云安全核心策略：34 条专家建议降低风险、威胁与漏洞
您是否假设云端数据已备份且免受威胁？且慢。
2018 年发生创纪录数量的网络安全攻击，显然所有数据都面临威胁。
人人总想“这种事不会发生在我身上”。现实是，没有网络 100% 免疫黑客。
据卡巴斯基实验室数据，2018 年勒索软件激增 250% 以上，并持续呈令人恐惧的上升趋势。遵循本文建议是抵御云端重大数据丢失毁灭性影响的终极保险。
如何开始保护云端数据？云端数据保护最佳实践是什么？云计算有多安全？
为助您快速启动安全策略，我们邀请专家分享关于云安全风险与威胁的建议。
专家关于云防护与安全威胁的核心要点
- 接受防御迟早会被攻破的现实，提前规划。
- 不要假设云端数据已备份。
- 启用双因素认证 (2FA) 和 IP 位置访问控制访问云应用。
- 利用加密。加密静态数据。
- 人为因素是最大安全威胁之一。
- 实施强健的变更控制流程，每周补丁管理周期。
- 维护数据离线副本，以防云端数据被销毁或勒索。
- 签约 24×7 安全监控服务。
- 制定安全事件响应计划。
- 利用先进防火墙技术，含 WAF (Web 应用防火墙)。
- 利用应用服务、分层和微分段。
1. 保持云端可用性
Dustin Albertson，Veeam 高级云解决方案架构师
提到云安全，多数人想到网络、防火墙、端点安全等。Amazon 定义云安全为：
云安全很像本地数据中心安全——只是没有维护设施和硬件的成本。云端无需管理物理服务器或存储设备。而是使用基于软件的安全工具监控和保护进出云资源的信息流。
但一个常被忽视的风险是保持可用性。我的意思是不仅指地理冗余或硬件冗余，而是确保数据和应用得到覆盖。云不是让烦恼消失的魔法之地；云往往是让恐惧更容易、更廉价地倍增的地方。拥有强健的数据保护策略是关键。Veeam 一直宣扬 Peter Krogh 提出的“3-2-1 法则”。
规则规定：应有三份数据副本，存储在两种不同介质上，并保留一份异地。异地副本通常在“云端”，但当您已经在云端时怎么办？
这是我看到大多数云问题产生的地方：身处云端时，人们倾向于将数据存储在同一云中。这就是为什么迁移上云时必须记住制定详细策略。利用 Veeam Agent 保护云工作负载，用 Cloud Connect 将备份发送到异地，在同一数据中心或云之外保持可用性。别假设保护数据是服务商的工作，因为不是。
2. 云迁移速度超越安全控制演进
Salvatore Stolfo，Allure Security CTO
ESG 新调查显示，75% 组织表示存储在公有云中的至少 20% 敏感数据保护不足。81% 受访者认为本地数据安全比公有云数据更成熟。
然而，企业为最大化组织效益以前所未有的速度迁移上云：LogicMonitor《云愿景 2020》报告估计，2020 年将有 83% 业务工作负载在云端。我们面临日益紧迫的局面：组织为生产力将敏感数据迁移到云端的速度，快于保护这些数据的安全控制演进速度。
公司必须寻找基于用户权限级别控制云共享内数据访问的解决方案，但也必须有手段在数据以异常或可疑方式被访问时发出警报，即使访问者看似是受信用户。
请记住，许多黑客和内部泄露来自持有被盗合法凭证的恶意行为者，他们可在云共享中自由移动，寻找有价值数据窃取。欺骗文档（诱饵）也可作为绝佳工具检测此类行为。诱饵可在云安全漏洞早期提醒安全团队异常行为，甚至骗过网络窃贼，让他们以为窃取了有价值数据，实则是高度逼真的假文档。然后是文档离开云共享后仍保持控制的问题。
这是许多安全解决方案开始失效的地方。文件从云存储库下载后，如何追踪其去向和谁查看？必须在 geofencing（地理围栏）和遥测等技术上投入更多。
3. 以安全计划将云计算威胁与漏洞降至最低
Nic O’Donovan，VMware 解决方案架构师兼云专家
