云計(jì)算:來(lái)自“云端”的威脅

面對(duì)節(jié)約管理成本這樣巨大的誘惑，越來(lái)越多公司開(kāi)始迅速地采用云計(jì)算技術(shù)服務(wù)，但是大多數(shù)公司的高管并未開(kāi)始認(rèn)真地評(píng)估使用這項(xiàng)服務(wù)所面臨的風(fēng)險(xiǎn)，或制定相應(yīng)的風(fēng)險(xiǎn)防范措施。當(dāng)然，專家們也認(rèn)為問(wèn)題的難點(diǎn)在于，在應(yīng)用云計(jì)算技術(shù)的過(guò)程中，相關(guān)的風(fēng)險(xiǎn)不容易辨識(shí)，從而也很難為此購(gòu)買充足的保險(xiǎn)。

隨著云計(jì)算技術(shù)的廣泛運(yùn)用，新的風(fēng)險(xiǎn)隨之產(chǎn)生?！端伎?012年度全球云技術(shù)網(wǎng)絡(luò)調(diào)查》（2012Cisco Global Cloud Networking survey）采訪了來(lái)自13個(gè)國(guó)家的1,300名信息技術(shù)高管，發(fā)現(xiàn)截至2012年底，將有20%的公司采用云計(jì)算技術(shù)傳遞經(jīng)營(yíng)過(guò)程中使用的大部分應(yīng)用軟件數(shù)據(jù)。

作為芝加哥市的威爾森·埃爾斯·莫斯科維茨·埃德曼及迪克合伙人公司（Wilson Elser Moskowitz Edelman &Dicker LLP）負(fù)責(zé)數(shù)據(jù)安全及網(wǎng)絡(luò)責(zé)任的聯(lián)合主席，勞倫·紐金特（Lori S.Nugent）認(rèn)為，許多非技術(shù)類公司的非技術(shù)高管，在云計(jì)算技術(shù)的運(yùn)用上面，顯得操之過(guò)急，因?yàn)樵谒麄兛磥?lái)信息技術(shù)（IT）不是公司的核心職能，運(yùn)用云技術(shù)只是小菜一碟。

尤其值得關(guān)注的是，公司的首席財(cái)務(wù)官（CFO）也期望將IT工作外包，因?yàn)檫@些IT工作的成本日漸增加，而且信息安全問(wèn)題也更加復(fù)雜。紐金特說(shuō)：“將IT工作外包，讓別人替自己管理IT事務(wù)，這主意聽(tīng)起來(lái)簡(jiǎn)單易行。通過(guò)云計(jì)算技術(shù)，理論上公司可以將所有技術(shù)工作外包，可以自主決定增加或是減少服務(wù)內(nèi)容，從而讓技術(shù)工作更加收放自如。”

同時(shí)紐金特也指出：“事實(shí)上,公司通過(guò)外包方式運(yùn)用云計(jì)算技術(shù)，成本也是相當(dāng)高昂的。這并不是意味著公司就不能采用云計(jì)算技術(shù)進(jìn)行IT 外包，而是表明公司需要事先采取足夠的保護(hù)和防范措施，從而避免因云計(jì)算技術(shù)被非法侵入而遭遇的風(fēng)險(xiǎn)?！?/p>

她認(rèn)為：“毫無(wú)疑問(wèn)，中小規(guī)模公司沒(méi)有足夠的資源，也沒(méi)有足夠的精力承擔(dān)自身全部的IT工作。這種情況下，采用云技術(shù)是一種不錯(cuò)的選擇，這樣公司可以獲得更好的IT服務(wù)。”

紐金特進(jìn)一步補(bǔ)充道：“但是，評(píng)估是否采用云計(jì)算技術(shù)，底線似乎越來(lái)越模糊?！比绻粋€(gè)公司決定采用云技術(shù)，它必須清楚認(rèn)識(shí)到這并不意味著公司從此可以高枕無(wú)憂，不需要操心任何IT事務(wù)了。她說(shuō)：“有一個(gè)可行的辦法，那就是部分，但不是所有的IT事務(wù)采用云技術(shù)。如果讓我做決策，我就不會(huì)把敏感事務(wù)，如知識(shí)產(chǎn)權(quán)或者研發(fā)信息，存放到云系統(tǒng)里，因?yàn)樵萍夹g(shù)提供的畢竟是一個(gè)開(kāi)放共享環(huán)境?！?/p>

她同時(shí)提醒CFO，一旦決定將敏感信息放到云系統(tǒng)中，CFO需要有充分的理由，并保留好相關(guān)記錄，這樣才是明智之舉。因?yàn)閷?duì)于云技術(shù)而言，不是有沒(méi)有被非法侵入的問(wèn)題，而是什么時(shí)候會(huì)發(fā)生非法侵入。

