云安全，無論何時提起，其重要性都不容小覷。

根據(jù)網(wǎng)絡(luò)安全機(jī)構(gòu)Sophos的研究，云安全事件正在時刻發(fā)生。

根據(jù)該公司發(fā)布的《2021年云安全狀況》顯示，近四分之三的企業(yè)遭受了云安全攻擊，其中惡意軟件、勒索軟件、云泄漏和配置錯誤是最大的威脅。

此外，運行多云環(huán)境也是企業(yè)遭受云安全事件影響的因素之一。 2022年，當(dāng)各行各業(yè)掀起上云狂潮后，云安全的概念隨之爆發(fā)。據(jù)Gartner預(yù)測，到2023年，云安全市場規(guī)模將增長10倍，達(dá)到124億美元(相比之下，2020年為12億美元)。

與此同時，越來越多的中小企業(yè)也在增加對網(wǎng)絡(luò)安全方面的投入，無形中助推了云安全從一個小眾市場走向主流的步伐。

01需求爆發(fā)式增長云安全首次突破百億元大關(guān)

在國內(nèi)，云安全市場持續(xù)保持高速增長，2021年云安全市場規(guī)模首次突破百億元大關(guān)，達(dá)到117.7億元，同比增長46.4%。綜合來看，云安全市場的高速增長，是多種因素共同推動的結(jié)果。

在政策層面，國內(nèi)數(shù)據(jù)安全相關(guān)的法律法規(guī)日益完善，面向高速發(fā)展的市場給出了引導(dǎo)規(guī)范和明確標(biāo)準(zhǔn)。

近幾年，國家陸續(xù)出臺了《數(shù)據(jù)安全法》《個人信息保護(hù)法》《汽車數(shù)據(jù)安全管理若干規(guī)定(試行)》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等法規(guī)，從通用型法律法規(guī)，到重點行業(yè)相關(guān)條例、指南、標(biāo)準(zhǔn)等，為企業(yè)上云用數(shù)安全提出了更高要求。

其次，企業(yè)對云安全的市場需求迎來爆發(fā)期。伴隨著云服務(wù)模式的深化應(yīng)用，細(xì)分領(lǐng)域和場景的安全實踐推動云安全市場需求水漲船高。

混合多云、云原生、AI、IoT等新技術(shù)的應(yīng)用，催生了更細(xì)化的安全場景和更豐富的安全需求。

此外，充分的市場競爭也促使云服務(wù)商、安全廠商不斷投入云安全新技術(shù)、新應(yīng)用的研發(fā)與實踐，加速了云安全市場的增長。

在上一個時代領(lǐng)跑的安全公司(如奇安信、深信服、綠盟科技、亞信科技、啟明星辰等)，憑借深度扎根云安全領(lǐng)域畫出了第二增長曲線;在平臺類公司中，阿里、騰訊、華為、百度等玩家貼身肉搏競爭激烈;在新興公司中，微步在線、青藤云安全等公司憑借差異化優(yōu)勢成長為安全獨角獸。

安全是一個高速迭代和進(jìn)化的領(lǐng)域，任何企業(yè)都需要保持對新興安全技術(shù)的敏感。

02想說愛你不容易云安全道阻且長行則將至

云計算給業(yè)務(wù)帶來的是全方位改變。隨著云化時代業(yè)務(wù)部署的環(huán)境更廣泛，組織需要管理的終端類型也更多樣化。

同時，云時代IT資源和能力可以快速應(yīng)用到業(yè)務(wù)創(chuàng)新上，應(yīng)用的迭代速度也變得更加迅速。而云原生架構(gòu)和開源代碼的廣泛應(yīng)用，則讓企業(yè)IT架構(gòu)和應(yīng)用變得越來越復(fù)雜。

這一系列變化，為企業(yè)安全帶來了許多新的挑戰(zhàn)。當(dāng)企業(yè)的業(yè)務(wù)上云之后，傳統(tǒng)安全產(chǎn)品大多無法直接部署到云環(huán)境中，對于容器、API攻擊等云時代語境下的安全問題已經(jīng)失效。

在多云、多終端的環(huán)境下，需要安全保護(hù)和運營管理兩個緊密集成但又相互分離的生態(tài)系統(tǒng)，這就造成復(fù)雜的操作環(huán)境，而使用多種不同技術(shù)平臺運行并行環(huán)境，會在監(jiān)控、安全和生產(chǎn)支持等領(lǐng)域帶來持續(xù)的運營復(fù)雜性。

而云化架構(gòu)本身的復(fù)雜性，也會使得安全保護(hù)變得更加復(fù)雜、成本更高，因此需要有更簡化的方式來實現(xiàn)安全保護(hù)。

從主機(jī)到虛擬機(jī)，從虛擬機(jī)到容器，云安全好像無所不能，貫穿了云時代的全部歷史。綠盟科技集團(tuán)副總裁曹嘉認(rèn)為，云看似安全，實則非常容易成為突破口。