混合云在企业中持续流行——主要因部署速度、可扩展性和成本节约对业务更具吸引力。我们持续见证基础设施快速向云演进，意味着安全必须以类似速度发展。企业必须与在云安全方面有可靠方法的云服务商合作，这至关重要。
这意味着与云服务商的合作伙伴关系变得日益重要，因为你们共同努力理解并实施安全计划以保护数据安全。
多因子认证、数据加密及所需合规级别等安全控制，都是构建安全计划时的重点领域。
4. 永不停止学习您最大的漏洞
Isacc Kohen，Teramind CEO
越来越多公司成为云的受害者，源于云误配置和员工疏忽。
1. 数据安全最大威胁是您的员工。疏忽或恶意，员工是恶意软件感染和数据丢失的首要原因之一。恶意软件攻击和钓鱼邮件频繁见诸新闻，因为它们是黑客访问数据的“简便”途径。通过社会工程，恶意犯罪分子可“诱骗”员工交出关键业务和企业数据系统的密码和凭证。预防方法：有效的员工培训计划和主动探测系统的员工监控。
2. 永不停止学习。在持续变化适应的行业中，跟进最新趋势和漏洞至关重要。例如物联网 (IoT)，我们才刚看到“冰山一角”在保护增加的 Wi-Fi 连接和在线数据存储服务上的数据方面。这故事还在发展，将直接影响未来小企业。
3. 研究理解存储工作原理，再教育。我们听过故事——云端数据暴露多因云设置误配置。员工需理解应用的安全本质，设置易被篡改并“开启”导致数据外部暴露。通过培训计划提升安全意识。
4. 限制访问点。简便缓解方法：限制访问点。云暴露常见错误是员工误启用全局权限，导致数据暴露在开放连接中。缓解方法：了解谁和什么有权访问数据云——所有访问点——并彻底监控这些连接。
5. 监控系统。渐进且彻底。为云端数据长期保护，使用用户分析和监控平台更快检测漏洞。监控和用户分析简化数据并创建用户（员工和计算机）标准“画像”。这些分析集成并跟踪您作为管理员在检测软件中指定的最关键数据存放点。特定云数据被篡改、移动或泄露时，系统会立即“ping”管理员指示特征变化。
5. 考虑混合解决方案
Michael V.N. Hall，Turbot 运营总监
关于云安全有几个关键认知：
1. 密码即权力——80% 密码泄露本可通过多因子认证预防：通过短信验证个人身份至手机或邮件至账户，可在有人尝试访问您详情时提醒您。
当前最大祸首之一是凭证弱化。即密码、密钥和口令通过钓鱼诈骗、键盘记录和暴力破解被窃取。
口令是新密码。随机、易记的口令比密码好得多，因为它们更长更复杂。
MyDonkeysEatCheese47 是复杂口令，除非您是驴主或奶酪制造商，否则与您无关。记得使用大小写字母和全范围标点符号。
2. 与托管服务商保持联系。选择合适的托管服务商——有高安全标准的知名公司。定期沟通让您随时掌握变化或新出现的问题。
3. 考虑混合解决方案。混合方案允许安全静态系统在内部存储关键数据，同时向云开放低优先级数据以获得更大灵活性。
6. 了解云安全系统如何工作
Tom DeSot，Digital Defense, Inc. CIO
企业需评估云计算安全风险与收益。目的是确保在从自有数据中心运行系统迈向云端的大跨步前，先了解迁移上云对其系统安全意味着什么。
我常见企业无计划、无关于系统安全意义的知识就迁移上云。他们需认识到软件将与其他客户“生活”在共享系统上，所以如果另一客户平台遭泄露，攻击者可能危及其系统。
同样，云客户需了解数据存储位置，是仅在美国，还是服务商复制到其他大陆的其他系统。若信息敏感如 PII 或受 HIPAA 或其他法规保护，这可能造成实际问题。最后，云客户需密切关注云服务商遵循的服务等级协议 (SLA)，确保其与自身 SLA 一致。
迁移上云是释放计算资源、确保正常运行时间的好方法，但我总建议客户分小步迁移，以便有时间理解“身处云端”意味着什么。
7. 保护云端尽职调查
Ken Stasiak，SecureState CEO
了解您放入云端的数据类型及该数据周围的强制安全要求。
一旦企业对想存入云端的数据类型有概念，应对评估不同云服务商所需的尽职调查级别有坚定理解。例如，若选择云服务商托管受保护健康信息 (PHI)，迁移任何数据前应要求评估安全标准和 HIPAA 合规。
