經(jīng)過長時間的實驗，龍頭企業(yè)正在認(rèn)真考慮大規(guī)模采用公共云。在過去幾年中，很多公司已經(jīng)改變了IT戰(zhàn)略，將越來越多的應(yīng)用程序和數(shù)據(jù)轉(zhuǎn)移到公共云基礎(chǔ)設(shè)施和平臺上。然而，公共云的使用顛覆了很多公司多年來積累的傳統(tǒng)網(wǎng)絡(luò)安全模型。因此，隨著公司漸漸利用公共云，它們需要大力發(fā)展網(wǎng)絡(luò)安全方面的實踐，從而以這樣的方式使用公共云——既能保護關(guān)鍵數(shù)據(jù)又能充分利用這些服務(wù)所帶來的速度和敏捷性。

 

雖然迄今為止公共云的采用仍然受到限制，但未來的前景卻大不同。在我們研究的公司中，只有40%的公司在公共云平臺上的工作負載超過10%;相比之下，80%的公司計劃在三年內(nèi)在公共云平臺上的工作負載將達到10%，或計劃將云滲透率提高一倍。我們將這些公司稱為“立志使用云端的公司”。這些公司得出的結(jié)論是，公共云為很多工作負載和實施方案帶來了更多的技術(shù)靈活性和更簡單的擴展。在某些情況下，使用公共云還可以降低IT運營成本。因此，公司正在云中構(gòu)建新的應(yīng)用程序和分析功能，并逐漸將現(xiàn)有的工作負載和技術(shù)棧遷移到公共云平臺上。

 

盡管公共云平臺有諸多好處，但人們對公共云的網(wǎng)絡(luò)安全性一直心存擔(dān)憂，這阻礙了公司向云端遷移的步伐。在我們對2016年的云采用的研究中，高管們將安全性視為云遷移的主要障礙之一，其它障礙包括對變革進行管理的復(fù)雜性，為云的采用制定引人注目的業(yè)務(wù)案例的難度。

 

有趣的是，我們對首席信息安全官(CISO)進行的研究表明，他們的目光變得更長遠了，不再局限于“云安全嗎?”這樣的問題。在很多情況下，他們承認(rèn)，云服務(wù)提供商(CSP)的安全資源遠勝一籌，他們?nèi)缃竦囊蓡柺侨绾伟踩厥褂迷品?wù)，因為他們很多現(xiàn)有的安全實踐和架構(gòu)在云端不見得會更高效。如果某些本地控件(例如安全日志記錄)沒有重新配置，這些控件就不太可能適用于公共云平臺。采用公共云還有可能放大某些類型的風(fēng)險。云服務(wù)為開發(fā)人員提供的速度和靈活性也可以(在沒有適當(dāng)?shù)呐渲弥卫淼那闆r下)用來創(chuàng)建不受保護的環(huán)境，很多公司都發(fā)現(xiàn)了這樣的事實，這讓它們十分尷尬。

 

簡而言之，公司需要采取主動、系統(tǒng)的方法，使網(wǎng)絡(luò)安全功能可以適應(yīng)公共云。多年來我們一直在云計算網(wǎng)絡(luò)安全計劃上與大型組織展開合作，并與網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者進行交流，我們相信，以下四種做法有助于公司制定一致、高效的公共云網(wǎng)絡(luò)安全性方面的方法：

 

• 開發(fā)以云為中心的網(wǎng)絡(luò)安全模型：如何在云中管理邊界;在多大程度上為應(yīng)用程序重新設(shè)計架構(gòu)，使風(fēng)險承受能力和現(xiàn)有的應(yīng)用程序架構(gòu)、可用資源和整體云戰(zhàn)略保持一致，公司必須為此做出選擇。

 

• 為公共云重新設(shè)計一整套網(wǎng)絡(luò)安全控件：對每個單獨的控件而言，公司都要確定應(yīng)該由誰來提供控件，要達到怎樣的嚴(yán)格程度。

 

