An toàn thông tin trong điện toán đám mây
Có một điều không thể phủ nhận, đó là sử dụng điện toán đám mây mang lại rất nhiều lợi ích. Trước hết, dịch vụ điện toán đám mây giúp cắt giảm chi phí mua sắm thiết bị phần cứng (PaaS, Platform as a Service) và phần mềm (SaaS, Software as a Service) cũng như chi phí nâng cấp và thời gian để triển khai. Khi khởi đầu một công việc (lập doanh nghiệp, mở công ty...), thật khó để xác định ngay một cách chính xác các thiết bị phần cứng cần thiết. Do đó, người ta luôn mua sắm thiết bị với công suất dư thừa gây lãng phí tiền bạc hoặc có thể không đủ công suất để thực thi công việ. Như vậy, điện toán đám mây là lựa chọn hiệu quả: việc thêm, bớt tài nguyên được thực hiện một cách đơn giản, gần như công việc không bị đình trệ vì hỏng hóc thiết bị. Người ta chỉ cần trả tiền và sử dụng. Khi cần thêm tài nguyên trên máy chủ, người ta có thể dễ dàng đăng ký thêm.
Công nghệ ảo hóa đóng một vai trò quan trọng trong điện toán đám mây. Theo số liệu của v- index (http://v- index.com) thì, tỉ lệ ảo hóa hiện nay đã đạt tới 38,9%, tức là có đến 38,9% server sử dụng ảo hóa và trung bình số lượng server ảo trên một server vật lý là 5.

Vấn đề lo ngại duy nhất trong công nghệ điện toán đám mây là an toàn thông tin và nó nằm trong chính nguyên lý tổ chức dữ liệu của công nghệ điện toán đám mây. Trong mô hình tính toán thông thường (không sử dụng “đám mây”), người dùng tự lựa chọn và cấu hình các ứng dụng, tự giải quyết các vấn đề phát sinh, trong đó có vấn đề tổ chức bảo vệ và sao lưu dữ liệu. Còn trong điện toán đám mây, các việc trên đây đều được ủy thác cho nhà cung cấp dịch vụ và thật khó mà nắm bắt được họ thực hiện các việc đó như thế nào. Vậy, khách hàng phải hoàn toàn trông cậy vào nhà cung cấp dịch vụ. Trong thỏa thuận giữa nhà cung cấp dịch vụ và khách hàng, thường có điều khoản chỉ rõ: bảo vệ dữ liệu là việc của khách hàng. Nguy cơ mất hết dữ liệu trong bất kỳ lúc nào và rò rỉ thông tin nhạy cảm là rào cản đáng kể trong việc ứng dụng dịch vụ điện toán đám mây dạng phần mềm (SaaS) của nhiều người dùng. Cần nói thêm rằng, các chuyên gia trong lĩnh vực an toàn thông tin khi xây dựng các hệ thống bảo vệ luôn sử dụng khái niệm “nguy cơ”, tức là, nếu như dữ liệu cần bảo vệ là thứ mà chẳng ai cần thì rõ ràng là không nên xây dựng một hệ thống bảo vệ phức tạp, đắt tiền.
Khi sử dụng các dịch vụ được cung cấp bởi những hãng lớn như Google hay Amazon, thì  khách hàng sẽ không phải lo trường hợp người lạ xâm nhập vào trung tâm dữ liệu (Data Center) lấy trộm hết server, hay là ổ cứng bị mất cắp. Hệ thống máy tính của các doanh nghiệp nổi tiếng trên thị trường thường được bảo vệ tốt hơn so với hệ thống máy tính của các tổ chức có quy mô nhỏ. Những doanh nghiệp lớn luôn phải cố gắng bảo vệ uy tín của mình, do vậy họ sẽ thực thi tất cả những biện pháp cần thiết và xây dựng đội ngũ chuyên trách để đảm bảo an toàn.
Trong chế độ làm việc thông thường, nhiệm vụ đảm bảo an toàn cho mạng máy tính của doanh nghiệp do quản trị viên (admin) đảm nhiệm. Còn khi sử dụng dịch vụ điện toán đám mây, một phần nhiệm vụ này được chuyển sang nhà cung cấp dịch vụ. Lúc đó, nhất là trong trường hợp SaaS, khả năng của admin bị hạn chế phần nào. Rõ ràng là quản trị một tường lửa trên đám mây sẽ khó khăn hơn quản lý tường lửa cục bộ.
Trong trường hợp có tấn công DDoS lên nhà cung cấp dịch vụ hoặc lên một trong số các khách hàng thì tác động xấu của tấn công có thể sẽ ảnh hưởng đến tất cả khách hàng. Và tình hình cũng chẳng khả quan hơn nếu nhà cung cấp hay một trong các khách hàng bị xâm nhập.
Một vấn đề không kém phần quan trọng, đó là khả năng chuyển sang sử dụng dịch vụ của nhà cung cấp khác. Không có nhà cung cấp
dịch vụ nào có thể làm hài lòng tất cả khách hàng. Sau một thời gian sử dụng, khách hàng nhận thấy sự bất tiện (chi phí cao, chức năng hạn chế,...) và muốn thay đổi nhà cung cấp. Trong trường hợp sử dụng dịch vụ điện toán đám mây dạng nền tảng (PaaS), khó khăn là không đáng kể, bởi vì những công cụ như VMware vCloud Director có thể giúp ta dễ dàng di chuyển cả hệ thống. Còn với SaaS thì việc di chuyển dữ liệu sẽ khó khăn hơn nhiều. Lý do là mỗi phần mềm thường sử dụng cách biểu diễn dữ liệu riêng. Nếu phần mềm của nhà cung cấp dịch vụ mới không hỗ trợ định dạng dữ liệu mà doanh nghiệp đang sử dụng với nhà cung cấp hiện tại, thì việc thay đổi khó có thể thực hiện được.

