【中国信息主管网独家】在由中国信息主管网、中国计算机报社承办的2011第四届中国信息主管年会上，中国科学院研究生院信息安全国家重点实验室赵战生提出如下观点：金融行业要做好云计算，要力求做到腾云驾雾，切勿晕头转向。其中，安全因素是一个值得关注的话题。
演讲实录如下：大家知道近些年来天下无处不谈云，可是要提供产业，开展应用，不共识是没有办法推进下去的。腾云驾雾在中国来讲是神仙的境界，晕头转向是咱们确实知识，确实能力的一种困惑的状态。
在云的问题上，几乎形成了正方反方，正方就说它的好处，反方就是强调它的安全问题，现在已经出现了整合大家的认识，大家取得共识的一些趋势了。我们今天就是想从标准化的角度来看看。
一个从美国的有关云的情况，另外再说一下国际标准化组织S27关于云计算标准的一些情况，最后简单谈一下个人的几点体会。
美国的有关云计算方面，今年大量出台了一些重要的基础文件，从2月到11月，2月份以信息信息官的身份，白宫颁发了战略，5月份米斯塔（音）又颁布了云计算的概要和建议，紧接着又颁发了云计算的路线图，体系结构，10月份关于云的定义又正式出版了，在11月份连续对云计算的技术路线图一卷，二卷，以致于现在虽然没叫三卷，但是是作为三卷的形式，这些稳当篇幅都是很长的，今天由于时间很短，不可能全面的加以解释。
自己初步学习了一下，把一些概要的情况跟大家做一个汇报。
从联邦云计算的战略看出来，反映他们对云计算的期望，他们认为云计算的潜力，可以解决低效率，改善政府服务可以发挥主要的作用，他们制定了云第一的战略，而且提出要用投入在联邦的IT开支中拿出80亿推动云计算，做出一些新的投资。
从这份战略中间，还展示了联邦各个机构，可能在云计算方面对需求的一种情况，这个不细说了。
颁发了这个战略主要的意图，是需要清楚的表达云计算的好处，考虑和一些选择，能够提供机构在迁移到云计算的解决框架的一些案例，同时强调云计算实现的一些资源，确定联邦政府促进采用云的活动过程中的决策的问题，他们把云计算和现有的计算环境做了一些比较，在效率、灵活性和创新方面，一一做了一些比较。
在效率方面，云计算他们认为可以提高效率，服务器利用率可以大于10%，加速系统的整合，现有的住是零碎的需求和重复，在应用开发，能够提高生产力，但是现在来讲系统是难以管理的。在灵活性方面，他们提出来，从来自可信的云供应商作为服务来购买，可以瞬间的增加你的容量，相应你的需求，但是现在年年需要数据中心，为已有的服务增加能力。
云计算带来的好处是管理的注意力，在原有的环境中间是受资产管理的拖累。第二方面，在利用私营机构的创新，老的方面是私营机构的创新在利用，云计算还可以更好的链接到新兴的技术。由此他们归纳出几个根本的结论，一个云计算是一个根本的转变，可以更好的利用资产，可以整个需求减少重复，可以加快数据中心的整合，可以更简便，更有成效，可以敏捷的改善，使服务相应更快，服务可以更具有扩展性。创新可以迅速的提高服务效率，通过降低风险，能够鼓励创新的文化。
要把现有的云计算环境迁移到云中间去，它有一个相应的决策框架，首先要选择你的哪一些服务，要识别一下你这个价值的来源，到底你在效率，灵活性和创新方面能得到什么好处，要确定你云的准备怎么样，包括你的安全性，市场的可用性，政府的准备你技术的生命周期的问题。
做了这些考虑，你就要进一步有所准备了，把可能的需求整理出来，要确保它和集成的产品的一种组合是能够互操作的，并且要有有效的合同，要满足机构的需求，而且要重新调整用途，重新部署释放原来资产的价值。