• 與提供商的做法相比較，明確網(wǎng)絡(luò)安全的內(nèi)部責(zé)任：公共云需要一個共享的安全模型，提供商及其客戶各自負責(zé)特定的功能。公司必須了解這種責(zé)任分配的做法(這與傳統(tǒng)的外包安排有很大的不同)并相應(yīng)地對內(nèi)部流程進行重新設(shè)計。

 

• 將開發(fā)運維應(yīng)用于網(wǎng)絡(luò)安全：如果開發(fā)人員可以在短短幾秒內(nèi)啟動服務(wù)器，但必須等待兩周的時間才能讓安全團隊認(rèn)同配置，這會削弱公共的云靈活性所帶來的價值。公司必須通過API為開發(fā)人員提供高度自動化的安全服務(wù)，就像他們?yōu)榛A(chǔ)架構(gòu)服務(wù)所做的那樣。

 

 

對一家初涉公共云的公司來說，使用內(nèi)部部署的系統(tǒng)已有的控件來構(gòu)建公共云網(wǎng)絡(luò)安全模型，這種做法是很誘人。但這可能會引發(fā)問題，因為內(nèi)部部署的控件在沒有進行重新配置的情況下不太可能適用于公共云平臺。即使在重新配置之后，這些控件也無法在所有工作負載和云平臺上提供可見性和保護。由于認(rèn)識到這些局限性，這些立志使用云端的公司正在對一系列安全策略和架構(gòu)進行試驗，有一些原型已經(jīng)問世了。

 

最有效的方法是根據(jù)兩個因素對公司的網(wǎng)絡(luò)安全模型進行重新評估：如何定義網(wǎng)絡(luò)邊界以及是否需要針對公共云來更改應(yīng)用程序架構(gòu)。邊界的定義決定了云網(wǎng)絡(luò)安全模型的拓撲和邊界。與應(yīng)用程序架構(gòu)有關(guān)的選擇可以對應(yīng)用程序中的安全控件的結(jié)合起指導(dǎo)作用。這兩個關(guān)鍵選擇也會相互影響。例如，公司可以做出這樣的選擇——通過添加安全功能來使應(yīng)用程序具有更高的安全性，這些功能可以在處理數(shù)據(jù)時最大限度地減少敏感數(shù)據(jù)的泄露，并且不會對應(yīng)用于已知環(huán)境的安全控件做出任何臆斷。

 

 

在這些立志使用云端的公司中，以下三種周邊設(shè)計模型脫穎而出：

 

• 回傳：通過內(nèi)部部署的網(wǎng)絡(luò)對流量進行回傳或路由，半數(shù)立志使用云端的公司就是這么管理周邊安全性的。該模型吸引了需要在內(nèi)部使用大部分云工作負載的公司，并希望就工作負載的遷移做出特定的選擇，使其符合它們所擁有的架構(gòu)。在云安全方面經(jīng)驗不足的公司也可以從回傳中受益，因為這使它們可以繼續(xù)使用已然熟悉的本地安全工具。但回傳也許不會長盛不衰：立志使用云端的公司中只有11%的公司表示，它們可能會在三年后使用這種模式。

 

• 默認(rèn)采用云服務(wù)提供商提供的控件。我們研究的立志使用云端的公司中有36%的公司做出了這樣的選擇。使用云服務(wù)提供商的安全控件的成本可能比使用其它任何一個周邊模型的成本都要低，但這卻使保護多云環(huán)境變得更加復(fù)雜。對規(guī)模更大、更復(fù)雜的組織來說，使用云服務(wù)提供商提供的控件似乎是一種臨時措施：立志使用云端的公司中有27%的公司表示，它們將在三年內(nèi)使用此模型(比如今的比率下降了36%)。

 

• 清理：清理涉及到對“虛擬邊界”的設(shè)計并從各種外部提供商提供的解決方案開發(fā)云特有的控件。立志使用云端的公司中大約有15%的公司使用這種方法，這種方法使公司能夠應(yīng)用它們能找到的最佳外圍安全解決方案，并根據(jù)需要進行切換。由于不斷變化的解決方案會產(chǎn)生技術(shù)需求，因此公司通常會在擁有足夠的內(nèi)部網(wǎng)絡(luò)安全專業(yè)方面的知識來選擇供應(yīng)商并整合其解決方案時進行清理。盡管這些工作可以減緩工作負載遷移到云中的速度，但是清理工作似乎正在增加，立志使用云端的公司中大約有47%的公司表示，它們將在三年內(nèi)使用云特有的控件。盡管清理的成本和復(fù)雜性很高，但組織還是選擇了這種方法，以便它們可以支持多云環(huán)境，并在需求發(fā)展時能更輕松地替換點解決方案(point solution)。

