云風(fēng)險(xiǎn)策略完美無缺?別忘了考慮你的用戶群體

責(zé)任編輯:editor005

作者:布加迪編譯

2015-01-14 11:44:38

摘自:51CTO

云風(fēng)險(xiǎn)管理策略旨在通過緩解風(fēng)險(xiǎn),讓高風(fēng)險(xiǎn)變成較低的風(fēng)險(xiǎn)。SaaS用戶可能會認(rèn)為服務(wù)提供商的云風(fēng)險(xiǎn)管理策略很有限,因?yàn)樘峁┥滩粫層脩羰褂闷浒踩ぞ邅頀呙璨檎襍aaS應(yīng)用程序的安全漏洞。

云風(fēng)險(xiǎn)管理策略旨在通過緩解風(fēng)險(xiǎn),讓高風(fēng)險(xiǎn)變成較低的風(fēng)險(xiǎn)。你在制定策略時應(yīng)該采取分四步走的方法,并且充分考慮到不同的用戶們會如何認(rèn)識和看待該策略(比如,有些用戶需要的靈活性高于策略中規(guī)定的靈活性。)

如何制定云風(fēng)險(xiǎn)管理策略?

第一步:確認(rèn)和識別資產(chǎn)

軟件即服務(wù)(SaaS)用戶僅限于他們用來訪問SaaS應(yīng)用程序的臺式機(jī)、筆記本電腦,以及/或者平板電腦。

平臺即服務(wù)(PaaS)開發(fā)人員使用更多的資產(chǎn)。PaaS開發(fā)人員可使用計(jì)算機(jī)及其工具來開發(fā)和管理應(yīng)用程序;開發(fā)人員還在服務(wù)提供商提供的操作系統(tǒng)上運(yùn)行其開發(fā)的應(yīng)用程序。

基礎(chǔ)設(shè)施即服務(wù)(IaaS)專家使用服務(wù)提供商提供的網(wǎng)絡(luò)、存儲或計(jì)算資源。

第二步:評估和分析風(fēng)險(xiǎn)

你需要評估每種資產(chǎn)的風(fēng)險(xiǎn),然后將它們分類成低風(fēng)險(xiǎn)、中風(fēng)險(xiǎn)或高風(fēng)險(xiǎn)。至于風(fēng)險(xiǎn)是人為風(fēng)險(xiǎn)(比如錯誤的應(yīng)用程序邏輯),還是自然災(zāi)害(比如地震頻發(fā)地區(qū)),那沒有什么關(guān)系。

第三步:實(shí)施防范措施

在實(shí)施防范措施之前,你應(yīng)該確保它可以因此將高風(fēng)險(xiǎn)緩解成較低的風(fēng)險(xiǎn)。典型的防范措施包括故障切換機(jī)制、閏年識別、嵌套式防火墻以及雙因子驗(yàn)證(比如強(qiáng)密碼外加面部識別)。如果針對某項(xiàng)資產(chǎn)的防范措施未能帶來積極的投資回報(bào),你就應(yīng)該為該資產(chǎn)投保。

第四步:評審資產(chǎn)、風(fēng)險(xiǎn)和防范措施

你應(yīng)該定期評審資產(chǎn)、風(fēng)險(xiǎn)和防范措施(通常是每三個月或每六個月評審一次)。你在這么做的過程中可能會發(fā)現(xiàn):已購置了新的資產(chǎn)。比如說,你從貴企業(yè)獲得最新款式的平板電腦,你用它來訪問SaaS應(yīng)用程序?;氐降谝徊郊醋R別資產(chǎn),從頭來過。由于你用PaaS開發(fā)的某個應(yīng)用程序的業(yè)務(wù)需求發(fā)生了變化,因而出現(xiàn)了新的風(fēng)險(xiǎn)。如果你的資產(chǎn)庫里面沒有出現(xiàn)任何新的資產(chǎn),就回到第二步即評估風(fēng)險(xiǎn)。不然,就回到第一步,從頭來過。可能需要實(shí)施新的防范措施。某項(xiàng)新技術(shù)可能讓防范措施花較少的錢就能獲得更高的成效,或者出現(xiàn)新的風(fēng)險(xiǎn)時,就可能需要實(shí)施新的防范措施。至于你是PaaS開發(fā)人員還是IaaS基礎(chǔ)設(shè)施專家,那沒有關(guān)系。再次執(zhí)行分四步走的過程。

不同的用戶可能會如何認(rèn)識和看待策略?

用戶怎樣認(rèn)識和看待云風(fēng)險(xiǎn)管理的好處,這受到以下因素的影響:

他們扮演的云角色;他們所在的部門;云服務(wù)提供商授予他們的控制措施

SaaS用戶的認(rèn)識

在任何一家組織,SaaS用戶擁有的唯一控制權(quán)就是,可以從他們選擇的任何設(shè)備來訪問SaaS應(yīng)用程序――該應(yīng)用程序涉及會計(jì)、人力資源還是供應(yīng)鏈跟蹤,那無關(guān)緊要。該用戶無法控制應(yīng)用程序的開發(fā)或虛擬機(jī)。

SaaS用戶可能會認(rèn)為服務(wù)提供商的云風(fēng)險(xiǎn)管理策略很有限,因?yàn)樘峁┥滩粫層脩羰褂闷浒踩ぞ邅頀呙璨檎襍aaS應(yīng)用程序的安全漏洞。

PaaS開發(fā)人員的認(rèn)識

PaaS開發(fā)人員可以使用自己喜歡的任何一種安全工具;因此,他們認(rèn)為提供商的風(fēng)險(xiǎn)管理策略很靈活。PaaS開發(fā)人員控制整個應(yīng)用程序的生命周期:從概念階段直到部署階段,他們還可以開發(fā)及構(gòu)建測試防范措施的安全工具。SaaS用戶對給黑客設(shè)置重重障礙、無法逾越的任何防范措施都會很滿意。

PaaS開發(fā)人員無法控制操作系統(tǒng)的更新和支持PaaS平臺的虛擬機(jī)。提供商不允許開發(fā)人員針對操作系統(tǒng)和虛擬機(jī)實(shí)施防范措施,他們因而可能會感到失望。

IaaS網(wǎng)絡(luò)專家的認(rèn)識

IaaS網(wǎng)絡(luò)專家可以在虛擬基礎(chǔ)設(shè)施中使用其自己的安全工具。網(wǎng)絡(luò)專家可能會認(rèn)為提供商的云風(fēng)險(xiǎn)管理策略非常靈活。

IaaS網(wǎng)絡(luò)專家對防范虛擬機(jī)避免非計(jì)劃停運(yùn)時間所需要的工具擁有控制權(quán)。提供商不允許IaaS網(wǎng)絡(luò)專家控制其物理服務(wù)器和網(wǎng)絡(luò)組成的基礎(chǔ)設(shè)施,他們可以理解。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號