人們常說，生命中唯一確定的兩件事就是死亡和稅收。在過去的十年中，數據泄露似乎可以被添加到這個列表中。一個組織真的可以完全安全嗎?不必擔心丟失機密或受監管的數據、公司機密以及(越來越多的)專有算法和人工智能代碼?

[[416805]]

現實情況是，完全保護數據或其他數字資產極其困難。內部部署、私有云和公共云數據都容易受到內部人員和惡意軟件的攻擊。防御者只需在檢測和關閉攻擊時失敗一次，就會導致災難。人們可以爭辯說，每個環境都相對安全，但現實是，沒有什么是完全安全的。

根據451項研究，近70%的CISO表示，公共云不能被合理信任，無法對敏感數據和工作負載保密。西索斯知道，只要有足夠的時間，即使是無意的違約也是不可能的。而且這種知識并不局限于CISO：每個公共云提供商都了解他們的漏洞。

雖然CISO繼續為其最敏感的工作負載維護私有數據中心，但公共云供應商的應對措施是部署安全計算技術，旨在將易受攻擊的公共計算資源轉化為完全機密的資源。

AWS，例如，最近發布的AW-NITRO-EncLaves，一個硬件卡附加到現有的AWS主機，支持“使用中的數據”隔離安全執行環境的基礎。MicrosoftAzure機密計算也部署了類似的功能，最近部署了同時支持IntelSGX和AMDSEV技術的主機。谷歌宣布了類似的功能，利用AMD的SEV專有安全計算技術。

不幸的是，在實踐中，這些硅級技術具有可用性限制，阻礙了IT組織的廣泛采用。這主要是因為他們只關注保護未加密的內存和長期使用的數據，而這正是目前運行的幾乎所有主機的安全弱點。存儲數據和網絡通信需要通過單獨的點技術進行補救，這些技術會造成復雜的筒倉和潛在的保護缺口。

盡管這些技術非常強大，但對于擁有數千個遺留和打包應用程序的組織來說，這些技術仍然不可行。即使其中一些應用程序可以修改，也很少有首席信息官愿意進行代價高昂的修改，將其最重要的應用程序鎖定在一個云供應商和機密計算技術堆棧上。

好消息是，這些相同的機密計算技術為一個新的基于軟件的計算結構奠定了基礎，這使得IT組織更容易采用安全計算，而不管底層技術和公共云。它們還提供了一個強大的平臺，在這個平臺上可以構建一類新的安全計算應用程序，稱為機密云。

什么是機密云?

機密云是由一個或多個公共云提供商組成的安全機密計算環境。機密云中的應用程序、數據和工作負載受底層主機中硬件級加密、內存隔離和其他服務的組合保護。

與微細分和主機虛擬化一樣，機密云中的資源以默認的零信任狀態與所有流程和用戶隔離。但機密云不僅僅隔離網絡通信，它隔離了工作負載使用的整個it環境，包括計算、存儲和網絡。它支持幾乎任何應用程序。

由于機密云保護是數據不可分割的一部分，因此無論數據到哪里，保護都會延伸到哪里。傳統企業邊界是由物理設備定義的，但機密云的邊界是由硬件隔離、加密和明確的最低特權訪問策略的不可分割的組合建立的。歸根結底，工作負載和數據的處理完全不受內部人員、惡意參與者和惡意進程的影響，即使在物理主機出現故障的情況下，工作負載的所有方面都是安全的。

機密云的實際承諾

聽起來很復雜?在實踐中，不應該這樣。

機密云軟件結構的另一個特點是，它對用戶和應用程序都是透明的。與服務器虛擬化技術非常相似，機密云能夠以與當前完全相同的方式部署現有工作負載。

數據安全成為底層硬件/軟件堆棧的固有服務，而不是單個應用程序或其他安全功能(如存儲/網絡加密和密鑰管理)的責任。

通過這種方式實現，幾乎任何應用程序都可以在機密云中運行，而無需對開發或操作進行任何更改。由于保護與數據本身一起流動，因此將機密云用于分布式云本機應用程序有可能顯著降低復雜性和成本，同時消除應用程序的大部分攻擊面。

機密的云彩在地平線上嗎?

機密云的基礎和軟件現在可供使用。幾乎所有主要的公共云提供商都在全球部署了某種形式的保密計算硬件，作為其當前主機產品的可點擊選項。構成機密云的軟件也很容易獲得，通常直接通過相同的云提供商獲得。

可以快速實例化和測試運行預打包應用程序(包括市場領先的數據庫、AI引擎等)的概念驗證環境。這些組件現在都在這里，形成了一個完整的解決方案，可以在不中斷的情況下輕松采用。

云的規模和經濟性是不可否認的。現在，機密云消除了最后剩下的安全問題，企業不再需要在安全性和云基礎設施的優勢之間進行權衡。最后，一種強大的新型云安全可以控制……而且它將秘密地這樣做。