早在2011年我在舊金山舉行的年度信息安全大會(huì)RSA Conference上做新聞報(bào)道時(shí)，問(wèn)過(guò)與會(huì)人士：“安全領(lǐng)域炒得最火的話題是什么?”
大家無(wú)一例外地回答：“云計(jì)算”。
四年前，云計(jì)算可能炒作過(guò)頭，不過(guò)如今它卻是必不可少的業(yè)務(wù)驅(qū)動(dòng)因素。遺憾的是，由于對(duì)有效使用的認(rèn)識(shí)存在著混淆，導(dǎo)致業(yè)界出現(xiàn)了一系列誤區(qū)，常常讓許多CIO惴惴不安。
哪些是不斷流傳的云安全誤區(qū)?哪些才是真相?下面是行業(yè)專家們要說(shuō)的話。
1. 云天生就不安全。
Mimecast公司的網(wǎng)絡(luò)安全專家Orlando Scott-Cowley認(rèn)為：“一直流傳甚廣的最大誤區(qū)就是，你放在云端的數(shù)據(jù)不安全。這年頭外面仍有大批的服務(wù)器擁躉，他們聲稱數(shù)據(jù)放在自己的網(wǎng)絡(luò)上來(lái)得更安全;他們?cè)诜?wù)器機(jī)房里能切實(shí)地控制服務(wù)器，看著小小的指示燈閃爍，覺(jué)得很放心。”
Softchoice公司的技術(shù)服務(wù)經(jīng)理Tim McKellips說(shuō)：“對(duì)于不在自身控制范圍之內(nèi)的東西，人們自然往往覺(jué)得天生不太安全。我認(rèn)為，微軟等云服務(wù)提供商正在付出巨大的努力，以一種普通客戶無(wú)法做到的方式確保云環(huán)境安全。”
眾多專家提出了這個(gè)根深蒂固的誤區(qū)，認(rèn)為相比普通企業(yè)，云服務(wù)提供商擁有更強(qiáng)的專業(yè)性和更多的技術(shù)人員。
LiquidHub公司的合伙人兼全球Salesforce業(yè)務(wù)負(fù)責(zé)人Brennan Burkhart說(shuō)：“云服務(wù)公司正開(kāi)始大規(guī)模地投入，規(guī)模之大是任何一家企業(yè)組織所無(wú)法比擬的。”
Nimbix公司的首席技術(shù)官Leo Reiter補(bǔ)充說(shuō)：“網(wǎng)絡(luò)安全稱得上是云服務(wù)公司的立足之本，而另外大多數(shù)企業(yè)組織通常并不將安全列為是核心競(jìng)爭(zhēng)力之一。”
Whatisitwellington網(wǎng)站的作者兼IT顧問(wèn)Ian Apperley另補(bǔ)充道：“云計(jì)算提升了貴企業(yè)的安全;如果貴企業(yè)自己來(lái)搞，根本負(fù)擔(dān)不起因此需要的成本。這要?dú)w功于云的規(guī)模經(jīng)濟(jì)效應(yīng)。”
2.云安全爭(zhēng)論很簡(jiǎn)單。
ISG公司的首席顧問(wèn)Scott Feuless認(rèn)為：“最大的誤區(qū)是，云安全問(wèn)題實(shí)在太簡(jiǎn)單了。”
“云不大安全”這個(gè)觀點(diǎn)沒(méi)有考慮到?jīng)Q定部署云服務(wù)所涉及的許多變化因素，比如貴企業(yè)的規(guī)模、現(xiàn)有的內(nèi)部專長(zhǎng)、你的競(jìng)爭(zhēng)對(duì)手有哪些、是否需要為每一次部署執(zhí)行滲透測(cè)試以及貴企業(yè)的擴(kuò)展需要。
沒(méi)必要將云看作是只能二擇其一的決定。Netskope公司的首席執(zhí)行官兼創(chuàng)始人Sanjay Beri說(shuō)：“這不是‘是或不’或者‘允許或禁止’的問(wèn)題。正是由于無(wú)所不在的API(應(yīng)用編程接口)，現(xiàn)在有一些工具和功能讓IT人員能夠在許多環(huán)境下確保云安全，滿足用戶的獨(dú)特要求。”
3. 云端數(shù)據(jù)泄露事件更多。
這個(gè)誤區(qū)再次讓一個(gè)非常復(fù)雜的問(wèn)題簡(jiǎn)單化了。據(jù)《2014年春天Alert Logic公司云安全報(bào)告》聲稱，內(nèi)部服務(wù)提供商和云主機(jī)托管服務(wù)提供商(CHP)都發(fā)現(xiàn)從2012年到2013年，漏洞掃描的數(shù)量急劇增加，CHP的增幅略高一點(diǎn)。但是內(nèi)部環(huán)境受攻擊的風(fēng)險(xiǎn)要高得多，這取決于攻擊類型，比如惡意軟件和僵尸網(wǎng)絡(luò)。
