伴隨云計算的發(fā)展，云計算早已超出了技術(shù)范疇，具備了重大的社會和政治意義。如今，云計算日益與地緣政治休戚相關(guān)，云計算供應商做出的選擇日益受到國家行為的影響，同時也對國家行為產(chǎn)生影響。在國際競爭與合作中，云服務成為國家間外交、經(jīng)濟和軍事爭端的重要戰(zhàn)場。美國大西洋理事會的這份報告，通過對有關(guān)“云”的四個誤區(qū)進行探討，旨在向美國和歐盟的政策制定者及行業(yè)從業(yè)者提供可行的建議，從而提高云的透明度和安全性。

云計算的發(fā)展概況

伴隨世界上幾個主要云服務供應商（谷歌、Facebook、亞馬遜等）影響力的不斷擴大，包括政府、個人和企業(yè)在內(nèi)的越來越多用戶將數(shù)據(jù)存儲在云服務器中，人們開始關(guān)注這些服務器的基礎(chǔ)設(shè)施在何處部署，以及供應商如何對其進行管理。

目前云計算大多采用多租戶技術(shù)，即一種軟件架構(gòu)技術(shù)，它是在探討與實現(xiàn)如何于多用戶的環(huán)境下共用相同的系統(tǒng)或程序組件，并且仍可確保各用戶間數(shù)據(jù)的隔離性。云計算服務商通過搭建該技術(shù)，使用戶相互隔離。就像生日派對上的蛋糕，每個參加派對的人都被蒙上眼睛，每個人都享受著自己的那份蛋糕，卻沒有意識到周圍的人也在享受著自己的那份。

業(yè)界通常將云服務分為三種基本類型：

基礎(chǔ)設(shè)施即服務（IaaS）：這些服務是原始的計算、存儲和網(wǎng)絡(luò)元素，用戶可以像租用和消費服務（而不是產(chǎn)品）一樣使用它們，但在很大程度上必須自行設(shè)置。例如，租用虛擬機來托管電子郵件服務器。

平臺即服務（PaaS）：把服務器平臺作為一種服務提供給用戶。用戶訪問這些服務時無需管理底層基礎(chǔ)設(shè)施。例如，一家飛機發(fā)動機制造公司將機器學習服務集成到其產(chǎn)品中，以預測產(chǎn)品何時會失效。

軟件即服務（SaaS）：這些在線服務不需要用戶進行深度管理。SaaS平臺供應商將應用軟件統(tǒng)一部署在自己的服務器上，客戶可以根據(jù)工作實際需求，通過互聯(lián)網(wǎng)向廠商定購所需的應用軟件服務。例如，在線共享文檔或醫(yī)院在CT掃描中用于識別腫瘤的圖像識別服務。

目前世界上大多數(shù)云計算公司都以一種模式服務。只有少量的公司在以上三種模式均有涉獵，這之中最大的公司被稱為超大規(guī)模供應商，如微軟、谷歌、亞馬遜和阿里巴巴。云計算是一個不斷擴展的技術(shù)集群，有些是舊的，有些是重新利用的，有些是全新的。云計算方面的許多創(chuàng)新在于如何管理這些集群，如何建立龐大的網(wǎng)絡(luò)使更多的用戶能夠訪問它們，而不是僅僅提供單一的新產(chǎn)品或功能。

糾正關(guān)于云計算的四個誤區(qū)

在對云計算的討論中，最大的挑戰(zhàn)是避免夸張?？鋸埖臄⑹路绞皆谥v故事時的確很有用，因為它簡化了復雜性，也為平凡的實踐增添了戲劇性，但是當這種敘述一再被重復，夸張的敘述就會淪為謊言。

關(guān)于云，最核心的誤區(qū)是：只有技術(shù)因素決定如何交付云服務以及如何構(gòu)建云的基礎(chǔ)設(shè)施。但實際上，政治對云如何在全球構(gòu)建、部署和使用產(chǎn)生了越來越大的影響。為了闡明云計算的地緣政治，我們需要對以下四個誤區(qū)進行糾正：

