|
新聞中心
當前位置：網(wǎng)站首頁 > 新聞中心
如何展現(xiàn)云計算安全領(lǐng)導(dǎo)力
網(wǎng)絡(luò)安全和云計算技術(shù)領(lǐng)域?qū)＜揖腿绾斡行д宫F(xiàn)云計算安全領(lǐng)導(dǎo)力分享了一些見解和體會。
展現(xiàn)云安全領(lǐng)導(dǎo)力時需要考慮什么?
企業(yè)的決策者必須將其各個領(lǐng)域的安全放在首位，而對于云計算來說，這一點并沒有什么不同。
但是，存儲設(shè)備生產(chǎn)商希捷公司最近發(fā)布的一個研究報告表明，盡管安全是數(shù)據(jù)存儲策略中經(jīng)常被提及的驅(qū)動因素，但在大中型企業(yè)工作的行業(yè)專業(yè)人士中，有三分之二的人表示其安全性不足。
考慮到這一點，企業(yè)的決策者如何有效地展現(xiàn)云計算安全領(lǐng)導(dǎo)力?
確保完全可見
首先，企業(yè)領(lǐng)導(dǎo)者必須確保員工對從目標到性能的所有云計算運營和應(yīng)用程序具有完全的可見性。
Netskope公司EMEA地區(qū)首席信息安全官Neil Thacker表示：“企業(yè)決策者可以通過獲得對云計算的真正了解對其組織真正意義的全面可見性和洞察力，來證明其在組織中的云安全領(lǐng)導(dǎo)地位。而只關(guān)注他們在AWS、Azure或谷歌云基礎(chǔ)設(shè)施或MS365或GSuit的部署，那么可能會喪失80%以上的云計算資產(chǎn)。
例如，企業(yè)擁有一個正在使用的所有云計算服務(wù)的實時清單，通常包括1000多個云計算應(yīng)用程序，每個應(yīng)用程序都代表一種風(fēng)險。企業(yè)領(lǐng)導(dǎo)者應(yīng)了解每種應(yīng)用程序的業(yè)務(wù)和技術(shù)目標，同時還要考慮合規(guī)性要求、用戶體驗、性能、可靠性，以及最終的業(yè)務(wù)許可成本。
這些風(fēng)險中的許多都可以通過一些基本原則來克服，例如保護每個云計算服務(wù)、確保與每個服務(wù)的連接安全、對每個服務(wù)應(yīng)用威脅和數(shù)據(jù)保護，以及最終確保云計算安全的消費者(即員工)有一個安全和高性能的網(wǎng)絡(luò)來訪問這些服務(wù)?！?
了解責(zé)任
展現(xiàn)這一領(lǐng)域的安全領(lǐng)導(dǎo)力還包括了解企業(yè)負責(zé)云計算部署的哪些方面，并承擔(dān)這些責(zé)任。
Orange Cyber??defense公司英國市場負責(zé)人Stuart Reed解釋說：“決定利用云計算的功能不僅是一項業(yè)務(wù)決定，還應(yīng)考慮相關(guān)的責(zé)任及其對資源的影響。至關(guān)重要的是要記住，外包控制并不等于外包責(zé)任，企業(yè)領(lǐng)導(dǎo)者應(yīng)了解云計算提供商處理哪些安全任務(wù)以及自己的組織負責(zé)哪些安全任務(wù)。
盡職調(diào)查是必不可少的，云計算提供商應(yīng)至少具有與企業(yè)應(yīng)用在自己的組織相同的風(fēng)險框架和控制措施。在理想情況下應(yīng)該更好。
隨著涉及配置不足的網(wǎng)絡(luò)泄露的案例不斷增多，重要的是要了解如何穩(wěn)健地配置服務(wù)以確保最佳性能和安全性。證明安全性被包裝在云計算項目的核心而不是附件中，可以使安全性成為可擴展和可持續(xù)計劃的推動者?！?
