日前，國際信息安全軟件提供商卡巴斯基實驗室表示，將近一半的使用云計算的企業(yè)不知道他們的數(shù)據(jù)是在本地部署的數(shù)據(jù)中心還是在云端存儲和處理，這使得網(wǎng)絡(luò)安全問題顯得更為突出和緊迫。

• 42％的云采用企業(yè)缺乏對數(shù)據(jù)存儲位置的清晰認識，這就意味著他們不知道數(shù)據(jù)是否安全。
• 近一半的企業(yè)和中小企業(yè)遭遇過第三方云主機的數(shù)據(jù)盜用，大多數(shù)人并沒有意識到這些提供商并不會對數(shù)據(jù)盜竊負責

卡巴斯基實驗室的一份新報告呼吁人們關(guān)注一個日益嚴重的問題，稱之為“cloudzoo”：企業(yè)根本無法包裝其IT部門的數(shù)據(jù)。

[[215976]]

如果不清楚數(shù)據(jù)的位置和狀態(tài)，或者控制數(shù)據(jù)的存在，企業(yè)就會越來越面臨一個他們無法確定的網(wǎng)絡(luò)安全格局。大約42％的企業(yè)和36％的中小企業(yè)都表示不知道他們的數(shù)據(jù)所在的位置，因此不了解其完整性或安全性。

78％的企業(yè)至少使用一種云解決方案，因此“cloudzoo”越來越受到關(guān)注。隨著在線數(shù)字解決方案的采用率接近100％，企業(yè)需要敏銳地意識到每一點數(shù)據(jù)。

誰需要對云計算安全負責？

卡巴斯基指出，云計算應(yīng)用的增長已經(jīng)導(dǎo)致了企業(yè)對誰負責數(shù)據(jù)安全的認識上的模糊：企業(yè)認為是他們的云提供商負責，但合同經(jīng)常專門聲明其他情況。

卡巴斯基在報告中說：“服務(wù)水平協(xié)議通常指出，服務(wù)提供商只涵蓋‘服務(wù)可用性’和‘云計算基礎(chǔ)設(shè)施的安全性’。這意味著，云端數(shù)據(jù)受到勒索軟件或DDoS攻擊和影響是客戶的責任。”

大約41％的企業(yè)和46％的中小企業(yè)因為第三方云存儲漏洞而竊取了客戶數(shù)據(jù)和員工信息，如果這些企業(yè)達成類似于上述的協(xié)議，則他們沒有任何人需要追究責任。

報告稱，在10個SaaS和云計算企業(yè)中，有7個沒有計劃來處理上述的安全事件。這些公司的四分之一甚至表示他們沒有檢查云計算合作伙伴的合規(guī)憑證。

培訓云計算安全管理人員

如果采用的云計算混亂不堪的話。這意味著需要對這種情況進行管理。

卡巴斯基提供了一些關(guān)于如何處理云計算安全的建議，因為將繼續(xù)變得越來越重要：

• 通過實施云計算生態(tài)系統(tǒng)可見性計劃，了解哪些文件保存在哪里。請清楚地列出企業(yè)使用的所有服務(wù)，誰負責每個服務(wù)，包含哪些服務(wù)，以及目的是什么。
• 企業(yè)使用的云計算系統(tǒng)的每一部分，無論是混合云，托管數(shù)據(jù)中心還是公共云，都應(yīng)該采取安全措施，將其視為本地文件進行存儲。
• 為最終違反的供應(yīng)商制定安全計劃。這不是一個會不會發(fā)生的問題，而是一個什么時候發(fā)生的問題。
• 實施可靠的訪問控制策略，并知道誰能夠使用哪些云計算服務(wù)。

如果可能的話，將云計算服務(wù)放在單一登錄或密碼管理平臺上。用戶只有在已經(jīng)通過該服務(wù)驗證身份后才能獲得訪問權(quán)限。