盡管云計算在企業的采用率有所增加，但許多主管還是小心翼翼，不敢將數據遷移到云端。雖然他們不愿采用云主要源自安全和隱私方面的問題，但是那些擔心并非總是有根有據。

[[136879]]

TierPoint LLC是一家總部位于圣路易斯的云和主機托管服務提供商，首席安全官Paul Mazzucco表示，實際上，許多企業組織擔心云安全基本上歸因于誤區。Mazzucco在近日于紐約召開的云計算博覽會上表示，尤其是下列四大誤區讓主管們夜不能寐。

第一大誤區：云端數據天生就不大安全。

Mazzucco表示，許多主管誤以為放在云端的數據要比放在企業內部的數據來得岌岌可危。

與此同時，最近重大數據泄露事件紛紛傳出之后，業務主管們在企業內部圍繞云安全展開越來越多的討論，這些問題越發讓人憂心忡忡。

Jon Williams是總部位于南卡羅來納州格林維爾的律師事務所Ogletree Deakins的區域支持主管。他說：“我們有一個技術委員會，其成本基本上是我們事務所的幾位大股東，他們根本就不是IT人員。如今所有這些IT決策都要受到審批，我們會把想法告訴給他們，他們也把想法告訴我們。不過他們其實在一個勁地挑剔、提出問題。”

Mazzucco表示，盡管業務主管們很擔心，但數據在云端通常要比在企業內部來得安全。這是由于，絕大多數云服務提供商一開始就將安全(常常使用多層次方法)納入到其基礎設施中。

將數據遷移到云端還減小了影子IT的風險。所謂的影子IT是指，用戶繞過IT部門，訪問未經批準的云應用程序。

Mazzucco表示，大多數主管以為本公司運行的基于云的應用程序至多不超過50個，而企業實際使用的云應用程序平均超過500個。制定一項正式的云戰略讓IT部門擁有更大的透明度和控制度。

第二大誤區：安全戰略可以等一等。

自任何云部署項目一開始，制定云安全戰略就應該是業務部門和IT部門關注的首要事項。據Mazzucco聲稱，在部署后打上安全補丁了事是沒有哪家公司愿意冒的風險。

他說：“這是現在得趕緊采取的措施。”

即便企業組織已落實了適當的安全措施，并且通過服務級別協議(SLA)確保云服務提供商同樣落實了適當的安全措施，日常監控和報告也應該總是一個優先事項。

第三大誤區：通過認證的云服務提供商保證數據肯定能得到保護。

許多企業組織完全憑借云服務提供商擁有的合規或監管認證數量來評估對方的安全模型。Mazzucco提醒，但不應該是這樣。相反，IT部門應該總是“進入到下一個階段”，評估提供商的云環境。

他說：“總是要核實提供商向你出示的合規認證。”

為此，企業應該對提供商進行獨立的安全評估，或者請第三方開展這項工作。首先，要參照云安全聯盟的《共識評估倡議調查問卷》(Consensus Assessment Initiative Questionnaire)，它列出了云用戶和審查人員應當詢問潛在云服務提供商的一系列問題。

此外，企業組織應該總是要求提供商的安全實踐/做法至少有一定的透明度，并且盡可能在SLA中加以注明。

第四大誤區：弄好后就不用管。

正如IT部門不應該在部署后胡亂拼湊安全戰略那樣，它們也不能在投入使用后就忘了該戰略。

Mazzacco表示，可靠的云安全模型應該不斷完善。它應該需要多層次方法，需要日常的高級威脅檢測，需要實時警報，還需要一致的監控和報告機制。不斷更新反病毒和反惡意軟件技術在云環境下應當與在內部環境下來得同樣要緊。

Mazzucco說：“說到云安全，過去那種‘眼不見心不煩’的心態很危險，要不得。當然，讓一支專設的小組查看計算環境的所有層次、所有日志以及安全環境的方方面面，這比老方法要好得多。”

英文：Four cloud security myths debunked