私有云泛滥 如何采用云整合加强安全性

海量的私有云基础架构可能会对你的组织造成危害。专家Ed Moyle将讨论如何以及何时考虑使用云整合来减少云泛滥。

对大部分组织来说，云的采纳具有十分重要意义。尽管在当今企业界大规模的采用公有云，私有云部署仍然是大型组织的中流砥柱。虽然有些统计数据表示私有云的使用量开始下降，但过去这几年所遗留下来的私有云规模还是颇为可观的，对于某些大型机构，例如财富500强公司，仍然维持着几十个独立的私有云环境的情况也并不少见。

但是，这可能会带来几种潜在的安全问题。当环境在使用范围上重叠时，它可能代表了次优或甚至低效率的资源运用;当多重环境有着微妙的不同，或者在某些状况下，有着明显矛盾的安全控制时，它可能意味着安全及维护的问题;它可能会带来架构和性能上的挑战，它也可能会使法规遵守相关的工作倍增。

后果是，组织们必须要控制好“私有云泛滥”，这很重要。对资源做出***的运用，并预防即将产生的负面后果，亦即我们必须了解现存的私有云环境是怎样的，然后才能做出有关云整合的战略决策。在某些情形中，整合是可取的。而其他的状况中，组织可能必须继续维护超过一个环境，但也必须战略性的重置资源的分配状况。这个决策必须是精准的，并且是经过深思熟虑的，而不是(通常情况下)因为事情自然发展的结果。

什么导致了私有云泛滥?

有些人抓破头也想不通为什么某些组织会一开始就变成了数个私有云的状况及如何变成这样，毕竟，难道私有云不是通常来说云模型中最昂贵的吗?为什么某些组织会想要超过一个私有云呢?在现实中，有几种方法可以让这个发生。***，并购行为，当组织A收购组织B时，他们可能两个都拥有一个私有云。而既然两个组织要在IT层面的整合可能要花上好几年，这些环境自然会在这段时间中继续存在，并且有可能之后也继续存在着。

另一种导致这种现象发生的途径有多个，松耦合的业务单位(例如，当这些业务单元各自维持着自己的IT支持团队时)各自建立(或者从服务供应商租赁)他们自己的私有云，而彼此都不知情或为了不同的目的。这常常发生在不同地理区域并由不同团队支持的情况，或者当每个业务单元的IT业务是以独立的方式处理的。

***，组织可能会为了某个战略目的而建立数个私有云关系。谨记私有云意味着一个云环境中该用户是唯一的租户，一个私有云环境可以存放于一个云服务供应商(CSP)那里。当然，很多私有云都是在本地的，但不总是这样。所以，某个组织可能会有一个或以上的本地私有云环境，同时在组织外部的某个CSP或托管商那里也拥有一个或以上的私有云环境。

减少和重用?

不论私有云泛滥的情形是如何产生的，重要的是，安全团队必须要了解不同的状况决定了如此多的私有云对组织的安全态势是有益还是有害的。

我们之前讨论了一些可能遇到的挑战，但为了说明使用私有云可能对组织有益这个观点，请你想像某个在不同使用场景下拥有多重监管要求的组织。例如，一家医院可能会为了临床环境在本地维护一个私有云，并为了他们的支付和计费系统维护一个外部的私有云，因为他们使用了本地资源，所以在临床环境方面符合了 HIPAA的要求，这样的安排很合理，因为医院在该领域多半有着深厚的专业知识。另一方面，PCI可能就不是他们的核心竞争力了。这样，选择一个外部通过审查(也就是，在认证服务供应商名单中)的CSP也许颇有安全性和规则上的价值，从总体来看，拥有两个私有云环境可以更好的为这家医院提供服务。

要了解何时，如何以及是否要整合私有云环境是一件很棘手的事情。许多企业都落入了急着整合的陷阱中，但后来才发现为什么他们不能或不应该整合是有很合理的原因的。为了避免这样的问题，企业需要收集不少数据才能做出战略上的决策。他们需要了解：

• 这个环境是存在的
• 环境里有什么
• 使用环境所需的安全要求
• 现今这个环境中已经存在哪些控制/流程

如何开始整合私有云环境?

就像很多事情一样，脚踏实地的***步是发现。首先从列举你的企业里现有的私有云环境开始。如果你的企业是个大型组织，那可能这个数量比你想象的多，你可能需要多跑腿才能确定你已经把它们全部辨认出来了。利用你组织现正进行的盘点活动来收集这些信息，例如为业务延续性规划所做的业务影响评估(BIA)，就很适合。既然BIA无可避免会接触到大部分的业务，你可以同时用它来了解私有云使用的领域。

接下来，你应该要列举出每个环境有关安全性的考量。问自己以下的问题：监管的背景是什么?这个环境包括了什么?环境内部处理的是什么类型的数据?

再次提醒，要了解每个环境，你可能需要多跑跑腿;你必须要了解每个环境里包括的细节才能回答这些问题。除非你的组织在记录有效的库存方面很拿手(大部分都不是)，你必须要侦查每个环境才能得到可靠的名单。

***，将每个环境提供的安全性、支持和业务“功能”拿来比对安全性，支持和业务的需求。这代表了你必须对每个环境有着足够的了解才能清楚的辨认这些。有可能部分的服务供应商会在你的要求下告诉你(并且证明给你看)这些信息，但也有可能你将需要做一些审查才能得到答案。

这三种数据的来源结合在一起使用，会给予你的组织所需的原始材料，帮助做出关于整合是否是正确的这一战略层面的决策。如果结论是是的话，将会帮助你建立如何让整合更有效的计划。云整合本身，虽然是个长期的活动，只有这样才能被仔细规划，以便让你的组织***化的利用资源。如果你的企业正在考虑将应用放到私有云里，那么这些信息也会帮助你做出最适合业务需求的决策。