在这种情况下进入到管理，你的心态要从一个管资产要转向服务，要构建新的技能，要积极的检测，以确保法规的遵从性和改进你的服务的级别。重新评估供应商的服务模式，而且要全周期的实现利益最大化和风险最小化。
要采用云，这个战略是力求去催化的。首先它们想通过联邦政府来采用云促进降低风险，而且要通过政府的努力，来帮助机构有效的获取云计算的能力和缓解相应的危险。联邦的首席运营官要制定云计算的案例，由这些案例形成模块供大家去选择，政府要用它自己独特的专有的和社区的云的资源来促进这个事情。
云安全是很大的问题，随着联邦政府的发展，必须要高度的警觉，保护公民的隐私和国家安全的信息，联邦机构和组织要努力确保控制质量和强度，适当的平衡，以及云计算相关的风险。同时联邦政府要创建一个云供应商和云消费之间的透明的安全的环境。作为这里面的第一步，他们要对于授权管理，评估安全事态要形成相应的能力。联邦的风险授权的计划，要记录和云计算安全的控件，包括漏洞的扫描，而且在事实中提供信息，并鼓励信任的云计算环境，加强业务的安全，国土安全部和政府要安排优先的列表，制定适当的工作措施确保安全。
米斯塔制定了一系列的标准，来配合美国政府信息化的认证认可工作。首先是系统和信息的分类分级，然后是选择安全的布置措施，实施安全控制措施，评估安全措施，进入审批阶段，最后你这个系统开通以后，进入一个持续监控的阶段。在这些工作布置中间，有大量的技术标准，配套着这样一个工作体系在实施着，这一套标准，就称之为一个风险管理的框架，表明了美国政府是把自己的信息安全放在一个以风险管理为重要指导思想下的一个机构上来考虑问题的。
云的应用，当然不仅仅是在美国国内，也涉及到国际，因此他提出来要认识国际层面的云计算问题，首先一个信息主权，传输的数据访问，国家如何找到国家的数据隐私，安全和知识产权之间的平衡的问题，有需要的国际云计算的法律法规和治理框架的问题，国内和国际设置云可一致性的问题，还有一个全球云计算标准的问题，从国际的层面上。
要做好这些事情，大家都认识到需要技术和管理并重的，他们认为长远来看，要有效的管理，联邦政府需要超越和行政部门稳定的基础，个人或者委员会尽可能好的体现出他定义的决策，而且明确的决策的层次结构，这些步骤就需要把相应的官僚作风加以避免，而且要形成问责制的工作。
在这个基础上，他们把联邦的相关机构他的角色和责任都加以明确了。首先作为这样一个美国的国家信息的标准研究所提出来，他是要指引联邦州和地方政府机构部门的专家和国际的组织来合作，来确定和优先考虑云计算的标准和指南的问题。
要在需要的开发采购，和发展云计算程序的解决方案的问题，国土安全部要监察有关云计算的安全问题，联邦各部门要充分的考虑他的云计算的解决方案，负责评估他采购战略的需要。个
首席信息官理事会要推动云计算政府的采购，确定下一代云计算的技术，和一些分析的模板。作为OBM要实现一个协调跨机构的一种治理活动，要设计云计算云的总体的指导。这样一来把云方面的一个需求，要满足这样一些需求，要做一些工作，各级机构的责任都明确下来了。
下面我们再来看一下米斯塔的标准的问题，米斯塔成立了一系列的工作组，其中包括了体系结构的业务应用的标准路线图和安全的相应的工作组，提出来工作的时间段和可以交付的成果，到现在为止上面列了一些交付的成果，随着进展，从现有的草案进而变成政治性的文档。
在这样一个291中间，他们建议促进机构考虑这些，并且建立相应的标准，参与标准的完善，指定一些标准来使用，美国政府要广泛的使用云的标准，而且要广泛的宣传云的标准，使大家了解这些标准。
包括生命周期的，分类的，关于安全的一系列的标准，都是在计划之中要做的东西。