评估云服务商是否适合关注数据安全的组织时，一些好问题包括：是否定期执行 SOC 审计和评估？如何防范恶意活动？是否对所有员工进行背景调查？员工监控、访问确定和审计追踪有哪些系统？
8. 设置访问控制和安全权限
Michael R. Durante，Tie National, LLC 总裁
云虽因其灵活扩展满足业务需求、增加跨地点协作而成为计算增长力量，但也因潜在暴露脆弱性（相对不可控）引发安全担忧。
例如，若用户不定期应用安全补丁和更新，BYOD 可能难以保护。我的第一建议是充分利用可用的访问控制。
企业需利用访问控制限制安全权限，仅允许与员工职能相关的操作。通过限制访问，企业确保关键文件仅对需要的员工可用，从而降低其暴露给错误方的几率。此控制也使解雇时能立即撤销访问权，保护敏感内容无论员工从何处远程尝试访问。
9. 了解供应商/服务商的资质与流程
Paul Evans，Redstor CEO
云技术使用让各规模企业驱动性能改进，通过更多远程工作、更高可用性和灵活性获得效率。
然而，随着部署的分散系统增多，云供应商和软件选择繁多，保持对数据安全的控制变得挑战重重。实施云服务时，彻底了解将提供服务的供应商/服务商的资质和流程至关重要。行业标准安全认证是绝佳起点。拥有 ISO 27001 认证的供应商已证明符合国际信息安全管理标准，应比无认证者更受重视。
全面了解数据将在地理上去向何处、谁将有权访问、是否加密，是保护数据的关键。了解供应商在数据泄露、丢失或停机时的流程也很重要。可接受停机时间应在合同 SLA 中规定，并由其财务担保以提供保障。
对于寻求利用云平台的组织，有云安全威胁需警惕：谁将访问数据？数据存储在哪？我的数据加密了吗？但大部分云平台能回答这些问题并具备高安全级别。利用云的组织需确保知晓影响数据的数据保护法律法规，并准确理解与云服务商的合同协议。数据如何保护？许多法规和行业标准将就敏感数据最佳存储方式提供指导。
保留未保护或未加密的数据副本会增加风险。获取云服务安全级别知识至关重要。
保留策略是什么？我有备份吗？云平台用途差异大，可能导致（或防止）问题。若数据存储在云平台，可能面临勒索软件或损坏等云安全风险，确保保留或备份多份数据可防止此情况。保证这些流程已执行，提升组织云平台安全级别，并了解风险可能来源。
10. 使用强密码和多因子认证
Fred Reck，InnoTek Computer Consulting
确保所有云用户使用强密码，最好使用多因子认证。
据 2017 年 Verizon 数据泄露调查报告，81% 与黑客相关的泄露利用了被盗和/或弱密码。云最大优势之一是能从世界任何地方、任何设备访问公司数据。反面看，从安全角度，任何人（即“坏人”）拥有用户名和密码就可能访问企业数据。强制用户创建强密码使黑客暴力破解（从多随机字符猜测密码）难度大幅增加。
除安全密码外，许多云服务今日可利用员工手机作为多因子策略中第二个物理安全认证片段，使组织实施变得触手可及且负担得起。用户不仅需要知道密码，还需物理访问手机才能访问账户。
最后，考虑实施功能：预定数量登录失败后锁定用户账户。
11. 启用 IP 位置锁定
Chris Byrne，Sensorpro 联合创始人兼 CEO
公司应启用双因素认证和 IP 位置锁定以访问使用的云应用。
2FA 通过短信在常规邮箱/密码组合外增加挑战。IP 锁定可将访问限制在办公室 IP 或远程工作者 IP。若平台不支持，考虑要求服务商启用。
关于实际云平台部署，提供静态数据加密选项。某天这将像 HTTPS (SSL/TLS) 一样无处不在。万一发生不可想象之事，数据落入错误之手（如设备被盗或遗忘在火车上），静态数据加密是防止任何人无正确加密密钥访问数据的最后防线。即使窃取也无法使用。例如，这本可缓解近期 Equifax 泄露事件。
