云安全理應是云服務供應商和企業(yè)的共同責任,不過當今責任的界限的確有些 “云遮霧罩”。責任界限的劃分應直接取決于企業(yè)所選擇的云服務模型,它們既可能是軟件即服務(SaaS),又可能是平臺即服務(PaaS),還可能是基礎架構即服務(IaaS)。
在云計算模型下,企業(yè)應怎樣提高云安全,以充分利用云計算來獲得利益?CA Technologies認為只要六種方法就可以讓企業(yè)走上通往“云安全”的大道。下面就讓我們跟隨本文來看看這六個方法。
讓企業(yè)走上通往“云安全”的大道方法:1.內(nèi)部私有云,奠定你的云計算基礎
企業(yè)需要對現(xiàn)有的內(nèi)部私有云環(huán)境,以及企業(yè)為此云環(huán)境所構建的安全系統(tǒng)和程序有深刻的理解,并從中汲取經(jīng)驗。不要辯解說你的企業(yè)并沒有建立私有云,事實上,不知不覺中,企業(yè)已經(jīng)建立了內(nèi)部云環(huán)境。在過去十年中,大中型企業(yè)都在設置云環(huán)境,雖然他們將其稱之為“共享服務”而不是“云”。這些“共享服務”包括驗證服務、配置服務、數(shù)據(jù)庫服務、企業(yè)數(shù)據(jù)中心等,這些服務一般都以相對標準化的硬件和操作系統(tǒng)平臺為基礎。
讓企業(yè)走上通往“云安全”的大道方法:2.風險評估,商業(yè)安全的重要保障
對各種需要IT支持的業(yè)務流程進行風險性和重要性的評估。 你可能很容易計算出采用云環(huán)境所節(jié)約的成本,但是“風險/收益比”也同樣不可忽視,你必須首先了解這個比例關系中的風險因素。云服務供應商無法為企業(yè)完成風險分析,因為這完全取決于業(yè)務流程所在的商業(yè)環(huán)境。對于成本較高的服務水平協(xié)議(SLA)應用,云計算無疑是首選方案。作為風險評估的一部分,我們還應考慮到潛在的監(jiān)管影響,因為監(jiān)管機構禁止某些數(shù)據(jù)和服務出現(xiàn)在企業(yè)、州或國家之外的地區(qū)。
讓企業(yè)走上通往“云安全”的大道方法:3.不同云模型,精準支持不同業(yè)務
企業(yè)應了解不同的云模式 (公共云、私有云與混合云)以及不同的云類型(SaaS,PaaS,IaaS),因為它們之間的區(qū)別將對安全控制和安全責任產(chǎn)生直接影響。根據(jù)自身組織環(huán)境以及業(yè)務風險狀況(見上文第2條的分析),所有企業(yè)都應具備針對云的相應觀點或策略。在風險分析的過程中,法律機構也應發(fā)揮重要作用,因為涉及擔保和債務的事務也是分析的重要內(nèi)容。
讓企業(yè)走上通往“云安全”的大道方法:4.SOA體系結構,云環(huán)境的早期體驗
提升云安全的第四個方法:將SOA(面向服務的架構)設計和安全原則應用于云環(huán)境。多數(shù)企業(yè)在幾年前就已將SOA原則運用于應用開發(fā)流程 。其實,云環(huán)境不就是SOA的大規(guī)模擴展嗎?面向服務的架構的下一個邏輯發(fā)展階段就是云環(huán)境。
企業(yè)可將SOA高度分散的安全執(zhí)行原則與集中式安全政策管理和決策制定相結合,并直接運用于云環(huán)境。在將重心由SOA轉向云環(huán)境時,企業(yè)無需重新制定這些安全策略,只需將原有策略轉移到云環(huán)境即可。
讓企業(yè)走上通往“云安全”的大道方法:5.雙重角色轉換,填補云計算生態(tài)鏈
從云服務供應商的角度考慮問題。多數(shù)企業(yè)剛開始都會把自己看作云服務用戶,但是不要忘記,你的企業(yè)組織也是價值鏈的組成部分,你也需要向客戶和合作伙伴提供服務。
如果你能夠實現(xiàn)風險與收益的平衡,從而實現(xiàn)云服務的利益最大化,那么你也可以遵循這種思路,適應自己在這個生態(tài)系統(tǒng)中的云服務供應商的角色。這樣做也能夠幫助企業(yè)更好地了解云服務供應商的工作流程。
讓企業(yè)走上通往“云安全”的大道方法:6.網(wǎng)絡安全標準,設置自身“防火墻”
熟悉企業(yè)自身,并啟用網(wǎng)絡安全標準 -長期以來,網(wǎng)絡安全產(chǎn)業(yè)一直致力于實現(xiàn)跨域系統(tǒng)的安全和高效管理,目前已經(jīng)制定了多項行之有效的安全標準,并已將其用于、或即將用于保障云服務的安全。
為了在云環(huán)境世界里高效工作,企業(yè)必須采用這些標準,它們包括:SAML(安全斷言標記語言),SPML(服務配置標記語言),XACML(可擴展訪問控制標記語言)和WS-Security(網(wǎng)絡服務安全)。對于那些已經(jīng)將瀏覽器會話與SAML結合的企業(yè),下面這句話則是最好鼓勵:你們已經(jīng)把云安全IQ提高了!
為了提高云服務的安全性,企業(yè)必須確保安全專家們是云服務的理性提倡者,而非反對者或者懷疑者,這是對企業(yè)最重要的要求之一。擁有正確心態(tài)的業(yè)務驅動型技術人員能夠成為“風險/收益”對話中的積極力量,從而幫助企業(yè)提升云安全。