誤區(qū)一：同等對待所有數(shù)據(jù)

云計算通常被歸結(jié)為對大量數(shù)據(jù)的管理，所以拋開數(shù)據(jù)去討論云計算是錯誤的。有三種數(shù)據(jù)類型值得關(guān)注：

用戶數(shù)據(jù)（User Data），即用戶在云中存儲的內(nèi)容，如電子郵件、稅務文件、設(shè)計文檔等。

衍生數(shù)據(jù)（Derived Data），它使云供應商可以了解用戶如何訪問這些文件并與之交互，例如：來自柏林辦公室的用戶傾向于首先訪問哪些文件，以及這些文件應該存儲在哪里以減少延遲？

系統(tǒng)數(shù)據(jù)（System Data），即云供應商從用戶使用服務的方式中了解到的信息：是什么導致處理器利用率飆升，數(shù)據(jù)中心可用帶寬下降或惡意軟件的安全警報？

區(qū)分這些數(shù)據(jù)類型及其常見用途對于討論這些數(shù)據(jù)應該放置在何處至關(guān)重要。關(guān)于云計算最常見的爭論之一，尤其是當供應商首次進入一個市場時，就是供應商將在哪里存儲和處理數(shù)據(jù)。強制將數(shù)據(jù)托管在單一管轄區(qū)內(nèi)的工作統(tǒng)稱為數(shù)據(jù)本地化。每一個數(shù)據(jù)類型都服務于云供應商不同的業(yè)務目的，而這很少能被“本地化”所捕捉到。

一些政府希望通過本地化來提高用戶數(shù)據(jù)的安全性，但幾乎沒有證據(jù)支持這一假設(shè)，甚至有證據(jù)對這一行為提出質(zhì)疑，即迫使云提供商構(gòu)建各種標準的基礎(chǔ)設(shè)施設(shè)計和操作模型，可能會在安全實踐中引入未知的缺陷或缺口。公共云以計算和存儲資源的全球網(wǎng)絡(luò)為基礎(chǔ)，通過在全球網(wǎng)絡(luò)間傳遞病毒數(shù)據(jù)，追蹤異常時間，起到維護全球網(wǎng)絡(luò)穩(wěn)定，提高用戶安全性的作用。

對策建議

世界各地的監(jiān)管機構(gòu)必須解決如何管理云供應商使用的不同數(shù)據(jù)類型的問題。美國政府應促進機器學習，為機器學習模型制定政策框架，并將其落實為法律規(guī)章，幫助領(lǐng)導全球政策辯論；歐盟應該為數(shù)據(jù)治理搭建一個健全的框架，并根據(jù)《網(wǎng)絡(luò)安全法案》制定新的網(wǎng)絡(luò)和信息安全（NIS）的指令和規(guī)則，以方便受監(jiān)管行業(yè)和特定國家機構(gòu)對云的采用。

誤區(qū)二：云計算不是供應鏈風險

過去幾年，供應鏈政策一直以電信（尤其是5G）為重點。美國及其同盟國家為組織某些技術(shù)供應商進入市場，不斷強調(diào)允許不信任軟硬件進入“核心網(wǎng)絡(luò)”所帶來的風險。目前許多云供應商都在與傳統(tǒng)電信公司合作進入5G市場，亞馬遜與Verizon合作提供5G服務，微軟于2020年初收購了虛擬電信供應商Affirmed Networks。

云供應商購買和維護著龐大的計算基礎(chǔ)設(shè)施，并對世界各地的用戶負責。與電信公司一樣，他們也面臨著各種復雜的威脅。全世界的情報和國防機構(gòu)、金融部門以及幾乎所有的財富500強公司都在使用云計算。因此，云計算已經(jīng)是一個泛在的基礎(chǔ)設(shè)施，并成為供應鏈風險的重要來源。