Kiểm toán trong điện toán đám mây
Vấn đề tiếp theo cần quan tâm, đó là kiểm toán các thao tác được thực hiện bởi cả người dùng lẫn quản trị. Khi doanh nghiệp sử dụng nhiều dịch vụ thì có thể sẽ có sự nhầm lẫn trong việc phân quyền. Về nguyên tắc, admin có quyền “làm tất cả” nên sẽ có khả năng hủy hoại hệ thống, dù cho hệ thống chạy trên mạng cục bộ hay chạy trên đám mây. Chỉ cần một vài lệnh của admin là toàn bộ dữ liệu có thể bị xóa, các bản sao lưu cũng có thể bị tiêu hủy. Nhưng trong trường hợp điện toán đám mây, sự hủy hoại này đơn giản và gây hậu quả nghiêm trọng hơn nhiều. ComputerWorld đã dẫn ví dụ về trường hợp admin của một doanh nghiệp, do bức xúc với lãnh đạo, nên đã “phẩy tay” xóa sổ gần một trăm máy chủ làm việc trên VMware vSphere. Nếu sử dụng SaaS thì tình hình có khác đôi chút. Admin của nhà cung cấp dịch vụ có thể xóa cả chục máy tính (ảo) chứa dữ liệu của khách hàng, còn admin của doanh nghiệp thì chỉ có thể xóa dữ liệu của doanh nghiệp mình. Trong trường hợp thứ hai, mọi trách nhiệm vẫn có thể đổ lên đầu nhà cung cấp, nếu họ không chứng minh được là chính admin của doanh nghiệp đã xóa dữ liệu. Để giảm thiểu hậu quả trong các trường hợp tương tự, nhà cung cấp và khách hàng cần thực hiện sao lưu độc lập. Khi đó, nếu dữ liệu bị admin của doanh nghiệp xóa, có thể yêu cầu phục hồi từ bản sao của nhà cung cấp; còn nếu dữ liệu bị xóa bởi admin của nhà cung cấp thì có thể phục hồi lại từ bản sao lưu của doanh nghiệp.
Như vậy, có thể thấy rằng việc phân quyền truy cập và kiểm toán các sự kiện là rất quan trọng. Bên cạnh hành động phá hoại thì đánh cắp dữ liệu cũng là nguy cơ gây mất an toàn thông tin. Đến thời điểm này, sản phẩm duy nhất được chứng nhận đảm bảo an toàn cho các hệ thống ảo trên công nghệ VMware là vGate R2 (http://securitycode.ru/products/sn _vmware/vgate.com).
Sản phẩm vGate R2 hỗ trợ cấu hình an toàn tự động, hỗ trợ mô hình quản lý truy nhập bắt buộc (Mandatory Access Control), xác thực mạnh các admin,... và cung cấp khả năng kiểm toán, giám sát mở rộng. Trong vGate R2, người ta phân biệt admin hệ thống và admin an toàn thông tin. Quyền hạn và chức năng của hai admin này được phân định rõ ràng. Ngoài ra, một sản phẩm nữa là Novell Coud Security Service có thể cho phép dễ dàng quản lý tài khoản người dùng trong mạng (cục bộ hoặc trên đám mây) của doanh nghiệp bằng cách lưu lại mọi thay đổi vào một cơ sở dữ liệu trên đám mây. Sau khi được cài đặt, NCSS sẽ tích hợp vào hệ thống xác thực (ví dụ như Active Directory). Người dùng vẫn đăng nhập bình thường, nhưng NCSS sẽ cấp phiếu truy cập (ticket) phù hợp với yêu cầu của nhà cung cấp dịch vụ.
Dù rằng khi lựa chọn nhà cung cấp dịch vụ SaaS, khách hàng thường chủ yếu quan tâm đến vấn đề bảo mật, nhưng nhiều chuyên gia cho rằng hiệu năng và tính sẵn sàng phục vụ là những yếu tố không kém phần quan trọng. Cần lưu ý rằng, các yếu tố này phụ thuộc vào cả hai phía: nhà cung cấp dịch vụ và khách hàng. Bởi vì, việc sử dụng dịch vụ SaaS sẽ làm tăng lưu lượng đường truyền ra Internet và chất lượng dịch vụ một phần phụ thuộc vào sự ổn định của đường truyền. Do vậy, khách hàng cần đảm bảo đường truyền Internet có chất lượng tốt.

