BetterCloud公司最近進行的一項調(diào)查發(fā)現(xiàn)，企業(yè)平均使用80個第三方云計算應用程序進行協(xié)作、通信、開發(fā)、管理合同、授權(quán)簽名，并以其他方式支持處理和存儲敏感數(shù)據(jù)的業(yè)務功能。這些類型的應用程序稱為SaaS。

企業(yè)還在PaaS和IaaS上擴展應用程序和業(yè)務。2020年，有76%的企業(yè)在AWS云平臺上運行其應用程序，63%的企業(yè)在Microsoft Azure云平臺上運行應用程序。

Capital One公司技術(shù)顧問和前任首席信息安全官(CISO)Michael Johnson表示，這些公共云服務都是必需的且富有成效的，甚至比傳統(tǒng)的數(shù)據(jù)中心提供更安全的環(huán)境。但是，它們也給正在處理和存儲在云平臺中的敏感數(shù)據(jù)帶來了獨特的風險，其中大多數(shù)風險是由這些服務的設置和管理中的客戶錯誤引起的。

Johnson 以該公司在2019年發(fā)生的數(shù)據(jù)泄露事件為例，此次事件泄露了8000萬的個人記錄。在其中，網(wǎng)絡攻擊者利用了配置不當?shù)牡谌皆朴嬎悱h(huán)境。Johnson和他的團隊彌補了這一漏洞，并借助強大的響應計劃，與企業(yè)董事會和執(zhí)行團隊的透明性以及與執(zhí)法部門之間的合作關(guān)系，在數(shù)據(jù)被利用之前迅速幫助執(zhí)法機構(gòu)抓獲網(wǎng)絡攻擊者。

制定應對計劃以應對在云平臺中放置敏感數(shù)據(jù)的風險，這應該是任何云安全策略的一部分。要開始制定有關(guān)公共云使用的數(shù)據(jù)保護政策，重要的是要了解攻擊者如何竊取來自第三方云服務的數(shù)據(jù)。

數(shù)據(jù)在云中如何受到攻擊

根據(jù)云安全聯(lián)盟(CSA)發(fā)布的2020年度威脅報告，第三方云服務中的數(shù)據(jù)泄露主要是由于配置錯誤和變更控制不充分(例如，過多的權(quán)限、默認憑據(jù)、配置不正確的AWS S3存儲桶以及禁用的云安全控制)造成的。這份報告指出，這意味著缺乏云計算的安全策略或架構(gòu)，是造成數(shù)據(jù)泄露的另一個常見原因，其次是身份和密鑰管理不足，其次是不安全的API、結(jié)構(gòu)故障以及對云計算活動和安全控制的有限可見性。

云安全聯(lián)盟(CSA)首席執(zhí)行官Jim Reavis表示：“由于越來越多的企業(yè)員工開展遠程工作，SaaS在2021年已成為我們關(guān)注的重點。公共云采用率出現(xiàn)了驚人的增長，但是很多企業(yè)在匆忙中卻忘記了對邊緣網(wǎng)絡的安全保護。例如，人們在多個云服務中重復使用其憑據(jù)，因此憑據(jù)填充攻擊正日益增多。”

根據(jù)安全服務商McAfee公司的一項調(diào)查，到2020年5月，思科WebEx的使用量增加了600%，Zoom增長了350%，Microsoft Teams增長了300%，Slack增長了200%。Reavis指出，在企業(yè)最初支持遠程工作的過程中，有許多可能導致數(shù)據(jù)泄漏的故障：IT團隊沒有保護云中的存儲桶、實施安全的開發(fā)人員實踐，或協(xié)調(diào)身份和訪問程序。有些甚至是網(wǎng)絡攻擊者在存儲庫中發(fā)現(xiàn)的硬編碼應用程序憑據(jù)。他補充說，“這是非?；镜臇|西。”

企業(yè)遵循以下三個好實踐將顯著降低在云中存儲或處理數(shù)據(jù)的風險。

1. 盤點云服務的使用情況

首席信息安全官IanPoynter建議，應對云平臺中數(shù)據(jù)威脅的好方法是控制云應用程序的使用，并在涉及公共云服務的任何新舉措的規(guī)劃階段執(zhí)行風險評估。

首席信息安全官(CISO)之間的共識是，用戶的云計算實例并非總是得到授權(quán)，并且很少針對公開數(shù)據(jù)進行有效監(jiān)控。Poynter說，“這就是首席信息安全官(CISO)需要成為執(zhí)行團隊成員的原因，他們需要了解正在發(fā)生的事情，并且還需要創(chuàng)建一個協(xié)作環(huán)境，業(yè)務部門主管希望與他們共享新項目或產(chǎn)品，然后讓他們評估正在尋找的云計算產(chǎn)品以獲得支持。”

