一個(gè)安全問題的建議已經(jīng)足以摧毀一個(gè)云項(xiàng)目,或者是讓整個(gè)云計(jì)劃流程和計(jì)劃者不受信任。為了避免這些事情,企業(yè)必須從一種相對(duì)安全的角度開始,關(guān)注新風(fēng)險(xiǎn)的管理,并理解風(fēng)險(xiǎn)的可接受度。
企業(yè)在一中理論的環(huán)境中對(duì)云安全進(jìn)行評(píng)估時(shí),大多數(shù)的問題都會(huì)出現(xiàn)。少數(shù)業(yè)務(wù)會(huì)著眼于在云端運(yùn)行一個(gè)完全新的應(yīng)用;他們期望遷移現(xiàn)有的應(yīng)用。這也意味著他們不應(yīng)該將安全看作是應(yīng)用的全部,而是他們目前的數(shù)據(jù)中心托管相對(duì)的云安全。
聽過(guò)這種視角,關(guān)注云數(shù)據(jù)安全意味著確定一種可接受的風(fēng)險(xiǎn)。安全管理和所有形式的風(fēng)險(xiǎn)管理一樣,是一種和成本比較的風(fēng)險(xiǎn)權(quán)衡。這對(duì)于衡量目前運(yùn)行在當(dāng)下數(shù)據(jù)中心的應(yīng)用相關(guān)的風(fēng)險(xiǎn)而言很重要,而且擔(dān)心云風(fēng)險(xiǎn)要比已經(jīng)接受的風(fēng)險(xiǎn)大多了。這樣做將確保云安全成本不會(huì)破壞云端業(yè)務(wù)用例,有時(shí)候這些事情很容易發(fā)生。
傳統(tǒng)上應(yīng)用在三個(gè)層級(jí)上是安全的:網(wǎng)絡(luò)攔截、應(yīng)用訪問和物理數(shù)據(jù)安全。研究每一個(gè)項(xiàng)目,關(guān)注云可能會(huì)改變目前的哪些現(xiàn)有流程。
網(wǎng)絡(luò)攔截。網(wǎng)絡(luò)攔截是一種未授權(quán)人通過(guò)監(jiān)控網(wǎng)絡(luò)流量查看機(jī)密數(shù)據(jù)的風(fēng)險(xiǎn)。攔截風(fēng)險(xiǎn)在應(yīng)用通過(guò)無(wú)線、3G或者4G進(jìn)行無(wú)線訪問應(yīng)用時(shí)是風(fēng)險(xiǎn)最高的,但是在大多數(shù)情況下,將云轉(zhuǎn)移到云端并不會(huì)改變無(wú)線的使用。如果企業(yè)期望基于云的應(yīng)用更多地通過(guò)共有Wifi熱點(diǎn)訪問,SSL加密應(yīng)該能夠保護(hù)整個(gè)信息流。對(duì)于通過(guò)瀏覽器訪問的應(yīng)用,提供一種安全的HTTP URL,但是要記住應(yīng)用使用自定制客戶端軟件可能必須修改接受SSL加密連接。
秘鑰管理是確保云端應(yīng)用安全的最大問題。大多數(shù)通用實(shí)踐是在應(yīng)用鏡像中存儲(chǔ)一個(gè)應(yīng)用的安全密鑰。如果在云應(yīng)用中使用,這個(gè)密鑰就會(huì)成為存儲(chǔ)在云提供商中的機(jī)器鏡像的一部分,可能會(huì)被某些訪問機(jī)器鏡像存儲(chǔ)的人竊取。使用公共密鑰存儲(chǔ)服務(wù)或者技術(shù),要確保密鑰永遠(yuǎn)不會(huì)用應(yīng)用代碼或者數(shù)據(jù)存儲(chǔ)在云端。
應(yīng)用訪問。云端訪問安全是一個(gè)關(guān)注重點(diǎn),但是通常并不是增量的風(fēng)險(xiǎn)。如果用互聯(lián)網(wǎng)訪問應(yīng)用,通過(guò)互聯(lián)網(wǎng)訪問云端同樣的應(yīng)用不會(huì)增加風(fēng)險(xiǎn),當(dāng)然假定可以管理SSL和加密密鑰。如果試圖用虛擬私有網(wǎng)絡(luò)訪問替代內(nèi)部互聯(lián)網(wǎng)訪問,可能會(huì)出現(xiàn)問題,尤其是創(chuàng)建互聯(lián)網(wǎng)VPN。