制定明確的戰(zhàn)略
企業(yè)在制定云安全策略時，應(yīng)該牢記與云計算提供商之間的關(guān)系，了解雙方的責(zé)任，這樣安全人員就可以清楚地了解情況。
F5 Networks 公司首席技術(shù)官Lori MacVittie說，“公共云提供商都采用一種共享的安全責(zé)任模式，這種模式在服務(wù)提供商和企業(yè)之間有明確的劃分。也就是公共云提供商負責(zé)云計算基礎(chǔ)設(shè)施安全，企業(yè)負責(zé)應(yīng)用程序和系統(tǒng)等其他事項的安全，從這個意義上講，沒有‘云安全’這個單一的概念。
這一區(qū)別很重要，因為在大多數(shù)情況下，企業(yè)IT員工對云計算基礎(chǔ)設(shè)施操作的知識有限。通過明確區(qū)分這兩方面，企業(yè)領(lǐng)導(dǎo)者可以了解其組織只對受其控制的系統(tǒng)和應(yīng)用程序的安全性負責(zé)。這一區(qū)別還將重點轉(zhuǎn)移到IT團隊可以保護的領(lǐng)域，這使他們有信心推進保護公共云中應(yīng)用程序和系統(tǒng)的策略和服務(wù)。
因此，企業(yè)領(lǐng)導(dǎo)層必須制定一個安全策略，清楚地描述操作和應(yīng)用方面的問題。對于企業(yè)來說，這意味著要保護儀表板和控制臺，并適當遵守云提供商服務(wù)(例如Amazon S3)的最佳實踐。這兩者都是云計算安全的重要組成部分。
通過展現(xiàn)對共享云安全責(zé)任模式的認識，并就保護應(yīng)用程序、系統(tǒng)和服務(wù)的需求提供明確的方向，企業(yè)領(lǐng)導(dǎo)者將幫助安全人員更加自信地實現(xiàn)云安全。”
自動化和DevOps
云計算提供商通常支持自動化和DevOps，并且這些技術(shù)能夠加快任務(wù)的完成。此外，它們還可以進行自動安全檢查，從而可以為安全人員騰出更多的時間。
Red Hat公司首席安全架構(gòu)師Mike Bursell說：“有時候不必展現(xiàn)領(lǐng)導(dǎo)能力，因為已經(jīng)掌握了一切。”一般而言，自動化為云計算的應(yīng)用提供幫助，而云計算的安全性也必須實現(xiàn)自動化。
企業(yè)的安全控件需要集成到整個DevOps生命周期中，這樣就不會出現(xiàn)瓶頸，而企業(yè)中為數(shù)不多的安??全專家之一會在部署前檢查所有內(nèi)容。與其相反，安全性應(yīng)該是生命周期的一部分，并且是內(nèi)置和自動化的，因此可以通過檢查異常來管理安全性：在出現(xiàn)問題時可以通過專家解決，如果一切都能正常進行部署，那可以實現(xiàn)自動化。這使企業(yè)的開發(fā)和運營團隊擺脫繁重瑣碎的人工檢查工作，并使企業(yè)的安全專家團隊可以專注于應(yīng)對網(wǎng)絡(luò)攻擊和漏洞等真正的問題。”
警惕云蔓延
理光公司IT、通信和工作場所總監(jiān)John Chambers認為，企業(yè)決策者要考慮的云安全領(lǐng)導(dǎo)力的最后一個方面是云蔓延的可能性。
Chambers說：“云計算應(yīng)該被視為一項至關(guān)重要的長期投資，因為它無疑將使企業(yè)員工的工作更輕松，并有助于防止安全威脅。此外，基于云計算的基礎(chǔ)設(shè)施可以提供可擴展性和彈性，以提供適應(yīng)季節(jié)性需求高峰所需的原始計算和存儲容量。
但是，需要注意避免‘云蔓延’——在這種情況下，額外的資源被激活，并在不再需要時沒有停用，這可能會導(dǎo)致不可預(yù)見的成本大幅增加。
云計算為企業(yè)在異常情況下繼續(xù)運作提供了更大的潛力。重要的是要記住，在家工作的只有員工個人和他們的設(shè)備，其余大部分業(yè)務(wù)活動都應(yīng)該在云端進行。而現(xiàn)在員工開展的工作都能在任何地方進行。”
|
