雲端分享應用 安全問題也放大

讀者可以觀察到，從今年開始台灣在雲端的議題的確是燒起來，不僅雲端議題受到相當的重視，也有越來越多的公司想跨足雲端搶得先機。




規模經濟才是雲端的價值與基礎

談到雲端，而且是談到公有雲，一定會聯想到搜尋引擎供應商Google。Google台灣雲端運算計劃主持人葉平提到，其實SaaS(Software as a Service)的概念是比雲端運算早很多年，但是從前的SaaS底層少了雲端運算的支撐，所以在效能上或規模經濟上都比較沒那麼好，而且通常也僅是提供給企業使用，對於一般人的影響不大。但Google是將一些服務免費提供給End user，的確就可能引起全球End user的湧入使用，所以背後如果沒有雲端的支撐，就會一定會造成使用者連不上或是讓Google當機，雲端背後其實代表的是一個非常厚實且大規模運算的基礎。雲端有許多的好處，但如果需要付出資料安全的代價的話，那是沒有人要做的，有許多人會舉銀行的例子－總比從前把錢擺在自己床底下來得好，葉平認為，只要具備規模經濟之後，自然而然，平台業者就可以建立比較完整的流程，請最好安全專家，採用最好的技術，只要具有規模經濟，安全就會伴隨而來。

面對產業界的激烈競爭，與其他廠商主推企業私有雲的角度比較不同，Google認為雲端對他們來說，是Google用戶實際的需求。葉平說，對大企業來說，早就都擁有機房、有自己的應用軟體、內部系統等，但或許是以Web形式來應用或不是。那什麼叫做移到私雲？就是把所有應用程式全部改成用Web base，至於是否要擴張設備或是降低IT的成本呢？不一定。但重要的是，雲端帶來的規模經濟化才會是節省成本的重要來源，假設一個企業夠大那當然沒問題，依然可以達到規模經濟帶來的效益，但綜觀來看，大部分的企業都沒有到達那個規模。所以對Google來說，私雲並不是一個想要碰觸的方向，「與我們所理解的雲端並不是那麼契合」，葉平如是說。

Salesforce.com台灣代理商天新資訊業務處協理何孝得也認為，但如果系統服務、網通設備端廠商想要走入公雲，勢必會跟自己既有的市場有所衝突，他們必須發展出其他新的服務，尋找當中的平衡。

公/私雲企業應用需求

而在國內雲端產業腳步算是走得較快的趨勢科技提出了他們的觀察，該公司台灣區總經理洪偉淦表示，從2009年下半年開始，台灣的大型企業，尤其是高科技製造業已開始關注到雲端，而且是從CEO階層直接詢問CIO，究竟可以利用雲端來做什麼？也有許多客戶請趨勢科技來分享是如何做雲端。

由於高科技製造業要做生產線的製程分析，資料處理量越來越大，因此現有的計算能力將來可
能會面臨到不足的問題，所以看到大家的需求在於希望運用雲端的分散式架構來取代現在的super computing，所以高科技製造業如今多半採用Thin client架構搭配虛擬化的作法。大型企業基於節能省成本的考量可能會從私雲開始做，而政府則可能會建置公雲給中小企業。

趨勢科技全球研發長暨亞太區執行副總裁張偉欽也認為，私雲終有一天仍然要慢慢走向公雲，屆時提供私雲硬體設備的IT大廠，也可能會受到衝擊，不過，新型態亦會形成另外的服務機制，發展成新興業務。在競爭逐漸白熱化的情形下，提供Data Center的電信業者也都在準備了，如中華電信、中國移動、NTT等，其中又以日本NTT有較多的準備。而儘管微軟執行長於日前來台與中華電信簽署合作備忘錄，宣示雙方在雲端方面的合作，不過其雲端計畫目前仍看不到一個明確的雛形，當然，針對雲端的安全議題大家都很重視，只是目前中華電信雖有關注卻尚無實際的概念與計畫，可說仍在摸索階段。

