行業(yè)專家表示，所接觸到的IT領(lǐng)導(dǎo)者很少認為在實現(xiàn)業(yè)務(wù)目標和容納(合理的)用戶偏好和請求時成為一個障礙。但是，他們也了解潛在的安全或不合規(guī)問題的成本。不幸的是，許多IT安全團隊也遭受到被超越的挫折，無論是選擇接受風(fēng)險的高管，還是用戶采用不受管制的未經(jīng)授權(quán)的應(yīng)用程序和平臺，都會對其組織帶來風(fēng)險。

 

在當今的云計算世界中，最終用戶可以根據(jù)喜好選擇更多的供應(yīng)商。很多企業(yè)出于商業(yè)原因被迫轉(zhuǎn)移到云端或被迫將數(shù)據(jù)移動到特定的云應(yīng)用程序，但是發(fā)現(xiàn)對云端安全控制還不夠。

 

幸運的是，在過去幾年中已經(jīng)出現(xiàn)了解決方案，允許IT和安全管理者采用業(yè)務(wù)驅(qū)動的請求，同時為IT團隊提供降低風(fēng)險所需的安全控制。云計算供應(yīng)商花費大量的時間和資源來保護他們的基礎(chǔ)架構(gòu)和應(yīng)用程序，但他們不能確保客戶的云端使用情況。

 

數(shù)據(jù)泄露的法律責(zé)任將由使用者承擔。只有使用者才能保證在組織內(nèi)的兼容性使用，因此了解流入云環(huán)境的數(shù)據(jù)類型很重要，并與各個利益相關(guān)者合作，實施控制措施，將風(fēng)險降至可接受的水平，并符合當?shù)鼗蛐袠I(yè)的法規(guī)。

 

提供商像往常一樣，可以將所有內(nèi)容鎖定在一起，并允許用戶只在云應(yīng)用程序中使用最基本的功能。然而，這往往導(dǎo)致用戶體驗不佳，并導(dǎo)致未經(jīng)授權(quán)的云采用和影子IT。

 

雖然云計算環(huán)境與內(nèi)部部署的數(shù)據(jù)中心環(huán)境有著很大的不同，但許多安全原則仍然有效。作為基礎(chǔ)，企業(yè)應(yīng)將這些原則擴展到云計算中。三個有用的原則是：

 

 

特權(quán)管理多年來一直用于企業(yè)內(nèi)部的方法來保護敏感數(shù)據(jù)，并通過限制訪問來指導(dǎo)合規(guī)的用戶行為。在一些云服務(wù)(如AWS)中，管理員可以快速積累足夠的權(quán)力，在無意中或通過憑證可能導(dǎo)致嚴重的停機或安全問題。因此確保云計算中的適當特權(quán)管理有助于降低風(fēng)險。

 

除了傳統(tǒng)的特權(quán)管理之外，云計算也為云服務(wù)提供商帶來了獨特的挑戰(zhàn)。由于他們可以訪問用戶的云實例，因此云計算服務(wù)提供商也能夠訪問客戶的數(shù)據(jù)來考慮云計算風(fēng)險評估的重要性。如果用戶擔心內(nèi)部威脅或直接向云提供商提供的政府數(shù)據(jù)請求，則建議用戶評估從云計算提供商隔離數(shù)據(jù)的選項。

 

 

與利益相關(guān)者交流，并確定流入云端的數(shù)據(jù)類型非常重要的另一個原因是確定組織需要執(zhí)行哪些數(shù)據(jù)丟失保護(DLP)策略。要查找的通用數(shù)據(jù)特征包括個人身份信息，信用卡號碼，甚至源代碼。如果組織正在使用內(nèi)部部署DLP，那么現(xiàn)在是查看和更新??組織已經(jīng)定義的模式和數(shù)據(jù)分類定義的好時機，以確保它們在將其擴展到云計算時是有效的和相關(guān)的。

 

同樣重要的是要讓最終用戶知道期待什么。如果組織決定執(zhí)行阻止交易或要求對敏感交易進行額外身份驗證的政策，那么請務(wù)必將其納入自己內(nèi)部培訓(xùn)材料，并提供給用戶內(nèi)部文檔。它不僅可以讓用戶了解什么，還可以用于內(nèi)部策略和用戶的安全基礎(chǔ)知識。

 

 

任何數(shù)據(jù)安全策略的一個重要方面是保持對數(shù)據(jù)的可見性，以確保合規(guī)使用。企業(yè)需要確保在將數(shù)據(jù)和基礎(chǔ)架構(gòu)遷移到云端時不會失去此功能。如果用戶使用安全信息事件管理(SIEM)工具，那么需要花費一定的時間來決定應(yīng)該將哪些云計算應(yīng)用程序和交易融入到報告中。

 

通過將上述控件擴展到云計算環(huán)境中，用戶可以建立一個保護業(yè)務(wù)支持技術(shù)的良好安全實踐的共同點。通過正確的工具和策略，可以確保相關(guān)的業(yè)務(wù)需求，同時保持適當?shù)陌踩椭卫砜刂啤?/div>