关于云有各种说法，到了米斯塔参与以后，组织了一系列的会议，已经给出来一些比较共识性的看法，首先给云下了这样一则定义，云计算是可支配的共享计算资源池，它是可以快速的用于最小的工作，它提升了可用性，并且具备了五个必要的特性，三类服务模式和四种部署方式，这样一个标准把云计算的一个内涵和外延，就给了一个全面的描述，避免我们在争论的过程中，谁有什么特点，像瞎子摸象一样，这样一个定义把相应的云计算给全面的描述了。
五个基本特点，是指按需自主的服务，资源池的问题，快速灵活的问题，服务尽量可以衡量的问题。
三种服务模式是软件作为服务，平台作为服务，基础设施作为服务。
部署的方式是私有的，社区的，公共的，缓和的。
有此就构造出来这样一个模型了，当然在云计算的环境中间存在中各种角色，既有云计算的使用的客户，又有云的提供商，还有想从终端倒换的攻击者，还有审计者，这样就构造了各种角色共存于这样一个空间的模型。
米斯塔800146又给出来一些建议，首先它审核了145的一个定义，并且描述了利益和未来要解决的问题，概述的云计算的类别，并且提供了组织应该如何考虑云计算风险的准则和建议。他提出云计算不是一个系统，是一个跨越顶层的服务模式和部署模型的配制的技术，这样来进一步解释云计算。
你要选择什么技术和配制，取决于相应组织的需求，因此就需要了解云中间哪些部分是最适合给定你的需要，在这种情况底下，要考虑如何部署，要考虑你要什么样的服务，要考虑你的使用给你带来的经济的机会和风险的问题，要考虑性能，技术特点的可靠性的问题，要考虑通过云提供商的社会责任，来签署，来保证你的享用的问题，还要保证你产品的销售机会的风险，安全性的问题。
他们用这样一些要素把各类云的计算环境给了一些深入的讨论，今天由于时间我们不细说了。首先是抽象的动态交互的问题，运行的操作，计算机管理的操作的问题，用云给你带来什么好处的问题，你还存在什么问题和焦虑，其中包括传统的安全漏洞的交融问题，虚拟机的延伸问题，在隔离条件下动态网络特征数据的实践问题等等，而且对于这一类作为服务的环境都给出了具体的建议，他们把工作已经在分类的意义上做了深化的研究。
在安全的问题上，他们特别提出来任何一个组织应该知道NISTSP800-53是适应云计算安全性问题的，可以改善你环境中的安全问题，云也有潜力整合一些前所未有的种类的云，使得你的客户集中在一个中心中间，这种潜在的安全漏洞需要高度的信任，保护用户数据的问题。
另外云用户和管理中间（英语）浏览器，因此这个浏览器的安全故障，可能导致违规，隐私和安全。
在管理中分了很多，比如规划，风险评估，系统的服务获得，安全的评估和授权，在技术中间访问的问题，鉴别的问题，责任追究的问题等等，在运营中间从全员的意识形态培训，到配制的管理，人员的安全，物理的，媒体的，系统的这些安全问题，应急，事件响应等等这些。在这些方面它提供了应对低风险，中风险，高风险，可供选择的200多项安全控制测试，在云中间他们并没有放弃这样一个事情，这还是我们要加以考虑，加以选择的。
供应商和客户之间是需要有所默契的，从缔约双方来讲包括着服务和约和服务级别。作为用户来讲，你不能非法违规来使用，你要用符合规定的第三方的软件，而且云是个服务，服务是要钱的，你要及时的付款。
在安全的问题上，过去梳理出来的，局域环境的保护，从这个里面可以看到，各类云依然是强调要梳理和关注你的边界到底在什么地方，即便有了虚拟机，也要梳理出来哪些信息你是需要隔离的，这些安全的指导思想依然是有效的。
