胁报告》就证实了这一点。2010年，攻击者们对各类上市的跨国公司，政府机构以及数量惊人的小型企业发动了有目标的攻击。很多事实表明，攻击者都会对每个公司内部的关键受害者进行研究，然后用定制的社会工程攻击来侵入受害者的网络。由于它们明确的目标性，即使受害企业具备基本的安全措施，许多此类攻击也会获得成功。

　　因此，针对“云-管-端”，赛门铁克都有提供相应的安全产品和解决方案。不过，在吴锡源看来，这远远不够，技术只是为云计算树立起第一道安全防护围墙，而云安全是一个系统工程，还需要完善的法律法规以及成熟的审计制度的支持。

　　首先，就法律法规来说，可以规范用户使用云服务的行为。例如，在用户退订云服务的时候，如何确保他清除掉所有的数据;再比如，用户的账号被盗用，由用户个人还是云服务提供商来承担责任，这些都需要相应的法律法规来进行约束。

　　其次，就审计制度来说，用户希望在选择云服务提供商之前，先对其进行审计，以获取对其的信任，同时，在选择了该服务提供商之后，用户也希望可以按需审计，确保云服务的安全。因此，对于云计算来说，审计制度同样不可或缺。

　　“从上面的分析可以看出，云安全是一项系统工程，需要多个环节的联动，也有很大的空间去完善。”吴锡源再次强调了云安全不只是一个技术问题。