云計算能夠使用虛擬機完成業(yè)務(wù)集中化管理，因此多數(shù)企業(yè)選擇云計算的初衷是節(jié)約運營成本。而云在發(fā)展的同時，圍繞著它的安全環(huán)境卻在不斷發(fā)生變化。這對于云的安全關(guān)注點已從原來的端點安全，逐漸轉(zhuǎn)移到了交付的應(yīng)用程序、數(shù)據(jù)和用戶體驗上。這就要求我們在享有云提供的信息完整、開放、良好用戶體驗等優(yōu)勢的同時，更要保證數(shù)據(jù)的安全。若沒有安全的保障，云應(yīng)用的價值不僅大打折扣，反而有可能帶來災(zāi)難。
那么，如何讓云計算或者說云技術(shù)遠離數(shù)據(jù)安全的隱患呢，要應(yīng)對各種復(fù)雜多變的環(huán)境必須建立起系統(tǒng)化的有效防護體系。
數(shù)據(jù)防護是核心 人們對于信息安全的關(guān)注通常從設(shè)備和鏈路，以及防護、阻截等的角度考慮的較多。其實內(nèi)容或者說數(shù)據(jù)本身的安全防護才是核心。云計算環(huán)境下尤其如此，衛(wèi)護好數(shù)據(jù)本身的安全才能夠真正實現(xiàn)安全。
基礎(chǔ)管控是關(guān)鍵 將近六十個保護最重要資產(chǎn)的安全基礎(chǔ)控制，是包括云環(huán)境在內(nèi)的所有信息安全的關(guān)鍵。必須得到確認以確保云技術(shù)對您的系統(tǒng)、業(yè)務(wù)和操作符合安全控制。
加密應(yīng)該更普遍 這里說的加密，不僅僅是終端到終端加密，而且還包括在將數(shù)據(jù)轉(zhuǎn)移到云中前，能夠在企業(yè)內(nèi)部加密數(shù)據(jù)。云供應(yīng)商需要制定強大的加密解決方案，以讓企業(yè)確保其數(shù)據(jù)的安全性。
工作負載要關(guān)注 通過對設(shè)備和應(yīng)用等信息工作負載的重點關(guān)注，充分考慮其獨特性，制定更有針對性的安全計劃，比傳統(tǒng)的操作提供更安全的保障。
構(gòu)建日志更重要 對管理訪問日志保持審計是非常重要的，即有一定量的日志信息可以主動提供給所有需要追蹤的企業(yè)來進行各種分析。但大多數(shù)小型云服務(wù)沒有提供這種信息。
混合模式頗有效 采用與提供混合的安全服務(wù)模式，將云的服務(wù)與預(yù)置的服務(wù)混合起來，多種模式同時進行，一方面有助于減輕壓力，另一方面以組合增加了防護的變量，使防護更為行之有效。
安全服務(wù)利用好 獨立的安全服務(wù)咨詢、托管等各類服務(wù)提供者已經(jīng)逐漸發(fā)展起來，利用好這些專業(yè)化的機構(gòu)或服務(wù)商，實行長效的防護乃至事前積極的監(jiān)測保護，既減輕自身的壓力與固定開銷，也能夠更加主動。
異常檢測宜盡早 如果攻擊者獲取了賬戶信息，即使是機密也于事無補。所以，云供應(yīng)商必須部署良好的異常檢測系統(tǒng)，并與客戶共享這些系統(tǒng)的信息和審計記錄。使用不同的工具來確保云供應(yīng)商滿足客戶的需求，這是一種分層的辦法。
生命周期全程防 敏捷科技提出的全面、全方位、全生命周期的“三全防護”中，全面、全方位主要通過各類信息安全技術(shù)來實現(xiàn)，而全生命周期則需要意識、技術(shù)、制度綜合到位、持續(xù)進行，有賴于勤于云技術(shù)管理和定期的安全性審查。
風(fēng)險控制有計劃 應(yīng)制定一個正式的風(fēng)險緩解計劃，包括風(fēng)險的文件、對這些風(fēng)險的響應(yīng)、教育和培訓(xùn)等。還應(yīng)該看看彈性需求制訂一個彈性計劃，若想在一場災(zāi)難或攻擊事件中迅速恢復(fù)的話，謹慎確保工作負載可以隨時恢復(fù)，以及把業(yè)務(wù)連續(xù)性的影響降到最低，這個計劃是很重要的。
安全責(zé)任要厘清 很多用戶都會認為，云服務(wù)供應(yīng)商應(yīng)該對數(shù)據(jù)承擔(dān)責(zé)任，而供應(yīng)商卻易責(zé)怪客戶自身措施不得力。據(jù)調(diào)查顯示，超過三分之一的客戶仍然期望其軟件即服務(wù)供應(yīng)商保護應(yīng)用程序和數(shù)據(jù)的安全。其實手段是重要的，如何有效地運用手段同樣重要。只有供求雙方各自承擔(dān)起自己應(yīng)盡的安全責(zé)任才是無懈可擊的根本保證。
評估工作須做好 從傳統(tǒng)互聯(lián)網(wǎng)向云上遷移時，在獲得共享性和降低成本等好處的同時也面臨了更復(fù)雜的生態(tài)環(huán)境。必須對安全漏洞進行評估，確保所有控制都到位且運行正常。同時，在選擇云服務(wù)供應(yīng)商之前也需要做好調(diào)研工作，需要掌握該服務(wù)商傳播那些與物理安全、邏輯安全、加密、更改管理和業(yè)務(wù)持續(xù)性以及災(zāi)難恢復(fù)等屬于同類型控件的能力。
云安全不是短期問題，云計算想要繼續(xù)和長期發(fā)展，數(shù)據(jù)安全問題絕不容小視，本文的這些方法，究其根本，數(shù)據(jù)本源的安全防護是最重要的。所以在采用云技術(shù)的同時，采用具有針對性且能靈活應(yīng)對的加密技術(shù)進行核心數(shù)據(jù)防護應(yīng)是一個有效的選擇。 ..
|
