導讀：隨著企業大數據量的增長，企業對于部署云計算也開始提上了日程。然而，由于企業對于云供應商無法清楚的了解所提供的云服務的安全性，因此，企業有必要在選擇云提供商之前對其進行漏洞評估和滲透測試。

　　了解云應用程序或云服務背后的情況有時候很困難，但也不全然是這樣。對云服務提供商的審計通常先要弄清楚：審查、了解和評估的需要，但通常企業不是根據他們面臨的風險來選擇審查云供應商的。

　　在對云服務供應商進行審計之前，企業要確定好目標，弄清楚你關心的是什么，你想要保護什么等。如果云服務存儲的數據被泄露的話，可能會對企業造成影響，那么應該更加積極地對供應商進行評估，否則后果不堪設想。合理分配你的時間、資金和資源，不要將過多時間(超過必要的時間)花在評估第三方上，花一些時間在其他工作上，例如提供更好的安全保護來降低企業風險。請確保涵蓋了所有風險點，例如數據中轉、存儲、評估控制、供應商員工訪問、日志記錄、應用程序安全、物理安全和第三方集成等。

　　不要這樣做：不要帶著巨大的清單列表和問卷調查來開始審計。我們都面對過這樣的調查表，我們都討厭這樣的表，沒有人想要回答這些繁復的問題，更重要的是，沒有人愿意檢查答案是否正確。這些問題從來不能準確定義被評估的風險或者服務，反而會浪費雙方的時間。開始評估前，先弄清楚第三方的控制情況，企業需要面對哪些審計，企業已經符合了哪些合規標準等。明確你的目標和關注焦點將能夠幫助指導評估過程，特別是在云環境----基礎設施和應用程序與傳統企業環境中的截然不同，而且發展迅速。

　　漏洞評估和滲透測試是驗證你的云服務供應商安全態勢的最好方法。從筆者的經驗來看，大多數云服務供應商都歡迎潛在客戶對他們的基礎設施進行漏洞評估，只要是在商定的時間范圍內，并且他們的團隊愿意回答各種問題。有時候也會碰到不愿意合作的供應商，而這種時候也通常意味著你最好不要選擇這個供應商。

　　這些評估對于大多數云服務供應商來說都是有好處的，因為他們沒有什么其他信息能夠提供給客戶來證明他們的服務能夠滿足嚴格的企業安全標準，這是由于很多供應商都是在公共云服務上建立他們的服務，并且企業安全產品并不能與云基礎設施完美匹配。有沒有在云環境中嘗試過IPS和全包捕捉呢?如果試過的話，那么你就知道安全清單的IDS/IPS是很難實現的。側面提示：在確定所有范圍內系統中務必進行盡職調查，并且驗證供應商提供的結果。一些供應商將他們的應用程序托管在更大云供應商的基礎設施中，因此，需要進行一些驗證過程。這些驗證過程并不是最全面的，也并不一定能夠解決你關注的問題。對與你相關的部分進行驗證，因為你需要承擔自己的風險。

　　在與云供應商合作時，請明確你的問題，根據自身風險進行評估，最重要的是，要意識到在云環境，我們的傳統方法和程序都不在適用。從企業角度來看，承擔云環境中的安全風險是困難的工作，我們試圖證明他們的安全性，但我們并沒有真正需要的資源來滿足我們為企業內部設定的相同標準。即便如此，云服務可能是安全的，有些也可能是不安全的，我們必須對其進行審查才能下結論，從而選擇適合自己企業的安全的供應商。

原文鏈接：http://safe.it168.com/a2012/0213/1310/000001310961.shtml