 

我們研究了眾多立志使用云端的公司，發(fā)現(xiàn)回傳是最受這些公司青睞的周邊安全模型。然而，企業(yè)正在轉(zhuǎn)向虛擬周邊模型，這些模型通過清理來開發(fā)周邊模型。清理是目前管理周邊安全性最不受歡迎的做法，但越來越多的高管表示，他們將在未來三年內(nèi)使用清理，而不是其它模型。

 

 

另一個選擇是定義公司的云網(wǎng)絡(luò)安全方面的立場：通過重寫代碼或改變應(yīng)用程序的架構(gòu)(或兩者都做)來重新構(gòu)建公共云中的應(yīng)用程序。我們采訪的高管中只有27%的人表示他們的公司會這樣做。這樣做的好處是可以兼容所有的云服務(wù)提供商(例如容器架構(gòu))、有更強的安全性(使用散列檢測篡改檢測，內(nèi)存釋放以及調(diào)用之間的數(shù)據(jù)流加密)，優(yōu)越的性能(例如，通過允許水平擴展)公共云，更低的運營成本(因為應(yīng)用級別的安全保護減少了公司選擇最佳安全解決方案的需求)。但是，重新設(shè)計云應(yīng)用程序的架構(gòu)可能會降低公司的遷移率。因此，在我們的調(diào)查中，絕大多數(shù)企業(yè)(78%)都在遷移應(yīng)用程序而不是對公共云的架構(gòu)進行重新設(shè)計。

 

周邊安全設(shè)計的選擇(以及是否使應(yīng)用程序適配公共云的選擇)為云網(wǎng)絡(luò)安全創(chuàng)建了六個原型。我們的經(jīng)驗表明，只要有五個主要標(biāo)準(zhǔn)，企業(yè)就能知道其對整體云網(wǎng)絡(luò)安全模型所做的決策：公共云安全性方面的有效性、希望達到的云遷移率、支付額外安全成本的意愿、實施新安全計劃的所要具備的專業(yè)知識、以及企業(yè)希望從安全架構(gòu)中獲得的靈活性。

 

為公共云應(yīng)用程序重新設(shè)計架構(gòu)可提高安全性，但這可能會降低遷移速度。回傳則可以將公司已經(jīng)熟悉的現(xiàn)有控件擴展到公共云。使用默認(rèn)的云服務(wù)提供商的控件是最簡單且最具成本效益的方法。清理控件需要大量安全性方面的專業(yè)知識，但它能為多個云提供靈活性和支持。組織可以使用這些標(biāo)準(zhǔn)來選擇最佳方法。也就是說，公司不需要將相同的原型應(yīng)用到整個公共云配置文件。對具有不同要求的應(yīng)用程序來說，使用不同的原型是可能的，甚至是有利的：為了核心事務(wù)系統(tǒng)來能夠?qū)崿F(xiàn)更快的遷移和熟悉的控制，同時使用云服務(wù)提供商提供的安全控件來降低成本，加快部署面向新客戶的應(yīng)用程序。

 

 

一旦企業(yè)確認(rèn)了安全原型(或一系列原型，每個原型與具有類似安全要求的一系列工作負載相匹配)，它們就可以設(shè)計和實施網(wǎng)絡(luò)安全控件。公司正在嘗試各種控件設(shè)計，鑒于進展速度，網(wǎng)絡(luò)安全管理人員預(yù)計，在未來三年，這些控件會發(fā)生相當(dāng)大的變化，這是可以理解的。網(wǎng)絡(luò)安全控件可以分為八個領(lǐng)域，組織必須將這些領(lǐng)域結(jié)合起來考慮。以下是八個控件領(lǐng)域，以及來自我們的研究的觀察結(jié)果。

 