紐金特說(shuō)，當(dāng)前保險(xiǎn)公司為客戶提供的險(xiǎn)種比較齊全，能較好地應(yīng)對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)，并且費(fèi)用相對(duì)低廉。這些險(xiǎn)種覆蓋面廣，甚至針對(duì)經(jīng)銷商所掌握的公司數(shù)據(jù)，比如發(fā)票開(kāi)票信息，也有相應(yīng)的險(xiǎn)種對(duì)應(yīng)。這樣的承保人包括勞埃德（Lloyd’s）以及美國(guó)和歐洲的保險(xiǎn)公司。

紐金特指出，目前，購(gòu)買此類保險(xiǎn)的公司比例低于20%。她建議CFO與公司風(fēng)險(xiǎn)管理經(jīng)理以及熟悉云技術(shù)的保險(xiǎn)代理人一起，共商對(duì)策，識(shí)別并降低相關(guān)風(fēng)險(xiǎn)。

她介紹道，如果數(shù)據(jù)被盜，很多保單都可以覆蓋因此而產(chǎn)生的違約成本、司法費(fèi)用以及其他費(fèi)用。同時(shí)還可以補(bǔ)償行政處罰及罰款、訴訟費(fèi)用，甚至危機(jī)公關(guān)的相關(guān)費(fèi)用。

羅伯特·帕里西（Robert Parisi）是大型保險(xiǎn)經(jīng)紀(jì)公司瑪希公司（Marsh）負(fù)責(zé)網(wǎng)絡(luò)安全以及隱私保護(hù)事務(wù)的主管。他指出，對(duì)于一些公司而言，真正的風(fēng)險(xiǎn)是，云技術(shù)已深入業(yè)務(wù)的方方面面，以至于他們習(xí)以為常，沒(méi)有充分考慮這方面的風(fēng)險(xiǎn)。

他說(shuō)，有時(shí)候這種風(fēng)險(xiǎn)可能由公司高層引發(fā)，在他們出差在外使用外部經(jīng)銷商提供的云服務(wù)時(shí)，使用了不安全的訪問(wèn)方式，比如，在一個(gè)不安全的物理位置使用了沒(méi)有加密的無(wú)線局域網(wǎng)。

外包業(yè)務(wù)，例如支付處理系統(tǒng)、保險(xiǎn)精算表以及信用確認(rèn)服務(wù)，都可能引發(fā)此類風(fēng)險(xiǎn)。帕里西指出，三種情況下云計(jì)算系統(tǒng)容易被非法侵入：

1、由第三方控制公司運(yùn)營(yíng)或者基礎(chǔ)設(shè)施系統(tǒng)的一部分；

2、第三方有權(quán)接入公司的網(wǎng)絡(luò)系統(tǒng)，不管是主動(dòng)訪問(wèn)，還是被動(dòng)接入，比如公司采用外部服務(wù)商提供的云服務(wù)，而該服務(wù)商自身系統(tǒng)比較薄弱，容易被入侵；

3、通過(guò)云技術(shù)訪問(wèn)某些程序的時(shí)候，公司IT人員的認(rèn)識(shí)不夠，以為采用了云技術(shù)就不需要像公司內(nèi)部管理時(shí)那般嚴(yán)格謹(jǐn)慎。

傳統(tǒng)的財(cái)產(chǎn)保單，只能覆蓋公司自有資產(chǎn)不能正常運(yùn)行，從而影響業(yè)務(wù)經(jīng)營(yíng)所產(chǎn)生的損失及額外費(fèi)用。在云計(jì)算背景下，公司自有資產(chǎn)是指公司的電腦系統(tǒng)。

帕里西解釋到，傳統(tǒng)的財(cái)產(chǎn)保單目前尚不能補(bǔ)償下列損失或費(fèi)用：由于外包服務(wù)異常所導(dǎo)致的損失；購(gòu)買另一家云服務(wù)提供商的服務(wù)所產(chǎn)生的費(fèi)用；以及更換云服務(wù)提供商所產(chǎn)生的轉(zhuǎn)換費(fèi)用。這些費(fèi)用包括軟件轉(zhuǎn)換費(fèi)用以及數(shù)據(jù)轉(zhuǎn)移費(fèi)用。

羅恩·庫(kù)利（Ron Cooley）是工業(yè)供應(yīng)商W.W.Grainger Inc.的風(fēng)險(xiǎn)管理主管，他所在的公司雖然采用多項(xiàng)云服務(wù)，但是卻沒(méi)有專門針對(duì)云服務(wù)購(gòu)買一份保險(xiǎn)。他補(bǔ)充到：“我們現(xiàn)在面對(duì)的挑戰(zhàn)是：科學(xué)技術(shù)發(fā)展太迅猛，雖然大多數(shù)保單也隨之不但更新改進(jìn)，但其所覆蓋的風(fēng)險(xiǎn)還是不能跟上科技發(fā)展的節(jié)奏?！?/p>

來(lái)源：中國(guó)會(huì)計(jì)視野

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時(shí)須獲得授權(quán)并注明來(lái)源“中國(guó)產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點(diǎn)和立場(chǎng)。版權(quán)事宜請(qǐng)聯(lián)系：010-65363056。

延伸閱讀