Iván Arce 和Anup Ghosh举办了一场圆桌讨论会，邀请的是那些奋战在云计算安全一线的专家们，他们为市场提供服务并从中寻找来自真实世界的安全威胁和需求，通过他们读者能够了解到云计算相关的知识。

　　Anup Ghosh：谢谢大家参加这次活动。我们邀请大家是因为各位所在的公司都在云计算领域有长期的投资。先从Eric开始吧，你能不能谈谈Google云计算项目的目标市场规模和范围？

　　Eric Grosse：这个问题很好，因为市场规模绝对是驱动因素之一。Gmail目前已有上亿用户。就算你只打印每篇新建Google Doc的首页，那每天也要为此砍掉120棵树，这么说只是给大家一个直观感受。在企业方面，使用这些服务的用户大概有3千万，所以这个任务要比我过去习惯的要大得多。现在这样的发展态势很令人激动。

　　为了为保障每个Google用户的利益，我认为目前我们面临的三大主要挑战。首先，就是认证。如果坏人得到你的密码，而那又是唯一保护你账户的密码，那他们就能为所欲为了。

　　其次，恶意软件。即便毕所有天才反病毒软件所付出的努力于一役，我们还是不能战胜恶意软件黑客。相反，我们将会面临更大的问题。因为，随着我们越来越多地通过插件和浏览器来实现互操作性，原本只针对单独某个操作系统的安全攻击，现在已发展成为跨平台的攻击，可见那是一个很大的安全领域，这将是一项重大挑战。

　　最后一点，Web应用在云计算领域的脆弱性。浏览器其实是个很复杂的安全环境，所以我不会去埋怨工程师花费很长时间和精力才修复它，有些工作总能使这种情况变得更好。

　　Ghosh：目前为止我还没有见过太多云相关的恶意软件带来的挑战，既然你刚刚提到了这个有趣的话题，那么我们现在就来谈一谈跨平台攻击，因为你云平台通常不限定特定平台。你是看到过一些先例，亦或这只是你预计会面临的问题？

　　Grosse： 不是这样，虽然云当然要依赖于服务器和数据中心，但是我从不担心恶意软件会出现在数据中心，谢天谢地幸好是这样[大笑]。我所担心的是如何保护在云生态体系的终端用户，那才是恶意软件真正可能出现问题的地方。

　　Ghosh： John，你能不能谈一谈微软专注的云计算领域？

　　John Howie：当然可以。我觉得很多Eric刚才提到的挑战，和微软所面临的几乎一样。除此之外我还想补充一点，那些云端用户，无论是企业客户还是内部使用者，都很不幸地对云可能抱有不切实际的额外的安全期望，所以当他们看到任何云的东西，不管是公有云还是私有云，大多数人都会先入为主地认为这是安全的、可信任的。在他们脑子里永远也不会闪过一个念头说，也许坐在他们旁边的一个同事，一边使用着云服务，却实际上在在向他们发送病毒文档或病毒内容。

　　Ghosh： Jim Reavis，你是来自云安全同盟的，你能否谈一下你认为什么是Google，微软， Amazon和思科在其云服务上可能面临的最高级别的安全挑战呢？

　　Jim Reavis：排名靠前的其中一个挑战就是服务提供者和服务消费者之间连接上的透明性。这是在任何技术处于初期的不稳定阶段时总会面临的真正挑战。

　　其次是数据，即保护数据，我们已经有了太多各式各样的相关规定，而且其中许多是法律上的。然后，第三点，我要说的是，在你实现一种新的计算系统时所伴随产生的威胁模型。你看看这些坏蛋们——他们自己就是云计算早期的使用者——随着使用的深入他们开始发展并研究如何攻击这些新系统。

　　Ghosh：下面我想把话题交给来自Amazon Web服务的Steve Schmidt，让他讲一讲他们的云计算运维的规模和范围，以及所面临的最大的安全挑战。

　　Steve Schmidt：除了那些你通常能从Google获得的基础设施即服务（IaaS）和平台即服务（PaaS）之外，Amazon Web服务还提供了更多别的服务。

　　拿Amazon Web服务的其中一个组件的范围来说吧，Amazon有三个这样的组件，这个组件是一个对象存储，它存储了1520亿个对象，每秒钟大约处理十万个事务处理。我们遇到的一个最大的挑战，实际上，是确保能够向客户准确地描述职责共享的安全模型。我听过我们的一个同事在这里谈论职责共享，而这正是云计算和数据中心的一个重要区别之一。这个问题对于云模型和大家在自己的数据中心中做的那些操作是非常不同的。

　　我们通过虚拟机监管（hypervisor）维护数据中心上上下下的具体安全事务。而对于客户来说，也有维护他们自己操作系统和应用层的安全的职责。而且，确保准确、完整地描述安全职责，并让客户知道他们该做什么，对于公司的成功和维护客户满意度而言是至关重要的。

　　Jim Ransome：我来谈谈WebEx吧，因为这是我在思科所供职的业务部门。在我所处的这一特定环境中我目前遇到的最大挑战是保证运营规范化，基本上运维需要遵循以下三个安全规范：ISO 27001和ISO 27002，它们是面向企业用户的，NIST 800-53（译者注：联邦信息系统推荐安全控制）和NIST 800-37面向的是政府/公共部门用户，以及面向金融业的PCI（译者注：支付卡行业），我们利用云事务模型来处理信用卡交易。