• 身份和訪問管理：基于云的應(yīng)用程序和數(shù)據(jù)的身份和訪問管理解決方案正逐漸轉(zhuǎn)移到云端。60%的受訪者表示，他們現(xiàn)在使用本地的身份和訪問管理解決方案，但只有一半的人希望在三年內(nèi)使用本地的身份和訪問管理解決方案。那時有60%的受訪者預(yù)計，他們的企業(yè)將依賴第三方身份和訪問管理服務(wù)，這些服務(wù)支持多個公共云環(huán)境，并將內(nèi)部和公共云資源的身份和訪問管理控件統(tǒng)一起來。

 

• 數(shù)據(jù)：在活動和靜止的情況下對云數(shù)據(jù)加密的做法很快就會成為標(biāo)準(zhǔn)。立志使用云端的公司中有84%的公司有望在三年內(nèi)對存儲在云中的數(shù)據(jù)進行加密。最終，首席信息安全官(CISO)也希望有更多實用的機制來加密內(nèi)存中的數(shù)據(jù)。然而，受訪者有不同的方法來管理云工作負載的加密密鑰：33%的人更傾向于讓云服務(wù)提供商來管理密鑰，28%的人更傾向于將其保留在內(nèi)部，11%的人更傾向于讓第三方管理密鑰。

 

• 外圍：企業(yè)正朝著“虛擬外圍”模式發(fā)展。目前，大約40%的企業(yè)通過本地部署的數(shù)據(jù)中心對流量進行路由，使用某種形式的虛擬專用網(wǎng)絡(luò)(VPN)或使用本地部署的工作負載和公共云負載之間的連結(jié)性，以此來作為訪問公共云平臺上的應(yīng)用程序或數(shù)據(jù)的唯一方式。但49%的受訪者表示，他們希望公司在未來三年內(nèi)使用第三方的外圍控件。向這些周邊控件模型的過渡往往涉及到這樣的做法——憑借一系列服務(wù)來開發(fā)清理設(shè)計，例如安全性Web網(wǎng)關(guān)、Web應(yīng)用程序防火墻以第三方提供的網(wǎng)絡(luò)監(jiān)視機制，這些機制支持多重云。

 

• 應(yīng)用程序：大多數(shù)受訪者(84%)為基于云的應(yīng)用程序定義了安全配置標(biāo)準(zhǔn)，并依賴云服務(wù)提供商來實現(xiàn)這些標(biāo)準(zhǔn)。但85%的受訪者表示，由于工作負載遷移到云端，他們的公司可能會促進更多的開發(fā)治理。這種治理很可能是軟治理，只有20%的企業(yè)使用應(yīng)用程序的安全性工具或模板。

 

• 運營監(jiān)控。56%的企業(yè)依靠當(dāng)前的安全信息和事件管理(SIEM)工具來監(jiān)控云應(yīng)用。這使它們可以統(tǒng)覽內(nèi)部部署的工作負載和云工作負載。另有30%的企業(yè)使用云服務(wù)提供商提供的其它本地監(jiān)控工具或從云服務(wù)提供商那里獲取日志，以使用專門的數(shù)據(jù)分析解決方案生成洞察。由于云服務(wù)提供商可以提供豐富的監(jiān)控數(shù)據(jù)，因此組織必須與它們協(xié)作，選擇能夠提供統(tǒng)覽內(nèi)部部署的工作負載和公共云工作負載的解決方案。

 

• 服務(wù)器端端點：受訪者對云服務(wù)提供商提供的服務(wù)器端的安全性充滿信心：51%的受訪者表示，他們對服務(wù)器端的端點的云服務(wù)提供商提供的安全性高度適應(yīng)。很多公司(特別是那些安全程序不太復(fù)雜的公司)認(rèn)為，云服務(wù)提供商能夠洞悉并控制它們的服務(wù)器群，這比公司內(nèi)部做效果更好。

 

• 用戶端點：將工作負載遷移到云往往需要更改用戶設(shè)備的控件，這主要是為了防止數(shù)據(jù)丟失以及防御病毒和惡意軟件。70%的受訪者表示，如果使用公共云基礎(chǔ)架構(gòu)，他們的企業(yè)就必須更換用戶的端點控件。

