4000-110-253
细数云服务的11个威胁 云安全应该交给谁？. 2019-09-27
随着云计算的发展以涵盖更多企业应用程序，数据和流程，公司可能会选择将其安全服务外包给供应商。
一项行业调查显示，许多公司需要关注安全问题，而不是将任务交给云提供商。云安全联盟对241个行业专家进行了调查，发现了一个“令人震惊”的云安全问题。
调查的作者指出，今年许多安全问题都指向用户的安全责任，而不是依赖服务提供商。我们注意到，传统的云服务提供商在云安全问题上的排名已下降。过去，拒绝服务，共享技术漏洞，CSP数据丢失和系统漏洞等问题都是高度安全隐患，现在排名下降。这些表明，CSP负责的传统安全问题似乎不那么令人担忧。相反，我们看到了更多安全问题，这些问题需要解决高级管理决策带来的技术堆栈。
这与《福布斯见解》（ForbesInsights）和VMware最近进行的另一项调查相一致，该调查发现一些公司正试图避免将安全措施移交给云提供商，只有31％的公司表示已将安全措施移交给云提供商。尽管如此，仍有94％的公司在某些安全方面使用云服务。
最新的CSA报告重点介绍了今年的主要安全问题:
1.数据泄漏。该报告的作者指出，数据正成为网络攻击的主要目标。定义数据的业务价值及其损失的影响对于拥有或处理数据的公司而言非常重要。此外，他们补充说，保护数据正在演变为谁有权访问该数据的问题。加密技术可以帮助保护数据，但是它可能对系统性能产生负面影响，同时降低应用程序的用户友好性。
2.配置错误和更改控制不足。基于云的资源非常复杂和动态，这使配置具有挑战性。传统的控制和变更管理方法在云中无效。公司应采用自动化技术，并采用能够持续扫描错误配置的资源并实时解决问题的技术。
3.缺少云安全体系结构和策略。确保安全体系结构与业务目标一致。开发和实施安全体系结构框架。
4.身份，凭据，访问和密钥管理不足。安全帐户包括两因素身份验证和有限的根帐户使用。针对云用户和身份的最严格的身份和访问控制。
5.帐户劫持。这是必须认真对待的威胁。防御和IAM控制是减少帐户劫持的关键。
6.内部威胁。采取措施减少内部过失有助于减轻内部威胁的后果。为您的安全团队提供培训，以正确安装，配置和监视计算机系统，网络，移动设备和备份设备。CSA还敦促“定期对员工进行培训”。为普通员工提供有关如何应对网络钓鱼等安全风险的培训，并保护他们在公司外部的笔记本电脑和移动设备上携带的公司数据。
7.不安全的接口和API。保证良好的API。良好做法包括对库存进行仔细的监督，测试，审计和保护异常活动。此外，考虑使用标准和开放的API框架（例如，开放云计算接口（OCCI）和云基础架构管理接口（CIMI））。
8.控制平面弱。公司应进行详细调查，并确定他们打算使用的云服务是否具有足够的控制平面。
9.元结构和应用程序结构故障。云服务提供商必须提供可见性和开放的缓解措施，以弥补租户对云的固有缺乏透明度。应该对所有csp进行渗透测试，并将结果提供给客户。
10.有限的云使用情况可见性。降低风险始于从头到尾开发完整的云可见性工作。需要在全公司范围内培训公认的云使用策略及其实施。所有未经批准的云服务都必须由云安全架构师或第三方风险管理器进行审核和批准。
11.滥用和恶意使用云服务。公司应监视在云上工作的员工，因为传统机制无法减轻与云服务使用相关的风险。
