企業(yè)入云安全別是一番滋味在心頭

■曾金燕

企業(yè)入云安全別是一番滋味在心頭

■曾金燕

作為一種省錢(qián)的技術(shù)，云計(jì)算以“咬定青山不放松”的堅(jiān)韌，給企業(yè)帶來(lái)訪(fǎng)問(wèn)更多的存儲(chǔ)容量和計(jì)算資源等益處。但即使將數(shù)據(jù)和工作負(fù)擔(dān)遷移到云可以帶來(lái)諸多好處，仍有一些公司對(duì)云的安全性感到不安。雖然有一些安全風(fēng)險(xiǎn)與云計(jì)算有著很大關(guān)系，但總體的安全性已有改善。

人為錯(cuò)誤與用戶(hù)訪(fǎng)問(wèn)

無(wú)疑，供應(yīng)商已經(jīng)在保障云環(huán)境的安全方面有了不少進(jìn)展，但還會(huì)有因供應(yīng)商或用戶(hù)的錯(cuò)誤而導(dǎo)致的其他問(wèn)題。

云的最大安全問(wèn)題之一就是使用公有云的企業(yè)和個(gè)人粗心大意，從而在無(wú)意中將數(shù)據(jù)置于風(fēng)險(xiǎn)中。其他的安全風(fēng)險(xiǎn)至少有一部分是由云供應(yīng)商造成的：口令成為許多云服務(wù)的默認(rèn)訪(fǎng)問(wèn)方法。

當(dāng)云用戶(hù)在家中的電腦上工作時(shí)，或在不受控制的其他地方工作時(shí)，就可能使公司的口令和登錄信息容易遭受釣魚(yú)攻擊的風(fēng)險(xiǎn)。因此，一些軟件廠商正著手開(kāi)發(fā)有助于使公司更多地控制SaaS應(yīng)用的解決方案，并以此更好地管理通過(guò)云環(huán)境的信息流，從而避免數(shù)據(jù)丟失事件。

選擇適當(dāng)?shù)墓?yīng)商

云安全問(wèn)題往往未必是數(shù)據(jù)丟失或數(shù)據(jù)失竊等問(wèn)題的主要元兇。無(wú)論從哪個(gè)方面來(lái)說(shuō)(尤其是從經(jīng)濟(jì)方面)，云供應(yīng)商都會(huì)堅(jiān)決地管理自己的服務(wù)，保持其強(qiáng)健、可靠、安全。云供應(yīng)商對(duì)安全的重視程度要比過(guò)去更強(qiáng)，而且也深刻地理解與故障、重大安全事件有關(guān)的風(fēng)險(xiǎn)，理解這些風(fēng)險(xiǎn)與客戶(hù)和收入的喪失、品牌受損之間的關(guān)系。

數(shù)據(jù)丟失往往發(fā)生在云供應(yīng)商產(chǎn)生財(cái)務(wù)問(wèn)題或因某種原因而陷于倒閉時(shí)。如果云供應(yīng)商破產(chǎn)而被另一供應(yīng)商收購(gòu)，或者徹底倒閉，就會(huì)將公司的數(shù)據(jù)置于危險(xiǎn)的邊緣，或丟失或失竊。

企業(yè)實(shí)際上是受到供應(yīng)商的能力、財(cái)務(wù)、技術(shù)等因素的制約。在將“雞蛋(數(shù)據(jù))”放在它們的“籃子”中時(shí)，企業(yè)應(yīng)知道供應(yīng)商如何確保這個(gè)籃子保持完整。

安全并非需要考慮的唯一問(wèn)題

在決定是否遷移到云中時(shí)，安全性并不是應(yīng)當(dāng)考慮的唯一因素。除非企業(yè)屬于嚴(yán)格管制的行業(yè)，其中的數(shù)據(jù)完全不能面臨絲毫風(fēng)險(xiǎn)。通常，企業(yè)至少可以把部分不敏感的數(shù)據(jù)和負(fù)載放在云中而獲得一些好處。

即使企業(yè)有時(shí)要減少安全功能，與云計(jì)算有關(guān)的其他好處也可促使企業(yè)采用云。這種權(quán)衡可能很復(fù)雜，但從企業(yè)面臨的整體風(fēng)險(xiǎn)來(lái)說(shuō)，采用云還是利大于弊。

重視第三方的評(píng)估

當(dāng)然，為了使利用云的過(guò)程可靠穩(wěn)健，企業(yè)不能簡(jiǎn)單地問(wèn)幾個(gè)問(wèn)題，而應(yīng)看一下云服務(wù)供應(yīng)商是否有第三方評(píng)估(如ISO 270001和SOC2)的證明。企業(yè)不應(yīng)聽(tīng)信供應(yīng)商的一面之詞，而應(yīng)主動(dòng)地找到擁有認(rèn)證和適當(dāng)評(píng)估的供應(yīng)商。

云安全可以改善企業(yè)的風(fēng)險(xiǎn)狀態(tài)

云供應(yīng)商有很多提升安全性和確保保護(hù)客戶(hù)資產(chǎn)安全性的動(dòng)機(jī)和理由，所以在有些情況下與云供應(yīng)商合作可以提高安全性。

實(shí)際上，云供應(yīng)商可以在多個(gè)客戶(hù)的安全監(jiān)視和保護(hù)費(fèi)用之間實(shí)現(xiàn)共享，這是一種能夠以更低的成本換來(lái)更大安全性的的規(guī)模經(jīng)濟(jì)。中小型企業(yè)尤其可以考慮此種方案，因?yàn)閷?duì)于沒(méi)有很成熟或強(qiáng)健的安全控制的公司來(lái)說(shuō)，遷移到云計(jì)算不僅有助于降低成本，還有益于風(fēng)險(xiǎn)管理。

不妨以SIEM(安全信息和事件管理)為例。多數(shù)小型企業(yè)不可能有專(zhuān)門(mén)的人員全天候地運(yùn)行一個(gè)安全操作中心，因?yàn)檫@種做法成本高昂。為進(jìn)行全天候的監(jiān)視，企業(yè)需要有多個(gè)雇員輪換(包括在周末)值班。云服務(wù)供應(yīng)商可以用專(zhuān)門(mén)的專(zhuān)業(yè)人員提供安全操作，這對(duì)企業(yè)來(lái)說(shuō)是很劃算的。