您的位置: 网界网 > 行云之路 > 正文

NASA公有云遭抨击

2013年08月05日 14:52:51 | 作者:佚名 | 来源:ZDNet | 查看本文手机版

摘要:不过NASA对政府的“云计算优先”倡议非常满意,并通过多项云迁移项目在第一年就节约了100万美元,而且目前已经同意加快推出系统化云战略。

标签
云服务
公有云
NASA

NASA(美国国家航空航天局)近来积极将数据中心中的部分工作负载迁移至公有云[注],从而节约了大笔运营成本。不过糟糕的监管机制与供应商合约也将该机构暴露在本可避免的安全风险之下,本周一公布的一项研究针对这种情况进行了评述。

一项由NASA监察事务办公室(简称OIG)发起的审计发现,NASA早期实施的公有云计算[注]迁移工作存在诸多已知弊端,并指出其缺乏监督手段与必要的合约管理措施。

此次审计只涵盖了NASA整体计算基础设施中的一小部分,但相信云计算会在不久的将来发挥越来越重要的作用。如果NASA方面不尽快建立一套更加协调统一的云计算战略,安全威胁很可能铺天盖地涌来。

值得一提的是,NASA曾经与Rackspace公司一道创立了开源云项目OpenStack,并于2012年推出了Nebula私有云[注]。不过在五个月的调查研究后,他们发现Azure以及Amazon Web Services的执行效率更出色。

在高达15亿美元的年度预算中,NASA仅为云计算项目拿出了1000万美元。但审计报告称,NASA方面希望在未来五年内将75%的新型IT项目与云体系对接,甚至打算把几乎来自全部机构的公共数据交付云环境。报告同时补充称,将有高达四成的传统系统被迁移至云平台。

根据报告的说法,NASA的CIO[注]办公室根本不了解所在机构曾经收购过哪些云服务、也不清楚他们采用了哪些服务供应商。在大多数情况下,向公有云迁移的流程并没有经过中央办公室的协调或监管。

违规导致风险增加

审计师们评估了五份NASA合约,并发现“没有一份符合业界推荐的最佳数据安全实践”。这些文件根本没有清晰界定分包商该如何审核、报告并实现服务性能,也没有提及分包商是否需要解决政府隐私、数据发现与保留以及销毁等问题。

在四份合约中,NASA主要使用了云服务供应商提供的标准格式合同,这根本无法满足以上特殊需求。即使是在由NASA起草的惟一一份合约中,也没有强调政府机构IT安全需求的相关条目。

“因此,这五份合约所涉及的美国宇航局系统与数据很可能遭遇由违规引发的安全风险,”NASA OIG指出。

此外,NASA还利用某款第三方云服务支持机构内外共一百多套网站,而且在两年使用过程中一直没有与供应商签订书面授权或者安全应急预案。服务的每一次年度测试都无疾而终(+微信关注网络世界),一旦云服务遭遇泄露事故引发的“中度影响”,NASA方面将受到“严重威胁”。

根据审计报告,NASA的门户网站(WestPrime)合约由InfoZen提供,签订于2012年,且完全遵循联邦政府风险与授权管理计划(简称FedRAMP),可惜这套模板并没有在机构的其它领域广泛铺开。

不过NASA对政府的“云计算优先”倡议非常满意,并通过多项云迁移项目在第一年就节约了100万美元,而且目前已经同意加快推出系统化云战略。

NASA新近任命的CIO Larry Sweet对审计报告中的六项建议表示赞同,其中包括实施企业级云计算战略、广泛使用与WestPrime相当的严谨合约、确保将安全合规性与测试机制普及到所有云服务当中。Sweet指出,这些建议确实具备可操作性,但最终结果仍取决于“资金预算的划拨力度”。

参考资料

1.公有云:(Public Cloud)是第三方提供一般公众或大型产业集体使用的云端基础设施,拥有它的组织出售云端服务,系统服务提供者借由租借方式提供客户有能力部署及使用云端服务。它能...详情>>

2.云计算:(Cloud Computing)描述了一种基于互联网的新的IT服务增加、使用和交付模式,通常涉及通过互联网来提供动态易扩展而且经常是虚拟化的资源。云计算是继1980年代大型计算机到...详情>>

3.私有云:(Private cloud)是将云基础设施与软硬件资源建立在防火墙内,以供机构或企业内各部门共享数据中心内的资源。私有云完全为特定组织而运作的云端基础设施,管理者可能是组织...详情>>

4.CIO:(Chief Information Officer),首席信息官,亦可称之为信息主管、信息总监等,是企业中信息化建设“统筹”人,是企业中不可或缺的高级主管职位之一,主要负责企业内部信息...详情>>

[责任编辑:行云之路 yu_xiang@cnw.com.cn]