云计算并不轻松——最大的安全风险在于客户，而不是供应商

行业非盈利组织云安全联盟发布了一份关于云计算面临的最大威胁的报告，结论是，最大的问题是由客户造成的，而不是由云“解决方案”提供商（csp）造成的。

在云计算的早期，安全问题集中在多租户（在相同的物理硬件上与其他客户共享计算资源）的风险上，或者CSP在保护数字资产方面可能不如内部IT部门做得好。

CSA表示，它“注意到传统云安全问题在供应商责任下的排名有所下降”。诸如拒绝服务、共享技术漏洞、CSP数据丢失和系统漏洞等问题现在被评为非常低的级别，因此被排除在本报告之外。相反，我们看到更多的是需要解决高级管理层决策导致的位于更高技术层次的安全问题。

没有惊喜。但目前主要的云风险是什么？

排在首位的是数据泄露，其原因多种多样，从***的账户和服务器漏洞，到数据在互联网可访问服务上不受保护。一个可能的原因被CSA错误配置和不充分的变更控制列为单独的风险。多云让情况变得更糟。“使用多个云提供商增加了复杂性，因为每个提供商都有独特的功能，这些功能几乎每天都在增强和扩展，”该组织表示。这意味着企业无法跟上。

接下来是糟糕的云安全架构，CSA将矛头指向升降式迁移。如果你优先考虑让遗留应用程序在不同的平台上快速运行，而不是为云重新设计它，那么你很可能会弄错。

凭证和密钥管理是另一个重要的方面。报告指出，将密码放在公共GitHub存储库中并不是个好主意。其他建议包括使用双因素身份验证、根据业务需求和最小特权原则对账户进行隔离和分段，以及删除未使用的凭据。

csp并没有完全摆脱困境。CSA表示，双因素认证应该作为标准提供，然而，“不幸的是，许多csp只将双因素认证作为一种高级服务提供给客户”。最大的csp似乎有这个权利，至少对于基本的多因素身份验证来说是这样，但是对于较小的提供者来说，这仍然是一个问题。

另一个问题是，有时由于薄弱的策略或影子IT（发生在IT部门监管之外的项目），组织对其使用的云服务没有足够的使用可视性。

最后，报告指出，csp有责任解决黑客和骗子滥用其资源的问题。这可能很困难，因为csp还需要观察运行在云中的客户系统的机密性。CSA认为，每个CSP都应该有一个事件响应框架来“解决资源滥用问题”。

从其中了解到，企业同样有能力破坏安全性，无论它的IT系统是在本地还是在云中。云并不是一些人担心的安全灾难，但是从本地系统迁移对修复薄弱的安全实践毫无帮助。广东纳讯网络