云服務提供商在運營大型（有時是全球性）電信網(wǎng)絡(luò)時，必須應對許多不同類型的風險，管理巨頭企業(yè)的IT網(wǎng)絡(luò)，開發(fā)和維護大量軟件，并建立大型數(shù)據(jù)中心，其中包括計算、網(wǎng)絡(luò)和存儲設(shè)備，以及物理工廠，以保持這些數(shù)據(jù)中心的動力和冷卻。

超大規(guī)模提供商——亞馬遜、谷歌和微軟——試圖通過對購買產(chǎn)品進行廣泛的安全審核，為技術(shù)供應商設(shè)置和評估安全標準來管控云計算的風險。與技術(shù)供應商的安全設(shè)計和支持過程建立信任，對于云供應商至關(guān)重要。在某些情況下，建立這種信任的成本或復雜性太高，以至于云供應商希望通過搭建自己的設(shè)備，取代關(guān)鍵供應商。盡管如此，風險也只能管控，不能消除。

對策建議

伴隨越來越多的用戶將其數(shù)據(jù)遷入云中，風險管理更加不能掉以輕心。云計算在意味著更高效率、更低成本的同時，也對安全性也提出了更高要求。美國土安全部和歐盟網(wǎng)絡(luò)安全機構(gòu)應制定適用于行業(yè)的供應鏈風險管理標準；主要云用戶需向供應商詢問詳細的供應鏈風險管理計劃和可審核的性能指標；主要云服務供應商須認識到在運行基礎(chǔ)設(shè)施方面面臨的供應鏈風險的多樣性和持久性，并為其安全和風險管理工作提供適當?shù)馁Y源。

誤區(qū)三：只有極權(quán)國家才會扭曲公共云

云計算中最常見的就是公共云，即一個全球均可訪問的服務網(wǎng)絡(luò)，根據(jù)技術(shù)和金融效率的要求，以各種形式的數(shù)據(jù)和設(shè)備分布在世界各地。云計算的核心前提就是通過匯集資源達到更高的效率，相同的服務器或高性能計算集群幾乎可以在任意時間使用。但現(xiàn)在，部分民主國家要求數(shù)據(jù)本地化和獨立政府云的做法，嚴重扭曲了公共云，并可能會存在損害云用戶和云計算的風險。

目前，越來越多的國家和公司開始抵制云的全球可訪問性，他們認為，政府和敏感行業(yè)使用的基礎(chǔ)設(shè)施應該與公共云隔離，并置于特定的管轄區(qū)。這種擔憂源于一種反復出現(xiàn)的觀點，即公共云比為單個組織或一組用戶預留的基礎(chǔ)設(shè)施更危險，這種看法促使許多政府組織和行業(yè)要求擁有自己的獨立基礎(chǔ)設(shè)施。

歐盟倡議打造歐洲數(shù)據(jù)云計劃“GAIA-X”，增強歐洲的數(shù)據(jù)主權(quán)，這表明了其對來自美國供應商或按照美國標準建造的公共云的安全性和可信任性的懷疑，反映了對美國主導的公共云所倡導的價值觀的不認可。但是目前尚不清楚歐盟是否有足夠的云服務供應商建立“歐洲云”，因此最終結(jié)果可能只是建立一個與美國構(gòu)建的公共云略有不同的“云”，但“歐洲云”卻使歐洲與其他地方形成了隔離，也幾乎不會帶來所謂的網(wǎng)絡(luò)安全的優(yōu)勢。

民主政府對公共云的扭曲，以及推動不同程度的本地化和孤立的政府云，直接損害了公共云的經(jīng)濟可行性。當政府的行為滲透到私營部門時，這種傷害就會被放大。公共云的經(jīng)濟效益是其組織效用和長期技術(shù)潛力的基礎(chǔ)，將世界各地的數(shù)百萬客戶聯(lián)系在一起，為私營企業(yè)創(chuàng)造了一個以可持續(xù)成本進行技術(shù)邊際改進和創(chuàng)新的市場。在過去的十年中，亞馬遜、谷歌和微軟等公司之間的競爭加速了云計算服務的采用和功能，而現(xiàn)在民主國家的本地化和不適當?shù)墓铝⑿枨笸{到了公共云廣泛的經(jīng)濟效益。

