關(guān)于云存儲(chǔ)中不可不知的五個(gè)安全問(wèn)題及應(yīng)對(duì)措施

云存儲(chǔ)如今仍然存在一些主要的安全性問(wèn)題，例如訪問(wèn)控制和合規(guī)性不足。人們需要了解如何在IT專(zhuān)家的指導(dǎo)下成功解決這些問(wèn)題。

云存儲(chǔ)安全在過(guò)去幾年中有了顯著的改善，但這并不意味著安全管理人員可以高枕無(wú)憂。云存儲(chǔ)安全性問(wèn)題仍然很普遍，可能使組織的數(shù)據(jù)泄露給未經(jīng)授權(quán)的各方。這有可能導(dǎo)致客戶(hù)和業(yè)務(wù)合作伙伴的不滿、代價(jià)高昂的訴訟和其他麻煩。

以下是云存儲(chǔ)的五個(gè)安全問(wèn)題以及應(yīng)對(duì)措施：

1.配置錯(cuò)誤

商業(yè)管理和IT咨詢(xún)服務(wù)商Booz Allen Hamilton公司首席技術(shù)專(zhuān)家David Horne說(shuō)：“到目前為止，云存儲(chǔ)安全最主要的問(wèn)題是配置錯(cuò)誤。配置錯(cuò)誤可能是由于缺乏經(jīng)驗(yàn)或未受過(guò)培訓(xùn)的工程師的錯(cuò)誤操作，過(guò)于復(fù)雜的資源策略或不斷變化的用戶(hù)界面而導(dǎo)致的。此外，環(huán)境也起著作用。

Horne說(shuō)：“組織的工程師在對(duì)新功能進(jìn)行故障排除或解決生產(chǎn)中斷時(shí)，可能會(huì)故意實(shí)施過(guò)分寬松的政策，而由于優(yōu)先級(jí)的變化，它可能被遺忘。

全面的云存儲(chǔ)計(jì)劃可以最大程度地降低配置錯(cuò)誤的風(fēng)險(xiǎn)。首先，組織需要建立明確的政策和標(biāo)準(zhǔn)，描述可以使用哪些服務(wù)，可以在其中存儲(chǔ)哪些數(shù)據(jù)以及應(yīng)該如何保護(hù)這些服務(wù)?！?/p>

確保只有被授權(quán)的人員才能訪問(wèn)數(shù)據(jù)，并且合法地訪問(wèn)數(shù)據(jù)至關(guān)重要。組織需要對(duì)技術(shù)人員進(jìn)行有關(guān)云存儲(chǔ)管理和使用的安全策略和措施的培訓(xùn)。實(shí)施控制措施，以限制可以修改存儲(chǔ)配置的工程師的數(shù)量和類(lèi)型。此外，應(yīng)用排除或禁用高風(fēng)險(xiǎn)配置的總體帳戶(hù)或項(xiàng)目策略。

Horne最后表示，使用配置管理工具和審核日志監(jiān)視云存儲(chǔ)配置。

2.數(shù)據(jù)治理不足

缺乏數(shù)據(jù)治理，尤其是在組織的團(tuán)隊(duì)完成項(xiàng)目之后，可能會(huì)導(dǎo)致云存儲(chǔ)安全問(wèn)題。

總部設(shè)在倫敦的業(yè)務(wù)管理和IT咨詢(xún)機(jī)構(gòu)EY公司常務(wù)董事Kenneth Waldrop說(shuō)，“例如，在許多情況下，用戶(hù)會(huì)為特定項(xiàng)目創(chuàng)建存儲(chǔ)池，并且在項(xiàng)目完成之后，他們只需將存儲(chǔ)資源釋放回去即可。存儲(chǔ)中仍然可能包含惡意參與者可以利用的殘留數(shù)據(jù)?！?/p>

Waldrop表示，為了防止數(shù)據(jù)泄漏，需要使用嚴(yán)格的密鑰管理對(duì)靜態(tài)數(shù)據(jù)進(jìn)行加密。此外，強(qiáng)制執(zhí)行職責(zé)分工以限制數(shù)據(jù)訪問(wèn)，對(duì)云計(jì)算用戶(hù)進(jìn)行數(shù)據(jù)保護(hù)教育，并使用第三方數(shù)據(jù)保護(hù)工具為云計(jì)算提供商提供的服務(wù)進(jìn)行補(bǔ)充。

3.訪問(wèn)控制不良

眾所周知，未經(jīng)授權(quán)的第三方訪問(wèn)云計(jì)算文件是許多組織未能充分解決的威脅。

總部位于渥太華的AWS服務(wù)咨詢(xún)商Pilotcore Systems公司創(chuàng)始人兼首席解決方案架構(gòu)師Nelson Ford說(shuō)，“至關(guān)重要的是確保只有授權(quán)人員才能訪問(wèn)數(shù)據(jù)，并且確保出于正當(dāng)?shù)睦碛稍L問(wèn)數(shù)據(jù)?！?/p>

他表示，基于最小特權(quán)原則建立權(quán)限，將用戶(hù)僅定期限制到他們需要的文件。記錄所有文件訪問(wèn)并安全地對(duì)文件本身進(jìn)行加密。

Ford說(shuō)：“使用日志分析和監(jiān)控工具，并接收有關(guān)異?；顒?dòng)的警報(bào)對(duì)于主動(dòng)進(jìn)行云存儲(chǔ)管理至關(guān)重要?！?/p>

4.安全控制不足

云存儲(chǔ)安全問(wèn)題可能源于沖突和過(guò)于復(fù)雜的安全控制，在許多情況下，這些控制需要云計(jì)算安全工程師來(lái)實(shí)施。總部位于舊金山的生命科學(xué)研究和開(kāi)發(fā)云平臺(tái)開(kāi)發(fā)商Benchling公司的首席信息安全官Zach Powers表示，組織可以通過(guò)兩種方式解決這一問(wèn)題。

他說(shuō)：“一種方法是使用一種云存儲(chǔ)解決方案，該解決方案要求客戶(hù)自行設(shè)置基本的安全控制，例如AWS S3存儲(chǔ)桶。另一個(gè)方法是與愿意承擔(dān)數(shù)據(jù)存儲(chǔ)安全責(zé)任的云計(jì)算提供商合作。”

5.粗略的法規(guī)遵從性

法規(guī)遵從性是日益增長(zhǎng)的云存儲(chǔ)安全性問(wèn)題。總部位于印度孟買(mǎi)的IT咨詢(xún)塔塔咨詢(xún)服務(wù)公司網(wǎng)絡(luò)安全解決方案全球負(fù)責(zé)人Santha Subramoni表示，全球性組織必須跟蹤并遵守迅速發(fā)展和增長(zhǎng)的隱私和保留法律。法規(guī)遵從性要求因組織存儲(chǔ)數(shù)據(jù)的方式和位置而有所不同。

編輯：jq