云服务已经广泛流行，它们每年都在接管更多的企业职能。曾经的云服务仅限于简单存储或联系人管理的地方，像ERP这样的核心功能现在已经转移到云端。随着各种基本服务日渐迁移到云端，IT领导者必须密切关注当今云环境中固有的风险，并采取预防措施来缓解风险。
以下是贵组织评估和降低云计算风险应该采取的做法。
评估你在云中的风险偏好
在银行业，设定风险偏好来指导组织决策是惯常做法。例如，保守的风险偏好会导致人们拒绝有利可图但高度不确定的贷款。在繁荣期间，更“前沿”的风险偏好可能会带来更高的收益。但也有不好的一面，那就是在下一次危机期间，你所在的银行可能会受到重创。
从IT管理的角度来看，你的风险偏好会影响你的尽职调查，持续的监控以及以降低风险的方式来进行投资的意愿。例如，你可以设置分层的风险缓解方法，以充分利用有限的资源。通过人员配置(例如，拥有专门的关系经理)，定期测试和支付顶级供应商支持，可以减少“一级”云服务失败的风险。
重新审视你的云使用文化
云提供商喜欢强调易用性和灵活性。一旦组织体验到云的简易性，很少有人希望回到老路，维护自己的传统基础架构。但对云服务的随意态度可能会导致员工不假思索地冒险。
AvePoint产品战略副总裁John Hodges说：“云服务往往鼓动人们‘随意使用’数据;我可以在任何地方收集、搜索和存储任何东西”，这就是它引人入胜的地方。他说：“我们经常在Box、DropBox或OneDrive等系统中看到这一点，在内容存储和共享方面存在真正的混用危险”。有没有简单的解决方案呢?禁止混用可能会产生问题的服务。
禁止高风险的云服务有助于解决问题，但并不能完全化解这个问题。Hodges解释说：“对于企业提供的账户，如Slack或Microsoft Teams或其它系统，用户总是选择最方便的路线共享数据。这种行为可能与记录保留策略或数据共享限制不一致，如果你的公司受到诉讼或类似调查的支配，记录保留政策上不一致的应用可能会令人头痛不已。
使用零信任模型来降低风险
零信任(zero trust)是一种IT安全策略，这其中，组织要求在连接到其系统之前对其周边内外的每个用户，系统或设备进行验证。你如何使用零信任模型来降低云风险?对于专业从事财产和意外伤害保险服务和软件的组织而言，零信任方法意味着严格限制访问。
Insurity的首席信息官Jonathan Victor说：“我们提供符合工作职能要求的最小权限和特权的最小量用户的逻辑访问权限。这种控制由我们的企业安全团队在内部进行审计，并作为我们年度SOC审计的一部分。”
定期检查用户访问级别并反思其合理性。你需要数十个具有管理访问权限的用户吗?每个超级用户都会增加额外风险。
从新闻中的IT失败中学习
花时间研究与云有关的故障的行业新闻有助于你降低云风险。当今企业使用的云的复杂多变的特性意味着人们总能从备受关注的事件中学到一点东西。
JetStream Software的联合创始人兼总裁Rich Petersen：“我们很重视数据丢失，所以我们在2017年8月发生的Meraki数据丢失事件中学到了重要的经验教训，当时内部部署的系统无法按照设计要求将数据备份到云服务。”
思科承认，云配置错误导致数据丢失和生产力损失。正如The Register报道的那样，“这起事件对思科来说简直是一团糟，因为Meraki是基于这种方式销售的——其所支持的云服务摆脱了运行网络和语音系统所需的大量繁重劳动。Meraki的团队犯了这样一个重大错误——而且它似乎缺乏数据保护工具来弥补这种可能性——这在名誉上是一个非常大的污点。”
重新考虑你的手动与自动化云管理策略的组合
自动化，虚拟助理和数据处理不仅可以帮公司销售更多产品，还可以管理其云服务。对于Barracuda Networks来说，自从它将云的流程自动化以来，手动安全工作的规模已经大幅下降。
Barracuda Networks的数据保护平台战略总监Greg Arnette说：“我们不再执行手动安全检查并转向自动扫描，因为持续不断的威胁需要保持全年不间断的警惕，以确保系统完整性，数据保护和合规性控制要求。”
然而，就减轻云风险而言，自动化所起的推动作用有很大的局限性。毕竟，你无法自动化对云提供商进行的风险评估。但是，如果你使用更多自动化工具检测问题并使云中的配置标准化，那么你可以将员工的时间用于复杂的问题，如培训和管理你与云提供商的关系。
从你最敏感的供应商那里争取审计权
你是否有权对你的云提供商进行审计，这是一个热门话题。如果你的合同和协议缺少这项规定，一旦发生了事故，你将被问责。另一方面，大型云提供商对这些要求表示了强烈的反对。
UpperEdge的项目执行咨询业务负责人Ted Rogers说：“关于审计，很多云公司正在向组织表示强烈反对，不向它们开放审计数据中心及其流程、程序和安全措施的审计权。原因是他们对第三方和第三方审计表现出犹豫不决的态度。相反，供应商说它们是合规的，或者他们说不要担心，因为如果他们不这样做，他们将因违反合同等其他原因而陷入困境。”
一种解决方案是批判性地评估云提供商开发的审计方法。Rogers提出了以下替代方案：“查看云提供商的审计文档。具体来说，查看他们是否根据脸书在数据隐私方面的困难进行了更新。有些云提供商表示，它们只是一个数据处理器。他们声称自己不接触数据，也不会泄露数据”。这回避了问题的实质：人们怎么知道提供商是否遵循承诺?
如果云服务提供商难以为贵公司提供审计权，缓解这种风险的方法还是有的。你可以要求更强大的报告机制并强调主要的风险指标。你也可以要求你的内部审计部门在合同讨论期间提供意见。
反思风险缓解策略——回避
最后，黑客攻击和安全性并不是唯一需要考虑的风险。还有落伍的风险。
毕马威的网络安全服务美国领导者Tony Buffomante说：“对于我们的一些不太成熟的客户来说，重大的商业风险在于贯彻云转型和服务的力度还不够。云不仅仅是一项新技术——它已经改变了许多行业的业务和运营模式。这事关改变业务，以变得更敏捷和更具竞争力。”
而且，很少有组织有这样的预算和倾向——建立数据中心并开发所有的软件和内部部署的基础设施。事实上，IT方面比较薄弱的公司可能会受益于大型云提供商的风险管理能力。
ACL的首席技术官Keith Cerny说：“根据我们的经验，像亚马逊、微软和谷歌这样的大型云供应商提供安全IT环境的能力使内部部署或自定义数据中心配置相形见绌。我们坚信，回避云会给我们的业务带来重大风险。我们的直接经验是，体系结构稳健的云环境能够以其它方式所无法达到的水平来满足我们的安全性、隐私和可用性要求。2016年，在我们将总部搬迁到新址时，我们意识到没有业务宕机的重大好处。我们的员工能够使用云服务进行远程工作，从而实现无缝过渡。”
京公网安备 11010502049343号