“万物皆可云”时代,云安全比任何时候都更重要!

科技云报道原创。

随着企业上云已是大势所趋,云上安全成为企业数字化转型趋势下不可忽视的重要因素。《网络安全法》《数据安全法》《个人信息保护法》等法律法规的出台,使得我国网络安全在制度层面得到进一步完善。在国外,欧盟的GDPR、美国的CCPA等相关数据安全法律法规,无不彰显对数据保护的力度。因此,在云环境下如何确保数据和应用安全的要求,也成为云服务商与企业用户的共同目标。

在云安全方面,由于不同云技术厂商对于IaaS、PaaS、SaaS安全责任边界存在一定程度的模糊性,且许多企业会采用多云模式,而企业云上安全责任边界如果不清晰,就很容易形成安全薄弱环节,成为网络攻击与违法犯罪的入口。

 

 

云安全成为数字时代新的“主战场”

如今,数据作为关键生产要素和重要的战略资产,备受各国政府的关注和重视。但与此同时,海量的数据催生了许多安全管理问题,消费者的数据安全和用户的隐私保护工作愈发重要。放眼全球,各国也都在持续优化数据安全政策环境。安全合规,已经成为当下中国企业迈向云端的一堂必修课。

受数字化转型影响,越来越多的企业希望借助更现代化的数据备份、恢复和管理解决方案,实现关键业务变革。目前,数据的存储主要以云架构为技术基础,采用虚拟分布式存储的方式,在云端进行数据信息的操作处理。云存储提供了一种低成本的方案,企业不需要维护冗余设施,在花费更少资金的情况下,通过企业信息化管理提升工作效率。

《Veeam 2022 数据保护趋势报告》调研显示,2020年,30%的企业选择把数据备份在本地数据中心,23%的企业选择把数据备份在DRaaS云提供商那里;2021年,28%的企业选择把数据备份在本地数据中心;30%的企业选择把数据备份在云端。并且,本地数据正在快速向云端迁移,预计到2024年,将有53%的企业选择把数据备份在云端。

Gartner也发现,中国数据库正加速增长并逐步向云端迁移。数据显示,2020年云数据库已占据整体数据库市场份额的40%,预计2022年云数据库营收数据将占据数据库整体市场的半数以上。未来四年,中国数据库向公有云迁移的速度将超过全球平均水平。

随着企业对云计算的依赖度越来越高,风险敞口也一步步暴露出来。美国电信运营巨头Verizon发现,现今大部分的网络安全事件都涉及云端基础架构,而且外部云端资产受到的影响高于内部资产。有一半的企业将其40%以上的数据储存于外部云端环境,但对敏感数据进行加密保护的企业却并不多。

AWS在2021年8月针对使用者所进行的一项调查发现,100%受访者都在公有云环境,至少遭遇过一次安全事故。如今,大多数企业的IT系统会在多云环境下运行,但不同的云服务厂商带来了更严峻的安全挑战。大多数人表示,关于谁应该做什么,共同责任模型通常不够明确。公有云和混合云的快速采用,让安全维护变得更加困难,而疫情的推波助澜也加速了企业数字化转型的进程,这让云安全成为企业的刚需配置。

 

宜未雨而绸缪 勿临渴而掘井

根据Cybersecurity Insiders发布的《2021年云安全报告》显示,云安全是企业的“心腹大患”,几乎所有的受访者(96%)都表示有至少中等程度的安全担忧,三分之一的受访者(33%)表示对公有云安全非常担忧。

 

 

云平台安全能力与独立第三方安全产品难以抉择,平台、租户、应用厂商之间安全责任划分不清,合规监管下无法进行有效整改,云上安全风险无法主动识别,事件无法持续监控与响应,安全风险和态势无法全面洞察是企业面临的一系列安全挑战。

云安全带来的挑战首先来自于,企业需要控制数据,并确保数据的安全性和隐密性。无论是外包数据存储还是使用流行的云计算SaaS应用程序,将更多数据存储在云端,意味着可能给信息带来更多不必要的或者未经授权的访问。但因为云计算带来的商业利益,很多企业还是将业务和数据不断转移到云端。所以,企业安全团队和IT团队需要竭力保护云端数据,同时允许用户对云端数据的合理访问和使用。