对于数据的治理和访问标准的问题，完整性的问题，法规问题，处理问题和恢复问题都是要考虑的。在安全性和可靠性方面，包括加密，身份验证，访问管理，性能的要求，可建性的问题，虚拟机要关注它的所谓的脆弱性的问题，和虚拟机迁移的问题。现在的云还有若干的局限性，停机的问题，不可抗拒力的问题，安全的问题，API相应的更改的问题，都是有相应的局限性的。
在这个基础上又提出来一个技术路线图，这个路线图是他们经过了三次的会议，组织了数百个组织机构，1500人参加的基础上逐渐梳理出来的，提出了10项要求，包括对于基础互联，包括解决方案的安全要求，明确一致的云服务的类型等等等等，由于时间关系我们不一一念了。
又说了若干必须要开展的一些活动，这些表我列在这里，但是没有时间，我们就不说了。从这些表中间可以看来，他们不是浮躁的对待这个问题，如何一项活动，都是要有时段的，少则在明年要做出一些结果来，多则从明年到17年要做出一些结果来，我不细细念了。这里有一系列的工作要实实在在做起来的。
在去年的10月份，日本就提出来一个云计算服务使用的信息安全指南的一个建议，这样一个建议在国际标准化组织中间得到了相应的响应，这样一个表示研究的范围，是阐述云计算的安全和隐私状况，确定云计算标准类型是什么，提出时间计划，工作计划和项目等等这些。把它却向以后，一共五个工作组，三个工作组都进入了云计算安全的相应的标准中间来，其中第一个工作组负责信息安全管理体系标准的制定和维护，其中考虑在云计算的环境中间。通过一年多的研究，已经基本确定了在云计算的隐私概念体系架构中间应该考虑这些问题，包括概念和定义，安全管理的要求，安全管理的控制措施，安全技术，身份管理和隐私技术，审计，治理等等这些方面。
在今年10月份肯尼亚的会上做了一次投标表决，把原来曾经考虑三个组，要制定三方面的标准的情况最后确定制定两份标准，一个方面27017，主要是安全控制措施方面的，一个是27018是隐私和保护这些方面的。决定把这样一个研究项目延续6个月来进行研究。未来的研究重点在这几个方面，要所有的成员国都了解关于云计算标准工作状态，第二大家要积极贡献，第三，工作组内现有和未来的云计算安全隐私的范围，共识的术语和工作项目要技术提出建议。国际标准化这项工作比起美国开展得迟了一些，但是现在正在紧急稳固的推进之中。
我个人感觉到说云说什么的都有，但是我们为了开展应用，确实要取得一些共识，因此就需要认真的关注，学习借鉴，国际上有关云计算的标准，因为标准是一种行为规范，一种认识上的规范，认识上的共识，但是要做这个事情又不能急，不能躁，有些地方花了很多钱，建起来了云数据中心，但是建起来没有应用，不知道怎么用。我们需要业务的驱动，才能把云建立起来。
什么作为服务这样一个问题，有人说什么就是服务，我特意翻译成作为，作为再加上我们中国话的要有所作为这个作为，因为你不作为的话，软件不能自动成为服务，平台不能自动成为服务，基础设施也不能自动成为服务，因此要抓紧研发我们自主的云计算的关键技术，要制定相关的我们国家的标准。
过去在信息技术发展的过程中间，总有一个怪圈，上来关注的是互联互通互操作，完了再补课，我们千万不要在云计算又来这么一个怪圈，我们要关注和按照云安全的技术和管理的技术，要以需求为驱动力，来推动云计算的技术的应用。
同时美国人有这么一个国家的战略，我们国家也应该在高层形成国策，来避免我们的盲目性，避免形成不良运动，花了钱没有得到好处。大家可能有这样的体会，国外常常用我们的市场来培育他们的技术，用我们的钱繁荣他们的经济，在云计算中间我们千万不要走上这样一个歧途了，谢谢大家。
（责任编辑：洪蕾）