他表示，他曾向以前任職的一家公司的會計部門發(fā)出警告，告知哪些第三方云應用程序和平臺的費用報銷需要獲得批準。如果未經(jīng)事先批準，在批準服務以外購買的業(yè)務單位或個人用戶的報銷申請將被拒絕。

這是強制執(zhí)行云計算應用程序白名單的人為但有效的方法。云計算應用程序允許和拒絕列表也是通常部署在企業(yè)控制的端點上或通過零信任技術(shù)(例如瀏覽器隔離)來控制用戶、企業(yè)和云計算應用程序之間遠程會話的強大技術(shù)控制。

2. 云原生的安全性

Johnson表示，在企業(yè)已經(jīng)實現(xiàn)標準化的成熟云服務和應用程序中使用云原生安全產(chǎn)品。例如，評估正在使用的應用程序的配置合規(guī)性的AWS Inspector，以及可以檢測惡意活動和未經(jīng)授權(quán)的行為的Amazon GuardDuty。他表示，企業(yè)需要對云計算提供商的聲譽進行盡職調(diào)查，并盡量采用規(guī)模較大的云計算提供商的服務，因為通常他們會在數(shù)據(jù)保護和可見性控制方面獲得更高的評分。

服務模型之間的原生安全性有所不同。 IaaS和PaaS供應商為購買者在其基礎設施或平臺中升級的應用程序提供安全性和配置工具。這些是本地提供的，也可以通過第三方提供。對于SaaS應用程序(例如DocuSign、Slack或Box)，安全性多數(shù)是原生的。例如，Microsoft 356為Active Directory的Exchange、SharePoint和Azure實例(除其他安全產(chǎn)品)提供高級審核。

通過Box企業(yè)云的應用，可以了解第三方云計算提供商對敏感數(shù)據(jù)的處理過程。Box云平臺管理多個應用程序，以支持工作流、數(shù)字合同、人力資源、Zoom會議、歷史數(shù)據(jù)存儲、人力資源加載和其他人力資源功能。用戶可以通過Box Shuttle將Box云平臺連接到其他云服務。

Box公司安全、隱私和法規(guī)遵從產(chǎn)品副總裁Alok Ojha表示，隨著越來越多的應用程序在Box云平臺的應用，面向用戶的嵌入式安全和法規(guī)遵從工具集將成為關(guān)鍵。Ojha引用Content Cloud作為Box用戶在不同工作流中實現(xiàn)一致安全性和可視性的地方，以查看應用程序中正在處理哪些文件和數(shù)據(jù)，以及誰在訪問數(shù)據(jù)以及出于什么目的訪問。

另一個原生工具Box Shield可配置為查找和分類敏感數(shù)據(jù)，對分類數(shù)據(jù)實施適當控制，減少內(nèi)部和惡意軟件威脅的風險，了解與數(shù)據(jù)相關(guān)的監(jiān)管要求，并確保監(jiān)管機構(gòu)的審計跟蹤。他還建議重新關(guān)注身份和訪問管理(IAM)，特別是使用多因素身份驗證，以供外部用戶和合作伙伴使用，而不要使用可重復使用的密碼。

3. 保護數(shù)據(jù)層的數(shù)據(jù)

數(shù)據(jù)保護服務商Titaniam公司創(chuàng)始人兼首席執(zhí)行官Arti Raman警告說，不要過度依賴身份和訪問控制來防止數(shù)據(jù)泄漏，并表示還需要直接關(guān)注存儲在公共云中的數(shù)據(jù)。但是，從端點到企業(yè)再到云計算的數(shù)據(jù)保護非常困難，并且必須具有足夠的靈活性以跨越這些邊界，以保護生命周期中的數(shù)據(jù)。

她說：“我們認為，當數(shù)據(jù)被索引、搜索、聚合、查詢或以其他方式操作時，加密和數(shù)據(jù)保護應該保持存在，其方法是保持數(shù)據(jù)以自適應保護格式使用，而不限制任何功能。這包括傳統(tǒng)加密技術(shù)以及新的可搜索技術(shù)，這些技術(shù)在其之上使用傳統(tǒng)加密以滿足法規(guī)遵從性標準。”

Box公司的Ojha補充說，數(shù)據(jù)終止策略也很重要。企業(yè)應遵循數(shù)據(jù)安全的法規(guī)要求，最好自動刪除不再需要在第三方云平臺或基礎設施中運行的數(shù)據(jù)。

網(wǎng)站標題：保護云中敏感數(shù)據(jù)的3個優(yōu)秀實踐
網(wǎng)頁URL：http://jinyejixie.com/news39/201339.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供用戶體驗、網(wǎng)站收錄、電子商務、建站公司、網(wǎng)站排名、動態(tài)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)