李汇

当企业业务大量向云端转移，云上安全问题变得愈加严峻，如何保障云端业务的安全成为企业关注的重点问题之一。前不久，网络安全企业派拓网络（Palo Alto Networks）发布了一份云安全报告，揭示亚太区大型企业云安全现状，发现很多情况下，普遍的认知与最了解情况的专业人士感受不符。

为了让大家对当前企业云安全的现状有更深层次的认识和理解，Palo Alto Networks亚太区首席安全官Kevin OLeary对该报告进行了详细的解读。

80 %企业认识到云端安全问题

Kevin OLeary认为，目前大部分企业已经意识到云端的安全问题，在本次调查中，有80 %的亚太区企业认为云应用中的安全和隐私问题是最大挑战。在调查过程中，Palo Alto Networks发现，目前来自云端的安全问题主要包括3个层面：

第一，不安全的接口和API占到相当大部分，约为61 %；

第二，由于不安全的接口和API过多，导致数据泄露和丢失严重，达到57 %；

第三，有51 %的企业上云后，所有的资产和配置没有统一的安全管理视图。

此外，报告显示，虽然有80 %的企业认识到了云安全的重要性，但仍有70 %的决策者完全依靠云供应商提供的安全措施，他们认为这些措施足够保护他们免受云安全威胁。

也正是出于对云端安全的重视，不少企业纷纷使用安全工具进行安全防护。数据显示，有59 %的参与调查企业拥有超过10个安全工具在同时运行。不可否认这些安全工具确实能够起到一定的防护作用，但由于这些工具过于分散，会对企业的多云平台架构管理造成困扰。Kevin OLeary提到，复杂性意味着对安全很难做到及时的响应和处理。

当然有一部分企业能够对云上的安全威胁管理形式有较为统一的管理界面，能够清晰地看到安全上的统一策略，统一视图，但这样的企业也仅占到访谈企业的36 %，大部分企业还是没有统一管理安全的能力。而现实中所面临的云端安全问题远不止于此。调查显示，有相当一部分企业从未开展过安全审核或不能保证每年进行审核，还有57 %的企业不能每年度对IT安全人员提供网络安全培训，Kevin OLeary表示：“上云平台之后的云安全问题，不仅有技术层面的原因，也有因为安全意识薄弱而造成的，这些都是当前企业在安全方面面临的主要问题。”

中国云安全问题更为严峻

根据Palo Alto Networks大中华区总裁陈文俊介绍，这些安全问题在中国更为明显，相比之下中国企业更加依赖于云供应商提供的安全防护，并对其工作的SaaS环境安全度表示认可。调查显示，中国企业的安全问题相比亚太区更为严峻。

云安全建议

为了帮助用户提升云上业务的安全性，陈文俊提出以下几点建议：

第一，安全需要从一开始就集成于云环境中，安全应成为加速云采用的助推器。他认为上云是一个安全的趋势，无论laaS，Paas，SaaS都是未来的趋势，上云后基础架构不在用户侧，用户不能过分依赖服务商提供的安全，而应该以责任共享的理念将安全集成到云环境中。

第二，在各类云部署中创建一致的安全策略，可以通过工具来帮助正确实施这些策略，这些工具能够对全部云资产及其面临的威胁形成统一视图。用户可能会部署阿里云、腾讯云、亚马逊云、微软云乃至更多的云，在多云的环境下如何能保证安全策略是一致的，同时一个界面、同一个视图可以看到所有云上的应用和资产，一开始需要建立统计策略，而不是光靠云服务商的保护。

第三，允许多云環境的平滑部署和轻松扩展，消弭高度受控的安全团队与高度敏捷的研发团队之间的差距。多云环境中，云的资源非常便于使用，但同时也带来了更多的安全风险。在多云环境中用户要知道如何进行扩展，要明白安全团队的严格要求。但作为使用方，用户的开发团队又希望很快，如何减少摩擦，并在多云环境中提供安全保障至关重要。

第四，增加对IT和非IT人员的审核与培训。用户上云以后，大家对安全的审计或者安全的意识不足，一些IT或非IT人员乃至一些领导安全意识不足，加强上云以后IT或非IT人员的审计和培训非常必要。

第五，借助本地集成的、数据驱动且基于分析的方法（包括机器学习、人工智能），实现威胁情报的自动化，避免人工出错情况的发生。随着大数据、机器学习和人工智能的大规模应用，用户希望通过大数据分析自动化地进行安全防御和威胁的防控，希望减少人工的错误。相比较而言，很多黑客攻击都是通过机器进行，如果用户通过人工进行防御，反应速度远远不足。因此建议用户用更多的大数据、人工智能和机器学习去做自动化的防御和抵抗。