 

• 監(jiān)管治理：大多數(shù)網(wǎng)絡(luò)安全計劃受數(shù)據(jù)保護法規(guī)(如歐盟通用數(shù)據(jù)保護法規(guī))，數(shù)據(jù)的位置、主權(quán)以及個人身份信息的管轄。金融機構(gòu)和醫(yī)療組織也受制于行業(yè)特定的法規(guī)。與我們交談的高管中有50%的人表示，他們希望云服務(wù)提供商共同負責(zé)法規(guī)的合規(guī)。

 

在選擇控件時，組織應(yīng)結(jié)合這八大領(lǐng)域并構(gòu)建全面的網(wǎng)絡(luò)安全架構(gòu)，而不是采用零散的方法。公司可以根據(jù)威脅情景和所需的安全級別設(shè)計控件，然后應(yīng)用合適的安全性模型原型(例如回傳或清理)來確定最佳的安全控件及其范圍。公司還可以與云服務(wù)提供商合作，以確定要使用哪些控件以及從第三方采購哪些控件。最后，公司必須對可以標(biāo)準(zhǔn)化和自動化的控件進行篩選并確定其優(yōu)先級，并在敏捷迭代中實現(xiàn)這些控件。

 

 

當(dāng)企業(yè)將應(yīng)用程序和數(shù)據(jù)遷移到公共云時，它們必須依靠云服務(wù)提供商和第三方提供商進行某些安全控制——但它們不應(yīng)該指望這些提供商提供所有必要的控件。除非公司和云服務(wù)提供商明確劃分了公共云環(huán)境中網(wǎng)絡(luò)安全性方面的所有責(zé)任，否則有些責(zé)任可能會落空。這使公司不得不做出這樣的舉動——讓云服務(wù)提供商提供統(tǒng)覽安全運營模型以及隨著這些模型發(fā)生變化的及時更新，從而開發(fā)并清楚地理解云服務(wù)提供商所提供的控件。(云服務(wù)提供商以不同的方式組織網(wǎng)絡(luò)安全責(zé)任模型，并采取各種方法來共享這些模型，因此每種情況都要小心處理。)這樣，公司就可以設(shè)計和配置在多重云環(huán)境中運行良好并能與各種工具、處理模型和運營模型很好地集成的控件。

 

根據(jù)我們的經(jīng)驗和研究，我們發(fā)現(xiàn)企業(yè)可以從整個網(wǎng)絡(luò)安全生命周期(從設(shè)計到實施和持續(xù)運營)中與云服務(wù)提供商合作中獲益。然而，四個主要領(lǐng)域成為公司與其云服務(wù)提供商之間合作的首要任務(wù)。

 

• 控件和程序的透明度：公司應(yīng)該讓云服務(wù)提供商對安全控件、程序和所有的泄密事件提供最大限度的可見性。公司還需要了解每個云服務(wù)提供商進行安全審計和滲透測試的能力。

 

• 法規(guī)合規(guī)性方面的支持：公司應(yīng)要求云服務(wù)提供商提供這樣的詳細說明——與監(jiān)管合規(guī)性有關(guān)的保證，并詢問他們?nèi)绾渭皶r了解每個行業(yè)的監(jiān)管變化，并相應(yīng)地更新合規(guī)機制。

 

• 集成的運營監(jiān)測和響應(yīng)：在以支持集中安全管理的方式集成安全信息和事件管理(SIEM)工具時，公司可能必須與云服務(wù)提供商合作。公司必須要求云服務(wù)提供商持續(xù)為其提供全面的報告，洞察和威脅警報。公司可以將洞察傳授給云服務(wù)提供商，幫助它們?yōu)樗凶鈶糸_發(fā)新功能。公司還必須確保云服務(wù)提供商以公司可以使用內(nèi)部部署分析工具處理的格式使日志隨時可用。

 

