云計(jì)算:來自“云端”的威脅

面對節(jié)約管理成本這樣巨大的誘惑，越來越多公司開始迅速地采用云計(jì)算技術(shù)服務(wù)，但是大多數(shù)公司的高管并未開始認(rèn)真地評估使用這項(xiàng)服務(wù)所面臨的風(fēng)險，或制定相應(yīng)的風(fēng)險防范措施。當(dāng)然，專家們也認(rèn)為問題的難點(diǎn)在于，在應(yīng)用云計(jì)算技術(shù)的過程中，相關(guān)的風(fēng)險不容易辨識，從而也很難為此購買充足的保險。

隨著云計(jì)算技術(shù)的廣泛運(yùn)用，新的風(fēng)險隨之產(chǎn)生。《思科2012年度全球云技術(shù)網(wǎng)絡(luò)調(diào)查》（2012Cisco Global Cloud Networking survey）采訪了來自13個國家的1,300名信息技術(shù)高管，發(fā)現(xiàn)截至2012年底，將有20%的公司采用云計(jì)算技術(shù)傳遞經(jīng)營過程中使用的大部分應(yīng)用軟件數(shù)據(jù)。

作為芝加哥市的威爾森·埃爾斯·莫斯科維茨·埃德曼及迪克合伙人公司（Wilson Elser Moskowitz Edelman &Dicker LLP）負(fù)責(zé)數(shù)據(jù)安全及網(wǎng)絡(luò)責(zé)任的聯(lián)合主席，勞倫·紐金特（Lori S.Nugent）認(rèn)為，許多非技術(shù)類公司的非技術(shù)高管，在云計(jì)算技術(shù)的運(yùn)用上面，顯得操之過急，因?yàn)樵谒麄兛磥硇畔⒓夹g(shù)（IT）不是公司的核心職能，運(yùn)用云技術(shù)只是小菜一碟。

尤其值得關(guān)注的是，公司的首席財(cái)務(wù)官（CFO）也期望將IT工作外包，因?yàn)檫@些IT工作的成本日漸增加，而且信息安全問題也更加復(fù)雜。紐金特說：“將IT工作外包，讓別人替自己管理IT事務(wù)，這主意聽起來簡單易行。通過云計(jì)算技術(shù)，理論上公司可以將所有技術(shù)工作外包，可以自主決定增加或是減少服務(wù)內(nèi)容，從而讓技術(shù)工作更加收放自如?！?/p>

同時紐金特也指出：“事實(shí)上,公司通過外包方式運(yùn)用云計(jì)算技術(shù)，成本也是相當(dāng)高昂的。這并不是意味著公司就不能采用云計(jì)算技術(shù)進(jìn)行IT 外包，而是表明公司需要事先采取足夠的保護(hù)和防范措施，從而避免因云計(jì)算技術(shù)被非法侵入而遭遇的風(fēng)險?！?/p>

她認(rèn)為：“毫無疑問，中小規(guī)模公司沒有足夠的資源，也沒有足夠的精力承擔(dān)自身全部的IT工作。這種情況下，采用云技術(shù)是一種不錯的選擇，這樣公司可以獲得更好的IT服務(wù)?！?/p>

紐金特進(jìn)一步補(bǔ)充道：“但是，評估是否采用云計(jì)算技術(shù)，底線似乎越來越模糊?！比绻粋€公司決定采用云技術(shù)，它必須清楚認(rèn)識到這并不意味著公司從此可以高枕無憂，不需要操心任何IT事務(wù)了。她說：“有一個可行的辦法，那就是部分，但不是所有的IT事務(wù)采用云技術(shù)。如果讓我做決策，我就不會把敏感事務(wù)，如知識產(chǎn)權(quán)或者研發(fā)信息，存放到云系統(tǒng)里，因?yàn)樵萍夹g(shù)提供的畢竟是一個開放共享環(huán)境?！?/p>

她同時提醒CFO，一旦決定將敏感信息放到云系統(tǒng)中，CFO需要有充分的理由，并保留好相關(guān)記錄，這樣才是明智之舉。因?yàn)閷τ谠萍夹g(shù)而言，不是有沒有被非法侵入的問題，而是什么時候會發(fā)生非法侵入。