另外，微軟在公雲的經營上，也打算於2010年正式商轉Azure平台，投入雲端平台戰場。台灣微軟技術中心總經理馬大康表示，微軟本身自己是一朵很大的雲，未來將會在協助企業導入私雲時，提供跟微軟公雲一致的平台給企業，他舉例，像是醫院可能由於電子病例資料，受限於法規限制，無法進到公雲空間，因此需要建置自己的私雲，微軟就會與合作夥伴一起，採用與微軟一致的雲端建置方法協助企業。他說，目前微軟正在研擬推出的第四代模組化資料中心，是採用貨櫃機組的方法，把伺服器、儲存設備、電力系統、冷卻系統、不斷電系統等通通擺到一個貨櫃裡去，假設有雲端基礎設備的需求時，便可以將貨車開往某片空地，留下貨櫃機房，即可運行一個新的資料中心，隨需求增減，這便是微軟公雲的基礎建設。而微軟與中華電信進行CRM的SaaS服務合作，也預計於2010年正式營運。

而面對越來越多的SaaS服務競爭，何孝得認為Salesforce.com已經擁有將近7萬家企業導入經驗，都是競爭者無法輕易複製的優勢。此外，Salesforce.com除了有著名的CRM SaaS服務之外，還有PaaS服務模式的Force.com平台，何孝得說，Force.com單獨推出差不多已經兩年，在09年11月的Dreamforce大會上，不僅約有 18,000名參觀者，許多大廠包括CA、BEA等都開始與之整合，在上面作一些開發、測試的工具，眾多的參與者以及合作者，更也代表了系統已經成熟。

目前在台灣單獨使用Force.com平台的企業較少，多數都是較大型的企業先選擇採用Salesforce.com 的CRM加上Force.com平台的選購。以天新資訊自己使用的經驗來說，當初就是先導CRM系統，而後由於有專案管理系統的需求，便再導入Force.com，讓員工可以上去填工時、作專案管理。在公雲運用上，尤以CRM運用為早，其後便是ERP系統的進銷存模組，不過由於要在雲端上營運ERP系統，需要更加快速及大量的運算效能，也因此Force.com目前正積極拓展其巨量運算的效能。 



平台統一標準？解放你的資料！

公雲除了安全性問題之外，也有不少人擔心會被這些平台供應商給綁住。



由於好幾個雲端平台在設計的規則上並不盡相同，而目前也還沒有平台真正願意坐在一起談，葉平認為，要等到雲端產業比較成熟後才有可能性，時機點尚未到達。其實，他也不很確定這件事情一定會發生，他舉例這就像晶圓代工，如同台積電跟聯電的Design rule是不同的，但他們也從來沒有說要統一。目前儘管有人在談平台標準，但如今彼此的競爭、進步，可以讓大家有不同的選擇似乎也不錯。而標準往往是在共同的介面上競爭，現在顯然也還做不到，尤其他認為，軟體產業的差異性很大，即使今天大家有意願坐下來談標準化，但就技術上的考量，是否會願意犧牲掉自己平台的可靠度或效能方面的優勢？所以就他看來，要定標準似乎還蠻難的，例如Google Apps Engine是用Python跟Java語言，但Microsoft Azure則是用.Net，光從技術上來看就沒有交集了。他認為這件事情也許過一、兩年之後再來看也還不遲。

而儘管平台間標準難以達成，但Google也考量到使用者可能有的需求，Google內部有個運動叫做資料解放(Data liberation)，使用者將資料放到Google若不喜歡怎麼辦？甚至是放上的不只是資料，如果是可以讓企業賺錢的應用程式怎麼辦？Google願意提供資料的出口。葉平指出，由於Google Apps Engine開發環境的SDK也是open source，SDK底層有些例如儲存設備等特殊的需求，是可以把它抽換掉的，事實上也真的有些有興趣的熱心人士，就真的把底層換掉拿去Amazon平台使用，也真的成功了。

如果想要程式能夠在Google的平台上跑，就要按照Google平台的規則來走，但是任何人用Google Apps Engine寫的程式都可以在其他平台上跑，在Google後來換成開放原始碼的開發環境後，任何人下載回家，在自己家的電腦就可以run，甚至是在上面跑一個web server也沒問題，「你根本不需要Google！」葉平大膽的說。當然，可能在效能上你的電腦也只能提供3～5個人的服務。許佳齡說，Google並不希望使用者是因為走不開才留下，希望用戶是真的喜歡所以留在這裡。Google的基本原則是"Do no evil" 。