• 多云的云身份和訪問管理(IAM)功能。公司應(yīng)該堅持要求云服務(wù)提供商提供原生的多因素身份驗證(native multifactor authentication)。使用身份即服務(wù)(IDaaS)或本地身份和訪問管理解決方案的人必須與云服務(wù)提供商合作才能正確地將它們集成起來，以便它們可以為多個公共云環(huán)境提供足夠的支持。公司還應(yīng)該讓他們的云服務(wù)提供商共享云身份和訪問管理的路線圖，以便它們可以計劃利用行為認(rèn)證和基于角色的訪問等功能。

 

 

開發(fā)運維是一種越來越流行的集成開發(fā)和IT運營的方法，這種方法支持持續(xù)交付新的軟件功能，這在某種程度上是通過為開發(fā)人員提供訪問運營服務(wù)的API來實現(xiàn)的。Secure DevOps(有時稱為“SecDevOps”或“持續(xù)的安全性”)將安全評估、安全控件的實施以及安全技術(shù)的部署與開發(fā)運維方法集成在一起，很多團隊已經(jīng)采用了這樣的方法遷移到云中。只要在整個開發(fā)周期內(nèi)對安全服務(wù)進行自動化并通過API提供安全服務(wù)就可以實現(xiàn)集成。

 

Secure DevOps用縮短部署時間和降低風(fēng)險的方式增強了云的所有類別的安全控件。例如，有些公司的政策要求對所有數(shù)據(jù)進行分類。但是，當(dāng)數(shù)據(jù)只能手動分類時，必要的付出會增加部署計劃的時間。通過安全的開發(fā)運維，強制數(shù)據(jù)分類變得更加實用，因為所有數(shù)據(jù)都會根據(jù)預(yù)設(shè)的規(guī)則接收默認(rèn)的分類。因為有了這樣的改進以及由安全的開發(fā)運維根據(jù)預(yù)設(shè)的規(guī)則提供的分類，組織可以降低公共云環(huán)境中的違規(guī)風(fēng)險，同時減少或消除在存儲數(shù)據(jù)之前手動對數(shù)據(jù)進行分類所造成的延遲。

 

采用安全的開發(fā)運維方法要求公司培養(yǎng)一種文化，在這種文化中，安全性是每個軟件項目的關(guān)鍵要素，也是每個開發(fā)人員工作的特點。很多開發(fā)人員需要接受額外的安全培訓(xùn)，從而在公共云遷移期間和遷移之后提供有效的支持。培訓(xùn)還有助于開發(fā)人員了解自己所使用的工具的安全功能，以便他們可以更好地利用現(xiàn)有的安全性API和編排技術(shù)并創(chuàng)建新的技術(shù)。

 

公司應(yīng)該簡化安全治理程序，以確保這些程序不會給開發(fā)人員造成延誤。隨著公司對安全控件進行自動化，它們可以使控件對開發(fā)人員完全可見。這樣，開發(fā)人員就可以獨立檢查控件是否在后臺正常工作，而不是延遲工作去咨詢安全專家。自動化審計安全機制的過程也大有裨益。例如，為了符合策略，公司可以要求每天晚上對這個代碼進行自動掃描，并將安全組件的構(gòu)建時(build-time)檢查集成到應(yīng)用程序中。

 

為了實施安全的開發(fā)運維，公司還改變了IT運營模式，因此安全實施成為云開發(fā)和部署過程的一部分。在這樣的運營模式中，經(jīng)過適當(dāng)培訓(xùn)的開發(fā)團隊就是安全團隊;無需外部參與即可獲得合適的安全性方面的專業(yè)知識。在開發(fā)團隊中注入安全性方面的專業(yè)知識可以消除云部署過程中的延遲，同時使開發(fā)團隊以快于傳統(tǒng)安全模型所允許的速度進行迭代。

 

 

我們描述的構(gòu)建公共云網(wǎng)絡(luò)安全計劃的四種做法應(yīng)該能使公司更好地利用公共云平臺。然而，設(shè)置程序可能是一項復(fù)雜的任務(wù)，因為公司有多個云工作負載，云服務(wù)提供商、內(nèi)部部署的功能和私有云功能、位置、法規(guī)要求和安全要求。這個由十個步驟構(gòu)成的工作計劃將幫助公司在設(shè)計、開發(fā)和實施公共云網(wǎng)絡(luò)安全計劃時協(xié)調(diào)一致。

