上一期說明了資料中心的營運重點，包括如何更有效率地管理與因應雲端服務所衍生的彈性化需求，也提到了必須要求服務供應商在發生資安事故時進行通報，並依照事前所擬定的應變流程進行處理，同時也要保留相關的記錄作為事故檢討，本期將探討在雲端之上的應用程式安全。
雲端應用程式的部署建議
針對雲端應用程式的有效部署，並且降低可能的安全風險，以下是來自雲端運算關鍵領域指南中所提供的實務建議：
1.傳統的應用程式開發流程強調軟體開發生命週期（SDLC），即使到了雲端環境也仍然要繼續維持，在各項流程之中所設定的檢查點，需要納入資訊安全的要求，包括針對雲端安全威脅與弱點的評估、系統上線前的安全檢測等。
2.當應用程式之間的通訊必須跨越不同主機時，即使主機是位於同一個資料中心，或是以虛擬主機型式存在同一台實體主機上，也不要預先假設在彼此之間的通訊是安全的，安全通道的建立與加密機制的採用仍是必要的安全措施。
3.針對雲端應用程式的運作，需要了解其日誌（log）的產生與儲存方式，因為相關的系統訊息可能是敏感的，所以對於應用程式日誌和測試記錄，其儲存的地點與安全控管就顯得十分重要。
4.在考慮各項針對雲端的資安威脅時，除了來自外部的入侵行為之外，不要遺漏了內部管理可能的人員威脅，因此需要確保人員的「最小權限原則」與「職責區分」，避免權限過大或是集中在某一特定的人士手中。
5.評估合法用戶可能的非法入侵或濫用問題，建議可採取縱深防禦的方式，也就是在不同的階層實施安全管控，例如採取虛擬主機隔離、資料加密、金鑰管理等，並確認當系統發生錯誤時，預設應為禁止使用者和其應用程序來存取系統。
6.對於雲端應用程式的漏洞修補與安全檢測，應採用合適的工具與流程，事先評估漏洞修補的影響層面與必要性，將有助於萬一因修補而導致意外的資安事故時，可因應的處理方式與範圍。
7.用戶若是需要針對服務供應商所提供的應用程式、開發平台或基礎設施進行弱點評估或滲透測試時，務必事先取得供應商的同意或明訂於合約之中。由於雲端服務具有多租戶的特性，為避免無法分辨合法的測試或是實際攻擊行為，一般供應商都會限制評估測試的範圍，甚至也可能會拒絕此一要求，此時就應尋求其他的替代方案，例如由供應商定期自行測試，並且提供評估報告。
8.實施原始碼檢測（Code review），定義所採取的作法和所依循的標準，評估常見的問題（如Buffer Overflows、SQL Injection），並進行動態的原始碼分析，以便在發現弱點時可以進行修補。此外，應避免在雲端主機上揭露過多的應用程式運作資訊，並對第三方所提供的程式庫（Binary）進行弱點評估。
在雲端之上的應用程式，其牽涉的安全議題相當的廣泛，對企業而言，最簡單的方法還是回歸到在部署之前，即預先建立應用程式的安全確保計畫，以進行應用程式的風險評估，了解應用程式可能對企業產生的衝擊，以及是否可以有效採取對應的安全控制措施，作為判斷此應用程式是否適合部署至雲端之上的基礎。
其次，在應用程式運作的過程中，需要了解相關的組態變更管理與事件處理作法，並且要求定期實施測試、稽核或檢視其運作狀態。最後，請用戶務必與服務供應商維持良好的溝通管道，以因應法規要求來獲得各項必要的協助與支援，這樣將可讓雲端服務成為企業營運的利器，不致於對營運反而產生不必要的風險。