雲端無限大 安全疑慮也隨之變大

無論是在公、私雲的過渡時期，資料在公、私雲間的交換，或是未來要將私雲移轉到公雲去，如前述，從私雲到公雲是無可避免的移轉趨勢，而過去在私雲裡對於安全管理的「不小心」，到了公雲
的環境，安全問題就可能會被無限制的放大，更需要將管理自動化，避免人為無心過錯。

也許你需要分享給你的供應鏈裡的上下游廠商，但又不希望對方能夠進到私雲裡面去。如今，並沒有一個業界的交換標準，多半都是自己去開發。在針對企業私雲與Google公雲平台的介接，Google也提供了SDC(Security Data Connector) ，這是一個協助私雲可以安全、順利的透過加密過程將資料自動化遞送到Google Apps Engine的工具。葉平舉例，假設企業要把網路試算表分享給下游廠商，幫企業提供販售服務給客戶，但假設其中有一、兩個下游廠商表現不好，於是企業想要轉介客戶給其他下游廠商，只要事先設定好試算表，按一個鍵把這幾個選擇的客戶挑出來，並且設定只分享這試算表給某個供應商，並不需要再另外去發一個E-mail告訴他，他自然就是看得到，而所有的東西都是自動化，此後只要企業這邊客戶資料變動的時候，對方那裡的資訊也會更新。

葉平說，SDC就是一個管道，這個管道是很重要的，但程式原碼卻是通通公開的，假設企業使用Google平台卻怕被做了一個後門，也可以拿程式碼自己去編譯一份。從私雲到Google Apps Engine，就可以透過SDC的權限設定，決定誰可以去讀企業哪些資料。只是，關於SDC讀取企業資料的權限，通常就是做SDC轉接程式的人跟系統這邊要決定好、設定好。所以SDC在企業內部這端提供一個程式介面，可以讓企業內部自己來撰寫程式做介接，如此一來，Google也都不需要知道這千千萬萬種企業的內部系統，只要寫一個轉接程式將資料擷取出來，餵給內部的系統就好。葉平認為，對應對公雲的管道，不同的公雲就要各自提供管道給企業，而這些資料的交換都是完全的加密，相當難以被破壞，他說，安全最難的是人的問題，不是技術。

張偉欽表示，對於公雲的安全，加密是唯一辦法，而客戶更應該注意加密key的管理，特別是要與公雲平台供應商的key分開。馬大康也提到了微軟如何做好縱深防禦以及資訊安全性計畫，主要是針對各種風險，以多層次的概念保護服務與資料的安全性。（見圖）而過去，微軟在經營公雲時由於提供了各種服務，為了要把所有的知識、Best Practice和資料中心有系統的整理出來，也因此特別在組織當中新成立了一個機構”Global Foundation Services”，該機構管所有資訊中心的硬體建置、資安、審核新服務的人、作未來Data Center規劃的人，都涵蓋在這個機構。專門負責服務的傳遞、資料中心的營運，若出了問題便要負責把問題解決，還包括微軟未來的設計以及運營，要降低碳足跡、節省能源成本等。

此外， 對於公雲的安全性， 主要是由OSSC(Online Services Security and GFS Compliance) Team負責，所有的資安專家不再侷限於在產品、服務群組，而由這個團隊來負責微軟的雲端安全計劃，對於隱私權、可靠性和營運控制都是由這個團隊來管理，目的是要幫微軟的公雲在除了科技端以外，還涵蓋了流程端的審視， 通過層層的檢查，並且在實際商轉前，還會請其他資安公司，如Cybertrust以及專家，如請白帽駭客來協助檢測。再經過公共認證機制，例如通過ISO 27001、SAS 70等，讓客戶知道微軟作了什麼安全措施。對於安全性、隱私性和不中斷服務的控制，微軟也提供了線上服務的風險管理與控制，遵循各國國家的法規，確保使用者能夠安心使用。