12. 结合 VPN 的云存储安全解决方案
Eric Schlissel，GeekTek 总裁兼 CEO
连接云时始终使用 VPN（虚拟专用网络）。VPN 常用于半匿名化网络流量，通常由因地理封锁无法访问 Netflix 美国版或 BBC Player 等流媒体服务的观众使用。它们也为连接云的任何设备提供关键安全层。无 VPN 时，任何潜在入侵者用抓包工具可确定谁在访问您的云账户，并可能获取其登录凭证。
加密静态数据。若用户账户在公有、私有或混合云中泄露，明文与加密格式数据的差异可达数十万美元——具体为 Hiscox 保险公司调查受访者报告的平均网络攻击成本 22.9 万美元。正如近期事件所示，加密和解密过程远比承受其后果轻松。
对所有云账户使用双因子认证和单点登录 (SSO)。Google、Facebook 和 PayPal 都利用 2FA，要求用户登录前在表单输入唯一软件生成代码。无论企业是否渴望其地位，都能且应模仿其安全策略的这一核心组件。SSO 简化访问管理，一对用户凭证即可登录员工所有账户。这样系统管理员只需删除一个账户，而非多个可能被遗忘、后被前员工重新访问的账户。
13. 警惕人为因素风险
Steven J.J. Weisman，律师、Bentley 大学教授
借用莎士比亚之言，过错不在云端；责任在我们。
在云端存储敏感数据在许多层面是数据安全的好选项。然而，无论技术多安全，人为因素始终呈现潜在安全危险，可被网络犯罪分子利用。许多过往云安全漏洞被证明非因云技术安全疏漏，而是个别云用户行为所致。
他们不知情地通过钓鱼邮件、电话或短信，被网络犯罪分子说服提供用户名和密码，从而泄露访问云账户所需的关键信息。
除更好教育员工识别和预防钓鱼外，避免此问题的最佳方式是使用双因子认证，如每次尝试访问云账户时向员工手机发送一次性代码。
14. 确保可从云服务商检索数据
Bob Herman，IT Tropolis 联合创始人兼总裁
1. 双因子认证防账户欺诈。许多用户落入邮件钓鱼陷阱，恶意行为者诱骗受害者在假网站输入登录信息。恶意行为者随即以受害者身份登录真实网站，根据网站应用和用户权限造成各种破坏。2FA 确保登录应用时必须输入第二个代码。通常发送至用户手机。
2. 确保您拥有数据并能在不再与云服务商合作时检索数据至关重要。大多数合法云服务商应在条款中规定客户拥有其数据。接下来，您需确认能以可用格式提取或导出数据，或云服务商按要求提供。
15. 实时与持续监控
Sam Bisbee，Threat Stack 首席安全官
1. 创建实时安全可观测性与持续系统监控
监控在任何数据环境中都重要，但必须强调：现代云环境（特别是 SaaS 环境）变化更频繁；其影响即时显现。
由于弹性基础设施本质，结果可能剧烈。任何时候，某人的意外或恶意行为都可能严重影响开发、生产或测试系统的安全。
在没有实时安全可观测性和持续监控的情况下运行现代基础设施，如同盲飞。您无法洞察环境发生什么，也无法在问题出现时立即开始缓解。您需要监控应用和基于主机的访问，以理解应用随时间的状态。
- 监控系统的人工用户操作。在当前 DevOps 世界中，工程师可能访问生产环境，这一点尤为重要。他们可能用手动任务管理系统，将其作为识别适合自动化流程的机会。
- 随时间跟踪应用性能以帮助检测异常。理解“谁在何时做了什么”是调查环境中发生变化的基础。
2. 设置并持续监控配置设置
Amazon Direct Connect 等云环境的安全配置可能复杂，易无意中让系统和数据向世界敞开，这已被所有近期 S3 泄露故事证明。
考虑到 SaaS 环境可变（有时易失性）本质，服务可持续实时创建和移除，未能适当配置服务、未能监控设置将危及安全。最终，这将侵蚀客户对您保护其数据的信任。
通过针对既定基线设置配置并持续监控，可避免服务设置时的问题，并在配置问题发生时更快检测和响应。
3. 对齐安全与运营优先级，用于云安全解决方案和基础设施
