云安全，無(wú)論何時(shí)提起，其重要性都不容小覷。

根據(jù)網(wǎng)絡(luò)安全機(jī)構(gòu)Sophos的研究，云安全事件正在時(shí)刻發(fā)生。

根據(jù)該公司發(fā)布的《2021年云安全狀況》顯示，近四分之三的企業(yè)遭受了云安全攻擊，其中惡意軟件、勒索軟件、云泄漏和配置錯(cuò)誤是最大的威脅。

此外，運(yùn)行多云環(huán)境也是企業(yè)遭受云安全事件影響的因素之一。 2022年，當(dāng)各行各業(yè)掀起上云狂潮后，云安全的概念隨之爆發(fā)。據(jù)Gartner預(yù)測(cè)，到2023年，云安全市場(chǎng)規(guī)模將增長(zhǎng)10倍，達(dá)到124億美元(相比之下，2020年為12億美元)。

與此同時(shí)，越來(lái)越多的中小企業(yè)也在增加對(duì)網(wǎng)絡(luò)安全方面的投入，無(wú)形中助推了云安全從一個(gè)小眾市場(chǎng)走向主流的步伐。

01需求爆發(fā)式增長(zhǎng)云安全首次突破百億元大關(guān)

在國(guó)內(nèi)，云安全市場(chǎng)持續(xù)保持高速增長(zhǎng)，2021年云安全市場(chǎng)規(guī)模首次突破百億元大關(guān)，達(dá)到117.7億元，同比增長(zhǎng)46.4%。綜合來(lái)看，云安全市場(chǎng)的高速增長(zhǎng)，是多種因素共同推動(dòng)的結(jié)果。

在政策層面，國(guó)內(nèi)數(shù)據(jù)安全相關(guān)的法律法規(guī)日益完善，面向高速發(fā)展的市場(chǎng)給出了引導(dǎo)規(guī)范和明確標(biāo)準(zhǔn)。

近幾年，國(guó)家陸續(xù)出臺(tái)了《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《汽車(chē)數(shù)據(jù)安全管理若干規(guī)定(試行)》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等法規(guī)，從通用型法律法規(guī)，到重點(diǎn)行業(yè)相關(guān)條例、指南、標(biāo)準(zhǔn)等，為企業(yè)上云用數(shù)安全提出了更高要求。

其次，企業(yè)對(duì)云安全的市場(chǎng)需求迎來(lái)爆發(fā)期。伴隨著云服務(wù)模式的深化應(yīng)用，細(xì)分領(lǐng)域和場(chǎng)景的安全實(shí)踐推動(dòng)云安全市場(chǎng)需求水漲船高。

混合多云、云原生、AI、IoT等新技術(shù)的應(yīng)用，催生了更細(xì)化的安全場(chǎng)景和更豐富的安全需求。

此外，充分的市場(chǎng)競(jìng)爭(zhēng)也促使云服務(wù)商、安全廠商不斷投入云安全新技術(shù)、新應(yīng)用的研發(fā)與實(shí)踐，加速了云安全市場(chǎng)的增長(zhǎng)。

在上一個(gè)時(shí)代領(lǐng)跑的安全公司(如奇安信、深信服、綠盟科技、亞信科技、啟明星辰等)，憑借深度扎根云安全領(lǐng)域畫(huà)出了第二增長(zhǎng)曲線;在平臺(tái)類(lèi)公司中，阿里、騰訊、華為、百度等玩家貼身肉搏競(jìng)爭(zhēng)激烈;在新興公司中，微步在線、青藤云安全等公司憑借差異化優(yōu)勢(shì)成長(zhǎng)為安全獨(dú)角獸。

安全是一個(gè)高速迭代和進(jìn)化的領(lǐng)域，任何企業(yè)都需要保持對(duì)新興安全技術(shù)的敏感。

02想說(shuō)愛(ài)你不容易云安全道阻且長(zhǎng)行則將至

云計(jì)算給業(yè)務(wù)帶來(lái)的是全方位改變。隨著云化時(shí)代業(yè)務(wù)部署的環(huán)境更廣泛，組織需要管理的終端類(lèi)型也更多樣化。

