曾任美國(guó)國(guó)土安全部和美國(guó)國(guó)稅局首席信息官，現(xiàn)任Learning Tree International公司首席執(zhí)行官的Richard A.Spires對(duì)云計(jì)算技術(shù)和SaaS安全進(jìn)行了分析和闡述。
他表示，采用云計(jì)算有很多好處，既有通過(guò)基礎(chǔ)設(shè)施即服務(wù)(IaaS)和平臺(tái)即服務(wù)(PaaS)交付模型實(shí)現(xiàn)按需計(jì)算的優(yōu)勢(shì)，也包括使用軟件即服務(wù)(SaaS)應(yīng)用程序的好處。特別是，基于SaaS的應(yīng)用程序正日益成為企業(yè)快速便捷地采用新應(yīng)用程序的方式。這推動(dòng)了巨大的市場(chǎng)增長(zhǎng)，而在美國(guó)上市的SaaS初創(chuàng)企業(yè)如今有11000家以上，而根據(jù)調(diào)研機(jī)構(gòu)IDC公司的分析，到2019年，全球基于SaaS的市場(chǎng)規(guī)模超過(guò)1120億美元。
IT組織需要開(kāi)發(fā)一種全面的方法來(lái)解決依賴(lài)第三方計(jì)算和應(yīng)用程序帶來(lái)的安全挑戰(zhàn)
盡管云計(jì)算和SaaS業(yè)務(wù)模型可以使IT組織降低基礎(chǔ)設(shè)施成本并提高支持客戶的敏捷性，但同時(shí)也增加了處理IT安全性的復(fù)雜性。IT組織不僅在某種程度上放棄了對(duì)某些IT基礎(chǔ)設(shè)施的控制和可視性，在某種程度上利用了基于SaaS的應(yīng)用程序，而且還讓第三方存儲(chǔ)和控制敏感數(shù)據(jù)。不久前，IT安全人員還致力于保護(hù)組織的IT外圍環(huán)境。隨著出現(xiàn)新的計(jì)算和服務(wù)模型，人們不得不承認(rèn)傳統(tǒng)的外圍設(shè)備已經(jīng)不復(fù)存在。
A.Spires認(rèn)為，SaaS安全性是雙重挑戰(zhàn)。首先，對(duì)于第三方云計(jì)算服務(wù)提供商的使用(包括更傳統(tǒng)的外包數(shù)據(jù)中心服務(wù))，組織需要對(duì)這些提供商正在實(shí)施適當(dāng)?shù)陌踩刂拼胧┚哂行判?，這些控制應(yīng)該與(或至少類(lèi)似)他們將在其自己的數(shù)據(jù)中心和網(wǎng)絡(luò)中實(shí)施的內(nèi)容相匹配。這些控制范圍從人員的物理訪問(wèn)到包括系統(tǒng)管理訪問(wèn)的身份管理和適當(dāng)?shù)木W(wǎng)絡(luò)加密。一些非營(yíng)利組織一直在努力使這一行業(yè)的控制標(biāo)準(zhǔn)化。值得注意的是，云安全聯(lián)盟(CSA)已經(jīng)開(kāi)發(fā)了云計(jì)算控制矩陣(CCM)，這是一個(gè)專(zhuān)門(mén)為云計(jì)算設(shè)計(jì)的安全控制框架。利用云計(jì)算控制矩陣(CCM)，云安全聯(lián)盟(CSA)為云計(jì)算服務(wù)提供商開(kāi)發(fā)了一個(gè)審計(jì)、認(rèn)證和注冊(cè)程序，稱(chēng)之為安全、信任和保證注冊(cè)(STAR)。美國(guó)聯(lián)邦政府也開(kāi)發(fā)了類(lèi)似的模型FedRAMP，這是一種云計(jì)算服務(wù)提供商滿足NIST 800-53安全控制套件定義的三個(gè)不同級(jí)別的最低安全控制要求的方法。
但是，即使IT安全主管對(duì)底層云計(jì)算服務(wù)提供商的控制套件具有信心，那么對(duì)于使用SaaS應(yīng)用程序的組織又將如何呢?在這種情況下，敏感數(shù)據(jù)很可能將由第三方存儲(chǔ)和控制，并由組織的客戶或合作伙伴使用，從而使數(shù)據(jù)永遠(yuǎn)不會(huì)與組織的網(wǎng)絡(luò)、防火墻或任何其他安全設(shè)備或過(guò)程控制接觸。這對(duì)于首席信息官或首席信息安全官(CISO)來(lái)說(shuō)，這種情況令人擔(dān)憂，因?yàn)镾aaS應(yīng)用程序?qū)?yīng)用程序及其數(shù)據(jù)的安全性幾乎沒(méi)有可見(jiàn)性和控制力。因此，第二個(gè)挑戰(zhàn)是如何將組織的安全策略和控制擴(kuò)展到公共云和SaaS應(yīng)用程序。
