研究表明云中21%的文件包含敏感数据

全球知名的信息安全厂商McAfee公司日前发布了云采用和风险报告，该报告分析了匿名客户在云平台运行所遭遇的数十亿个安全事件，以评估云计算部署的当前状态，并发现风险。该报告显示，云中近四分之一的数据可归类为敏感数据，如果数据被盗或泄露，组织将面临风险。

云中的数据

这个研究发现，虽然组织积极采用公共云为其客户创建新的数字体验，但通常每个企业的基础设施即服务(IaaS)和平台即服务(PaaS)每月遭遇2,200多次错误配置事件。

云计算服务提供商主要关注云平台本身的安全性，而不是客户数据或客户对其基础设施和平台的使用。组织始终负责保护他们无处不在的数据，因此强调需要部署跨越整个云平台范围的云安全解决方案，从SaaS(软件即服务)到基础设施即服务(IaaS)和平台即服务(PaaS)。

McAfee公司云计算安全业务高级副总裁Rajiv Gupta表示，“在云中运营业务已经成为组织的新常态，以至于企业员工在云中存储和共享敏感数据时没有谨慎考虑。SaaS云服务中的意外共享、协作错误、IaaS/PaaS云服务中的配置错误以及威胁都在增加。为了继续加速业务发展，企业需要采用云原生并且没有不良影响的方式持续保护其数据，并防御各种SaaS、IaaS和PaaS中的威胁。”

云协作是一种祝福也是一种诅咒

云计算服务通过快速扩展的能力为组织业务发展提供了一个重要的机会，使企业能够灵活地利用其资源，并提供新的协作机会。像Box这样的云计算服务和Office 365等生产力套件用于提高协作的流动性和有效性。但是，协作意味着共享，不受控制的共享可能会暴露敏感数据。调查结果表明：

• 22%的云计算用户在外部共享文件，同比增长21%。
• 通过开放、可公开访问的链接共享敏感数据，同比增长了23%。
• 发送到个人电子邮件地址的敏感数据也同比增长12%。

为了保护云存储、文件共享和协作应用程序中的敏感数据，组织必须首先了解其正在使用的云服务，保存其敏感数据，以及如何共享这些数据以及与谁共享。一旦组织获得了这种可见性，他们就可以执行适当的安全策略，禁止将高度敏感的数据存储在未经批准的云服务中，并提供防护措施，防止不合规地共享来自获得批准的云计算服务的敏感数据，例如与个人电子邮件共享数据时地址或通过公开的公共链接。

IaaS和错误配置的风险

使用SaaS，保护数据、用户身份和数据访问主要是客户的责任。通过IaaS，客户可以承担更大的安全责任，其中包括数据、身份、访问、应用程序、网络控制和主机基础设施。虽然这为客户提供了更好地控制其云计算基础设施的机会，但它也增加了组织的安全风险表面积以及他们对此的责任。IaaS提供商(如AWS)提供多种基础设施和平台服务，每种服务都具有深入而复杂的安全设置。放大IaaS/PaaS安全挑战的事实是，组织使用多个IaaS/PaaS供应商的服务运行每个供应商产品的多个实例。McAfee公司的调查研究发现：

• 使用IaaS/PaaS服务中，94%采用的是AWS公司的云平台，但使用IaaS/PaaS的组织中，78%的企业同时拥有AWS和Azure的云平台。
• 企业平均每次运行14个配置错误的IaaS /PaaS实例，导致每月发生2,200多个单独的配置错误事件。
• 五分之一的AWS S3存储桶具有全局读取权限，使其对公众开放。

McAfee公司建议，组织需要不断审核和监控其AWS、微软Azure、谷歌云平台和其他IaaS /PaaS配置，同时保护存储在IaaS/PaaS平台中的数据。作为本地数据中心的替代方案，IaaS /PaaS的使用量正在迅速增长。在遭遇安全事件之前，企业需要尽到他们的安全责任，采取数据保护和威胁防御措施，就像他们对SaaS云计算服务以及IaaS/PaaS云计算服务的配置合规性和安全保护工作负载一样。

云计算威胁将会持续增长

用户帐户和企业内部遭遇的威胁

企业在云中数据的大多数威胁都来自受损帐户和内部威胁。平均每个月在云中产生超过32亿个安全事件。此外：

• 云中的威胁事件(如受感染的帐户、特权用户或内部威胁)同比增长27.7%。
• 80%的组织每月至少经历一次受到破坏的帐户威胁。
• 在Dark Web上92%的企业盗取了云计算凭证。
• Office 365中的威胁同比增长了63%。

企业为了应对组合帐户和内部威胁，应该了解如何使用云计算服务。它们还应识别异常行为，例如同一用户同时从不同位置访问云平台时，这可能表示帐户受到威胁。

作为保护云中数据的***步，应实施云计算访问安全代理(CASB)。云计算访问安全代理(CASB)是云原生服务，可为云服务实施安全性、合规性和治理策略。它们可以帮助组织在适当的情况下利用和扩展现有的安全控制，并在适当的时候定义和部署新的云本地安全控制，以使企业能够始终如一地保护其数据并防御SaaS、IaaS和PaaS中的各种威胁。