同時(shí)，云時(shí)代IT資源和能力可以快速應(yīng)用到業(yè)務(wù)創(chuàng)新上，應(yīng)用的迭代速度也變得更加迅速。而云原生架構(gòu)和開(kāi)源代碼的廣泛應(yīng)用，則讓企業(yè)IT架構(gòu)和應(yīng)用變得越來(lái)越復(fù)雜。

這一系列變化，為企業(yè)安全帶來(lái)了許多新的挑戰(zhàn)。當(dāng)企業(yè)的業(yè)務(wù)上云之后，傳統(tǒng)安全產(chǎn)品大多無(wú)法直接部署到云環(huán)境中，對(duì)于容器、API攻擊等云時(shí)代語(yǔ)境下的安全問(wèn)題已經(jīng)失效。

在多云、多終端的環(huán)境下，需要安全保護(hù)和運(yùn)營(yíng)管理兩個(gè)緊密集成但又相互分離的生態(tài)系統(tǒng)，這就造成復(fù)雜的操作環(huán)境，而使用多種不同技術(shù)平臺(tái)運(yùn)行并行環(huán)境，會(huì)在監(jiān)控、安全和生產(chǎn)支持等領(lǐng)域帶來(lái)持續(xù)的運(yùn)營(yíng)復(fù)雜性。

而云化架構(gòu)本身的復(fù)雜性，也會(huì)使得安全保護(hù)變得更加復(fù)雜、成本更高，因此需要有更簡(jiǎn)化的方式來(lái)實(shí)現(xiàn)安全保護(hù)。

從主機(jī)到虛擬機(jī)，從虛擬機(jī)到容器，云安全好像無(wú)所不能，貫穿了云時(shí)代的全部歷史。綠盟科技集團(tuán)副總裁曹嘉認(rèn)為，云看似安全，實(shí)則非常容易成為突破口。

無(wú)論是公有云、私有云還是混合云，沉淀著大量的自研開(kāi)發(fā)業(yè)務(wù)，此類(lèi)應(yīng)用安全問(wèn)題將會(huì)突顯。

同時(shí)，70%的企業(yè)會(huì)采用一些開(kāi)源組件去構(gòu)建軟件應(yīng)用，第三方組件也會(huì)引入安全風(fēng)險(xiǎn)，從而打破業(yè)務(wù)與安全的平衡。API開(kāi)放的大量公開(kāi)信息也可能會(huì)被攻擊者利用，形成新的安全風(fēng)險(xiǎn)。

因此，對(duì)于任何想要構(gòu)建云上安全體系的企業(yè)，云安全戰(zhàn)略正在變得日益重要。

如今，越來(lái)越多的企業(yè)認(rèn)識(shí)到，構(gòu)建云安全戰(zhàn)略是一項(xiàng)持續(xù)性工作，云安全需要有自上而下的頂層設(shè)計(jì)，要以安全為出發(fā)點(diǎn)構(gòu)建所有云上應(yīng)用。

在戰(zhàn)略?xún)?yōu)先級(jí)上，企業(yè)應(yīng)該將云安全作為“零號(hào)任務(wù)”貫穿云旅程的全過(guò)程。從最初的技術(shù)理念，到管理機(jī)制，再到企業(yè)文化，每個(gè)云服務(wù)從設(shè)計(jì)階段就要將云安全作為優(yōu)先考慮事項(xiàng)。

對(duì)于企業(yè)，構(gòu)建云化時(shí)代的安全能力，可以從采用云化交付的安全產(chǎn)品和服務(wù)、構(gòu)建適合云和云原生應(yīng)用的保護(hù)能力、采用適配于云時(shí)代的IT基礎(chǔ)設(shè)施這三個(gè)方面著手。

曹嘉認(rèn)為，云化的業(yè)務(wù)需要用云化的安全來(lái)保護(hù)，絕大多數(shù)安全產(chǎn)品的能力實(shí)際上都可以用云化的方式進(jìn)行交付。

