曾任美國國土安全部和美國國稅局首席信息官，現(xiàn)任Learning Tree International公司首席執(zhí)行官的Richard A.Spires對云計算技術(shù)和SaaS安全進行了分析和闡述。

成都創(chuàng)新互聯(lián)服務(wù)項目包括遼源網(wǎng)站建設(shè)、遼源網(wǎng)站制作、遼源網(wǎng)頁制作以及遼源網(wǎng)絡(luò)營銷策劃等。多年來，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術(shù)優(yōu)勢、行業(yè)經(jīng)驗、深度合作伙伴關(guān)系等，向廣大中小型企業(yè)、政府機構(gòu)等提供互聯(lián)網(wǎng)行業(yè)的解決方案，遼源網(wǎng)站推廣取得了明顯的社會效益與經(jīng)濟效益。目前，我們服務(wù)的客戶以成都為中心已經(jīng)輻射到遼源省份的部分城市，未來相信會繼續(xù)擴大服務(wù)區(qū)域并繼續(xù)獲得客戶的支持與信任！

他表示，采用云計算有很多好處，既有通過基礎(chǔ)設(shè)施即服務(wù)(IaaS)和平臺即服務(wù)(PaaS)交付模型實現(xiàn)按需計算的優(yōu)勢，也包括使用軟件即服務(wù)(SaaS)應(yīng)用程序的好處。特別是，基于SaaS的應(yīng)用程序正日益成為企業(yè)快速便捷地采用新應(yīng)用程序的方式。這推動了巨大的市場增長，而在美國上市的SaaS初創(chuàng)企業(yè)如今有11000家以上，而根據(jù)調(diào)研機構(gòu)IDC公司的分析，到2019年，全球基于SaaS的市場規(guī)模超過1120億美元。

IT組織需要開發(fā)一種全面的方法來解決依賴第三方計算和應(yīng)用程序帶來的安全挑戰(zhàn)

盡管云計算和SaaS業(yè)務(wù)模型可以使IT組織降低基礎(chǔ)設(shè)施成本并提高支持客戶的敏捷性，但同時也增加了處理IT安全性的復(fù)雜性。IT組織不僅在某種程度上放棄了對某些IT基礎(chǔ)設(shè)施的控制和可視性，在某種程度上利用了基于SaaS的應(yīng)用程序，而且還讓第三方存儲和控制敏感數(shù)據(jù)。不久前，IT安全人員還致力于保護組織的IT外圍環(huán)境。隨著出現(xiàn)新的計算和服務(wù)模型，人們不得不承認傳統(tǒng)的外圍設(shè)備已經(jīng)不復(fù)存在。

A.Spires認為，SaaS安全性是雙重挑戰(zhàn)。首先，對于第三方云計算服務(wù)提供商的使用(包括更傳統(tǒng)的外包數(shù)據(jù)中心服務(wù))，組織需要對這些提供商正在實施適當(dāng)?shù)陌踩刂拼胧┚哂行判模@些控制應(yīng)該與(或至少類似)他們將在其自己的數(shù)據(jù)中心和網(wǎng)絡(luò)中實施的內(nèi)容相匹配。這些控制范圍從人員的物理訪問到包括系統(tǒng)管理訪問的身份管理和適當(dāng)?shù)木W(wǎng)絡(luò)加密。一些非營利組織一直在努力使這一行業(yè)的控制標準化。

值得注意的是，云安全聯(lián)盟(CSA)已經(jīng)開發(fā)了云計算控制矩陣(CCM)，這是一個專門為云計算設(shè)計的安全控制框架。利用云計算控制矩陣(CCM)，云安全聯(lián)盟(CSA)為云計算服務(wù)提供商開發(fā)了一個審計、認證和注冊程序，稱之為安全、信任和保證注冊(STAR)。美國聯(lián)邦政府也開發(fā)了類似的模型FedRAMP，這是一種云計算服務(wù)提供商滿足NIST 800-53安全控制套件定義的三個不同級別的低安全控制要求的方法。