好的安全与正确运营无异。组织内这两个团队常对立。安全有时被视为拖慢业务——过度关注监管 Dev 和 Ops 团队活动。但安全可以是业务推动者。
安全应跨网络管理、用户访问、基础设施配置、应用层漏洞管理，利用自动化测试工具、安全控制和监控——将推动业务前进，减少攻击面风险并保持运营可用性。
16. 使用审计工具保护云端数据
Jeremey Vance，US Cloud
1. 使用审计工具了解云中有什么、用户在云中使用什么。您无法保护未知数据。
2. 除发现网络上运行什么服务外，还要弄清这些服务如何和为何被使用、由谁使用、何时使用。
3. 将审计流程作为网络监控常规部分，而非一次性事件。此外，若您无带宽做此事，将审计常规外包给 US Cloud 等合格第三方。
17. 大多数漏洞始于简单的不安全点
Marcus Turner，Enola Labs 首席架构师兼 CTO
云非常安全，但为确保公司数据安全，正确配置云至关重要。
针对 AWS，AWS Config 是最佳配置工具。正确配置的 AWS 是世界上最安全的云计算环境之一。然而，大多数数据泄露非黑客利用复杂程序访问关键数据，而是简单的不安全点、垂手可得的“低垂果实”使公司数据脆弱。
即使有最佳云安全，人为错误常是保护中最关键缺口或漏洞的罪魁祸首。验证持续配置准确性的常规做法是保持云端公司数据安全最未被充分利用和低估的指标。
18. 向云服务商提问关键安全问题
Brandan Keaveny，Ed.D.，Data Ethics LLC 创始人
探索迁移到云端解决方案的可能性时，应确保有足够支持以应对漏洞。签署协议前，务必向云服务商询问以下问题：
问题：服务商使用多少第三方来促成其服务？
原因：流程和文档需更新以包含程序保障和与云端解决方案的协调。此外，云服务商提供的安全级别应清晰理解。可能需增加安全级别以满足存储数据的隐私和安全要求。
问题：其系统发生漏洞时如何通知您？会协助您通知客户/顾客吗？
原因：在数据存储中增加云端解决方案，为可能适用于您数据的通知要求增加新时间维度。这些时间因素应纳入漏洞通知程序和隐私政策。
从本地托管方案切换到云端时，安全风险评估流程需更新。切换前应进行风险评估，了解将迁移数据的完整性现状。
此外，应研究数据如何传输到云环境。考虑问题包括：
问题：您的数据准备好传输了吗？
原因：数据质量评估应在迁移数据到云端解决方案前进行，而非事后。
问题：此传输将由云服务商促成吗？
原因：理解传输数据到云服务商的安全参数很重要，特别是考虑大数据集时。
19. 超越密码保护云账户
Dexter Edward 团队贡献
保护云账户本身。服务器/操作系统/应用上的所有保护，若任何人能接管控制权则无济于事。
- 账户使用强安全密码和 2FA。
- 定期轮换云密钥/凭证。
- 使用 IP 白名单。
- 在任何关联云密钥/凭证上使用基于角色的访问。
保护云端计算实例访问。
- 使用云服务商提供的防火墙。
- 需登录访问的设备使用安全 SSH 密钥。
- 管理任务要求密码。
- 构建应用在无 root 权限下运行。
- 确保应用对云外通信使用加密。
- 建立公共通信前进行认证。
尽可能使用私有云网络。
- 避免将服务绑定到所有公共网络。
- 使用私有网络隔离甚至登录访问（VPN 是选项）。
利用云服务商提供的监控、文件审计和入侵检测。
- 云生来就为移动——利用此特性改变网络位置。
- 不使用时关闭实例。b. 保留每日镜像，以便更频繁地在互联网上移动服务器/应用。
20. 考虑实施托管虚拟桌面
Michael Abboud，TetherView CEO 兼创始人
自然灾害混合网络威胁、数据泄露、硬件问题和人为因素，增加企业经历昂贵停机或中断的风险。
转向通过私有云交付的托管虚拟桌面，为组织提供降低成本、为员工提供安全远程访问的独特机会，同时支持业务连续性计划并降低停机风险。
利用待命虚拟桌面，适当的业务连续性解决方案为企业提供安全与合规基础。