比如網(wǎng)關(guān)安全、終端安全可以被SASE、SSE、云化的XDR來(lái)代替，而傳統(tǒng)的人工安全服務(wù)，也可以使用永久在線、持續(xù)對(duì)抗的MSS安全托管服務(wù)來(lái)代替。云化的安全產(chǎn)品和服務(wù)能夠快速部署、快速演進(jìn)，大幅簡(jiǎn)化用戶(hù)在產(chǎn)品交付和運(yùn)維上的工作。

在多云共存時(shí)代，企業(yè)的安全策略也應(yīng)當(dāng)是跨云的，需要統(tǒng)一進(jìn)行管理，實(shí)現(xiàn)統(tǒng)一的安全保護(hù)。

云安全不應(yīng)該是業(yè)務(wù)上線和運(yùn)維階段才考慮的問(wèn)題，而是在業(yè)務(wù)規(guī)劃、開(kāi)發(fā)、測(cè)試、上線、運(yùn)維的每一個(gè)環(huán)節(jié)，都嵌入安全開(kāi)發(fā)機(jī)制，從而更早發(fā)現(xiàn)風(fēng)險(xiǎn)，更早修復(fù)，大幅提升業(yè)務(wù)安全性。

在云化環(huán)境下，傳統(tǒng)的網(wǎng)絡(luò)邊界已經(jīng)消失，幾乎所有的終端、網(wǎng)絡(luò)都是不安全的環(huán)境，因此在云時(shí)代，要重新建立新的安全保護(hù)模型。

零信任架構(gòu)是目前業(yè)界廣泛認(rèn)可的用來(lái)實(shí)現(xiàn)跨云保護(hù)的一種安全模式。雖然零信任很美好，但目前落地往往不盡如人意，企業(yè)在建設(shè)零信任體系時(shí)，要充分考慮相關(guān)產(chǎn)品和方案的可落地性，不能選擇過(guò)度復(fù)雜的產(chǎn)品導(dǎo)致方案無(wú)法落地。

此外，如果基礎(chǔ)設(shè)施能夠內(nèi)置安全能力，可以大幅減少企業(yè)在云時(shí)代下的安全風(fēng)險(xiǎn)。

企業(yè)本地建設(shè)的基礎(chǔ)設(shè)施，包括私有云平臺(tái)、超融合等，安全能力和基礎(chǔ)設(shè)施幾乎是完全解耦的，需要單獨(dú)考慮安全建設(shè)問(wèn)題。

在云化時(shí)代下，企業(yè)需要更多采用天生具有安全保護(hù)能力的數(shù)字化基礎(chǔ)設(shè)施，比如能夠內(nèi)置防勒索的存儲(chǔ)、內(nèi)置微隔離的網(wǎng)絡(luò)、具備虛擬補(bǔ)丁的計(jì)算平臺(tái)等。

當(dāng)然，這種適配于云時(shí)代的IT基礎(chǔ)設(shè)施建設(shè)，并非要把企業(yè)已有安全設(shè)施進(jìn)行全部替換，而是把傳統(tǒng)安全產(chǎn)品的部分能力云化并納入跨云管理平臺(tái)，使之成為云化環(huán)境安全保護(hù)的一部分，不但大幅提升安全效果，也簡(jiǎn)化了交付的復(fù)雜性。

回歸云化時(shí)代企業(yè)對(duì)安全的最本質(zhì)訴求，就是要有效，不但要有效保護(hù)業(yè)務(wù)，還能有效對(duì)抗攻擊。

雖然安全本身不會(huì)給業(yè)務(wù)創(chuàng)造價(jià)值，但安全缺失給業(yè)務(wù)造成的損失將遠(yuǎn)超想象。因此，安全一定要足夠簡(jiǎn)單，同時(shí)又足夠可靠，要讓用戶(hù)越來(lái)越省心，而不是越來(lái)越復(fù)雜。