其次,另一个巨大的挑战是确定云数据的具体位置。一旦数据离开企业的防火墙,转移到云计算中,这些数据通常会位于云服务供应商的设备中,这通常位于企业外部。由于各个国家和各个行业的法规都不同,企业必须能够遵守适用其数据的法规,这对于跨国企业来说是一个很大的挑战,他们需要遵守特定的数据法规,而他们的云服务供应商可能位于多个国家。

同时,安全建设的碎片化,网络安全意识存在偏差,也成为企业所面临的挑战之一。网络环境复杂度的增强,安全事件攻击手段的提升使网络空间的攻防战愈演愈烈,传统的人工应对方式已经完全不足以解决当前数量巨大、变化多端的威胁信息和攻击;在安全制度方面,安全事件处理流程无法标准化,安全专家经验不能迭代固化,使得安全建设体系发展缓慢;未体系化建设的安全,又常常是产品的堆砌,不同安全产品之间各自为战,碎片化、孤岛化,不仅无法带来安全能力的提升,反而增加运营团队的压力。

所以,企业需要提升云安全能力,制定规范的安全策略,构建有效的安全运营体系框架,在安全无忧的环境之中释放云能力,为数字化转型赋能。

在海外,亚马逊AWS、微软Azure均采用了与用户共担风险的安全策略。对IaaS服务来说,云服务商需保障物理、网络和虚拟化层面的安全,而用户需要保障操作系统、应用程序和数据的安全;对PaaS服务来说,操作系统安全也归云服务商负责,用户只需要负责应用程序和数据安全;对SaaS服务来说, 用户要负责的就是数据安全,而其他所有的部分都是云服务商的保障范围。

亚马逊云科技大中华区战略业务发展部总经理顾凡表示,随着企业加速上云,企业放到云上的数据类型、数量也会继续增加。而随着今天越来越多的中国企业出海,很多企业业务在全球范围拓展,甚至有很多企业是跨若干行业赛道进行竞争,所有这一切都会加剧企业面对安全合规的挑战。安全不仅仅是技术的问题,也是管理的问题。亚马逊云科技的“JobZero安全文化”将安全作为亚马逊云科技最高优先级的工作。

 

亚马逊云科技大中华区战略业务发展部总经理顾凡

 

亚马逊云科技为客户打造防护体系的宗旨是,帮助客户更简单地解决安全问题,持续不断加大安全投入,却不设置安全方面的营收指标,要让安全服务像水和空气一样,提供给用户。不依靠水和空气产生利润,却需要给用户提供优质的水和空气,创造健康的环境。亚马逊云科技目前提供了280多个安全、合规服务及功能,在五大领域为客户提供全方位的安全服务。

针对这种责任共担机构的分界线,顾凡透露,在IaaS、PaaS、SaaS不同的场景分界线会有所移动。举例来说,如果客户使用的是基础资源,分界线是云厂商保护云基础设施,例如虚拟机、网络存储、计算,用户负责虚拟化之上的资源,例如操作系统、应用、数据访问、加密。如果客户在云上采用的是PaaS服务,亚马逊云科技肩负的责任会更多。到SaaS服务的时候,客户主要负责的就是数据,以及数据的访问权限。

随着企业客户对于云的使用量增长,云业务在增长的同时也激发出更大的安全需求,云安全正成为数字时代新的主战场。基于云架构和针对数据的安全体系将被快速、广泛地结合进现有安全体系得到实践,以符合政策的监管和企业的需求。同时,各类产业的安全需求将更加细化,以实现更加严格的安全防护。因此,企业该如何保护业务,更好应对日益增长的威胁,这都是留给网络安全领域巨大的增长空间。

【关于科技云报道】

专注于原创的企业级内容行家——科技云报道。成立于2015年,是前沿企业级IT领域Top10媒体。获工信部权威认可,可信云、全球云计算大会官方指定传播媒体之一。深入原创报道云计算、大数据、人工智能、区块链等领域。

为您推荐