问：我对Google Wave略知一二，许多人认为它将引领下一代的在线协同应用程序的发展。在我们的组织机构还没能完全掌控这类协同工具（尤其是基于Web的协同）的情况下，我们应采取怎样的安全策略呢？

　　答：无论你是否喜欢在线协同应用或通信工具，它们都将继续存在，而且Google Wave将毫无疑问成为下一代的代表。去年五月发布的Google Wave目标是消除不同类型通信渠道的鸿沟。Wave将email、即时通信、wiki、论坛以及其他的社交网络工具集合起来，让参与者可以实时编辑和回复诸如文本、照片、视频和地图的内容。内容或“wave”能够实现回放功能，从而可以看到哪些人何时说过什么或做过什么。这些功能连同诸如自动翻译等的其它功能使得Google Wave成为极具杀伤力和潜力的应用程序。Google想用它替代email，成为Internet通信的主导者。

　　可喜的是，Google从开发之初就已注重隐私和安全防护方面的问题了，这和在后期“打补丁”的Facebook和 Twitter相比有很大的提升。Google声称Wave比email安全得多，并计划发布大部分的源代码。安全性能囊括了传输层安全TLS认证、对所有Wave流的加密以及将用户划入白名单的能力。然而，所有的通信并不是在用户间传输，而是都存储在Wave服务器上。这意味着你在让公司员工使用Google Wave（或任何云计算服务）之前，必须慎重考虑这么做是否能满足数据保护和法规遵从的要求。

　　当敏感数据散布到企业外部时，由于物理、逻辑和员工安全方面的问题会失控，我们需要考虑额外的安全风险问题。即使数据在服务提供商那里，你也不要忘了你才是最终负责你的数据安全性和完整性的责任人。你不能将法规遵从的责任也外包了。目前在法律上还没有涉及到云计算的明确规定，使得这一关键问题悬而未决。然而，你可以选取与那些达成司法协议承诺的服务提供商合作，该服务提供商能够承诺在遵从所有适用的隐私法的条件下存储和处理你的数据。

　　由于云数据存储在共享的环境下，你需要知道保护这些信息所要采取的方式。这包括需要知道在灾难发生后数据是如何恢复的，恢复过程需要多长时间。如今很多软件即服务(SaaS)和平台即服务（PaaS）的厂商声称自己的灾难恢复和安全处理过程优于其他企业。这在许多情况下也许是真的，尤其在安全信誉已成为成功的关键因素的时代，但绝对可靠的系统是不存在的。Windows Azure、微软的云计算平台在去年三月份遭遇“周末停电危机”，而Google的Gmail服务去年初在欧洲出现瘫痪。同样，Facebook和Twitter用户也成为钓鱼攻击的受害者。如此多的数据放在一起使得此类服务成为网络罪犯的香馍馍。

　　这类厂商也有可能会破产或被接管。毫无疑问，你需要知道你的数据在这种情况下是否仍然可访问，你可以怎样恢复数据并通过替补的解决途径来传输。e-discovery如何？如果你需要恢复所有的数据（它们有可能会成为法律诉讼中的相关证据），你能真正得到的帮助会有多少？

　　虽然云计算有许多优点，但正如你考虑到的问题，我认为它对企业应用来说还不够成熟。企业不应该在开发和熟悉这项技术之外冒险去应用它，而且更不应该在关键的、敏感的内核应用上使用它。即使是大型的PaaS厂商诸如Google和Microsoft也缺乏云服务的跟踪记录。就像其他的产品一样，大家须将其视为初级版的产品，需要特别注意其服务层协议。除非你能够遵从关于数据安全的所有法律义务并使你的法律团队信服，我建议你仅允许那些能为其行为负责的人员使用基于Web的协同工具（例如Google Wave），并确保机密信息不会因此而泄露。