 

11. 確定要遷移到公共云的工作負載。例如，很多組織一開始就選擇將面向客戶的應(yīng)用程序或分析工作負載遷移到公共云，同時將核心事務(wù)系統(tǒng)保留在本地。然后，它們就可以確定所遷移的工作負載的安全要求。

 

12. 至少要找到一家能夠滿足工作負載安全要求的云服務(wù)提供商。公司可以為不同的工作負載選擇多個提供商，但這些選擇應(yīng)該與公司整體的云戰(zhàn)略的目標(biāo)一致。

 

13. 根據(jù)遷移的簡易性、安全狀況、成本因素和內(nèi)部的專業(yè)知識為每個工作負載分配安全原型。例如，公司可以重新設(shè)計應(yīng)用程序的架構(gòu)并使用默認(rèn)的云服務(wù)提供商控件來實現(xiàn)面向客戶的工作負載，并在不重新設(shè)計架構(gòu)的情況下提升和轉(zhuǎn)移內(nèi)部核心事務(wù)的應(yīng)用程序，同時對數(shù)據(jù)訪問進行回傳。

 

14. 對于每個工作負載，請確認(rèn)安全性級別，從而實施八個控件中的每一個控件。例如，公司應(yīng)確定身份和訪問管理是否僅需要單因素身份驗證(single-factor authentication)，需要多因素身份驗證(multifactor authentication)，還是需要更高級的方法(如行為身份驗證)。

 

15. 確定每個工作負載的八個控件分別要使用哪些解決方案。鑒于針對每個工作負載所確定的云服務(wù)提供商(或云服務(wù)提供商)的功能，公司可以確定是使用現(xiàn)有的本地安全解決方案、云服務(wù)提供商提供的解決方案還是第三方解決方案。

 

16. 實施必要的控件并將其集成到現(xiàn)有的解決方案。這要求公司充分了解云服務(wù)提供商的安全功能和安全執(zhí)行流程。云服務(wù)提供商需要對產(chǎn)品的這些方面保持透明。

 

17. 就每個控件是否可以標(biāo)準(zhǔn)化和自動化形成一個看法。這包括分析整套控件并做出決策——哪些控件在整個組織中實現(xiàn)標(biāo)準(zhǔn)化，哪些控件實現(xiàn)自動化。

 

18. 人們可以根據(jù)公司遷移的應(yīng)用程序以及公司指定的安全模型來確定控件的優(yōu)先級。

 

19. 實現(xiàn)控制和治理模型。對于可以標(biāo)準(zhǔn)化但不能自動化的控件，公司可以開發(fā)查驗清單(checklist)，就如何遵循這些清單對開發(fā)人員進行培訓(xùn)。對于可以標(biāo)準(zhǔn)化和自動化的控件，公司可以使用安全的開發(fā)運維方法來創(chuàng)建自動化例程，以實現(xiàn)控件并實施標(biāo)準(zhǔn)化。

 

20. 利用在第一波實施過程中獲得的經(jīng)驗來選擇要實施的下一組控制。借鑒這一經(jīng)驗也將有助于改進一系列后續(xù)控件的實施過程。

 

公司正在將更多應(yīng)用程序從內(nèi)部部署的數(shù)據(jù)中心和私有云平臺穩(wěn)步轉(zhuǎn)移到公共云平臺，這些平臺在很多情況下都能帶來卓越的成本效益、靈活性和速度。但只有在公司維護應(yīng)用程序和數(shù)據(jù)的安全性時，公共云的遷移才能順利進行——有些公司正在努力做到這一點。

 

我們的經(jīng)驗和研究表明，只要用對方法，公共云網(wǎng)絡(luò)安全是可以實現(xiàn)的。公司只要開發(fā)以云為中心的網(wǎng)絡(luò)安全模型，在八個安全領(lǐng)域設(shè)計強大的控件，明確云服務(wù)提供商的職責(zé)，以及使用安全的開發(fā)運維，這樣它們就有更大的把握將工作負載轉(zhuǎn)移到公共云中，從而保護最關(guān)鍵的信息資產(chǎn)。