云計算的應(yīng)用將在2018年迅速增長。企業(yè)需要確保數(shù)據(jù)安全而又不犧牲可訪問性，那么是否為此做好了準(zhǔn)備?

服務(wù)提供商和安全專家之間的戰(zhàn)斗是一場永無休止的戰(zhàn)斗。軟件供應(yīng)商和SaaS供應(yīng)商的主要動機(jī)是他們想要獲得利潤，而其方式是盡可能提供接近全天候的軟件和服務(wù)。

為了保證業(yè)務(wù)及時運(yùn)行，業(yè)務(wù)的安全性可以成為事后的考慮。在將產(chǎn)品或服務(wù)交付給客戶的手中之后，企業(yè)喜歡一勞永逸。但當(dāng)今的企業(yè)需要一個既安全又可靠的安全云環(huán)境。

如今，基于云計算的平臺越來越受到企業(yè)的歡迎。分析師預(yù)計到2018年，62%的客戶關(guān)系管理(CRM軟件)都將基于云計算。為什么這很重要? CRM軟件處理客戶之間的交互，并存儲客戶與企業(yè)分享的最機(jī)密的信息。數(shù)據(jù)在不安全的云環(huán)境中運(yùn)行，企業(yè)是否為此做好了準(zhǔn)備?如果沒有，那么請回顧一下2017年發(fā)生的1200多個企業(yè)數(shù)據(jù)泄露事件。

特權(quán)用戶監(jiān)控

任何計算環(huán)境的安全都要考慮到人為因素。無論系統(tǒng)多么安全，一張寫有密碼的便簽都能為安全的平臺帶來風(fēng)險。

特權(quán)用戶監(jiān)控(PUM)可以追蹤超級管理員賬戶在企業(yè)網(wǎng)絡(luò)上如何使用的過程。而這不僅僅是檢測異?；顒?。對特權(quán)用戶進(jìn)行審核可以讓調(diào)查人員跟蹤數(shù)據(jù)泄漏的源頭。

如果企業(yè)在實際操作中遇到麻煩，請考慮一下愛德華·斯諾登的數(shù)據(jù)泄露事件。斯諾登利用自己的權(quán)限搜索、訪問并分享了機(jī)密數(shù)據(jù)。如果采用了更主動的特權(quán)用戶監(jiān)控(PUM)平臺，美國國家安全局可能會更早地查出這種泄密行為。至少調(diào)查人員能夠根據(jù)自動生成的云訪問用戶日志，更快速地確定數(shù)據(jù)泄漏的來源，而不是采用那些能夠改變以覆蓋其蹤跡的用戶日志。

GDPR的合規(guī)性

2016年最大的發(fā)展之一是歐盟將控制消費(fèi)者數(shù)據(jù)從企業(yè)轉(zhuǎn)移到產(chǎn)生數(shù)據(jù)的個人。公民現(xiàn)在擁有比以往任何時候都更多的權(quán)力，企業(yè)在收集、存儲和利用網(wǎng)上互動的信息方面受到一定的限制。

在許多方面，這是個人隱私權(quán)的一個巨大進(jìn)步。但是，這涉及云計算數(shù)據(jù)處理方式的徹底轉(zhuǎn)變。如果一些擁有歐盟公民數(shù)據(jù)的公司不符合GDPR標(biāo)準(zhǔn)，則可能會被處以高額罰款。

影響云數(shù)據(jù)管理的關(guān)鍵因素之一是識別和報告違規(guī)行為的方式。例如，如果一家公司違約，他們有義務(wù)在72小時內(nèi)向受影響的消費(fèi)者和有關(guān)當(dāng)局報告違約情況。

云計算服務(wù)提供商改進(jìn)云監(jiān)控軟件

為了幫助識別違規(guī)行為，大多數(shù)基于云計算的服務(wù)提供商正在加強(qiáng)實時監(jiān)控的能力。例如，微軟Azure平臺不斷擴(kuò)大其內(nèi)置訪問監(jiān)控的全面性。這是識別未經(jīng)授權(quán)的訪問，以及潛在地?fù)p害授權(quán)用戶訪問的關(guān)鍵步驟。

