“云端”中的用户数据是否安全？
目前，云计算公司正大量涌现，与此同时，一些科技巨头也在争相收购此类公司。显而易见，我们大量的用户数据已经存储在云端了。我们的电子邮件、文档以及社交网络的用户资料都是如此，而且成千上万的新兴小企业都在依赖类似SalesForce.com的云服务，以提高生产效率、降低成本。但是，云服务的安全性仍然堪忧。随着越来越多的数据转向云端，各公司及其用户是否更容易遭遇黑客袭击、数据丢失以及隐私侵犯问题？
什么有风险？
就拿信用卡数据来说吧，我们中绝大部分人都会不假思索的将信用卡卡号和密码保存到自己的在线购物档案中。支付卡行业（Payment Card Industry，PCI）是一个全球性的信息安全标准，由维萨卡（Visa Card）、万事达卡（MasterCard）、美国运通卡（American Express）及发现卡（Discover）等共同确定。该标准对处理信用卡信息这类高风险数据的基础设施提出了具体的要求。如果某基础设施不能满足所有要求，它就不符合支付卡行业标准。而因为云服务基础设施与支付卡行业标准的适用对象差别很大，所以事实上，大部分云服务供应商都不符合支付卡行业标准。
云服务商们如何加密用户数据，对于安全性同样至关重要。然而，弗雷斯特公司（Forrester）云分析师王晨希（Chenxi Wang，音）表示，云数据加密并不规范。一些服务商加密数据，而另一些则没有。对于那些提供加密的服务商，需要注意的是它们的加密强度是否足够；它们用来存放你的数据的实体服务器是否完全加密（也就是说，所有用户数据是否都是使用同一方法加密？）；以及它们是否会提供应用程序，独立加密你的数据，而且针对不同用户使用不同密钥？
最后一点隐患来自于时下流行的云服务实现架构：一些云服务商将不同客户的数据存放在同一个实体服务器上。这样，客户A可能是在执行一个虚拟机，而客户B则在执行另一个虚拟机，但他们实际上是在同一实体服务器上运行。如果有经验的黑客利用安全漏洞获得了客户A的权限，那么获取客户B的数据对他来说也并非难事。甚至极端一点，如果客户A有心作祟，他们也能成为窃贼。
王晨希承认：“上文提到的风险可大可小，完全取决于云服务商。从绝对安全的角度来看，如果你正在使用一家服务商的云服务，而另一家公司也刚好选择了同样的云服务，那么该公司就有可能利用隐藏型终端或是别的接口，侵入设备内属于你的部分，从而窃取你的数据。”
云服务商使用第三方公司提供的各类组件同样会带来隐患。虽然亚马逊（Amazon）的云服务完全是内部开发的，但其它云服务则越来越依靠第三方公司。
王晨希列举了最近发生的一个例子，一家服务商由于使用第三方公司而造成严重后果。因为数据备份需要，客户数据经常需要备份到磁带或是其它介质中，但在规定的时间过后，绝大部分备份数据都应被销毁。最近，一家云服务商将备份磁带交给一家数据销毁公司处理，王晨希称该数据销毁公司遗失了所有的磁带，也就是说磁带上的所有用户数据都不知所踪。
王晨希表示：“这家云服务商的处境非常艰难，因为他们没法确认数据都真的被销毁了。”
降低云服务的风险
为了尽量避免陷入上述困境，寻找云服务供应商的潜在客户必须好好做下功课。
客户如果想完全了解和控制自己的数据，那只有一个办法，就是尽可能多的了解情况，并在合同谈判的过程中保持强硬。既然没有PCI这样的标准，那就不要盲目相信他们能够保护你的数据，或是轻信他们的片面之词：客户们应该知道数据存储的细节；知道自己的数据在与他人共享的实体服务器上是如何被加密的；知道服务商们是否使用了第三方服务；还应该知道那些服务商们的工作流程。客户应该非常清楚自己的数据是如何被处理的，以及云服务商的里里外外有哪些人可以接触到这些数据。
在上文提及的备份数据丢失事件中，大家似乎理所当然的认为那家云服务商会及时联系受影响客户，告知他们安全隐患。但实际上，该公司并没有义务这样做，除非他们与客户的合同中有明确规定。所以，你必须明确要求服务商，无论遇到何种情况，都要给客户通知提醒。
在合同谈判中，还有哪些需要了解的呢？首先是雇用第三方机构时的“优先购买权”，其次是考察服务商是否能提供独立实体服务器和机柜，以及独立数据加密服务。客户的上述要求并不一定能得到满足，这取决于他们与服务商的合作历史及其业务的价值，但是，如果客户不提出这些要求，并随后出现安全问题，其代价可能相当惨重。当然，在过去几年中，一些最为严重的隐私数据丢失案例，都是因为笔记本被偷，那些绝对不应出现在个人电脑上的数据，最后却落入小偷之手（实际情况甚至可能更糟糕）。
显然，以上所有注意事项，对那些正在建立基于云端的业务，且希望善待客户的公司来说至关重要。但事实上，除去公司网站上千篇一律的隐私保护声明，普通客户通常都无从得知自己的数据究竟是如何被处理的。也就是说：尚未能确保数据安全，我们就已经进入云时代了。
译者：项航