虚拟桌面部署为用户提供通过功能完整的浏览器环境远程工作的灵活性，同时允许 IT 部门集中管理端点并锁定业务关键数据。性能、安全和合规不受影响。
待命虚拟桌面预配置完毕，可即时部署，让团队在突发灾难中保持“一切如常”。
此外，您应确保定期数据审计和备份
如果您不知道云里有什么，现在就是查明的时候。必须频繁审计数据并确保一切已备份。您还需考虑谁有权访问此数据。旧员工或不再需要访问者应撤销权限。
也要使用最新安全措施，如多因子认证和默认加密。始终让员工跟进这些措施，并培训他们发现潜在威胁，以便立即应对。
21. 了解服务商的安全策略
Jeff Bittner，Exit technologies 创始人兼总裁
许多（如果不是大多数）企业将继续在云端扩张，同时因各种原因依赖本地基础设施，从简单的成本/收益优势到不愿将关键任务数据或系统托付给第三方云服务商。在混合环境中跟踪资产位置可能棘手，导致安全缺口。
云安全责任在服务商和订阅者间共担。因此订阅者不仅需了解服务商的安全策略，还需关注硬件刷新周期等琐事。
网络攻击者擅长发现并利用旧操作系统和应用的漏洞，这些系统可能已过时或不再更新。随着 Spectre 和 Meltdown 漏洞披露，我们还需担心可能利用芯片层面硬编码错误或疏忽的威胁。
服务器和 PC 等硬件有有限生命周期，但企业常在供应商开始撤回支持、停止提供应对新安全威胁所需的固件和软件更新后继续运行这些系统。
除关注云服务商动向外，企业还必须跟踪自身资产，并按需刷新或退役。当计算机系统被重新用于非关键目的时，太容易脱离风险管理和安全监管。
22. 上传云前加密备份
Mikkel Wilson，Oblivious.io CTO
1. 文件元数据应像数据本身一样受到严密保护。即使攻击者无法获取您存储在云端的数据，若能获取所有文件名和大小，您已泄露重要信息。例如，您是律师且泄露有个叫“michael_cohen_hush_money_payouts.xls”、15MB 大小的文件，这可能引发您不愿回答的问题。
2. 上传云前*先*加密备份。备份是攻击者的高价值目标。许多公司，甚至拥有自有数据中心的公司，也将备份存储在 Amazon S3 等云环境中。它们甚至开启 S3 加密功能。遗憾的是，Amazon 将加密密钥与数据一起存储。这就像锁车却把钥匙放在引擎盖上。
23. 知晓数据驻留位置以降低云威胁
Vikas Aditya，QuikFynd Inc 创始人
注意数据存储位置，以便主动识别任何数据是否面临泄露风险。
如今，数据存储在多个云位置和应用，以及业务存储设备中。公司采用 Google Drive、Dropbox、OneDrive 等云存储服务，以及各类业务流程的在线软件服务。这导致公司数据严重碎片化，管理者往往不知数据散落何处。
例如，公司机密财务报告可能因设备自动同步云而存储在云存储中，敏感商务对话可能发生在 Slack 等云消息服务中。云公司虽有良好意愿保护客户数据，但也是主要目标，因为黑客在这些可潜在获取数百万订阅者数据的服务中 ROI 更高。
公司该怎么做？
虽然将继续采用云服务、数据将散落在许多位置，但可使用搜索和数据组织工具显示这些服务中存在什么数据。利用全文搜索能力，可快速发现其中任何信息若泄露是否对公司构成潜在风险。您无法保护甚至不知位置的东西。更重要的，您甚至不会知道它被窃取。所以公司要保护业务数据，至少要采取措施知晓所有信息位置。
24. 定期修补系统以避免云漏洞
Adam Stern，Infinitely Virtual CEO
业务用户并非无助，即使面对 WannaCry 或 Petya/NotPetya 等近期云计算攻击。
最佳解药是补丁管理。保持系统和服务器通过补丁保持最新始终是安心的最短路径。确实，“补丁管理意识”需成为“安全是过程而非事件——一种心态，而非打勾走人”这一总体信条的一部分。警惕应是每个人的默认模式。
