Gartner研究副总裁Jay Heiser：想达到高水准的云计算安全性，依然艰苦卓绝，需要漫长的攀登与努力。他表示，拥有敏感数据的商业机构与政府机构看起来似乎更倾向于暂时不采用基于云的服务，直到安全境况得到改善。
“与其他小型业务相比，金融行业对云计算采取更加保守的态度”，昨天在与Gartner客户的在线阐述中，Heiser如此说到。关于“为最小化云计算安全风险做准备”，Heiser认为，如果仅仅是因为拥有更多的灵活性和更少的依赖服务提供商能力，那么使用IaaS建立安全底线要比使用SaaS在某种程度上更简单。但总的来说，云服务提供商并不能像他们应当关心的诸如业务持续性、灾难恢复实践等事情那样对自己定位那么清晰，这导致他们难以赢得客户的信任。
“Gartner的客户几乎全都失望”于他们视作云计算合约的不完整性，他们没能看到期望的安全性的专业水准，Heiser说，“云合约是不完整的”，他强调这个观点。
发生在云和客户间的定义技术义务和法律义务的斗争，作为话题之一，已经被联邦政府在其FedRAMP项目中采用，该项目旨在为供政府使用的云服务提供商提供认证；斗争也同样被云安全联盟（CSA）组织采用，该组织旗下一些工作组耗费巨大努力来定义行业标准。
Heiser同时指出美国注册会计师学会（AICPA）已将其原有的SAS70认证更换为服务提供商称作是SOC1的认证，现在又出现了SOC2和SOC3，也表明了服务提供商系统的信任和安全。
但是尽管我们对这些标准化的努力表示鼓掌，云计算安全性效果显著，Heiser称FedRAMP，这个预计将于明年正式运营的项目，和CSA标准一道，仍然只是早期的计划，他们对云安全的影响力可能需要过几年才能显现。对于ISO/IEC27017云安全标准和27018云隐私标准，Heiser持同样的观点。所有这些云计算安全的努力都是值得的，但他们都需要在1-5年的发展时间，才可能成熟。
同时，企业和政府已经缩减了他们的安全需求，并开始评估潜在的云服务和这些服务的安全选项。Heiser称着眼点应该在于寻找用于服务的数据的敏感度，企业不得不自我提问，如果数据丢失会产生怎样的影响，安全是否是关键的竞争价值，数据是否符合常规担忧等，“最终归结为确定服务的合适性 ”。
现阶段最成熟有效的云计算安全控制方法与身份及访问管理机制、基于服务的加密措施有关，他承认，但云客户不得不咨询加密钥匙的管理和存储方法，并且需要询问是否风险可接受，他注释道。基于网关的加密，或者有时候被称作是代理网关或管理，也是另外一个选项，不过他补充说到“这种方式经常快速变化”。取证调查在当前并不那么有效，考虑到总体安全控制，想要看到一套云计算的“坚实技术”很可能需要耗费5-10年时间。
云计算的经济吸引力十分强烈，有时也的确出现经济利益大于潜在的风险。Gartner正建议其客户在总体上允许将低敏感度的数据视作是云服务；但如果数据属于“中等”敏感度范围的话，进行风险评估就十分迫切了。如果数据属于高敏感性，则不应该被视作是可行的或可允许的云服务。
这项程序也意味着确保企业管理者知道这些事情，意识到他们“拥有”数据，并了解与云计算相关的风险的最新情况。
虽然如此，云服务提供商极少提供免于黑客攻击的补偿。即便当客户基本进入到一种供应链云时，在了解他们确实如何运营这方面，SaaS比IaaS保留了更多的“神秘色彩”。既然一种风险是云服务提供商有可能破产倒闭，就需要确保提供商可以返回数据或者对数据备份有应急计划。当Mumboe SaaS两年前破产时，他们给客户两周时间重新拿回他们的数据，Heiser提到。这为我们敲响了警钟，云有时候的确会消失不见，为防止出现此类“倾盆大雨”，我们需要早作计划。
即使是在当前云计算中也家喻户晓的名字亚马逊、谷歌和微软，也发生过数据消失的例子，至少发生一次，或甚至再没能回来。Heiser说，“数据恢复不是那么简单的程序”，“把服务丢失和有效性丢失列入名单的前列吧”，实时的服务更新能导致广泛的数据损毁，Heiser最后指出。
针对应用、服务、服务器、存储网络和安全，IT管理人员已经习惯于他们控制着他们应该在企业内部做些什么。他们需要充分意识到，对灵活性的适应程度在本质上是不会出现在云计算中的。
本文作者Ellen Messmer是Network World的高级编辑，文章涵盖信息安全领域的动态与技术趋势。