盡管云計算在企業(yè)的采用率有所增加，但許多主管還是小心翼翼，不敢將數(shù)據(jù)遷移到云端。雖然他們不愿采用云主要源自安全和隱私方面的問題，但是那些擔心并非總是有根有據(jù)。

[[136879]]

TierPoint LLC是一家總部位于圣路易斯的云和主機托管服務提供商，首席安全官Paul Mazzucco表示，實際上，許多企業(yè)組織擔心云安全基本上歸因于誤區(qū)。Mazzucco在近日于紐約召開的云計算博覽會上表示，尤其是下列四大誤區(qū)讓主管們夜不能寐。

第一大誤區(qū)：云端數(shù)據(jù)天生就不大安全。

Mazzucco表示，許多主管誤以為放在云端的數(shù)據(jù)要比放在企業(yè)內部的數(shù)據(jù)來得岌岌可危。

與此同時，最近重大數(shù)據(jù)泄露事件紛紛傳出之后，業(yè)務主管們在企業(yè)內部圍繞云安全展開越來越多的討論，這些問題越發(fā)讓人憂心忡忡。

Jon Williams是總部位于南卡羅來納州格林維爾的律師事務所Ogletree Deakins的區(qū)域支持主管。他說：“我們有一個技術委員會，其成本基本上是我們事務所的幾位大股東，他們根本就不是IT人員。如今所有這些IT決策都要受到審批，我們會把想法告訴給他們，他們也把想法告訴我們。不過他們其實在一個勁地挑剔、提出問題。”

Mazzucco表示，盡管業(yè)務主管們很擔心，但數(shù)據(jù)在云端通常要比在企業(yè)內部來得安全。這是由于，絕大多數(shù)云服務提供商一開始就將安全(常常使用多層次方法)納入到其基礎設施中。

將數(shù)據(jù)遷移到云端還減小了影子IT的風險。所謂的影子IT是指，用戶繞過IT部門，訪問未經批準的云應用程序。

Mazzucco表示，大多數(shù)主管以為本公司運行的基于云的應用程序至多不超過50個，而企業(yè)實際使用的云應用程序平均超過500個。制定一項正式的云戰(zhàn)略讓IT部門擁有更大的透明度和控制度。

第二大誤區(qū)：安全戰(zhàn)略可以等一等。

自任何云部署項目一開始，制定云安全戰(zhàn)略就應該是業(yè)務部門和IT部門關注的首要事項。據(jù)Mazzucco聲稱，在部署后打上安全補丁了事是沒有哪家公司愿意冒的風險。

他說：“這是現(xiàn)在得趕緊采取的措施。”

即便企業(yè)組織已落實了適當?shù)陌踩胧⑶彝ㄟ^服務級別協(xié)議(SLA)確保云服務提供商同樣落實了適當?shù)陌踩胧粘１O(jiān)控和報告也應該總是一個優(yōu)先事項。

第三大誤區(qū)：通過認證的云服務提供商保證數(shù)據(jù)肯定能得到保護。

許多企業(yè)組織完全憑借云服務提供商擁有的合規(guī)或監(jiān)管認證數(shù)量來評估對方的安全模型。Mazzucco提醒，但不應該是這樣。相反，IT部門應該總是“進入到下一個階段”，評估提供商的云環(huán)境。

他說：“總是要核實提供商向你出示的合規(guī)認證。”

為此，企業(yè)應該對提供商進行獨立的安全評估，或者請第三方開展這項工作。首先，要參照云安全聯(lián)盟的《共識評估倡議調查問卷》(Consensus Assessment Initiative Questionnaire)，它列出了云用戶和審查人員應當詢問潛在云服務提供商的一系列問題。

此外，企業(yè)組織應該總是要求提供商的安全實踐/做法至少有一定的透明度，并且盡可能在SLA中加以注明。

第四大誤區(qū)：弄好后就不用管。

正如IT部門不應該在部署后胡亂拼湊安全戰(zhàn)略那樣，它們也不能在投入使用后就忘了該戰(zhàn)略。

Mazzacco表示，可靠的云安全模型應該不斷完善。它應該需要多層次方法，需要日常的高級威脅檢測，需要實時警報，還需要一致的監(jiān)控和報告機制。不斷更新反病毒和反惡意軟件技術在云環(huán)境下應當與在內部環(huán)境下來得同樣要緊。

Mazzucco說：“說到云安全，過去那種‘眼不見心不煩’的心態(tài)很危險，要不得。當然，讓一支專設的小組查看計算環(huán)境的所有層次、所有日志以及安全環(huán)境的方方面面，這比老方法要好得多。”

英文：Four cloud security myths debunked