垃圾邮件非人之友；警惕未知来源邮件——即不打开它们。每个中小企业通过在安全防护上投入战略重点，配合集群防火墙和入侵检测与防护系统 (IDPS) 等技术获胜。
25. 安全流程需强制执行，因员工常未意识到风险
Murad Mordukhay，Qencode CEO
1. 安全优先
在截止日期或复杂新功能压力下，强制执行安全措施可能变难。为推动产品前进，团队常在未意识到风险的情况下违背自身安全流程规则。周全的安全流程需强制执行才能达成保护数据目标。将云安全作为产品开发流程优先级的公司，大幅降低数据丢失和安全威胁风险。
2. 密码与加密
保护云端数据的两个重要部分是密码和加密。
糟糕的密码管理是恶意行为者访问并控制公司数据的最大机会。通常通过社会工程技术（如钓鱼邮件）实现，主要因员工教育不足。适当的员工培训和邮件监控流程在暴露密码信息方面大有裨益。此外，密码须足够长、包含数字、字母和符号。密码切勿写下、通过邮件共享、发布在聊天和工单评论中。通过加密实现额外数据保护层。若数据在云端长期存储，应在上传前本地加密。这使数据在极小被泄露概率下实际上不可访问。
26. 启用双因子认证
Tim Platt，Virtual Operations, LLC IT 业务服务副总裁
为获得最佳云服务器安全，我们倾向于在任何可能处使用双因子认证 (2FA，也称多因子认证或两步认证)。
这是什么？2FA 结合“您知道的”和“您拥有的”。若需同时提供密码和发送至智能手机的唯一短信代码，则您两者兼备。即使有人知道您密码，仍无法进入账户。他们需同时知道密码并拥有手机访问权。非不可能，但您已大幅增加其黑客难度。他们会寻找更容易目标。例如，iCloud 和 Gmail 支持 2FA——两个深受商务用户欢迎的服务。我建议所有人使用。
为何这对云安全重要？
因为云服务常无防火墙或其他机制控制服务可访问来源。2FA 是极佳的额外安全层。还要提一下，某些服务如 Salesforce 拥有非常高效、易用的 2FA 实现，不给用户带来显著负担。
27. 不要假设云端数据已备份
Mike Potter，Rewind CEO 兼联合创始人
备份云端数据：关于基于云的平台（如 Shopify、QuickBooks Online、Mailchimp、WordPress）如何备份存在巨大误解。通常，云应用维护整个平台的灾难恢复云备份。若其服务器出问题，会尝试将所有人数据恢复到最后备份。然而，作为用户，您无法访问其备份恢复您的数据。
这意味着若发生以下情况，您面临手动撤销不想要更改或永久丢失数据的风险：
- 集成到您账户的第三方应用导致问题。
- 您需要回滚一系列更改
- 您或团队成员犯错
- 不满员工或承包商恶意删除数据
拥有云账户的二级备份赋予您对自己数据更大控制权和自由度。若服务商服务器或您个人账户出问题，能快速恢复数据可节省数千美元收入损失、修复成本和时间。
28. 最小化并验证文件权限
Randolph Morris，Releventure 创始人兼 CTO
1. 若使用云服务器，确保监控和修补 Spectre 漏洞及其变体。云服务器特别脆弱。此漏洞可绕过任何云安全措施，包括处理时加密的数据加密。
2. 审查并收紧每个服务的文件访问。常因过去权限问题，使用拥有完全访问权的账户确保软件“能跑通”。若可能，每个服务应使用自己的账户，仅有访问关键内容的受限权限，仅给予最小必要权限。
29. 云端保护文件时，先本地加密数据
Brandon Ackroyd，Tiger Mobiles 创始人兼移动安全专家
大多数云存储用户假设此类服务使用自有加密。确实，Dropbox 等使用优秀加密系统保护文件。
问题在于，因为不是您加密，您也没有解密密钥。Dropbox 持有解密密钥，所以拥有相同密钥的任何人都能解密您的数据。登录 Dropbox 系统时解密自动发生，所以任何访问您账户的人（如通过黑客）也能获取您现在的非加密数据。
解决方案是：使用加密应用或软件先加密您的文件和数据，再发送到选定的云存储服务。
