簡單地說，你不能相信云服務提供商的員工。雖然說，我們也不能完全相信自己的員工，但至少我們能夠更好地監控他們。在企業內部，當有人訪問安全數據時我們會收到警告，例如谷歌工程師因為基于客戶訪問情況跟蹤谷歌客戶而被抓，這些年來，我們很多看到員工因偷竊以及制造破壞等行為而被解雇。

在這個時代，很多國家都在廣泛搜集數據，并且，這些網絡間諜組織也不是特別安全，因為這些國家的做法會吸引犯罪分子效仿。最簡單入侵企業的方法是獲取員工的登錄憑證或者讓員工泄露信息，例如斯諾登一樣。

基于這些信息的價值以及國家可用來進行網絡釣魚或迫使員工提供訪問權限的工具可用性來看，筆者認為，對于企業而言，現在是時候該認真地審查云服務，并根據云服務是否能保護你的數據來對他們進行排名。

防止數據遭到政府監控

受攻擊的明顯領域之一是通信服務器。例如，美國民主黨總統候選人希拉里使用私人電子郵件服務器，這個服務器可能已經受到攻擊，因為它沒有得到充分保護。根據斯諾登披露的內容表明，目前還不清楚這些信息在政府內是否會更加安全。

通信服務器有著廣泛的信息面，如果未經授權的人可以訪問這些服務器，這可能讓公司或者國家受到嚴重影響。企業內部IT員工或者云服務提供商的員工不應該有權限查看所有通信數據，然而，正如我們從斯諾登事件所看到的，現實情況并非如此。

理想情況下，通信應該在來源處得到全面加密(根據政策或者法律)，同時，只有授權查看內容的人可以解密。當然，企業應該對傳輸到云服務提供商的數據進行加密，并當數據離開公司時保持加密，確保直到返回都讓其他人無法訪問。

在任何情況下，云服務提供商都不應該意外或故意讀取受其保護的安全文件。

分析是一個問題

在筆者看來，最大的問題是分析與合規性。企業本身需要能夠分析安全信息以捕捉和識別企業內部的非法活動，并有效響應合法發現/訪問請求。如果無法做到這一點，企業可能會被迫失去安全性或者創建永久性后門(+本站微信networkworldweixin)，這兩者都會降低加密的價值。

這里有兩種方法，其一：服務以加密形式位于云中，但在企業內部則為可分析的形式;其二，服務位于完全安全的虛擬端，只有該企業可以訪問，但是提供headroom來滿足通信要求以及政策和法律要求的分析和報表功能。

事實上，企業還應該采用容器做法以更好地保護數據抵御內部非法活動。當數據在虛擬容器中時，在云服務提供商之間或企業內部和外部之間移動數據會相對更容易。

當然，所有這些方法還應該結合某種訪問控制以及安全產品，因為如果訪問容器的人沒有受到監控，我們將無法保證容器的安全性。

現在是時候重新考慮安全性

企業不應該相信云服務提供商的員工。在現在的環境，企業很難相信自己的員工，而考慮到云服務提供商的攻擊面，企業更加沒有辦法來相信云服務提供商的員工。

所以，企業應該確保沒有人可以在未經授權的情況下訪問機密信息，無論是在企業內部還是在企業外部。然后，確保這些授權受到嚴格管理和監控，這樣，你才可以說，你對信息的安全保護已經足夠。

至少通過這種方法，你可以專注于云服務提供商的可用性、性能和價格，而不是關注他們是否在真正保護你的數據安全。當讓，單靠這一點并不能確保讓你遵守跨越國界的法律。(鄒錚編譯)