對策建議

民主國家要求數(shù)據(jù)本地化和孤立政府云的措施扭曲了公共云，并長期損害了云技術(shù)以及用戶使用云服務的利益。對于沒有足夠的內(nèi)部云市場，無法影響大型云供應商的中小國家來說，風險更大。中小國家應在適當?shù)膮^(qū)域共同體中合作，與云計算供應商建立談判實體，集中市場力量發(fā)揮杠桿作用；云服務供應商應投資全球政策團隊，并與政策制定者分享特定的云數(shù)據(jù)。

誤區(qū)四：云供應商不會影響互聯(lián)網(wǎng)的形態(tài)

云計算的發(fā)展與互聯(lián)網(wǎng)的發(fā)展息息相關(guān)，但是普遍存在的一個誤區(qū)是云供應商不會塑造互聯(lián)網(wǎng)。隨著最大的云供應商基礎(chǔ)設(shè)施的發(fā)展，越來越多的流量在數(shù)據(jù)中心和全球網(wǎng)絡(luò)之間運行，云計算的廣泛使用已經(jīng)影響了互聯(lián)網(wǎng)本身的形態(tài)。

隨著云計算的發(fā)展，互聯(lián)網(wǎng)必須改變其形狀。在20世紀90年代的互聯(lián)網(wǎng)模式下，數(shù)據(jù)在用戶和Yahoo等公司運營的服務器之間來回流動。該路徑（用戶-服務器-用戶）在網(wǎng)絡(luò)圖上被抽象為垂直進出公司基礎(chǔ)架構(gòu)的流量，被稱為南北流量，而不是之后的流量在服務器之間的移動（東西流量）。

在2006年Amazon推出第一個云計算服務Amazon Web Services（AWS）之前，大量的流量是南北向的，即在用戶和服務之間移動。隨著AWS和十年間云計算的增長，越來越多的流量開始在服務器之間移動，以處理更復雜的請求。用戶現(xiàn)在可以同時訪問多個媒體文件，協(xié)同編輯文檔以及與成百上千的不同用戶一起訪問數(shù)據(jù)庫，越來越多的流量開始在服務器之間移動。

谷歌甚至已經(jīng)提出了在其云計算網(wǎng)絡(luò)中使用的自己的互聯(lián)網(wǎng)協(xié)議。第一個是Firepath，這是一種路由協(xié)議，用于管理Google互聯(lián)網(wǎng)規(guī)模的數(shù)據(jù)中心陣列中的數(shù)據(jù)流。第二個是QUIC，于2011年開發(fā)，是對傳輸協(xié)議TCP的替代。

對策建議

公民與社會組織應該與主要的云服務供應商合作，設(shè)計和實施更有效的透明措施，美國國會應就國家安全和網(wǎng)絡(luò)基礎(chǔ)設(shè)施所有權(quán)的經(jīng)濟影響，特別是超大規(guī)模云計算和主要互聯(lián)網(wǎng)服務公司在云計算領(lǐng)域發(fā)揮的作用等問題，編制研究報告，研究云供應商對互聯(lián)網(wǎng)的影響，為美國政策的制定與管理提供指導。

總結(jié)

技術(shù)可以改變社會和政治形態(tài)，云計算也不例外，它日益影響著國家的發(fā)展軌跡和治國方略的實施。政策制定者必須在應對云計算時，糾正對云計算的誤區(qū)，厘清云計算與地緣政治的關(guān)系，將云計算更好地應用于貿(mào)易、外交、技術(shù)等領(lǐng)域，從而為美國和歐盟的國際競爭發(fā)揮更大的作用。
責任編輯：tzh