随着信息安全项目经理开始新一年的工作，他们通常会找出那些能够影响企业安全策略的关键主题。

　　然而，毫无疑问有一个主题比其他主题都突出：云计算。艰难的经济环境确实令云计算很有说服力。因为按需（on-demand）资源是动态可扩展的以及动态灵活的；按需资源已经是2009年的热点了，它总是吸引着大型或者小型的企业。不管2010年的经济状态如何，云计算肯定会继续改变着我们的IT方式。

　　对于那些想要保护企业的网络用户和数据的人来说，往云计算转变将会是一个很大的改变和挑战。规则遵从最有可能阻止企业把所有的数据和操作都转向云，所以除了保护现有的网络基础设施以外，这个转变实际上是另一个在安全领域上的挑战。转向云计算意味着需要把数据以及应用程序都放在外围防御保护和物理访问控制之外，越来越多的用户将不受HR的控制，比如供应商、客户端以及合作伙伴等，人们将通过基于网络的协作工具来访问你的数据。IT管理员对于保护那些能够访问公司网络的移动用户的安全已经很头疼了，但是这一点对于云计算而言是一种完全不同的规模。

　　对我来说，关键的安全挑战之一是：怎样才能有效的管理和执行处于企业防火墙以外的员工、顾客以及合作伙伴的访问控制。云计算让我们都成了远程工作人员，而根据定义，云的应用程序和数据也处于企业的外部。这就意味着你不能再依靠那些多重认证技术、防火墙以及其他的外围防护措施了。

　　从战略上讲，管理这些挑战需要采取若干行动。HR的安全政策必须重新复查并且加强，以确保这些这些政策可以执行强有力的用户周期管理。你还必须有一个详细的身份识别以及访问管理策略，这个策略要能够充分利用联合的身份识别管理，它是一个能让用户通过自己的安全域安全地访问数据或者系统。我建议在你自己的企业应用程序中能够使用单点登录（SSO），并利用这个结构来简化云提供商的集成和实施。

　　云计算将更多的依赖于互联网连接，因此，就算是比较小的操作也需要建立某种形式的冗余以确保数据和应用程序在任何时候都可用。尽管进行了大肆宣传，但是云服务还是相当的不成熟，很多人都经历过某种形式的中断或者其他的毛病。有些云很容易失败，它只是糟糕的经济环境中出现的一个新行业。多重服务提供商将向你通过更好的网络多样性以及业务连续性，所以任何基于云的工程都应该包含供应商中立的应用程序和数据结构。这包括以独立的云形式进行备份，以及一个独立的机器镜像（machine image）。你需要尽可能直截了当的进行这一转变，或者执行必要的应急计划，准备随时把所有的操作都拿回到内部云中进行处理。尽管云计算会减少一定的连续性问题，但是它永远不可能避免对行之有效的业务连续性计划的需要。

　　在不久的将来，基于云的服务和云计算技术将会受到更多、持续时间更长的攻击，因为它们是黑客和网络恐怖分子喜欢的目标。因此，建立一个数据加密策略并且实现某种技术对它进行支持是最好的主动防御措施。从本质上讲，加密了的数据是受到保护的，这也是为什么许多法律法规都要求这样做的原因。所有的数据和网络通信都应该加密，即便是其他的服务会对它们进行保护。加密还可以让你将角色（roles）和数据分开，因为加密密钥可以控制着对数据进行访问的权限。

　　在新的一年，我们一定会看到许多新的基于云的服务上线，很多服务会给企业带来实质性的经济利益。有些服务无疑将会改变过去长期建立的风险回报关系，所以当你评估转向基于云服务的投资回报率（ROI）时，你需要重新检查企业的风险业务策略和承受能力。云计算正在改变IT，所以在2010年，请认真考虑如何把安全嵌入到新的业务程序中去，以便基础设施、数据和用户都能得到保护。