集成化是實(shí)現(xiàn)云安全的必經(jīng)之路

David S.Linthicum 徐盛華

使云更加安全不僅僅是個(gè)技術(shù)問(wèn)題，更需要與其他安全系統(tǒng)互通有無(wú)。

云安全問(wèn)題如今也許不再是一個(gè)問(wèn)題。的確，如今我們?cè)诠性品矫鎿碛凶詈玫陌踩夹g(shù)，在某些案例中，它比那些已經(jīng)不再受到研發(fā)費(fèi)用青睞的內(nèi)部系統(tǒng)中的安全技術(shù)還要好。

因此，如果在云中的安全性非常好，那么為什么很多IT從業(yè)者還是認(rèn)為存在問(wèn)題呢？事實(shí)是公有云從來(lái)都不是單獨(dú)工作的 （盡管其看似好像是單獨(dú)工作，如果相信那些公有云提供商的話），它們需要與第三方系統(tǒng)交互，比如信用檢查服務(wù)和數(shù)據(jù)驗(yàn)證服務(wù)，以及許多運(yùn)行在傳統(tǒng)內(nèi)部平臺(tái)的系統(tǒng)。

許多非常專業(yè)的安全技術(shù)人員會(huì)告訴你，安全性就是指企業(yè)中最不安全的系統(tǒng)的技術(shù)水平，不管是否是云。因此，所有的安全技術(shù)必須要系統(tǒng)化并且協(xié)同工作。在云中的情況也是如此。

當(dāng)IT技術(shù)人員考慮云安全時(shí)，很少考慮系統(tǒng)的協(xié)同作用。許多企業(yè)將云安全視為只需要保證那些存在于云中的數(shù)據(jù)的安全。但是，同時(shí)也需要考慮那些與云相連接的內(nèi)部系統(tǒng)。

IT人員不需要投入更多的安全技術(shù)，相反，IT人員需要將所有安全系統(tǒng)更好地集成到一個(gè)統(tǒng)一的方法和技術(shù)堆棧中，這些方法和技術(shù)堆棧可以很好地在一起工作并發(fā)揮作用。

好消息是，市場(chǎng)上有“虛擬管理平臺(tái)”產(chǎn)品，可以滿足將云上的身份管理系統(tǒng)與更傳統(tǒng)的基于角色的內(nèi)部系統(tǒng)安全設(shè)施集成在一起進(jìn)行管理的需求。通常，目錄系統(tǒng)成為公共鏈接，但是這些安全系統(tǒng)也可以共享威脅情報(bào)、審計(jì)，以及施行主動(dòng)破壞未遂管理。

那么，企業(yè)需要做些什么來(lái)實(shí)現(xiàn)安全集成呢？為了使通往安全協(xié)同的道路更為成功，我們列舉出了如下的要領(lǐng)：

首先，為安全系統(tǒng)將要如何運(yùn)行制定計(jì)劃。在大多數(shù)情況下，這是一個(gè)安全的目錄系統(tǒng)，但是也可以使用通用數(shù)據(jù)庫(kù)。請(qǐng)注意必須進(jìn)行跨組織結(jié)構(gòu)的計(jì)劃和協(xié)調(diào)。

第二，找到一款安全管理和監(jiān)控產(chǎn)品，該產(chǎn)品可在你和安全系統(tǒng)之間提供“虛擬管理平臺(tái)”，同時(shí)在內(nèi)部和在云中。當(dāng)涉及到誰(shuí)、什么、何時(shí)、如何以及為什么時(shí)，這應(yīng)該是單一的事實(shí)來(lái)源。它是所有企業(yè)安全的真正推手。

第三，跨系統(tǒng)安全測(cè)試應(yīng)該成為常態(tài)，但是經(jīng)常被IT人員忽視。 這樣的測(cè)試可以讓你更好地調(diào)試安全生態(tài)系統(tǒng)，并在黑客攻擊之前發(fā)現(xiàn)問(wèn)題。

雖然這些在概念上看起來(lái)很簡(jiǎn)單，但實(shí)際執(zhí)行起來(lái)卻非常困難。如果你正在處理企業(yè)中的所有系統(tǒng)，組織政治會(huì)經(jīng)常出現(xiàn)。而且，許多企業(yè)都缺乏能夠在各個(gè)環(huán)節(jié)實(shí)現(xiàn)安全所需的人才。但是你仍然需要這樣做，因?yàn)槠渌奶娲桨缚赡芨幼屓穗y以接受。

David S. Linthicum 是Deloitte Consulting的首席云戰(zhàn)略官，是一位國(guó)際公認(rèn)的行業(yè)專家和思想領(lǐng)袖。