黑客總是在IT系統(tǒng)中尋找漏洞，企業(yè)一直在警惕防備。雖然有許多工具可以幫助保護數(shù)據(jù)和檢測威脅，但這些工具都存在云安全風(fēng)險：工具不能避免人為因素。
人無完人，終端用戶和IT團隊也一樣。他們?nèi)菀资艿骄W(wǎng)絡(luò)釣魚攻擊，也可能會發(fā)生普通的失誤，例如：他們可能會在外部環(huán)境使用機密信息或者不正確地部署安全服務(wù)。更重要的是，云安全最佳實踐經(jīng)常不能得到員工的全面遵守和支持，因為員工總希望盡量快速和高效地完成工作，有些安全策略會帶來少許限制。
要解決云環(huán)境中人的風(fēng)險因素，組織需要理解工具存在的局限性，并培養(yǎng)員工的信息安全意識。
終端用戶
網(wǎng)絡(luò)釣魚攻擊旨在誘騙個人用戶通過網(wǎng)站鏈接和網(wǎng)頁直接響應(yīng)暴露敏感信息。在許多情況下，軟件看起來是合法的，結(jié)果員工就成了攻擊和破壞IT系統(tǒng)的受害者。
此外，隨著移動設(shè)備和云服務(wù)的興起，大量企業(yè)數(shù)據(jù)也都轉(zhuǎn)移到了外部環(huán)境。這就增加了用戶在家里、咖啡店或者酒店訪問敏感信息的機會，那些環(huán)境中的網(wǎng)絡(luò)可能遭到竊聽。
為了保障信息安全，可以使用數(shù)據(jù)泄露保護服務(wù)，它可以識別包含敏感信息的文檔（例如賬號信息）并警告員工潛在的云安全風(fēng)險。在某些情況下，這些工具還可以禁止訪問某些外部環(huán)境數(shù)據(jù)。在這個領(lǐng)域有一些專門的供應(yīng)商，包括CA技術(shù)公司、思科公司、Digital Guardian公司、Veracode公司和賽門鐵克公司。
IT團隊
IT團隊也容易發(fā)生可導(dǎo)致云安全風(fēng)險的人為錯誤。例如：補丁管理就是個長期存在的問題。IT團隊更新補丁消除漏洞的操作有時候是滯后的，因為他們還有其它更緊迫的問題要處理。不過，在公共云環(huán)境中云服務(wù)提供商會負(fù)責(zé)更新補丁，這會降低這方面風(fēng)險。
但是，不要指望（云環(huán)境）提供商對云環(huán)境的所有安全問題負(fù)責(zé)，IT團隊仍然需要防護安全威脅。例如，許多公司現(xiàn)在有內(nèi)部開發(fā)人員拼湊云應(yīng)用程序，這些人員專業(yè)技術(shù)能力很有限甚至非常不專業(yè)。雖然他們構(gòu)建這些應(yīng)用程序的工具可能也有安全選項或功能，但一些新手可能不會使用或沒有啟用安全策略，這會給應(yīng)用程序留下漏洞。
一般來說，向云環(huán)境遷移意味著IT團隊需要調(diào)整他們的管理過程。云安全聯(lián)盟CEO Jim Reavis認(rèn)為，不是所有的遺留系統(tǒng)都需要遷移到云環(huán)境，有一些是沒有意義的。公司需要改變思維，部署下一代防火墻，把工具當(dāng)作服務(wù)運作，而不是當(dāng)成設(shè)備。
許多組織都有安全工具或者服務(wù)，可以監(jiān)視云部署和系統(tǒng)日志。這些工具很多都可以檢測潛在威脅并自動發(fā)送警告。不過其中有一些警告可能是合法的，有一些不合法，這會給安全運維團隊帶來很大工作量。面對如此巨量的數(shù)據(jù)，IT專業(yè)人士可能會忽略潛在云安全風(fēng)險中的一些警告，等發(fā)現(xiàn)的時候已經(jīng)太遲了。這些警告背后的風(fēng)險可能會破壞系統(tǒng)或產(chǎn)生實際的攻擊。
Reavis說：“過去幾年里計算資源出現(xiàn)了爆炸式增長，遠遠超過了過去許多年的發(fā)展。許多公司還沒有擴展和增加安全方面的專業(yè)人員來負(fù)責(zé)評估潛在風(fēng)險。”
更重要的是，IT團隊經(jīng)常以點對點模式部署安全控制策略，這個過程中就會出問題。兼并和收購會加劇這種問題，因為安全工具一般都不是標(biāo)準(zhǔn)化的。實際上，這相當(dāng)于一個云安全團隊管理多個自治虛擬私有網(wǎng)絡(luò)，可能會忘記修改其中某一個網(wǎng)絡(luò)的配置，這就會給攻擊留下可乘之機。
著眼長遠
企業(yè)需要制定公司級策略，部署標(biāo)準(zhǔn)化的工具，并在培訓(xùn)終端用戶和IT團隊方面投資，讓員工更好地理解云環(huán)境安全中他們的角色。要避免響應(yīng)式處理問題的模式，最好的做法讓人為錯誤最小化，為長期解決方案投資，全面遵循云環(huán)境安全最佳實踐。
Security Architects Partners公司管理合作伙伴兼首席咨詢顧問Dan Blum說：“管理層需要意識到，降低90%的風(fēng)險問題不是一蹴而就的事。”
