企业遵循三个最佳的安全实践，可以保护云计算应用程序和基础设施中的客户或专有数据的安全。
BetterCloud公司最近进行的一项调查发现，企业平均使用80个第三方云计算应用程序进行协作、通信、开发、管理合同、授权签名，并以其他方式支持处理和存储敏感数据的业务功能。这些类型的应用程序称为SaaS。
企业还在PaaS和IaaS上扩展应用程序和业务。2020年，有76%的企业在AWS云平台上运行其应用程序，63%的企业在Microsoft Azure云平台上运行应用程序。
Capital One公司技术顾问和前任首席信息安全官(CISO)Michael Johnson表示，这些公共云服务都是必需的且富有成效的，甚至比传统的数据中心提供更安全的环境。但是，它们也给正在处理和存储在云平台中的敏感数据带来了独特的风险，其中大多数风险是由这些服务的设置和管理中的客户错误引起的。
Johnson 以该公司在2019年发生的数据泄露事件为例，此次事件泄露了8000万的个人记录。在其中，网络攻击者利用了配置不当的第三方云计算环境。Johnson和他的团队弥补了这一漏洞，并借助强大的响应计划，与企业董事会和执行团队的透明性以及与执法部门之间的合作关系，在数据被利用之前迅速帮助执法机构抓获网络攻击者。
制定应对计划以应对在云平台中放置敏感数据的风险，这应该是任何云安全策略的一部分。要开始制定有关公共云使用的数据保护政策，重要的是要了解攻击者如何窃取来自第三方云服务的数据。
数据在云中如何受到攻击
根据云安全联盟(CSA)发布的2020年度威胁报告，第三方云服务中的数据泄露主要是由于配置错误和变更控制不充分(例如，过多的权限、默认凭据、配置不正确的AWS S3存储桶以及禁用的云安全控制)造成的。这份报告指出，这意味着缺乏云计算的安全策略或架构，是造成数据泄露的另一个常见原因，其次是身份和密钥管理不足，其次是不安全的API、结构故障以及对云计算活动和安全控制的有限可见性。
云安全联盟(CSA)首席执行官Jim Reavis表示：“由于越来越多的企业员工开展远程工作，SaaS在2021年已成为我们关注的重点。公共云采用率出现了惊人的增长，但是很多企业在匆忙中却忘记了对边缘网络的安全保护。例如，人们在多个云服务中重复使用其凭据，因此凭据填充攻击正日益增多。”
根据安全服务商McAfee公司的一项调查，到2020年5月，思科WebEx的使用量增加了600%，Zoom增长了350%，Microsoft Teams增长了300%，Slack增长了200%。Reavis指出，在企业最初支持远程工作的过程中，有许多可能导致数据泄漏的故障：IT团队没有保护云中的存储桶、实施安全的开发人员实践，或协调身份和访问程序。有些甚至是网络攻击者在存储库中发现的硬编码应用程序凭据。他补充说，“这是非常基本的东西。”
企业遵循以下三个最佳实践将显著降低在云中存储或处理数据的风险。
1.盘点云服务的使用情况
首席信息安全官IanPoynter建议，应对云平台中数据威胁的最佳方法是控制云应用程序的使用，并在涉及公共云服务的任何新举措的规划阶段执行风险评估。
首席信息安全官(CISO)之间的共识是，用户的云计算实例并非总是得到授权，并且很少针对公开数据进行有效监控。Poynter说，“这就是首席信息安全官(CISO)需要成为执行团队成员的原因，他们需要了解正在发生的事情，并且还需要创建一个协作环境，业务部门主管希望与他们共享新项目或产品，然后让他们评估正在寻找的云计算产品以获得支持。”
他表示，他曾向以前任职的一家公司的会计部门发出警告，告知哪些第三方云应用程序和平台的费用报销需要获得批准。如果未经事先批准，在批准服务以外购买的业务单位或个人用户的报销申请将被拒绝。
这是强制执行云计算应用程序白名单的人为但有效的方法。云计算应用程序允许和拒绝列表也是通常部署在企业控制的端点上或通过零信任技术(例如浏览器隔离)来控制用户、企业和云计算应用程序之间远程会话的强大技术控制。
2.云原生的安全性
Johnson表示，在企业已经实现标准化的成熟云服务和应用程序中使用云原生安全产品。例如，评估正在使用的应用程序的配置合规性的AWS Inspector，以及可以检测恶意活动和未经授权的行为的Amazon GuardDuty。他表示，企业需要对云计算提供商的声誉进行尽职调查，并尽量采用规模较大的云计算提供商的服务，因为通常他们会在数据保护和可见性控制方面获得更高的评分。
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
