去年，英國(guó)政府內(nèi)閣辦公室概述了2014年8月14日公布的涉及傳輸中的數(shù)據(jù)保護(hù)的指導(dǎo)性文件構(gòu)成的“云安全原則”這些原則。這些原則涉及到傳輸?shù)臄?shù)據(jù)保護(hù)、資產(chǎn)保護(hù)客戶(hù)數(shù)據(jù)等，需要一定程度的秩序之間的分離，以確保不會(huì)損害客戶(hù)賬戶(hù)，不會(huì)影響服務(wù)或其他客戶(hù)的數(shù)據(jù)，人們需要開(kāi)發(fā)一種治理框架，并對(duì)托管服務(wù)提供商（MSP）或云服務(wù)提供商（CSP）的工作人員????行篩選，以下列舉幾方面的例子。
  
  云計(jì)算安全就是這樣一個(gè)緊迫和重要的問(wèn)題，因?yàn)閿?shù)據(jù)是任何現(xiàn)代組織的黃金和石油。各種規(guī)模的企業(yè)需要考慮他們?nèi)绾畏乐购诳蛽p害其云計(jì)算服務(wù)。然而，并非所有的攻擊都來(lái)自組織外部。有時(shí)，他們從一個(gè)組織內(nèi)或從一個(gè)服務(wù)提供商內(nèi)部啟動(dòng)。但是，只要進(jìn)行安全審計(jì)，并實(shí)現(xiàn)云安全原則到位，云計(jì)算環(huán)境可以是安全的，而且在許多情況下甚至比企業(yè)內(nèi)部IT還要安全。
  
  云計(jì)算安全合規(guī)性
  
  企業(yè)沒(méi)有必要從頭開(kāi)始開(kāi)發(fā)自己的云計(jì)算安全原則，因?yàn)榫哂杏袚?jù)可查的最佳實(shí)踐，如英國(guó)內(nèi)閣辦公室的指導(dǎo)性文件。然而，云的安全性需要應(yīng)用的水平不同，根據(jù)適用于不同的垂直行業(yè)的法律義務(wù)和監(jiān)管框架有所不同。金融服務(wù)部門(mén)是一個(gè)垂直的行業(yè)領(lǐng)域，必須采用嚴(yán)格的云安全框架，以保護(hù)他們客戶(hù)的個(gè)人和財(cái)務(wù)數(shù)據(jù)。出于這個(gè)原因，他們經(jīng)常選擇一個(gè)私有的或混合云模???????。
  
  大多數(shù)工業(yè)部門(mén)必須遵守的關(guān)鍵標(biāo)準(zhǔn)是ISO27001（ISO/IEC27001:2013）：“使用該系列標(biāo)準(zhǔn)將幫助你的組織管理資產(chǎn)，如財(cái)務(wù)信息、知識(shí)產(chǎn)權(quán)，員工資料或由第三方托付給你的信息”，國(guó)際標(biāo)準(zhǔn)組織的網(wǎng)站表示，還可以考慮采用ISO/IEC27002（ISO/IEC27018:2014）標(biāo)準(zhǔn)。
  
  還有一些標(biāo)準(zhǔn)并不局限于云計(jì)算的安全原則。云計(jì)算的相互聯(lián)系意味著，他們往往涉及企業(yè)的整個(gè)IT系統(tǒng)。因此這是至關(guān)重要的，重要的是找到一個(gè)托管服務(wù)提供商或云服務(wù)提供商，并有所有正確的云憑據(jù)，但最薄弱的環(huán)節(jié)可能是你自己的內(nèi)部IT。它需要滿(mǎn)足管理服務(wù)提供商和電信運(yùn)營(yíng)商必須遵守同樣的標(biāo)準(zhǔn)。
  
  以下是最佳實(shí)踐：國(guó)際標(biāo)準(zhǔn)組織（ISO）正在努力幫助企業(yè)開(kāi)發(fā)和實(shí)施云安全的最佳實(shí)踐。例如，云計(jì)算安全聯(lián)盟（CSA）公布了一個(gè)頂級(jí)的云計(jì)算安全威脅報(bào)告。例如CSA這樣的國(guó)家和國(guó)際組織，以及特定行業(yè)相關(guān)的行業(yè)，可以幫助你及時(shí)了解最新的法律規(guī)定和行業(yè)規(guī)范。這將使你知道什么是最好的做法，以及它應(yīng)該如何應(yīng)用。
  
  標(biāo)準(zhǔn)的操作系統(tǒng)
  
  其出發(fā)點(diǎn)是一個(gè)標(biāo)準(zhǔn)操作環(huán)境（SOE）。具有SOE的組織在Linux系統(tǒng)中實(shí)施安全和優(yōu)化的可重復(fù)的流程，并建立在其整個(gè)IT領(lǐng)域，無(wú)論是在公司內(nèi)部，物理設(shè)備，虛擬設(shè)備，以及混合云中。
  
  企業(yè)需要一個(gè)良好的管理平臺(tái)（SOEMP）執(zhí)行良好的實(shí)踐。使用SOEMP技術(shù)，如RedHat的Satellite服務(wù)器和Puppet服務(wù)器，系統(tǒng)管理員必須積極地管理標(biāo)準(zhǔn)操作環(huán)境（SOE），并確保其安全。
  
  對(duì)于許多組織來(lái)說(shuō)，答案是遵循ISO/IEC27001:2013提供的云安全原則。服務(wù)提供者將有機(jī)會(huì)獲得最好的管理工具，并有非常熟悉原則，實(shí)施徹底部署的工作人員。最關(guān)鍵的是，這樣的供應(yīng)商有時(shí)與最佳安全實(shí)踐相沖突，而企業(yè)內(nèi)部日常面臨著商業(yè)壓力和職業(yè)生涯的憂(yōu)慮。
  
  小貼士：
  
  ?確保你使用的是托管服務(wù)提供商服務(wù)。
  
  ?檢查是否ISO/IEC27001：2013標(biāo)準(zhǔn)和其他相關(guān)標(biāo)準(zhǔn)和法規(guī)是否為你的行業(yè)提供了指導(dǎo)。
  
  ?為了保證數(shù)據(jù)的安全，你所需要的最好的管理工具。
  
  ?閱讀英國(guó)內(nèi)閣辦公室關(guān)于云安全原則的文件，并確保你的云系統(tǒng)和云服務(wù)保持安全。
  
  ?托管服務(wù)提供商（MSP）或云服務(wù)提供商（CSP）一起工作，以確保自己的內(nèi)部系統(tǒng)是不是處于云計(jì)算安全鏈中最薄弱的環(huán)節(jié)。
  
  編輯：HERO