與網絡安全公司的首席技術官相比，還有誰能更好地獲得有關如何保護企業(yè)云的建議？

將業(yè)務遷移到云端的企業(yè)將會獲得一些顯著的好處，即冗余、成本節(jié)約、易于集成，但在云端托管應用程序帶來的挑戰(zhàn)和安全風險也很多。對于企業(yè)的首席技術官和首席信息安全官來說，缺乏可視性、內部或外部威脅因素可能會泄露數(shù)據，以及合規(guī)性令人擔憂。但面臨的問題并不只有這些。他們還發(fā)現(xiàn)，與真正將安全性和合規(guī)性集成到云端相比，加強其安全性通常是亡羊補牢的做法，而很多企業(yè)則對傳統(tǒng)的內部部署安全控制進行了抨擊，需要更加主動和全面的方法，以便在對云安全有效的至關重要的所有領域實現(xiàn)適當級別的控制實施、覆蓋范圍和成熟度。

本文將對企業(yè)如何更有效地保護云中信息進行分析。以下最佳實踐和見解源于保護財富100強企業(yè)免受數(shù)據泄露的經驗，并且應該成為企業(yè)尋求增強其在云中的信息安全態(tài)勢的首要考慮因素。

部署和驗證數(shù)據丟失預防功能

對于遷移到云端的公司來說，最重要的考慮因素之一是數(shù)據丟失預防（DLP）功能的部署和驗證。對于任何軟件即服務（SaaS）解決方案（包括Office 365、Amazon Web Services、Salesforce或Workday），實現(xiàn)有效數(shù)據丟失預防（DLP）的第一步是建立數(shù)據標簽實踐。由于數(shù)據丟失預防（DLP）解決方案依賴于正則表達式或基于模式的搜索來識別和保護數(shù)據丟失，因此無效的數(shù)據標記做法幾乎不可能防范泄漏風險。人們建議企業(yè)以最大的敏感性處理未標記的文檔，并通過創(chuàng)建嚴格的數(shù)據丟失預防（DLP）策略阻止它們離開企業(yè)。這可以通過自動隔離違反這些策略的文件來實現(xiàn)。

維護敏感數(shù)據安全的組織需要評估由云計算訪問安全代理（CASB）解決方案提供的基于主機的敏感數(shù)據發(fā)現(xiàn)解決方案和／或基于網絡的數(shù)據丟失預防（DLP）。云計算訪問安全代理（CASB）提供了檢查云計算環(huán)境中所有客戶端到服務器流量的能力，以揭示隱藏在傳輸層安全性（TLS）加密通信中的威脅或惡意文件。云計算訪問安全代理（CASB）還使系統(tǒng)管理員能夠檢測從云計算到惡意命令和控制（C2）服務器的未授權網絡呼叫。云計算訪問安全代理（CASB）工具提供的審計功能可以輕松地與內部企業(yè)分層防御集成。此集成提供整個企業(yè)威脅防護功能的單一控制平臺視圖。

大型跨國公司需要有效保護敏感數(shù)據免于泄漏，但可能缺乏對其各種云計算解決方案足跡的完整理解。這使得完全保護企業(yè)所需的數(shù)據丟失預防（DLP）覆蓋幾乎不可能實現(xiàn)。通過有效的身份和訪問管理實踐（如單點登錄和粒度授權），企業(yè)可以通過有效的身份和訪問管理實踐（如單點登錄和粒度授權）實現(xiàn)對其云足跡的更大可見性。這些控制有助于企業(yè)確保通過其各種云計算解決方案的敏感流量由云計算訪問安全代理（CASB）檢查。

最近的安全漏洞已經強調了與未能對訪問包含敏感信息的文件實施細粒度授權相關的風險。企業(yè)有效地限制對授權組成員的訪問至關重要。當實施安全策略時，系統(tǒng)管理員還需要考慮對組織內每個組執(zhí)行CRUD（“創(chuàng)建、讀取、更新和刪除”）和下載功能。除此之外，還必須對臨時員工實施有條件的訪問，以確保訪問僅限于組織批準的設備。

成熟的身份和訪問管理控制

身份和訪問管理（IAM）功能是在云中實現(xiàn)成熟的信息安全狀態(tài)所不可或缺的。作為一個起點，企業(yè)應考慮單點登錄（SSO）、訪問請求和企業(yè)和員工自有設備的認證，以及特權訪問管理。

有效身份和訪問管理（IAM）計劃的一個基本原則是通過集中化可以最有效地實現(xiàn)和維護安全性。單點登錄（SSO）是一種在不同平臺之間統(tǒng)一用戶身份驗證的機制，就是這一概念的一個示例，它提供了一個單一控制平臺視圖，可以了解誰在對企業(yè)服務器進行身份驗證，同時促進更有效的員工入職和離職。此外，單點登錄（SSO）通過實施多因素身份驗證（MFA）為更嚴格的身份驗證提供了基礎。

同樣，企業(yè)也應考慮從身份和訪問管理（IAM）角度集中管理應用程序的舉措（例如訪問請求和認證以及定期用戶訪問評審）。根據經驗，此類計劃可以提高整體身份和訪問管理（IAM）成熟度，并確保為應用程序和用戶正確實施安全策略。

人們還將特權訪問管理（PAM）視為身份和訪問管理（IAM）狀態(tài)的核心。特權訪問管理（PAM）可幫助組織限制和監(jiān)控云中特權賬戶（包括服務賬戶）的使用，以降低特權憑據被攻擊者濫用的風險。人們已經看到了財富100強公司的特權憑證遭到入侵和濫用以在整個網絡中種植遠程shell的事件。可以通過實施更細粒度的身份和訪問管理（IAM）策略來防止這些攻擊。

通過強大的端到端加密保護靜態(tài)數(shù)據和傳輸

在設計云安全策略時，企業(yè)需要確定如何使用強大的端到端加密來保護靜態(tài)數(shù)據和傳輸中的數(shù)據。

保護云中靜態(tài)數(shù)據的最關鍵方面是保護云計算服務提供商提供的密鑰。許多企業(yè)未能安全地處理這些密鑰。即使在規(guī)模最大的公司，仍然在將密鑰的網址輸入互聯(lián)網瀏覽器時而無意中暴露公鑰。這種常見的錯誤可能不僅會導致云平臺的憑據和配置泄漏，還會導致云實例被攻擊者完全接管。

對于傳輸中的數(shù)據，大多數(shù)公司已經意識到通過TLS等加密通道發(fā)送數(shù)據的好處。但是需要注意的是，在處理敏感信息（例如醫(yī)療保健或財務數(shù)據）時，添加另一層加密措施以防止攻擊至關重要。例如，企業(yè)可能會考慮加密有效負載并固定TLS證書。