高風(fēng)險情報數(shù)據(jù)庫(HRID)提供實時審計

企業(yè)平均花費(fèi)209天才能獲知他們的云端數(shù)據(jù)已被破壞。而一些科技初創(chuàng)公司正在開始致力于識別和防止數(shù)據(jù)泄露的研究。高風(fēng)險智能數(shù)據(jù)庫(HRID)的功能與電腦中的傳統(tǒng)防病毒軟件非常相似，可以用于比較企業(yè)采用的云平臺收集的監(jiān)控數(shù)據(jù)。

在沒有提供第三方訪問企業(yè)的機(jī)密數(shù)據(jù)的情況下，高風(fēng)險智能數(shù)據(jù)庫(HRID)不斷掃描訪問日志以尋找不尋常的高風(fēng)險活動。如果發(fā)現(xiàn)潛在的違規(guī)行為，授權(quán)人員將被告知風(fēng)險。組織不僅需要與高風(fēng)險智能數(shù)據(jù)庫(HRID)同步的監(jiān)控功能，還要求調(diào)查團(tuán)隊在尋找并防止?jié)撛谶`規(guī)時遵循明確的協(xié)議。

數(shù)據(jù)安全協(xié)議(包括雙因素身份驗證)應(yīng)該被授權(quán)。這些協(xié)議的范圍可以從簡單地ping連接源來驗證其真實性，完全使數(shù)據(jù)庫脫機(jī)以防止持續(xù)的未授權(quán)訪問。訪問管理者需要了解遵守調(diào)查人員要求的重要性。

隨著企業(yè)受到數(shù)據(jù)泄露的困擾，雙因素身份驗證應(yīng)該成為任何個人訪問機(jī)密文件的新標(biāo)準(zhǔn)。這可以防止暴力攻擊最終獲得成功，因為這除了正確的密碼之外，還需要人工確認(rèn)才能進(jìn)行安全訪問。

改進(jìn)的API安全性

客戶和員工與存儲在云端的機(jī)密數(shù)據(jù)交互的方式是通過應(yīng)用程序編程接口(API)進(jìn)行的。即使安全配置了云計算數(shù)據(jù)服務(wù)器，API漏洞也可能導(dǎo)致災(zāi)難性的破壞。

要求所有登錄到企業(yè)API的用戶使用輔助設(shè)備進(jìn)行身份驗證至關(guān)重要，就像文本消息代碼或身份驗證器應(yīng)用程序一樣。

接下來，企業(yè)對Web服務(wù)器進(jìn)行檢查，以確保用戶只訪問可用于其訪問級別的資源至關(guān)重要。人們會因為糟糕的處理和強(qiáng)制執(zhí)行用戶授權(quán)而出現(xiàn)一些違規(guī)行為而感到驚訝。這可能是因為過時的數(shù)據(jù)庫或代碼中的PAR安全協(xié)議。用戶在每次交互的認(rèn)證和授權(quán)時都會面臨挑戰(zhàn)。

無論企業(yè)如何利用云存儲和處理信息，都要避免將可訪問性置于安全之上的沖動。企業(yè)需要將不斷演進(jìn)的歐盟法規(guī)作為數(shù)據(jù)安全和最佳實踐的新標(biāo)準(zhǔn)。一般來說，如果政府監(jiān)管迫使企業(yè)提高安全性，那么企業(yè)的安全有可能落后于時代的要求。在高風(fēng)險智能數(shù)據(jù)庫(HRID)的幫助下，可以將企業(yè)的訪問日志與已知的不良行為者交叉引用。

那么企業(yè)在2018年將如何保護(hù)自己的云端數(shù)據(jù)呢?