30. AWS S3 暴露的存储桶脆弱
Todd Bernhard，CloudCheckr 产品营销经理
1. 过去一年左右最常见和最受关注的数据泄露，源于给 AWS S3 存储桶公共读取访问权。默认配置确实是私有的，但人们倾向于修改后忘记，然后将机密数据放入那些暴露的存储桶。
2. 传输中和静态数据均加密。数据中心中，最终用户、服务器和应用服务器可能在同一建筑。相反，云端所有流量走公网，所以需加密数据在公共网络中移动时的内容。这就像把信装在信封里邮寄，还是发明信片——任何接触它的人都能读内容。
31. 使用黄金标准加密
Jeff Capone，SecureCircle CEO
使用 Gmail 和 Dropbox 等基于云服务通信和共享信息的企业，有一种虚假的隐私感。因为这些服务基于云且密码可访问，自动假设通信和共享文件安全私密。现实是——它们不是。
组织确保数据安全的一种方式是使用新加密方法，如邮件和文件共享的端到端加密。它被视为“无中心攻击点”的“黄金标准”方法——意味着即使服务器被攻破也保护用户数据。
这些高级加密方法配合良好对齐的内部策略，对企业最有用。例如，可能时去中心化数据访问、最小化或消除特权账户、决定共享数据或使用 SaaS 服务时仔细考量风险。
32. 建立全面访问控制
Randy Battat，PreVeil 创始人兼 CEO
所有云服务商都有能力建立数据访问控制。本质上是有权访问数据者的列表。确保禁用“匿名”访问，且仅向需要访问的认证账户提供权限。
此外，应利用加密确保数据受保护、远离窥视。视云服务商而定有多种选项。平衡数据访问效用与保护需求——某些方法更安全，如使用客户端密钥和加密流程。然后，即使有人访问数据（见要点 1），他们也只能访问加密版本，仍需密钥解密。
确保持续遵守治理策略。一旦实施上述项目并制定无数其他安全和保护标准，确保始终符合您的策略。许多组织经历云数据泄露后发现，风险不在云服务商平台。而在员工对平台的操作。通过监控变更确保合规，或更好，实施工具监控云并对配置漂移执行自动纠正措施。
33. 保持云端数据安全的 5 大基石
David Gugick，CloudBerry 产品管理副总裁
- 执行渗透测试以确保漏洞被检测和修复。
- 使用防火墙创建私有网络阻止未授权用户。
- 使用 AES 加密并轮换密钥，确保数据传输中和静态均受保护。
- 日志记录和监控以追踪谁在对数据做什么。
- 身份与访问控制以限制访问和访问类型，仅限需要的用户和组。
34. 确保安全的多租户环境
Anthony Dezilva，PhoenixNAP CISO
提到云，我们想到两件事。共享基础设施带来的成本节约，和云存储安全风险。
尽管许多公开泄露归因于云环境误配置，但如果这个数字超过非云环境的报告泄露，我会感到惊讶。
最佳云服务商在创建安全多租户环境上有既得利益。他们在创建这些环境上的总支出远超大多数公司 IT 预算，更别提安全预算。因此我认为正确配置的云环境提供的安全级别，远高于中小企业能在本地创建的任何东西。
此外，在安全人才严重短缺的环境中，组织无法找到、更负担不起所需安全人才。结果是次优选择：与不仅拥有强大安全基础设施、还提供云监控安全解决方案的服务商建立业务伙伴关系。
云计算威胁与漏洞：必知要点
- 像任何本地设计流程一样架构解决方案；
- 利用应用服务分层和微分段；
- 使用严格 ACL 控制进程间通信的事务处理层。使用 PKI 基础设施认证和加密进程间通信。
- 利用先进防火墙技术含 WAF (Web 应用防火墙) 前置 Web 应用，最小化底层软件漏洞影响；
- 利用加密直达记录级别；
- 接受迟早有人攻破防线的现实，为之规划。架构所有系统以最小化影响。
- 扁平网络永远不行！
- 强健变更控制流程，每周补丁管理周期；
- 维护数据离线副本，缓解云服务崩溃或恶意攻击清除云环境风险；
- 签约含事件响应组件的 24×7 安全监控服务。
云计算