KEMP科技公司的產(chǎn)品線管理主管Jason Dover說(shuō)：“對(duì)私有云基礎(chǔ)設(shè)施和服務(wù)提供商網(wǎng)絡(luò)而言，互聯(lián)網(wǎng)威脅完全是同樣大的風(fēng)險(xiǎn)。”
Huddle公司的總裁兼聯(lián)合創(chuàng)始人Alastair Mitchell說(shuō)：“如果實(shí)施了預(yù)防和檢測(cè)攻擊的正確的安全政策，攻擊對(duì)云構(gòu)成的威脅其實(shí)與對(duì)基礎(chǔ)設(shè)施的其他任何部分構(gòu)成的威脅一樣小。”
ASG軟件解決方案公司云部門(mén)產(chǎn)品管理副總裁Torsten Volk特別指出：“公有云提供商通常雇有一支技術(shù)過(guò)硬的安全專業(yè)團(tuán)隊(duì)，它們還擁有規(guī)模經(jīng)濟(jì)效應(yīng)，有能力購(gòu)置最先進(jìn)的專業(yè)安全設(shè)備。它們的聲譽(yù)維系于此。”
4. 對(duì)數(shù)據(jù)擁有物理控制意味著安全。
Splunk公司的Splunk Cloud主管Praveen Rangnath說(shuō)：“云安全方面的最大誤區(qū)是，控制是安全或者說(shuō)是缺乏安全的基礎(chǔ)。其實(shí)，可見(jiàn)性才是基礎(chǔ)。”
NaviSite公司的總經(jīng)理Sumeet Sabharwal補(bǔ)充說(shuō)：“過(guò)去幾個(gè)月諸多的重大安全事件足以表明，數(shù)據(jù)的物理位置不如訪問(wèn)及相關(guān)控制措施來(lái)得重要。”
CliQr公司的企業(yè)開(kāi)發(fā)執(zhí)行副總裁David Cope表示，相信數(shù)據(jù)位置誤區(qū)讓注意力偏離了較為常見(jiàn)的攻擊途徑，比如利用人性弱點(diǎn)和惡意軟件。他提到，韋里遜公司(Verizon)的《2014年數(shù)據(jù)泄露調(diào)查報(bào)告》就是這一安全威脅趨勢(shì)的佐證。
5. 保持云安全要困難得多。
Flux7公司的首席執(zhí)行官Aater Suleman說(shuō)：“我們?cè)诎踩矫娉３Ｅ龅降囊淮笳`區(qū)就是，在云端保持安全要比在企業(yè)內(nèi)部保持安全來(lái)得困難。”
WatchGuard公司的安全戰(zhàn)略和研究主管Corey Nachreiner特別指出：“最終，‘云’完全就是別人的網(wǎng)絡(luò)。”
Suleman繼續(xù)說(shuō)：“相信這個(gè)誤區(qū)導(dǎo)致許多公司不是以業(yè)務(wù)需求的名義危及安全，就是盡量讓關(guān)鍵任務(wù)型應(yīng)用系統(tǒng)不使用云。”
Denny Cherry & Associates Consulting公司老板兼首席顧問(wèn)Denny Cherry強(qiáng)調(diào)，其實(shí)安全問(wèn)題很相似。“SQL注入攻擊(系統(tǒng)面臨的最大安全風(fēng)險(xiǎn))仍是云環(huán)境面臨的一個(gè)問(wèn)題，但可以用與內(nèi)部環(huán)境一模一樣的方法來(lái)解決。無(wú)論是面對(duì)云服務(wù)提供商還是面對(duì)內(nèi)部系統(tǒng)，防火墻配置、滲透測(cè)試和VPN等都完全一樣重要。”
6. 你可以在云應(yīng)用程序周圍豎起邊界。
Cohesive Networks公司的首席執(zhí)行官兼聯(lián)合創(chuàng)始人Patrick Kerpan說(shuō)：“由于應(yīng)用程序遍布互聯(lián)網(wǎng)，如果企業(yè)認(rèn)為可以在自己的所有應(yīng)用程序周圍豎立起邊界，那它準(zhǔn)是瘋了。”
Sookasa公司的首席執(zhí)行官兼聯(lián)合創(chuàng)始人Asaf Cidon補(bǔ)充道：“即便面對(duì)云，人們?nèi)匀粡幕诰W(wǎng)絡(luò)的安全這個(gè)角度來(lái)考慮問(wèn)題。他們?nèi)栽噲D利用反向代理和防火墻來(lái)保護(hù)自己的網(wǎng)絡(luò)、遠(yuǎn)離云。”
Kerpan繼續(xù)說(shuō)：“安全應(yīng)該延伸到每一個(gè)企業(yè)應(yīng)用程序。”
Fluke Networks公司的安全分析師Greg Rayburn也表示：“需要多層安全防線來(lái)對(duì)付黑客。根本不存在哪一種高招。”
