這種情況開始發生變化：亞馬遜公司和微軟公司等基礎設施即服務(IaaS)巨頭正在將其數據中心的足跡擴展到多個地點，從而可以將受監管行業的信息存儲在本地。與此同時，安全控制和策略正在幫助企業利用云計算的軟件即服務(SaaS)應用程序(如Salesforce)來提高效率，并加強協作。

 

如今，在某些情況下，云計算被認為比內部部署的解決方案更安全。但是，該技術還增加了必須考慮的安全風險。那么企業如何保持安全，同時從云計算中獲得最大收益?

 

在實施云計算之前，企業和技術領導者需要了解風險。重要的是，隨著網絡攻擊量的增加，云計算成為了尋找竊取數據或滲透系統的犯罪分子的目標。

 

賽門鐵克公司技術服務部首席技術官兼副總裁Darren Thomson表示，“事實上，基礎設施層面的云平臺已被證明是一種極好的病毒傳播器，如果實例上存在病毒，由于這些環境的擴展方式，病毒將會很快傳播。”

 

同時，錯誤配置可能會導致嚴重的問題。Thomson表示，“人們可能會錯誤地配置操作或者沒有正確修補操作系統，這使得它很容易受到攻擊。”

 

云計算應用程序可以使事情進一步復雜化：用戶希望提高效率，但這會導致 “影子IT”的問題，因為技術領導者會失去組織內部使用軟件的控制。

 

Gemalto公司數據保護服務高級總監Gary Marsden對誰應該對保護云計算中的敏感或機密數據負最大責任進行了解釋。

 

 

保護云安全對于企業來說令人生畏，因此，專家建議采用逐步的方法。德勤公司英國分公司網絡風險服務總監Jayme Metcalfe說，“我會考慮到風險管理。例如用戶的云服務預期用例是什么?在用戶實施任何事情之前，應該有一個端到端的理解。這是很多企業倒閉的地方。他們想遷移到云平臺，但不了解業務風險。”

 

事實上，在遷移到云端之前，建設性地應用安全性可以成為業務推動者，英國電信公司安全創新架構師Richard Baker表示，“挑戰在于移動到云端的組織如何平衡靈活性和成本的機會，以及他們所提供的元素的風險。”

 

 

他將這種方式與消費者注冊Facebook等網站，讓他們看到自己的某些情況進行了比較，并補充說，“組織需要審視自己的態度，并接受風險。關鍵是評估企業的風險，并充分了解其數據所在。”

 

Qualys公司EMEA地區首席技術安全官Darron Gibbard表示：“了解IT資產非常重要。如果不知道有什么，那么怎么能保護它?”

 

考慮到這一點，ECS公司負責人Allan Brearley強調，可見性是云計算部署的關鍵。 “企業需要了解實際擁有的數據以及需要保護的數據非常重要。應該有一個數據庫，而這是必要的。”

 

Thomson認為企業需要評估數據。他說，“云計算訪問安全代理(CASB)是位于云計算和用戶之間的軟件，可以提供幫助。它允許企業評估數據，并具有可見性。但缺點是，我們需要告訴云計算訪問安全代理(CASB)要看到些什么。”

 

 

PA咨詢公司的網絡安全負責人Elliot Rose表示，在使用云計算IaaS時，企業需要確保自己的軟件開發考慮到安全要求。Rose說，“例如，它是如何托管的，誰托管它?是什么控制水平?”

 

Thomson解釋說：“另一個重要的考慮因素是提供者和客戶之間的共同責任模型。在該模型下，云計算提供商負責基礎設施，因此他們的數據中心的物理安全性就是他們面臨的主要問題。例如，如果企業網絡和基礎設施被黑客入侵，他們還要對網絡和基礎設施安全負責。他們有時還要對虛擬機管理程序本身負責，但并不對客戶的數據負責。”

 

另一個考慮因素取決于組織所在的行業。不同類型的企業將有不同的數據保護需求：例如，政府機構或金融公司必須遵守比零售商更嚴格的監管指導準則。但是，根據歐盟數據保護法規(GDPR)，所有公司都有責任保護客戶和用戶數據。

 

Rose說，現在有一種由監管驅動的安全設計方法。他還指出用戶有責任深入挖掘，查看供應鏈，并實施數據影響評估。

 

與此同時，McAfee公司數據隱私專家Nigel Hawthorn指出，“如果你是數據控制者，那么仍然需要對信息負責，無論使用哪種數據處理器，還是將其外包給任何人，其中包括云計算。”

 

保護云計算曾經是一項艱巨的任務，但如今可以應用多種控制和保護。作為其中的一部分，員工的支持是關鍵：企業可以培訓員工使用已批準的版本，而不是阻止云計算應用或服務。在技術方面，專家提倡基本的安全控制，如加密和雙因素身份驗證。

 

此外，Gibbard認為擁有合適的工具集非常重要，包括網絡掃描和修補。他表示，后者是在任何環境中防止網絡攻擊的簡單方法。

 

Gibbard表示，同時，持續監控使企業能夠跟蹤其環境中的數據，他還提倡基于角色的訪問控制和確保可以訪問正確的系統數據。

 

一旦企業掌握了他們需要做出安全保護的操作，就該開始研究遷移到云端的東西。正如Thomson警告的那樣：“沒有人擁有無限的預算，因此將所有內容放入云端，并在云平臺添加安全應用程序是不現實的。所有這些都需要評估。”