這一挑戰(zhàn)已經(jīng)產(chǎn)生了所謂的云訪問(wèn)安全代理(CASB)，這些產(chǎn)品充當(dāng)位于企業(yè)內(nèi)部或云中的安全實(shí)施點(diǎn)，并且在邏輯上存在于組織和云計(jì)算服務(wù)提供商之間以提供一系列服務(wù)包括身份認(rèn)證和授權(quán)、設(shè)備配置文件、應(yīng)用程序白名單、加密、警報(bào)、惡意軟件檢測(cè)等。CASB市場(chǎng)中的一些行業(yè)領(lǐng)先供應(yīng)商包括Bitglass、Forcepoint、Cloudlock /Cisco和Skyhigh Networks。CASB解決方案的使用正在快速增長(zhǎng)，根據(jù)調(diào)研機(jī)構(gòu)Gartner公司的調(diào)查報(bào)告，到2020年，將有85%%u7684大型組織使用CASB解決方案，而2015年這一比例還不到5%%u3002
從積極的方面來(lái)看，CASB供應(yīng)商具有強(qiáng)大的功能，正在填補(bǔ)市場(chǎng)空白。但是A.Spires表示，他對(duì)如何通過(guò)繼續(xù)添加工具，然后在內(nèi)部進(jìn)行集成以解決企業(yè)IT安全性挑戰(zhàn)感到困惑。他很少看到這種策略能很好地實(shí)施。因此支持以下觀點(diǎn)：應(yīng)對(duì)企業(yè)IT安全挑戰(zhàn)的最佳方法是使用IT安全平臺(tái)，該平臺(tái)可提供一系列功能來(lái)幫助企業(yè)發(fā)現(xiàn)漏洞。在這個(gè)市場(chǎng)上，Palo Alto Networks、思科和Check Point Software公司提供了集成的平臺(tái)解決方案。
作為平臺(tái)價(jià)值的一個(gè)示例，Palo Alto Networks公司最近將其平臺(tái)功能擴(kuò)展到了云計(jì)算 解決方案和SaaS應(yīng)用程序中。尤其吸引人(并且在操作上很有吸引力)的是，組織可以為一種數(shù)據(jù)類(lèi)型設(shè)置安全控制(例如根據(jù)數(shù)據(jù)的敏感性來(lái)定制控制)，而Palo Alto Networks公司的技術(shù)使用戶能夠在其整個(gè)平臺(tái)上實(shí)施這些策略。無(wú)論其數(shù)據(jù)駐留在用戶自己的數(shù)據(jù)中心，外包數(shù)據(jù)中心還是公共云中的SaaS應(yīng)用程序中。這極大地簡(jiǎn)化了其組織中安全策略的管理，并提供了高級(jí)威脅防護(hù)。此外，網(wǎng)絡(luò)攻擊者使用的越來(lái)越多的利用之一旨在通過(guò)基于SaaS的應(yīng)用程序通過(guò)惡意軟件感染用戶，因?yàn)榫W(wǎng)絡(luò)攻擊者知道大多數(shù)組織都無(wú)法像使用內(nèi)部基于應(yīng)用程序的方式來(lái)監(jiān)視這些SaaS應(yīng)用程序。這些平臺(tái)的關(guān)鍵組成部分包括能夠?qū)⑼{檢測(cè)和防御功能引入IT基礎(chǔ)設(shè)施和應(yīng)用程序的各個(gè)方面，包括那些駐留在云中的應(yīng)用程序。
基于SaaS的應(yīng)用程序的使用正成為組織快速交付新功能的首選方法。其需求來(lái)自業(yè)務(wù)用戶，因此IT組織必須接受并規(guī)劃SaaS的數(shù)量和用途的持續(xù)擴(kuò)展。因此，即使用戶數(shù)據(jù)不會(huì)在組織的網(wǎng)絡(luò)或數(shù)據(jù)中心處理或存儲(chǔ)，IT組織也需要開(kāi)發(fā)一種全面的方法來(lái)應(yīng)對(duì)依賴(lài)于第三方計(jì)算和應(yīng)用程序帶來(lái)的安全挑戰(zhàn)。
聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以原創(chuàng)、轉(zhuǎn)載和分享網(wǎng)絡(luò)內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-62778877-8306；郵箱：fanjiao@west.cn。本站原創(chuàng)內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明出處：
西部數(shù)碼知識(shí)庫(kù) »
云計(jì)算和SaaS安全需要全面的方法-1.jpg)