Mã hóa dữ liệu trong điện toán đám mây
Đa phần admin cho rằng, dữ liệu khi lưu trữ trên đám mây, hay truyền đi trên kênh đều cần được mã hóa. Việc mã hóa dữ liệu trên kênh truyền giờ đây gần như không còn là vấn đề phức tạp nữa, bởi các nhà cung cấp dịch vụ thường hỗ trợ giao thức HTTPS để truyền dữ liệu. Vấn đề còn lại là mã hóa dữ liệu khi lưu trữ trên đám mây. Để giải quyết điều này có thể sử dụng nhiều công nghệ khác nhau. Một trong số đó là LUKS (The Linux Unified Key Setup, http://code.google.com/p/cryptsetup). LUKS được triển khai trong dm-crypt, sử dụng trong Linux để mã hóa các ổ đĩa logic. LUKS cũng hỗ trợ sơ đồ lập khóa TKS1 (Template Key Setup 1). TKS1 cho phép thay đổi khóa mà không cần phải mã hóa lại đĩa, có thể sử dụng nhiều khóa, có thể chia sẻ bí mật bằng cách yêu cầu nhập hai khóa.
Trong Windows, công nghệ này được triển khai tại FreeOTFE (http://freeotfe.org). FreeOTFE tương thích với các ổ đĩa được mã hóa trong Linux (bởi cryptoloop hay dm- crypt) và hỗ trợ xác thực hai yếu tố bằng thẻ thông minh (smart card) và HSM (Hardware Security Module) theo chuẩn PKCS#11. Ngoài ra, các phiên bản Windows gần đây (kể từ Windows Vista) đều tích hợp công cụ mã hóa ổ đĩa BitLocker. Trước đó, EFS (Encrypted File System) cho phép mã hóa từng tập tin hay thư mục.
Thực ra, không nhất thiết phải mã hóa toàn bộ đĩa. Trong trường hợp dữ liệu được lưu trong các hệ quản trị cơ sở dữ liệu (DataBase Management System - DBMS) thì chỉ cần mã hóa các bảng chứa dữ liệu nhạy cảm. Đa phần các DBMS ngày nay đều cung cấp những cơ chế bảo vệ đáng tin cậy. Ví dụ, MySQL hỗ trợ đến 15 hàm mật mã và nén dữ liệu.
Tuy nhiên, mã hóa không thể giải quyết hết được vấn đề bảo mật, bởi nguyên nhân của rò rỉ thông tin bao gồm cả việc tồn tại các lỗ hổng như XSS hay SQL injection, cũng như là việc sử dụng mật khẩu khẩu quá ngắn hoặc dễ đoán.... Bên cạnh đó cũng phải nhấn mạnh rằng, đa phần các công nghệ quản lý khóa mã được sử dụng rộng rãi hiện nay đều tiềm ẩn những rủi ro. Chưa có câu trả lời hoàn hảo cho các câu hỏi như “lưu trữ khóa ở đâu”, “phải bảo vệ khóa ra sao”, “nhập khóa như thế nào”. Nếu số lượng máy ảo trong hệ thống là lớn thì bản thân hệ thống mật mã có thể là nguồn căn của vấn đề. Đó là vì cần có sự phân quyền xem ai được truy cập tới đối tượng nào và tương ứng với nó là việc phân phối khóa.

Kết luận

Công nghệ điện toán đám mây vừa “hợp thời”, lại vừa mang lại nhiều lợi ích, nên được dự đoán là sẽ có nhiều người sử dụng. Tuy nhiên, khi tổ chức, doanh nghiệp chuyển sang sử dụng công nghệ này thì sẽ phải đối mặt với nhiều hiểm họa an toàn thông tin đặc thù không có trong mạng truyền thống. Do vậy, cần phải tính toán kỹ lưỡng trước khi quyết định đưa công việc của mình lên... đám mây.