互聯(lián)網(wǎng)VPN通常使用IPsec加密系統(tǒng),不同于SSL,它創(chuàng)建了一個(gè)用戶社區(qū),這些流量通過(guò)軟件或者硬件在用戶和網(wǎng)絡(luò)之間加密或者解密。企業(yè)在自己的內(nèi)部VPN使用IPsec時(shí),對(duì)于云端并不會(huì)有額外的風(fēng)險(xiǎn);然而,云提供商通常不支持增加安全設(shè)備到其云數(shù)據(jù)中心中,因此軟件設(shè)備可能需要支持IPsec VPN連接到每一個(gè)云應(yīng)用上。典型的,這將會(huì)成為每一個(gè)應(yīng)用的機(jī)器鏡像的一部分,一種中間件。檢查目前的IPsec提供商,確保有一個(gè)和云兼容的IPsec代理可用。
物理數(shù)據(jù)安全。物理數(shù)據(jù)安全是大多數(shù)用戶最關(guān)心的,也是計(jì)劃者最難解決的一個(gè)問題。如果機(jī)密信息存儲(chǔ)在云端,驗(yàn)證云提供商的安全認(rèn)證就很關(guān)鍵。有很多云安全法規(guī)框架,最著名的的云安全聯(lián)盟(CSA)開放認(rèn)證框架(OCF);然而,并沒有發(fā)展成熟。如果你計(jì)劃將機(jī)密信息存儲(chǔ)在云端,確保你的提供商提供的是哪一種框架,以及是否很好的符合你的需求。對(duì)于計(jì)劃者最大的問題是確定是否云提供商的礦建支持你的法規(guī)遵從指南和治理規(guī)則,這些應(yīng)該有企業(yè)的內(nèi)部審計(jì)員或者法規(guī)部門完成復(fù)核。
減少云項(xiàng)目中的物理安全問題很有必要,主要通過(guò)排除將機(jī)密數(shù)據(jù)存儲(chǔ)在云端。如果應(yīng)用使用結(jié)構(gòu)化數(shù)據(jù)(DBMS/RDBMS查詢流程),而不是塊級(jí)I/O,就有可能將應(yīng)用轉(zhuǎn)移到云端,同時(shí)數(shù)據(jù)在內(nèi)部存儲(chǔ)。
對(duì)于云計(jì)劃者而言,獨(dú)立審計(jì)是另一個(gè)需要考慮的內(nèi)容,也是研究云數(shù)據(jù)安全的一個(gè)選項(xiàng)。企業(yè)服從于嚴(yán)格的法規(guī)需求可能需要一個(gè)獨(dú)立資源的云戰(zhàn)略認(rèn)證。如果企業(yè)內(nèi)部IT有一個(gè)法規(guī)遵從審計(jì)公司,這個(gè)公司很能是最安全的云法規(guī)和安全審計(jì)公司。如果你沒有,就要做一個(gè)云提供商和安全法規(guī)遵從審計(jì)公司要求的矩陣。找出最佳的三個(gè),并向其尋求競(jìng)價(jià)。
核心關(guān)注:拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用,蘊(yùn)涵了豐富的ERP管理思想,集成了ERP軟件業(yè)務(wù)管理理念,功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理,全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域,是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請(qǐng)注明出處:拓步ERP資訊網(wǎng)http://www.guhuozai8.cn/
本文標(biāo)題:云數(shù)據(jù)安全理論之外:找到可接受風(fēng)險(xiǎn)水平
本文網(wǎng)址:http://www.guhuozai8.cn/html/consultation/10839511487.html