迁移到云上需要在合同方面与供应商仔细商谈。以前,一般是由网络团队来完全控制云环境;然而,迁移到云上要求组织机构放弃一些控制权,并且转交给云提供商。这种转变要求网络人员的思维方式向前发展,不要只停留在数据包处理上,这样才能真正把握云计算。 企业必须考虑各种潜在的威胁,然后才能迁移到云模型上。在这个方面,云提供商应该在合同上写明会提供你所要求的安全级别。下面是10个应该注意的云安全问题:

企业必须考虑各种潜在的威胁,然后才能迁移到云模型上。在这个方面,云提供商应该在合同上写明会提供你所要求的安全级别。下面是10个应该注意的云安全问题:

谁有访问权限?

访问控制确实是一个问题。云身份认证是如何管理的?内部人员攻击是一种持续威胁。任何获得云平台访问权限的人都有可能成为潜在的问题。举一个例子:有一名员工可能离职或被辞退,结果他或她是唯一有访问密码的人。或者说,或许这一名员工是唯一一位负责给云提供商支付费用的人。你必须知道谁有访问权限,他或她是如何交接工作的,以及访问权限是如何中止的?

你有哪些法规要求?

美国、加拿大或欧盟国家的企业都必须遵守各种法规要求,其中包括ISO/IEC 27002、EU-U.S. Privacy Shield Framework(欧美隐私保护框架)、IT Infrastructure Library(IT基础架构库)和COBIT.你需要确定一个双方均认可的框架,如ISO 27001.此外,你还必须保证云提供商能够满足这些规定的要求,并且愿意接受认证、鉴定和审查。

你是否有审计权限?

这个问题并不是小问题,相反是其中一个最重要的云安全问题。云提供商可能同意在书面上遵守一个审计标准,如SSAE 16.但是,对于审计人员和评估人员而言,想要评估云计算是否符合法规要求,已经被证明是一件越来越难完成和验证的工作。在IT要面对的诸多法规中,几乎没有专门针对云计算的。审计人员和评估人员可能还不熟悉云计算,也不熟悉某个特定的云服务。

云提供商给员工提供了哪一些培训?

这确实是一个非常值得注意的问题,因为人们在安全面前总是弱势群体。了解云提供商给员工提供了哪些培训,是一项要认真审查的重要项目。大多数攻击都同时包含技术因素和社会因素。提供商应该采用措施处理各种来源的社会工程攻击,包括电子邮件、恶意链接、电话及其他方式,它们都应该在出现在培训和认知项目中。

提供商使用了哪一种数据分类系统?

这个方面要关心的问题包括用于分类数据的标准,以及提供商是否支持这些标准。令牌技术现在越来越多地替代加密手段,它有助于保证企业符合各种法规要求,如Health Insurance Portability and Accountability Act(医疗保障可移植性和可审计性法案)、Payment Card Industry Data Security Standard(支付卡行业数据安全标准)、Gramm-Leach-Bliley Act(美国金融服务法案)和欧洲数据保持法规等。

是否使用了加密手段?

加密手段也应该在考虑范围内。原始数据是否允许离开企业,或者它们应该留在内部,才能符合法规要求?数据在静止和/或移动过程中,是否会使用加密措施?此外,你还应该了解其中所使用的加密类型。例如,DES和AES就有一些重要差别。另外,要保证自己知道是谁在维护密钥,然后再签合约。加密手段一定要出现在云安全问题清单中。

你的数据与其他人的数据是如何分隔的?

数据位于一台共享服务器还是一个专用系统中?如果使用一个专用服务器,则意味着服务器上只有你的信息。如果在一台共享服务器上,则磁盘空间、处理能力、带宽等资源都是有限的,因为还有其他人一起共享这个设备。你需要确定自己是需要私有云还是公有云,以及谁在托管服务器。如果是共享服务器,那么数据就有可能和其他数据混在一起。

提供商的长期可用性体现有什么保障?

云提供商开展这个业务有多长时间了?它过往的业务表现如何?如果它在这个业务上出现问题,你的数据会面临什么问题?你的数据是否会以原始格式交回给你?

如果出现安全漏洞会有什么应对措施?

如果发生了安全事故,你可以从云提供商获得哪些支持?虽然许多提供商都宣称自己的服务是万无一失的,但是基于云的服务是极其容易受到黑客攻击的。侧向通道、会话劫持、跨站脚本和分布式拒绝服务等攻击都是云数据经常遇到的攻击方式。

灾难恢复和业务持续计划是什么?

虽然你可能不知道服务的物理位置,但是它们最终都位于某一个物理位置。所有物理位置都会面临火灾、风暴、自然灾害和断电等威胁。如果出现这些意外事件,云提供商将有什么的响应措施,他们将如何保证自己承诺的不间断服务?

根据思科的预测,未来三年有80%以上的数据中心流量将来自云服务。这意味着,即使你现在还没有做好云迁移,那么到2020年前你也会这样做的。所以,要用这一段时间保证自己采用正确的迁移方法。要提前定义合同要求,然后不能只是复制原来用于本地环境的安全策略。相反,要从迁移的角度去改进它。

关注中国IDC圈官方微信:idc-quan或微信号:821496803 我们将定期推送IDC产业最新资讯

查看心情排行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2017-05-12 13:52:20
云安全 混合云的“喜与泪” 安全威胁影响用户信心
5月10日消息,目前,混合云在企业中的部署率正在大幅上升,越来越多的企业进入到私有云和公有云环境交织、或者是私有云虚拟化平台复杂多样的“混合世界”中。 <详情>
2017-05-09 12:09:27
云资讯 云计算市场两年后将达4300亿元 相应标准亟待出台
云计算在形态上与传统互联网相比发生了一些变化,势必带来新的安全问题。相关单位必须坚持发展与安全并重,建立一套有效推进云计算发展的规范和标准是当务之急。 <详情>
2017-05-04 09:51:00
大数据 2017 世界云计算日·中国站(2017 WHD.china)
世界云计算日(WorldHostingDays,简称 WHD)系列会议创立至今已有 13 年历史,在德国,美国,英国,新加坡,印度等多个国家均有会议分站。目前已成为全球最大的云计算与互 <详情>
2017-04-26 13:13:03
云资讯 中国移动通信研究院项目经理 张婷婷:私有云能力成熟度模型与评估
首先我会和大家介绍一下私有云评估的背景,以及为什么要做这种成熟度的评估,接下来我会重点和大家分享一下在中国移动内部使用的3CMM模型介绍,介绍一下它的评测方法以及评 <详情>
2017-04-17 11:41:00
云安全 每周124,000次攻击,云系统应遵循哪些规则?
云生态系统的安全威胁矩阵正在发展演变,因为有更多的用户,更多的数据和新技术可以在分布广泛的距离上传送信息。展望未来,组织在云计算和安全性方面真的需要非常谨慎。 <详情>