企业必须应对的云安全关键威胁
到2020年，全球云计算市场预计将飙升至1910亿美元——较2015年的910亿美元翻倍以上，推动海量业务向云迁移。更快上市、更高员工生产力、更低成本的承诺，驱动无数行业将数据迁往云端。
然而便利背后伴随高风险：云数据泄露可重创任何组织。Slack、Adobe Creative Cloud、LastPass、Evernote等高调事件暴露了IT部门必须管控的威胁广度。LastPass事件尤为警醒，因其存储用户所有云账户密码；单一凭证被攻破即可授予攻击者对整个企业的无限制访问。
什么是云安全？
云安全涵盖旨在保护云环境中虚拟数据、知识产权、服务及底层基础设施的策略、技术、控制与应用。
知识产权与敏感数据窃取/丢失
企业越来越多将敏感数据存云端：47%为私密数据，28.1%为个人身份信息，13.6%为支付数据，11.3%为加密健康信息。约21%云文件包含敏感数据或IP，一旦发生泄露便成为网络犯罪分子的主要目标。
终端用户行为失控
无监管的云服务使用可引发内部威胁。例如离职销售将客户联系单导出至个人云盘，跳槽竞争对手时利用该数据。企业需严格治理防范此类未授权数据流动。
认证失效、账户被劫持与凭证泄露
弱密码实践与身份管理不善让云资产暴露。专业云安全专家可实施多因子认证、一次性密码、智能卡方案。但许多开发者误将加密密钥与凭证嵌入源码或公开仓库，制造关键漏洞。
恶意软件与定向数据窃取
攻击者可将数据隐藏于视频、音频、社交平台短文本等无害媒介中绕过传统检测。Dyre家族等新型恶意软件利用文件共享服务通过钓鱼投递载荷。
API与接口被攻破
API是云运营骨干，也是主要攻击面。黑客常利用防护薄弱的API控制供给、编排与数据访问。资深云安全专家可强化API、监控流量、降低暴露面。
客户或合作伙伴间合同违约
许多合同施加严格数据处理规则。缺乏监管时，员工可能无意将机密数据上传至自动共享内容的第三方云服务，违反保密协议并招致法律诉讼。
云环境中的高级持续性威胁 (APT)
APT悄无声息渗透、横向移动、融入正常流量以逃避检测。头部云厂商采用高级监控阻断APT，但用户必须保持警惕、定期威胁狩猎，尤其当团队缺乏云安全认证培训时。
永久性数据丢失
虽罕见，攻击者可永久删除云数据以破坏运营。数据防护责任——通过加密与安全密钥管理——由提供商与客户共担。客户必须保护加密密钥并验证冗余协议。
缺乏云认知
无认证安全专业知识就采用云服务的组织，面临重大财务、法律与合规风险。聘请持云安全认证的专业人才，确保团队掌握云架构、治理与威胁缓释的复杂性。
简而言之，所有依赖云的业务都应投资认证云安全人才、强制执行严格策略、紧跟演进威胁，以守护资产与声誉。
云计算