云計(jì)算能夠使用虛擬機(jī)完成業(yè)務(wù)集中化管理，因此多數(shù)企業(yè)選擇云計(jì)算的初衷是節(jié)約運(yùn)營成本。而云在發(fā)展的同時(shí)，圍繞著它的安全環(huán)境卻在不斷發(fā)生變化。這對于云的安全關(guān)注點(diǎn)已從原來的端點(diǎn)安全，逐漸轉(zhuǎn)移到了交付的應(yīng)用程序、數(shù)據(jù)和用戶體驗(yàn)上。這就要求我們在享有云提供的信息完整、開放、良好用戶體驗(yàn)等優(yōu)勢的同時(shí)，更要保證數(shù)據(jù)的安全。若沒有安全的保障，云應(yīng)用的價(jià)值不僅大打折扣，反而有可能帶來災(zāi)難。
那么，如何讓云計(jì)算或者說云技術(shù)遠(yuǎn)離數(shù)據(jù)安全的隱患呢，要應(yīng)對各種復(fù)雜多變的環(huán)境必須建立起系統(tǒng)化的有效防護(hù)體系。
數(shù)據(jù)防護(hù)是核心 人們對于信息安全的關(guān)注通常從設(shè)備和鏈路，以及防護(hù)、阻截等的角度考慮的較多。其實(shí)內(nèi)容或者說數(shù)據(jù)本身的安全防護(hù)才是核心。云計(jì)算環(huán)境下尤其如此，衛(wèi)護(hù)好數(shù)據(jù)本身的安全才能夠真正實(shí)現(xiàn)安全。
基礎(chǔ)管控是關(guān)鍵 將近六十個(gè)保護(hù)最重要資產(chǎn)的安全基礎(chǔ)控制，是包括云環(huán)境在內(nèi)的所有信息安全的關(guān)鍵。必須得到確認(rèn)以確保云技術(shù)對您的系統(tǒng)、業(yè)務(wù)和操作符合安全控制。
加密應(yīng)該更普遍 這里說的加密，不僅僅是終端到終端加密，而且還包括在將數(shù)據(jù)轉(zhuǎn)移到云中前，能夠在企業(yè)內(nèi)部加密數(shù)據(jù)。云供應(yīng)商需要制定強(qiáng)大的加密解決方案，以讓企業(yè)確保其數(shù)據(jù)的安全性。
工作負(fù)載要關(guān)注 通過對設(shè)備和應(yīng)用等信息工作負(fù)載的重點(diǎn)關(guān)注，充分考慮其獨(dú)特性，制定更有針對性的安全計(jì)劃，比傳統(tǒng)的操作提供更安全的保障。
構(gòu)建日志更重要 對管理訪問日志保持審計(jì)是非常重要的，即有一定量的日志信息可以主動(dòng)提供給所有需要追蹤的企業(yè)來進(jìn)行各種分析。但大多數(shù)小型云服務(wù)沒有提供這種信息。
混合模式頗有效 采用與提供混合的安全服務(wù)模式，將云的服務(wù)與預(yù)置的服務(wù)混合起來，多種模式同時(shí)進(jìn)行，一方面有助于減輕壓力，另一方面以組合增加了防護(hù)的變量，使防護(hù)更為行之有效。
安全服務(wù)利用好 獨(dú)立的安全服務(wù)咨詢、托管等各類服務(wù)提供者已經(jīng)逐漸發(fā)展起來，利用好這些專業(yè)化的機(jī)構(gòu)或服務(wù)商，實(shí)行長效的防護(hù)乃至事前積極的監(jiān)測保護(hù)，既減輕自身的壓力與固定開銷，也能夠更加主動(dòng)。
異常檢測宜盡早 如果攻擊者獲取了賬戶信息，即使是機(jī)密也于事無補(bǔ)。所以，云供應(yīng)商必須部署良好的異常檢測系統(tǒng)，并與客戶共享這些系統(tǒng)的信息和審計(jì)記錄。使用不同的工具來確保云供應(yīng)商滿足客戶的需求，這是一種分層的辦法。
生命周期全程防 敏捷科技提出的全面、全方位、全生命周期的“三全防護(hù)”中，全面、全方位主要通過各類信息安全技術(shù)來實(shí)現(xiàn)，而全生命周期則需要意識、技術(shù)、制度綜合到位、持續(xù)進(jìn)行，有賴于勤于云技術(shù)管理和定期的安全性審查。
風(fēng)險(xiǎn)控制有計(jì)劃 應(yīng)制定一個(gè)正式的風(fēng)險(xiǎn)緩解計(jì)劃，包括風(fēng)險(xiǎn)的文件、對這些風(fēng)險(xiǎn)的響應(yīng)、教育和培訓(xùn)等。還應(yīng)該看看彈性需求制訂一個(gè)彈性計(jì)劃，若想在一場災(zāi)難或攻擊事件中迅速恢復(fù)的話，謹(jǐn)慎確保工作負(fù)載可以隨時(shí)恢復(fù)，以及把業(yè)務(wù)連續(xù)性的影響降到最低，這個(gè)計(jì)劃是很重要的。
安全責(zé)任要厘清 很多用戶都會認(rèn)為，云服務(wù)供應(yīng)商應(yīng)該對數(shù)據(jù)承擔(dān)責(zé)任，而供應(yīng)商卻易責(zé)怪客戶自身措施不得力。據(jù)調(diào)查顯示，超過三分之一的客戶仍然期望其軟件即服務(wù)供應(yīng)商保護(hù)應(yīng)用程序和數(shù)據(jù)的安全。其實(shí)手段是重要的，如何有效地運(yùn)用手段同樣重要。只有供求雙方各自承擔(dān)起自己應(yīng)盡的安全責(zé)任才是無懈可擊的根本保證。
評估工作須做好 從傳統(tǒng)互聯(lián)網(wǎng)向云上遷移時(shí)，在獲得共享性和降低成本等好處的同時(shí)也面臨了更復(fù)雜的生態(tài)環(huán)境。必須對安全漏洞進(jìn)行評估，確保所有控制都到位且運(yùn)行正常。同時(shí)，在選擇云服務(wù)供應(yīng)商之前也需要做好調(diào)研工作，需要掌握該服務(wù)商傳播那些與物理安全、邏輯安全、加密、更改管理和業(yè)務(wù)持續(xù)性以及災(zāi)難恢復(fù)等屬于同類型控件的能力。
云安全不是短期問題，云計(jì)算想要繼續(xù)和長期發(fā)展，數(shù)據(jù)安全問題絕不容小視，本文的這些方法，究其根本，數(shù)據(jù)本源的安全防護(hù)是最重要的。所以在采用云技術(shù)的同時(shí)，采用具有針對性且能靈活應(yīng)對的加密技術(shù)進(jìn)行核心數(shù)據(jù)防護(hù)應(yīng)是一個(gè)有效的選擇。
|
