IT泄密事件引起了公眾對云安全的擔憂。為了限制潛在的問題，企業(yè)必須考慮治理方面的要求、工具、提供商及更多因素。

　　應(yīng)用程序和數(shù)據(jù)的安全性對任何企業(yè)來說都極為重要，但責任卻不是平均分配的。因而，IT部門需要制定一項云安全戰(zhàn)略，明確企業(yè)的其余部門或人員需要遵守的合規(guī)政策或原則。

　　公有云消除了傳統(tǒng)數(shù)據(jù)中心的一部分基礎(chǔ)架構(gòu)和管理開銷，但滿足云治理需求的重擔仍然責無旁貸地落在IT部門的肩上。在不斷變化的云計算領(lǐng)域，建立一套類似日常流程，而非產(chǎn)品的管理模式很重要。

　　根據(jù)貴企業(yè)的數(shù)據(jù)位置、隱私性和治理要求來選擇云提供商，另外根據(jù)制定覆蓋整個企業(yè)的云治理戰(zhàn)略的最佳實踐來選擇云提供商，這對任何IT部門來說是重要的考量因素。

　　云安全方面的挑戰(zhàn)

　　說到云安全，大多數(shù)企業(yè)并不是非常清楚什么是事實、什么是虛構(gòu)。據(jù)Alert Logic公司的《2012年云安全狀況報告》聲稱，威脅活動的多樣性并不如基礎(chǔ)設(shè)施的所在位置來得重要。攻擊在本質(zhì)上具有隨機性，所以可以從外面訪問的任何系統(tǒng)(無論是企業(yè)系統(tǒng)還是云系統(tǒng))都有同樣的機會遭到攻擊。

　　該報告發(fā)現(xiàn)，基于Web應(yīng)用程序的攻擊經(jīng)常襲擊服務(wù)提供商的環(huán)境和內(nèi)部環(huán)境，分別有53%的企業(yè)和44%的企業(yè)遭到此類攻擊。不過，內(nèi)部環(huán)境受到的攻擊次數(shù)多于服務(wù)提供商環(huán)境，分別平均是61.4次攻擊和27.8次攻擊。相比服務(wù)提供商環(huán)境的用戶，內(nèi)部環(huán)境用戶也要受到明顯更多的蠻力攻擊。

　　2012年的這份報告在今天仍然有警示作用，近期索尼、家得寶和塔吉特等公司的數(shù)據(jù)泄密事件與云無關(guān)。大多數(shù)攻擊發(fā)生在傳統(tǒng)系統(tǒng)上，歸咎于老化的安全系統(tǒng)和暴露的安全漏洞。

　　云計算繼續(xù)變得越來越普及，實現(xiàn)的系統(tǒng)變得更復(fù)雜、更異構(gòu)時，擁有行之有效的云安全戰(zhàn)略和技術(shù)具有的重要性大幅提升。

　　身份和訪問管理(IAM)又稱為身份管理，它不是什么新技術(shù)，但云計算的興起讓它登上了舞臺的中央。亞馬遜網(wǎng)絡(luò)服務(wù)(AWS)等許多云提供商在默認情況下徑直將IAM作為一項服務(wù)來提供。其他提供商要求客戶選擇和部署第三方IAM系統(tǒng)。

　　IAM 的概念很簡單：提供一種安全方案和技術(shù)，讓合適的人員可以以合適的理由，在合適的時間訪問合適的資源。這個概念遵循這個準則：任何系統(tǒng)和任何人都有身份，包括人員、服務(wù)器、設(shè)備、API(應(yīng)用編程接口)、應(yīng)用程序和數(shù)據(jù)。一旦身份進行了驗證，接下來只要定義哪些身份可以訪問其他身份，并制定界定這些關(guān)系限制的政策。

　　一個例子就是，定義并存儲一組基于云的API的身份，這些API只被一批運行某個應(yīng)用程序的智能手機所使用。這些API各自都有身份，智能手機、應(yīng)用程序和使用手機的人也都有身份。每當與另一種資源進行交互時，IAM服務(wù)就會驗證每個實體的身份。

　　IAM 的一個典例就是AWS版本，這是一種完全成熟的身份管理和安全系統(tǒng)，它讓用戶可以控制對AWS云服務(wù)的訪問。這個IAM讓你可以通過權(quán)限的方式，創(chuàng)建并管理AWS用戶和用戶組，權(quán)限允許或禁止對數(shù)據(jù)進行訪問。亞馬遜的IAM其好處在于，它能夠管理誰能訪問什么數(shù)據(jù)、在什么情況下訪問。

　　行業(yè)的其他廠商

　　當然，不是每個人都運行AWS。幸好，許多新的IAM廠商致力于云，通常承諾同時提供身份管理和單點登錄服務(wù)。這些廠商包括Bitium、Centrify、Okta、OneLogin、Ping Identity和Symplified。

　　每家廠商對待云安全和IAM的方法各有不同，所以要結(jié)合你的具體要求來測評每個產(chǎn)品。選擇合適的云安全方案時，一定要考慮到下列因素：

• 　　基于云的身份管理服務(wù)或其他安全服務(wù)與企業(yè)安全系統(tǒng)的整合。安全對云系統(tǒng)和非云系統(tǒng)來說都應(yīng)該是系統(tǒng)性的。應(yīng)考慮同時滿足這兩套需求的產(chǎn)品。
• 　　基于身份的安全服務(wù)的設(shè)計和架構(gòu)。有時候，安全服務(wù)可能來自你的云提供商。而在另外許多情況下，你不得不選擇并部署第三方安全工具。
• 　　測試(包括“白帽”安全測試)很重要。測試結(jié)果在安全系統(tǒng)的實際有效性方面頗有說服力。
• 　　對于性能的影響。在一些情況下，安全會讓你的系統(tǒng)拖慢到影響生產(chǎn)力的程度。
• 　　行業(yè)和需要遵守的所有必需的法規(guī)。 

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標題：企業(yè)云安全戰(zhàn)略：如何滿足治理要求

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/10839517836.html