云用户之忧

黄芳芳

自2011年进入云计算领域以来，绿盟科技副总裁周凯被问到最多的问题是：它安全可信吗？多年过去了，虽然云计算市场呈现爆发式的发展，人们心中的疑虑依然存在。

信任鸿沟依然存在

“对于云计算行业，信用格外重要。”多数受访人不约而同地向记者表述这一观点。

在IDC全球调查中，70%以上的用户对云计算的安全、性能、可靠性等持有不信任的态度。据调查，国内云租户同样对云服务商不够信任。中国电子信息产业发展研究院网络空间研究所所长刘权告诉《经济》记者，公有云是一个公共场所，其安全策略不受企业控制，存储在云平台的数据由云提供商负责它的安全防护。由于分布式存储，资源存储到何处企业并不清楚。最重要的是，一旦核心机密或数据被人偷窥或盗走，对企业也是致命的打击。

“如果云提供商偷看了用户的数据，并以此牟利，将是云计算行业最大的丑闻。”北京理工大学计算机学院副研究员曹朝告诉《经济》记者。

“相信大的云提供商不会碰触偷窥、盗取用户数据的红线。”金山云合伙人刘涛表示。

然而，靠云提供商自律远远不够。我国还需要相关的立法，约束云提供商。周凯认为，欧美国家在这方面的法律比我国健全，希望6月1日《网络安全法》生效后，会有更多相关法律出台，并且实际落地，做到有法可依，同时也可以促进云计算产业更健康发展。

国内企业偏爱私有云的事实凸显了用户对云计算的信任问题。据中国信息通信研究院发布的《中国私有云发展调查报告（2017年）》显示，58.3%的企业计划在未来加大私有云的投入，其中有20%的企业预计投入增长会在50%以上。

对于中小企业而言，私有云是一种奢侈品。公有云的计算资源池和带宽完全可以满足很多企业的需求。周凯认为，企业可以将非核心业务放在公有云上，尤其是有弹性扩展需求的业务，如Web网站、手机应用等。游戏公司、直播平台、自媒体等接受了良好的市场教育，很多中小企业完全将架构在公有云上。刘涛表示，像当当网这样的大型电商企业，有自己的IDC，在每年的多次大促时，也会使用金山云的公有云满足峰值的弹性需求。

如果企业不放心公有云，可将核心数据放在企业的IT环境里，但前提是获得足够保护的环境。核心或隐私数据也可进行额外加密再存储，秘钥保留在用户手中，云提供商也無法看到加密后的数据。

“用户对云计算的认知和信任还在进一步建设中。”刘涛认为，传统的工业企业可能会采用私有云或混合云的策略。政府的政务云多数会在政府的IDC中搭建一套私有云。信任像一道鸿沟隔在有顾虑的企业和公有云之间。“未来随着人们对公有云的信任提升，选择云的方式或态度也会发生转变。”

两大挑战：核心硬件与能耗

“今年在采购闪存时，明显感觉供不应求。”刘涛告诉《经济》记者。无论是互联网企业，还是云计算企业今年在购买服务器时，都会遇到因为闪存缺货带来的成本上升问题。闪存的核心供应商是三星和SK海力士。“归根结底，服务器、网络设备的核心器件掌握在国外厂商手中。”在云计算的核心软件能力上，国内如金山云、阿里云、腾讯云等云服务商均有很强的自主可控力，但支撑云计算的核心器件，如CPU、网卡、内存、闪存等，仍掌握在全球的供应商手中，尤其是韩国和美国。

此外，云计算底层的核心技术如核心处理器、芯片、操作系统等处于受制于人的状态。“这是中国IT行业的通病。”刘权建议，一方面，云平台的架构和大数据处理等技术尽快实现国产化。另一方面，云计算底层的核心技术应尽快突破技术瓶颈，摆脱完全依赖国外的窘境。“如果某一天，西方国家对我国企业进行经济制裁，一旦终止提供元器件或服务，新建和已经建好的云平台将成为重灾区。”

数据中心的高能耗问题日益凸显，是另一大挑战。

据Synergy Research Group的最新数据显示，截至2016年12月，超大规模提供商运营的大型数据中心的数量已突破300大关。

“IDC（机房）要建立在能源丰富、气候凉爽的地区。”随着云计算业务量不断爆发，刘权担心，未来能源能否支撑云计算的快速发展，对于国内外的IT行业都是一项巨大的挑战。

据《国家绿色数据中心试点工作方案》显示，2015年，我国数据中心总量已超过40万个，年耗电量超过全社会用电量的1.5%。

“国内行业平均PUE（电能使用效率）水平在1.7左右，国内领先的互联网企业自建IDC可以做到年平均PUE在1.3甚至更低。进一步追求IDC的PUE下降，就涉及IDC选址、供电技术、制冷技术的进一步优化，以及与IT设备联合设计等多方面的变革。”刘涛表示，很多租赁IDC的模式是购买一个机柜赠送相应的电量，企业更多地考虑如何充分地利用机柜的电量。对于自建机房的云服务商考虑到能效提升带来的成本下降，其会在制冷技术、供电效率等方面采取节能措施。“但企业不会盲目追求能效提升，而是在成本、能效、业务布局等多方面寻求一种平衡。”刘涛认为，只有更好的效益才能推动企业做更高能效比的产品。