CMI公司的解決方案副總裁Tim Cuny說(shuō)：“邊界因云而延伸，邊界已經(jīng)因移動(dòng)技術(shù)和物聯(lián)網(wǎng)而支離破碎。應(yīng)當(dāng)擯棄保護(hù)網(wǎng)絡(luò)邊界這個(gè)舊觀念，將注意力放在一項(xiàng)全面的風(fēng)險(xiǎn)管理計(jì)劃上，致力于從人員、流程和技術(shù)的角度來(lái)保護(hù)資產(chǎn)。”
7. 我不用云，所以得到了更好的保護(hù)。
盡管許多人可能試圖自欺欺人地認(rèn)為自己不用云，但我們都上網(wǎng)，都面臨許多同樣的威脅。
Harmony科技公司的總裁Peter Landau認(rèn)為：“如果你的系統(tǒng)連接到互聯(lián)網(wǎng)，那么你已經(jīng)在云上。”
CloudCamp公司的聯(lián)合創(chuàng)始人Dave Nielsen補(bǔ)充道：“最大的安全威脅就是將任何設(shè)備(筆記本電腦等)連接到公共互聯(lián)網(wǎng)，或者將任何軟件部署到公共互聯(lián)網(wǎng)上。”
8. 可以遏制影子IT。
SysAid科技公司的首席執(zhí)行官Sarah Lahav說(shuō)：“無(wú)法避免員工自行購(gòu)置云服務(wù)給安全帶來(lái)的影響或后果。”
不過(guò)，雖然IT部門(mén)無(wú)法控制IT消費(fèi)化，但是一旦出了任何技術(shù)問(wèn)題，IT部門(mén)仍難逃其責(zé)。
Fluke Networks公司的首席技術(shù)官Bruce Kosbab說(shuō)：“業(yè)務(wù)用戶遇到應(yīng)用程序性能糟糕的情況時(shí)(包括SaaS應(yīng)用程序方面的性能問(wèn)題)，IT部門(mén)就要擔(dān)負(fù)責(zé)任，解決問(wèn)題，盡管IT部門(mén)可能與所使用的基礎(chǔ)設(shè)施毫無(wú)瓜葛。為了避免這種情況，IT和業(yè)務(wù)部門(mén)必須通力合作。”
CloudTweaks網(wǎng)站的資深作者Steve Prentice補(bǔ)充道，充分代表各部門(mén)的管理層(包括首席執(zhí)行官)必須對(duì)云安全政策的設(shè)計(jì)、部署和維護(hù)負(fù)責(zé)。
9. 云安全完全是云服務(wù)提供商的責(zé)任。
RiskIO公司的戰(zhàn)略副總裁Jeff M. Spivey說(shuō)：“一個(gè)常見(jiàn)的誤解是，云服務(wù)提供商自然而然滿足客戶數(shù)據(jù)和流程的所有安全要求。”
Avail Partners公司的執(zhí)行合伙人Scott Maurice說(shuō)：“就因?yàn)楂@得了針對(duì)云工作流程制定、實(shí)施和執(zhí)行安全措施的工具，并不天生可以規(guī)避攻擊或危害活動(dòng)數(shù)量增加引起的業(yè)務(wù)風(fēng)險(xiǎn)。”
ASG公司的Volk補(bǔ)充說(shuō)：“密碼政策、軟件補(bǔ)丁的發(fā)布管理、用戶角色管理、人員安全培訓(xùn)和數(shù)據(jù)管理政策，這些都是客戶需要擔(dān)負(fù)的責(zé)任，起碼與公有云提供商所做的安全工作一樣重要。”
就在你加固內(nèi)部安全的同時(shí)，別想當(dāng)然地以為云服務(wù)提供商備份你的數(shù)據(jù)，萬(wàn)一出現(xiàn)安全泄密事件，它能夠恢復(fù)數(shù)據(jù)。
Galeas Consulting公司的總裁Bruno Scap說(shuō)：“實(shí)施將放在云端的數(shù)據(jù)備份到本地備份系統(tǒng)或另一家云服務(wù)提供商的備份解決方案，這一點(diǎn)大有幫助，也至關(guān)重要。此外，為了防止安全泄密，你可能需要從已知干凈的備份來(lái)恢復(fù)數(shù)據(jù)。”
10. 你不需要管理云。
Oildex公司的軟件工程副總裁Michael Weiss說(shuō)：“許多人以為，由于云基礎(chǔ)設(shè)施常常根本上就是一項(xiàng)托管服務(wù)，服務(wù)的安全同樣受到管理。許多基于云的系統(tǒng)之所以無(wú)意間變得不安全，是因?yàn)榭蛻舨恢雷约盒枰扇∫恍┐胧﹣?lái)確保安全，因?yàn)樗麄円詾樘峁┥套隽藘?nèi)部安全人員傳統(tǒng)上在默認(rèn)情況下會(huì)做的工作。”
Zensar科技公司的助理副總裁兼云專家David Eichorn說(shuō)：“任何數(shù)據(jù)中心需要什么樣的安全機(jī)制，云安全就需要同樣一套機(jī)制。云數(shù)據(jù)中心與任何數(shù)據(jù)中心一樣具有彈性，不過(guò)要是相
