所謂的雲端運算(cloud computing)，各個廠商的解釋不盡相同，有的指的是以軟體為服務方式來提供(SaaS, Software as aService)，有的提的是虛擬伺服器的環境，還有一些提供的是MSP (managed service provider)等等。還有的解釋將雲端運算歸結為以下3種概念，包括架構如服務(IaaS, Infrastructureas a Service)；平台如服務(PaaS, Platform as aService)；以及軟體如服務。如果真的想要一言以蔽之的話，雲端運算的觀念，可以說是透過網際網路這塊雲所提供的各式各樣的虛擬資源，動態的組合運用這些服務以達成所需要的運算架構。那麼，這些和我們做資訊安全的人有什麼關係呢？資訊安全的概念應該仍然不變才是，不是嗎？
可以想見的，如果一天，雲端運算成為了運算的主流，甚至即使只是一部分，只要是採用了雲端運算方式的部分，幾乎所有資訊相關領域的方式都會隨之改變。而資訊安全所注重的程式開發、網路安全、稽核與電腦蒐證等等課題雖然概念與重點然不變，但是如何達成這些目標，達成這些課題時要含括、檢視的範圍，要進行控管的步驟以及設計的流程，將在同一個概念之下，用截然不同的方式來進行。
傳統環境下，如何達成資訊安全的目標
在傳統的環境內，一個廣義的資訊安全範圍內，從實體安全、程式開發安全、資訊架構安全，以至到法律蒐證，一切都在公司環境內完成控管，人員進出的管制在自家的資訊中心完成。資料庫的備份、還原、加密，也都是由內部所掌控。而不論是n-tier的應用程式架構，抑或是傳統的其他軟體架構，整個系統所牽涉到的環境大抵都在公司的內部以及資料中心內，因此對於安全進出管制、脆弱性修補管理(patch management)、系統配置安全(configuration security)、日誌管理(log management)，以及電腦法律蒐證(computer forensic)等，除了客戶端有可能透過網際網路，抑或只是在公司內部，在考量以上安全的課題時，可以在環境範圍考量時相當的簡單。再往更細一層推進，舉例說考量防火牆，在公司內部網路各個週邊對外端點以及資料中心第三方確保相關的保護，就幾乎可以確定齊全；又例如對於系統開發的環境，開發階段(development)、品管階段(QA)、上線環境(production)，進行開發安全的考量時，這3階段的環境也都在內部的網路，對於要控管的部分，一目了然。
在雲端環境下，對於安全課題的考量
然而，在雲端運算的環境下，系統邏輯與資料的所在位置將打破內部網路，不再只侷限於公司所信任的網路（可能是第三方受信任公司）、資料中心(data center or CoLocation)的疆界。資料的儲存、處理、系統邏輯，將分散在整個網際網路這塊雲的各角落（或者更可能像是每家廠商將自成一塊一塊的「雲」，而分散在「天空」裡），無論哪種情況，今天要進行稽核，牽扯到的將不再只是幾個集中的部分；而必須考量整個資料流程、所經過的各個環節，然後加以設計、檢視、管理。因此，從一開始詳細的規劃，設計，完整的文件，清楚的交代系統邏輯流向(logic flow)以及資料流向(data flow)，才能將這些資訊安全的原則，套入到這個分散的雲端環境之下。
雲端運算所帶來新的資安課題
由上述可知，運算環境範圍改變是雲端運算所帶來第一個明顯的變化。但是除此之外，這樣的方式另也帶來了額外安全上的考量:
? 共享的環境：無論是程式邏輯的服務廠商，或者是儲存資料的服務廠商提供單純的服務端口，雲端運算其中的一個賣點是資源的善用，換言之，屬於你公司的資料與其他公司存放在同一個位置，這樣的做法，無疑的將是資訊安全的一大考量。服務提供廠商將資料加密控管是最有效的方式，然而很多時候你連自己的資料會存在哪裡都不見得知道，或者站在廠商的服務考量的角度根本不會將資料儲存的內容提供給顧客，那麼一個信得過的服務廠商，詳細了解其提供的資料服務，如何儲存以及保護顧客的資料，才能解決這個新的安全顧慮。除了資料，程式邏輯也是一樣的考量以及應對方式，在共用的環境內確保公司的程序安全。
? 增加的傳輸媒介：除了運算環境的擴大，資訊在雲端之間的傳遞，也是相對於傳統環境的一大不同點。往往資料必須透過共享的網際網路來傳輸，以及在各個不同的結點之間傳輸。如何確保傳輸時候的安全，以及傳輸點相互的認證，確保資料的機密性、完整性，以及可用性(Confidentiality,Integrity,Availability)，是確認增加傳輸媒介之下，資訊安全的重要課題，而確保資料在透過共享的網路傳輸時的隱密性，端點與端點之間的認證以及授權，則是我們所著眼的重點。
? 備份與資料回復：資料的儲存以及使用，都不在公司內部的資訊系統裡面，而是在雲端內完成，想當然，我們所能掌控的不多，如何辨別資料的重要性以及一般備份與還原的還原時間(RTO)以及還原點(RPO)是沒有甚麼區別的，但是如何在資料那麼分散，以及由不同服務廠商保存的情況下，確保重要資料的備份以及回復，則是我們面臨的挑戰。詳細分析重要資料以及企業需求，對應到如何要求廠商來達成我們的目標。
? 稽核以及蒐證：稽核以及電腦蒐證的流程，常常牽涉到很多的步驟以及層面，而在雲端運算下要完成這項原本就不容易的任務更是需要考慮到很多其他的層面，稽核以及蒐證的困難度在於如何獲得有用，被認可的資料，在稽核的流程或者法庭上可以獲得合法以及有效性；而在我們所討論的環境下，服務商能否提供相關有效的服務，讓稽核以及蒐證有效的執行，是我們必須去檢視的。除此之外，服務商本身的運作，是否也受到稽核的管制以及電腦蒐證的可行性，則是延伸出來的課題，應該被與以檢視並確保合理。
未來與反思
當很多人認為這是各不可逆的趨勢，持另一方面意見的人則認為這並不是新的概念，跟以往的一些引進的概念只是換湯不換藥，甚至更有人預言不過2年這個趨勢就會消失掉（註）。我們今天並不是在這裡做資訊產業的趨勢分析，因此我們不必代替資訊趨勢專家或者CIO對於它的未來做預測。站在資訊安全的角度下，我們要看的是如果資訊環境的架構改變，我們要如何以同樣的準則，應付不同的環境，達成同樣的要求。因此著重於將資訊系統環境的架構勾勒出來，資料流的流向以及資訊處理的過程，無論哪些傳統的環節被取代，用原本資訊安全的準則去規範，去要求更新的部分來達成應有的要求，應該是我們資訊安全的著眼點。
又如果我們換個角度想，這樣的趨勢最大的不同點便是我們必須信任服務的提供廠商、網路安全、資訊傳輸安全、資料儲存安全、備份還原等等。可是以現在的模式來看，備份資料送到遠端廠商去儲存，伺服器置於第三方的地方，使用虛擬的網路線路，甚至說信任作業系統以及硬體設備的安全，不都也是在信任這些第三方的軟體、硬體，以及服務廠商嗎？當然不是說我們就都要相信所有的雲端服務廠商，如果隨便拿一台沒有廠商標籤的防火牆，我想會用的人有限；公司樓下麵店的老闆決定把倉庫隔出來，讓貴公司儲存備份的磁帶，我想也不會有人有興趣。所以，在這樣的角度思考下，當這種資訊模式成形時，如何選擇適合整個系統使用的服務是系統規劃的重點，而如何確保服務提供商是可以信任，以及長久合作，則是資訊安全需要注意的方向。