但是，即使IT安全主管對底層云計算服務(wù)提供商的控制套件具有信心，那么對于使用SaaS應(yīng)用程序的組織又將如何呢?在這種情況下，敏感數(shù)據(jù)很可能將由第三方存儲和控制，并由組織的客戶或合作伙伴使用，從而使數(shù)據(jù)永遠不會與組織的網(wǎng)絡(luò)、防火墻或任何其他安全設(shè)備或過程控制接觸。這對于首席信息官或首席信息安全官(CISO)來說，這種情況令人擔(dān)憂，因為SaaS應(yīng)用程序?qū)?yīng)用程序及其數(shù)據(jù)的安全性幾乎沒有可見性和控制力。因此，第二個挑戰(zhàn)是如何將組織的安全策略和控制擴展到公共云和SaaS應(yīng)用程序。

這一挑戰(zhàn)已經(jīng)產(chǎn)生了所謂的云訪問安全代理(CASB)，這些產(chǎn)品充當(dāng)位于企業(yè)內(nèi)部或云中的安全實施點，并且在邏輯上存在于組織和云計算服務(wù)提供商之間以提供一系列服務(wù)包括身份認證和授權(quán)、設(shè)備配置文件、應(yīng)用程序白名單、加密、警報、惡意軟件檢測等。CASB市場中的一些行業(yè)領(lǐng)先供應(yīng)商包括Bitglass、Forcepoint、Cloudlock /Cisco和Skyhigh Networks。CASB解決方案的使用正在快速增長，根據(jù)調(diào)研機構(gòu)Gartner公司的調(diào)查報告，到2020年，將有85%的大型組織使用CASB解決方案，而2015年這一比例還不到5%。

從積極的方面來看，CASB供應(yīng)商具有強大的功能，正在填補市場空白。但是A.Spires表示，他對如何通過繼續(xù)添加工具，然后在內(nèi)部進行集成以解決企業(yè)IT安全性挑戰(zhàn)感到困惑。他很少看到這種策略能很好地實施。因此支持以下觀點：應(yīng)對企業(yè)IT安全挑戰(zhàn)的方法是使用IT安全平臺，該平臺可提供一系列功能來幫助企業(yè)發(fā)現(xiàn)漏洞。在這個市場上，Palo Alto Networks、思科和Check Point Software公司提供了集成的平臺解決方案。

作為平臺價值的一個示例，Palo Alto Networks公司最近將其平臺功能擴展到了云計算 解決方案和SaaS應(yīng)用程序中。尤其吸引人(并且在操作上很有吸引力)的是，組織可以為一種數(shù)據(jù)類型設(shè)置安全控制(例如根據(jù)數(shù)據(jù)的敏感性來定制控制)，而Palo Alto Networks公司的技術(shù)使用戶能夠在其整個平臺上實施這些策略。無論其數(shù)據(jù)駐留在用戶自己的數(shù)據(jù)中心，外包數(shù)據(jù)中心還是公共云中的SaaS應(yīng)用程序中。這極大地簡化了其組織中安全策略的管理，并提供了高級威脅防護。

此外，網(wǎng)絡(luò)攻擊者使用的越來越多的利用之一旨在通過基于SaaS的應(yīng)用程序通過惡意軟件感染用戶，因為網(wǎng)絡(luò)攻擊者知道大多數(shù)組織都無法像使用內(nèi)部基于應(yīng)用程序的方式來監(jiān)視這些SaaS應(yīng)用程序。這些平臺的關(guān)鍵組成部分包括能夠?qū)⑼{檢測和防御功能引入IT基礎(chǔ)設(shè)施和應(yīng)用程序的各個方面，包括那些駐留在云中的應(yīng)用程序。

基于SaaS的應(yīng)用程序的使用正成為組織快速交付新功能的選擇方法。其需求來自業(yè)務(wù)用戶，因此IT組織必須接受并規(guī)劃SaaS的數(shù)量和用途的持續(xù)擴展。因此，即使用戶數(shù)據(jù)不會在組織的網(wǎng)絡(luò)或數(shù)據(jù)中心處理或存儲，IT組織也需要開發(fā)一種全面的方法來應(yīng)對依賴于第三方計算和應(yīng)用程序帶來的安全挑戰(zhàn)。

網(wǎng)頁題目：云計算和SaaS安全需要全面的方法
標題來源：http://weahome.cn/article/cjeiho.html