紐金特說，當(dāng)前保險公司為客戶提供的險種比較齊全，能較好地應(yīng)對網(wǎng)絡(luò)風(fēng)險，并且費(fèi)用相對低廉。這些險種覆蓋面廣，甚至針對經(jīng)銷商所掌握的公司數(shù)據(jù)，比如發(fā)票開票信息，也有相應(yīng)的險種對應(yīng)。這樣的承保人包括勞埃德（Lloyd’s）以及美國和歐洲的保險公司。

紐金特指出，目前，購買此類保險的公司比例低于20%。她建議CFO與公司風(fēng)險管理經(jīng)理以及熟悉云技術(shù)的保險代理人一起，共商對策，識別并降低相關(guān)風(fēng)險。

她介紹道，如果數(shù)據(jù)被盜，很多保單都可以覆蓋因此而產(chǎn)生的違約成本、司法費(fèi)用以及其他費(fèi)用。同時還可以補(bǔ)償行政處罰及罰款、訴訟費(fèi)用，甚至危機(jī)公關(guān)的相關(guān)費(fèi)用。

羅伯特·帕里西（Robert Parisi）是大型保險經(jīng)紀(jì)公司瑪希公司（Marsh）負(fù)責(zé)網(wǎng)絡(luò)安全以及隱私保護(hù)事務(wù)的主管。他指出，對于一些公司而言，真正的風(fēng)險是，云技術(shù)已深入業(yè)務(wù)的方方面面，以至于他們習(xí)以為常，沒有充分考慮這方面的風(fēng)險。

他說，有時候這種風(fēng)險可能由公司高層引發(fā)，在他們出差在外使用外部經(jīng)銷商提供的云服務(wù)時，使用了不安全的訪問方式，比如，在一個不安全的物理位置使用了沒有加密的無線局域網(wǎng)。

外包業(yè)務(wù)，例如支付處理系統(tǒng)、保險精算表以及信用確認(rèn)服務(wù)，都可能引發(fā)此類風(fēng)險。帕里西指出，三種情況下云計(jì)算系統(tǒng)容易被非法侵入：

1、由第三方控制公司運(yùn)營或者基礎(chǔ)設(shè)施系統(tǒng)的一部分；

2、第三方有權(quán)接入公司的網(wǎng)絡(luò)系統(tǒng)，不管是主動訪問，還是被動接入，比如公司采用外部服務(wù)商提供的云服務(wù)，而該服務(wù)商自身系統(tǒng)比較薄弱，容易被入侵；

3、通過云技術(shù)訪問某些程序的時候，公司IT人員的認(rèn)識不夠，以為采用了云技術(shù)就不需要像公司內(nèi)部管理時那般嚴(yán)格謹(jǐn)慎。

傳統(tǒng)的財(cái)產(chǎn)保單，只能覆蓋公司自有資產(chǎn)不能正常運(yùn)行，從而影響業(yè)務(wù)經(jīng)營所產(chǎn)生的損失及額外費(fèi)用。在云計(jì)算背景下，公司自有資產(chǎn)是指公司的電腦系統(tǒng)。

帕里西解釋到，傳統(tǒng)的財(cái)產(chǎn)保單目前尚不能補(bǔ)償下列損失或費(fèi)用：由于外包服務(wù)異常所導(dǎo)致的損失；購買另一家云服務(wù)提供商的服務(wù)所產(chǎn)生的費(fèi)用；以及更換云服務(wù)提供商所產(chǎn)生的轉(zhuǎn)換費(fèi)用。這些費(fèi)用包括軟件轉(zhuǎn)換費(fèi)用以及數(shù)據(jù)轉(zhuǎn)移費(fèi)用。

羅恩·庫利（Ron Cooley）是工業(yè)供應(yīng)商W.W.Grainger Inc.的風(fēng)險管理主管，他所在的公司雖然采用多項(xiàng)云服務(wù)，但是卻沒有專門針對云服務(wù)購買一份保險。他補(bǔ)充到：“我們現(xiàn)在面對的挑戰(zhàn)是：科學(xué)技術(shù)發(fā)展太迅猛，雖然大多數(shù)保單也隨之不但更新改進(jìn)，但其所覆蓋的風(fēng)險還是不能跟上科技發(fā)展的節(jié)奏?！?/p>

來源：中國會計(jì)視野

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點(diǎn)和立場。版權(quán)事宜請聯(lián)系：010-65363056。

延伸閱讀