作為向IaaS遷移的一部分，定制應用在公共云中的使用越來越廣泛。

公司企業(yè)不能依賴現(xiàn)成的商用軟件來滿足所有的IT需求：幾乎所有公司都開發(fā)他們自己的定制App。此類App中的大多數(shù)，無論是內(nèi)部或面向互聯(lián)網(wǎng)的，目前都運行在自有或本地運營的數(shù)據(jù)中心。但到2017年底，這種情況將發(fā)生改變——大多數(shù)企業(yè)定制App，將隨全行業(yè)向“基礎設施即服務”(IaaS)遷移的增速，而存在于公共云中。

云安全聯(lián)盟(CSA)和 Skyhigh Networks 在2016年12月到2017年1月間對314名適格者進行了問卷調(diào)查。結(jié)果顯示：越來越多的定制App，在安全團隊未必知曉的情況下，被轉(zhuǎn)移到了云基礎設施上(主要是AWS、Azure和谷歌云平臺)。這顯然是一種新的影子IT——未必是IT部門不知道的軟件，但卻是安全主管不知曉的。

這就產(chǎn)生了新的安全和合規(guī)問題——因為CISO沒辦法保護他們看不到的東西。或許App開發(fā)者會假定自己的App受到云提供商的安全防護，因而沒必要經(jīng)過內(nèi)部安全團隊的審批。顯然，大部分受訪者都認為IaaS比本地數(shù)據(jù)中心更安全——僅僅因為亞馬遜、微軟和谷歌可用的安全資源數(shù)都數(shù)不清。

但是，云運營的責任是共享式的，客戶得對其上傳的數(shù)據(jù)和開發(fā)的App負責。該報引用了 Code Spaces 的例子——在AWS上為客戶提供代碼倉庫，但發(fā)生了數(shù)據(jù)泄露。AWS并沒有被侵入，但攻擊者搞到了 Code Spaces 合法賬號口令。最終，他們銷毀了所有客戶的數(shù)據(jù)，對 Code Spaces 影響巨大，直接導致其停業(yè)。

Skyhigh的調(diào)查凸顯出：越來越多的定制App，正作為向IaaS遷移的一部分，在公共云內(nèi)被使用。

Skyhigh首席歐洲發(fā)言人奈杰爾·霍索恩解釋道：“很多公司都不重視定制應用安全。但如今，每家公司都是軟件公司；92%的公司開發(fā)自有定制App，普通企業(yè)在明年將運行有超過500個的App。而且，72%的公司當下就有對運營至關重要的定制App。當這些工作負載被網(wǎng)絡攻擊盯上，或者成為誤操作的受害者，停工時間就將對業(yè)務造成重創(chuàng)。應用創(chuàng)新優(yōu)先于安全很正常，但是，在平均285個定制App在IT安全團隊視線之外的情況下，公司必須確保IT安全成為定制App開發(fā)過程中的一部分。”

取決于公司規(guī)模，安全團隊不知道的App的實際數(shù)量各有不同。員工數(shù)少于1,000的小公司，可能只有22個定制App；但超過50,000員工的大公司，平均App數(shù)量可達788個。正是這大量的不可見App，導致了安全問題。65%的受訪者稱他們對云端定制App有著適度的關注或非常關心，僅13.8%稱“完全不關心”。

報告稱：“IT安全人員只注意到IT管理員所知應用中的38.4%。這意味著IT安全團隊僅參與進不到一半的應用安全維護中以確保公司數(shù)據(jù)不受威脅侵害。這似乎不是安全成為開發(fā)的障礙，而是開發(fā)在安全缺席的情況進行了。”

最大的問題(66.5%的受訪者)是，未受保護的App可被用于上傳敏感數(shù)據(jù)到云端。位列第二的顧慮(56%)，是與 Code Spaces 類似的第三方賬戶數(shù)據(jù)泄露。另有40.1%的受訪者擔心敏感數(shù)據(jù)被從云端下載到非托管BYOD設備。

個人數(shù)據(jù)泄露在數(shù)據(jù)保護條例下可能讓公司損失慘重，并對品牌聲譽造成破壞；但某些定制App確實實實在在對業(yè)務運營起到關鍵作用的。近73%的受訪者稱，他們至少有1個業(yè)務關鍵應用。其中46%要么完全部署在公共云，要么在混合云里——IT安全人員完全看不到他們的部署和運營。隨著向IaaS的遷移繼續(xù)進行，暴露在風險之中的業(yè)務關鍵定制App數(shù)量無疑也會上升。

“保護云端敏感數(shù)據(jù)不再是某一方的職責，這是個共同責任。”霍索恩說，“IaaS的快速采納，見證了基礎設施提供者和企業(yè)間的角色割裂，而在內(nèi)部，企業(yè)不能指望IT獨力管理云安全。必須讓所有部門都參與進來，確保定制應用從一開始就嵌入了網(wǎng)絡安全，且員工一直以不會將公司數(shù)據(jù)置于風險之中的方式使用這些應用。”

上周，Skyhigh Networks 產(chǎn)品和市場營銷高級副總裁卡馬爾·薩哈，在博客文章中宣布：“Skyhigh將以 Skyhigh for Custom Apps、 Skyhigh for Amazon Web Services、 Skyhigh for Microsoft Azure 及 Skyhigh for Google Cloud Platform 幾款產(chǎn)品，領跑云安全市場下一階段。