曹朝表示，目前国内很多私有云没有达到规模效应，存在能耗问题，尤其是在政绩驱动下搭建的私有云。企业应该弄清楚自身的需求，是否一定要建立私有云。

宕机越来越像“黑天鹅”

据Mashable中文站5月9日报道称，Facebook宕机了。

几乎每个云平台都发生过宕机事件。刘权认为，云平台自身的设备、软件可能存在漏洞，最终导致系统不可用。此外，电力、带宽、周边环境、系统运维误操作等原因也会导致云平台宕机。

“宕机是云计算行业的大事件，即便是亚马逊AWS也不可避免。它影响的可能是半个地球的人。”曹朝指的是今年亚马逊AWS发生的宕机事件。当时亚马逊简单存储服务（S3）团队在调试一个问题的过程中，在输入命令时输错一个字母，结果删除了一大批本服务器。从上午9：37到下午1：54期间，亚马逊的AWS部分服务停用，造成在云上运行的企业瘫痪。“运维人员的误操作是触目惊心的。”有多年运维经验的曹朝感慨地告诉《经济》记者。云平台上的企业将原来自己运维的风险转嫁给云提供商，要求云提供商提高内控能力，极力避免运维人员的误操作而导致的宕机。

周凯表示，在某种程度上，云平台与用户签订的SLA（服务等级协议）的级别能体现云平台的运维水平。一般而言，SLA为99%意味着允许云平台一年中可以3.65天宕机（不可用）；SLA为99.99%则意味着允许云平台宕机时间为52分钟。但是对于可用性要求较高的企业，如金融行业，需要有更为完备的手段来防止由于宕机造成的业务损失。

“一般云平台宕机是局部性的。”刘涛表示，云提供商会提供高可用方案，如同城双活、异地双活、异地多活、异地灾备等方案，即便遇到区域性的故障，用户可采用相应的方案，尽量减少宕机带来的影响和损失。

安全问题凸显

“我收到了黑客0.2比特幣的勒索信息。”曹朝告诉《经济》记者，他在某云平台下载的开源数据库软件MongoDB安装时默认无需设置密码，黑客发现这一漏洞后，删除了很多MongoDB用户的数据，并以此勒索比特币。

UCloud安全总监宗泽在接受《经济》记者采访时表示，除了MongoDB，其他“裸奔”的数据库也遭到黑客勒索。“用户在使用云产品后，在云上部署自己的业务或产品，如果不熟悉安全设置或者黑客的攻击手段，也容易引来安全问题。”由于用户的安全意识不足，导致的黑客攻击问题日益凸显。刘涛表示，云提供商提供了扫描机制，在用户授权的情况下，可以规避这类勒索事件。“很多时候，由于客户没有及时更新软件，导致被渗透或数据被勒索软件加密的情况也很常见。”

一方面，用户需要提高安全防范意识，另一方面，云提供商还应提升自身的能力保证云平台基础设施的安全。宗泽指出，私有云和公有云面临的安全威胁基本一致，如DDoS攻击、安全漏洞、黑客扫描、入侵等，风险的大小取决于对互联网暴露的业务多少和复杂程度。此外，虚拟化安全也是云所面临的一类安全挑战。“每天UCloud都会帮助客户检测和防御大量的黑客攻击。”

目前国内云提供商在技术和安全防护能力等方面参差不齐。刘权表示，网络安全产业在云计算网络安全领域整体技术创新能力较弱，产业链不健全，服务模式也在探索过程当中。与Google、亚马逊、IBM等整体实力雄厚云计算服务提供商相比，在产品和安全策略成熟度、安全可控性、技术和标准等方面我国还存在较大差距。此外，我国云计算安全还处于发展初期，在云计算安全方面有资质、有经验的技术型、管理型及复合型人才仍有不足。

在网络安全行业十余年里，宗泽最大的感触是它的总量依然很小，在中国从事网络安全行业的人数较少。“从安全技术而言，中国并不逊色于美国或俄罗斯。”但是，市场对安全的重视和投入程度与国外仍有很大差距。“中国的网络安全市场仍处于发展和培育市场的过程。”刘涛表示，“一般安全投入是一个公司1%的人力。有些实力不足的中小企业在安全投入上也有不足。云安全是一个横向联合的产业，建立良好的云安全生态，需要与多家安全厂商合作，整合不同厂家云安全的服务或产品，组合成完整的云安全解决方案。”光靠资本并购自补短板还不够，周凯建议，各厂商应开放心态，共同为整个云计算产业提供一个安全的生态环境。