無論是公有云、私有云還是混合云，沉淀著大量的自研開發(fā)業(yè)務(wù)，此類應(yīng)用安全問題將會突顯。

同時，70%的企業(yè)會采用一些開源組件去構(gòu)建軟件應(yīng)用，第三方組件也會引入安全風(fēng)險，從而打破業(yè)務(wù)與安全的平衡。API開放的大量公開信息也可能會被攻擊者利用，形成新的安全風(fēng)險。

因此，對于任何想要構(gòu)建云上安全體系的企業(yè)，云安全戰(zhàn)略正在變得日益重要。

如今，越來越多的企業(yè)認(rèn)識到，構(gòu)建云安全戰(zhàn)略是一項持續(xù)性工作，云安全需要有自上而下的頂層設(shè)計，要以安全為出發(fā)點構(gòu)建所有云上應(yīng)用。

在戰(zhàn)略優(yōu)先級上，企業(yè)應(yīng)該將云安全作為“零號任務(wù)”貫穿云旅程的全過程。從最初的技術(shù)理念，到管理機(jī)制，再到企業(yè)文化，每個云服務(wù)從設(shè)計階段就要將云安全作為優(yōu)先考慮事項。

對于企業(yè)，構(gòu)建云化時代的安全能力，可以從采用云化交付的安全產(chǎn)品和服務(wù)、構(gòu)建適合云和云原生應(yīng)用的保護(hù)能力、采用適配于云時代的IT基礎(chǔ)設(shè)施這三個方面著手。

曹嘉認(rèn)為，云化的業(yè)務(wù)需要用云化的安全來保護(hù)，絕大多數(shù)安全產(chǎn)品的能力實際上都可以用云化的方式進(jìn)行交付。

比如網(wǎng)關(guān)安全、終端安全可以被SASE、SSE、云化的XDR來代替，而傳統(tǒng)的人工安全服務(wù)，也可以使用永久在線、持續(xù)對抗的MSS安全托管服務(wù)來代替。云化的安全產(chǎn)品和服務(wù)能夠快速部署、快速演進(jìn)，大幅簡化用戶在產(chǎn)品交付和運維上的工作。

在多云共存時代，企業(yè)的安全策略也應(yīng)當(dāng)是跨云的，需要統(tǒng)一進(jìn)行管理，實現(xiàn)統(tǒng)一的安全保護(hù)。

云安全不應(yīng)該是業(yè)務(wù)上線和運維階段才考慮的問題，而是在業(yè)務(wù)規(guī)劃、開發(fā)、測試、上線、運維的每一個環(huán)節(jié)，都嵌入安全開發(fā)機(jī)制，從而更早發(fā)現(xiàn)風(fēng)險，更早修復(fù)，大幅提升業(yè)務(wù)安全性。

在云化環(huán)境下，傳統(tǒng)的網(wǎng)絡(luò)邊界已經(jīng)消失，幾乎所有的終端、網(wǎng)絡(luò)都是不安全的環(huán)境，因此在云時代，要重新建立新的安全保護(hù)模型。

零信任架構(gòu)是目前業(yè)界廣泛認(rèn)可的用來實現(xiàn)跨云保護(hù)的一種安全模式。雖然零信任很美好，但目前落地往往不盡如人意，企業(yè)在建設(shè)零信任體系時，要充分考慮相關(guān)產(chǎn)品和方案的可落地性，不能選擇過度復(fù)雜的產(chǎn)品導(dǎo)致方案無法落地。

此外，如果基礎(chǔ)設(shè)施能夠內(nèi)置安全能力，可以大幅減少企業(yè)在云時代下的安全風(fēng)險。

企業(yè)本地建設(shè)的基礎(chǔ)設(shè)施，包括私有云平臺、超融合等，安全能力和基礎(chǔ)設(shè)施幾乎是完全解耦的，需要單獨考慮安全建設(shè)問題。

在云化時代下，企業(yè)需要更多采用天生具有安全保護(hù)能力的數(shù)字化基礎(chǔ)設(shè)施，比如能夠內(nèi)置防勒索的存儲、內(nèi)置微隔離的網(wǎng)絡(luò)、具備虛擬補丁的計算平臺等。

當(dāng)然，這種適配于云時代的IT基礎(chǔ)設(shè)施建設(shè)，并非要把企業(yè)已有安全設(shè)施進(jìn)行全部替換，而是把傳統(tǒng)安全產(chǎn)品的部分能力云化并納入跨云管理平臺，使之成為云化環(huán)境安全保護(hù)的一部分，不但大幅提升安全效果，也簡化了交付的復(fù)雜性。

回歸云化時代企業(yè)對安全的最本質(zhì)訴求，就是要有效，不但要有效保護(hù)業(yè)務(wù)，還能有效對抗攻擊。

雖然安全本身不會給業(yè)務(wù)創(chuàng)造價值，但安全缺失給業(yè)務(wù)造成的損失將遠(yuǎn)超想象。因此，安全一定要足夠簡單，同時又足夠可靠，要讓用戶越來越省心，而不是越來越復(fù)雜。