與任何重大的IT變化一樣，采用混合云模式需要企業重新審視其安全實踐。如果實施的好，混合云應該有助于企業提高安全性。多個云計算環境帶來的靈活性(每種環境都有其自身的優勢和附帶成本)可以使IT領導人能夠將某種類型的敏感數據或關鍵數據保留在內部部署的數據中心中，并同時擁有私有云和公共云的巨大潛力。

但是，安全性必須成為企業整體混合云戰略中可見的一部分，否則可能會在沒有采取適當措施減輕風險的情況下帶來新風險。

[[227835]]

“無可否認，混合云基礎設施是新業務面臨現實的一部分。”Unbound公司研發副總裁兼聯合創始人Guy Peer表示，“因此，企業的IT領導者必須將混合云安全作為優先事項，如果他們還沒有實施的話。”

以下是企業IT領導者應該了解的關于混合云安全的核心問題，并且能夠向組織中的其他人進行解釋，將其視為“混合云安全101”。并介紹管理這些問題的策略問題，以及如何加強企業的混合云安全態勢。

企業面臨的四個關鍵的混合云安全問題：

1.周邊安全措施不足

簡而言之，當企業采用可能包括私有云和公共云環境以及本地部署或傳統數據中心基礎設施的混合模型時，采用保護企業網絡邊界的傳統工具和策略已不再適用。

“IT領導者需要明白，他們仔細定義和維護的網絡范圍已經不夠用了。”Cyxtera公司的副總裁兼首席信息安全官副總裁David Emerson說，“混合云正在成為企業基礎設施的新常態，這些企業必須適應，而不是抗拒變革，并堅持采用傳統的安全措施。”

隨著混合云架構變得越來越普遍，IT專業人員將需要重新啟動他們的面向外圍安全的方法，因為其外圍已經大大擴展和改變。

Unbound公司的Peer說：“大多數企業都會在不同的公共云或私有云上使用內部部署與多種云計算工作負載的組合。有了這種類型的環境，可能保證其周圍邊界安全。”

2.企業的威脅面現在分布廣泛

傳統的周邊安全性在混合云基礎設施中無法滿足的一個根本原因是：企業現在在不同的環境中運行工作負載，跨越傳統的本地基礎設施、私有云和公共云。鑒于靈活性是混合云的強大吸引力之一，企業可能還會根據不斷變化的業務和技術需求在這些不同環境之間移動數據。

Cavirin公司工程副總裁Brajesh Goyal說：“攻擊面現在分布廣泛，無限，并且不斷變化。”

這意味著需要采用新的方法和最佳實踐來確保跨不同環境的數據安全性。即使企業采用傳統流程(如安全修補程序和更新)的處理方式也需要重新審視。正如Red Hat公司首席架構師Matt Smith最近指出的那樣，對于希望在混合時代明智地處理更新的企業來說，自動化起著關鍵作用。

混合架構中的每種類型的環境(甚至每個潛在的提供者)都有不同的安全考慮和風險。沒有統一的混合云安全方法，因為企業不再使用統一的基礎設施。

“IT領導者應該知道，他們有不同的安全需求，取決于工作負載是什么，以及它所處的環境。”Flexential公司首席產品官Michael Fuhrman說，“而采用一種‘一刀切’的策略對于妥善保護企業的工作量不會有效。”

這本質上是一種成本效益的折衷，將再次伴隨著任何重大的IT變化。

以下是瞻博網絡公司全球安全戰略總監Laurence Pitt列舉的一個簡單例子。“混合云所提供的規模和靈活性意味著用戶可以訪問多個環境，但這也會為部門帶來在IaaS上形成‘影子IT’服務器的風險，而這些服務器對于企業IT來說是不可見或無法管理的安全策略。”他解釋說。

將企業整體安全策略與混合云策略保持一致時，請將這些考慮放在首位。

3.思考新的工具、流程和政策

簡而言之，企業采用混合云模式需要新的安全工具和實踐，不應該拋棄其整個安全策略，但需要重新修改它。

Goyal說：“組織需要接受新的工具、策略和思維方式，以實現內部部署和云端的所有基礎設施投資的健康安全態勢。”

例如，在混合部署時代，各種基礎設施的統一管理和資源共享成為關鍵，Red Hat公司技術傳教士Gordon Haff寫道，“即使某個組織尚未使用公共云資源，它們可能已經在運行多種基礎設施平臺(如虛擬化)的意義上是混合的，混合云管理可以幫助將這些統一在一個管理界面下。”他指出，“統一管理還可以為IT部門提供分布在不同地理位置的虛擬化資源的統一視圖，以便進行分配、容量規劃和計費。”

也許企業已經在調整其安全流程以適應DevOps的工作方式，而在開發過程的早期就開始關注安全：它通常被稱為DevSecOps。

而越來越多的混合云采用，以及容器和微服務等相關趨勢，是人們對DevSecOps興趣日益增長的關鍵原因。

這是DevOps文化的邏輯演進，因為IT領導者意識到在持續交付和持續集成以及日益分布的環境和體系結構的時代，需要新的安全方法。

4.謹防提供“轉機”的思維方式

對于IT資源有限或沒有太多資源的小型企業來說，盲目信任云計算提供商可能是一個值得關注的問題。

另一方面，企業的首席信息官和其他IT領導者必須避免混淆分布式或共享風險和完全卸載風險的誘惑。

“采用混合云的最大風險是企業將這視為一個安全轉機，相信云計算提供商將具有安全標準以確保持續的保護和合規性。”瞻博網絡的Pitt說。

企業的云計算提供商提供的服務減緩一些風險，并不意味著企業實際上已經采取任何措施來解決這一風險。“這意味著企業需要努力讓自己的供應商對他們的控制負責。”SAS公司的首席信息安全官Brian Wilson說，“企業如何知道供應商將永遠無法訪問未加密的數據?他們是否可以確認在沒有額外支付或要求企業通過云訪問安全代理(CASB)的情況下是可行的?企業要確保合同中詳細說明了這些細節，并定期審查這些合同和供應商政策。”

這可能是混合云安全的一個比較容易忽視的基礎，因此要注意它，并知道如何向組織中的其他人解釋，這會有很多問題，直至應用程序級別。

“必須保持對數據和應用程序在不同云計算環境中受到保護的方式進行監督。”Pitt說，“即使在混合云和多云環境中，也仍然會面臨一些風險。”