【51CTO.com快譯】在過去的幾年中,很多引人注目的來自云提供商的數(shù)據(jù)泄露事件影響了數(shù)百萬的用戶，其中包括LastPass的700萬用戶,LinkedIn的1.17億用戶,VK的1億用戶,和Yahoo !的5億用戶。這些部分漏洞事件所暴露出的安全殘留問題已成為了企業(yè)采用云服務(wù)的顧慮中的頭等障礙。雖然黑客獲得云提供商后端系統(tǒng)的訪問權(quán)限的案例屢上頭條,但絕大多數(shù)公司的那些在云端數(shù)據(jù)丟失事件還是可以追溯為惡意或粗心的內(nèi)部人士所為。這里列出五大導(dǎo)致云服務(wù)中數(shù)據(jù)丟失的用戶行為，供大家參考。

[[177190]]

針對IT組織和用戶2016年及以后的發(fā)展，Gartner曾預(yù)測并揭示說：“到2020年,95%的云安全缺失都將來自客戶自身的錯誤。”

1.惡意或粗心的內(nèi)部人員從企業(yè)管控的安全云服務(wù)中下載數(shù)據(jù)，然后將數(shù)據(jù)上傳到一個高風(fēng)險的影子云服務(wù)中。

這是最常見的通過云服務(wù)導(dǎo)致數(shù)據(jù)丟失的來源。企業(yè)級云提供商，如Box、微軟和Salesforce都對他們的平臺安全性進(jìn)行了大量的投資。他們也根據(jù)企業(yè)的要求提供了完備的法律條款。換句話說，他們并不對客戶上傳至其平臺的數(shù)據(jù)持有所有權(quán),一旦帳戶終止，他們將刪除其所有數(shù)據(jù),而不會與第三方共享客戶的數(shù)據(jù)。然而,只有8.1%的云提供商提供這樣的企業(yè)級安全性與合規(guī)性。員工為了方便而使用高風(fēng)險服務(wù)，卻往往沒有意識到他們已將公司的數(shù)據(jù)置于風(fēng)險之中。

2.企業(yè)員工從企業(yè)云服務(wù)中下載數(shù)據(jù)到一個缺乏適當(dāng)?shù)亩它c安全控制的個人設(shè)備上。

Skyhigh公司根據(jù)使用數(shù)據(jù)的觀察發(fā)現(xiàn)：企業(yè)云服務(wù)中15.8%的文件包含著敏感數(shù)據(jù)。因此需要關(guān)心的問題已不是這些信息是否該存儲在企業(yè)級云服務(wù)里,而是如何防止數(shù)據(jù)離開企業(yè)IT的管控。企業(yè)的BYOD(Bring Your Own Device)方案通過允許員工運用個人電腦和移動設(shè)備來遠(yuǎn)程登錄到企業(yè)云服務(wù)，從而促進(jìn)了用戶的更多生產(chǎn)力。然而,當(dāng)企業(yè)數(shù)據(jù)被下載到那些缺乏適當(dāng)?shù)亩它c安全控制(如遠(yuǎn)程擦除和復(fù)雜的設(shè)備PIN碼)的個人設(shè)備時,這些數(shù)據(jù)就已處于風(fēng)險之中了。如果用戶把目光移出咖啡店一會兒,設(shè)備伴隨著里面的企業(yè)數(shù)據(jù)就可能會被盜走。

3.云服務(wù)里的特權(quán)用戶無意中以降低安全的方式改變安全的相關(guān)配置，或者是超出其角色范圍去訪問企業(yè)數(shù)據(jù)。

雖然比起普通用戶的威脅來是并不太常見,但是由于特權(quán)用戶在企業(yè)云服務(wù)中有高級別的權(quán)限，他們的威脅其實更具破壞性。略超過一半(55.6%)的企業(yè)經(jīng)歷過至少每個月有一個特權(quán)用戶制造了威脅的經(jīng)驗。這些威脅包括：管理員更改安全設(shè)置,從而無意中削弱了安全,但實際上他們還可能包括有其他的惡意活動。愛德華·斯諾登(Edward Snowden)也許算是特權(quán)用戶訪問其角色范圍之外的數(shù)據(jù)的一個最為臭名昭著的例子。更常見的例子還包括：IT管理員窺探高管的數(shù)據(jù)以使股票交易獲取內(nèi)幕信息，等。

4.員工通過個人電子郵件帳戶或共享鏈接的方式將數(shù)據(jù)分享給諸如供應(yīng)商、合作伙伴之類的第三方，進(jìn)而能以不被跟蹤的方式轉(zhuǎn)發(fā)給更多的其他人。

基于云的協(xié)作服務(wù)作為與同事或商業(yè)伙伴共享文件的高效方法已經(jīng)取代了傳統(tǒng)的電子郵件方式,而且特別體現(xiàn)在無法用郵件發(fā)送大文件的場景中。雖然大多數(shù)的此類合作是通過邀請?zhí)囟ㄆ髽I(yè)內(nèi)部的個人或商業(yè)伙伴實現(xiàn)的,但對于一些內(nèi)部或授權(quán)用戶的共享仍然無法實現(xiàn)可追溯性。這包括通過個人的電子郵件帳號(例如Gmail、雅虎等)以云的方式所共享的6.0%的文件,難以確定其接收方是否為合法用戶。另外5.4%的在云中的文件是以鏈接的形式共享,但可以轉(zhuǎn)發(fā)給任何其他人。此類鏈接就更難判斷是誰正在訪問敏感數(shù)據(jù)了。

5.受控的云服務(wù)中的數(shù)據(jù)被不安全的和缺乏管控的云服務(wù)通過API進(jìn)行連接并造成丟失

像Salesforce和谷歌G套件(Google G Suite)這樣的云平臺都包含有許多企業(yè)級安全特性。在蓬勃發(fā)展的市場上也有第三方的應(yīng)用程序可以連接到他們的平臺，以提高其服務(wù)的價值。但是并不是所有這些第三方應(yīng)用程序都是安全的。用戶的一個常見錯誤是：添加一個應(yīng)用程序連接到安全的云環(huán)境內(nèi)來獲取企業(yè)敏感數(shù)據(jù)的權(quán)限,這使得第三方應(yīng)用的云網(wǎng)絡(luò)安全中最薄弱的一環(huán)被傳遞了過去。有時，這些應(yīng)用程序使用您現(xiàn)有的云賬戶進(jìn)行登錄，從而實現(xiàn)對那些已被定義了不同級別的數(shù)據(jù)的訪問。比如，在口袋精靈(Pokemon Go)最初被推出的時候,用戶就可以用其谷歌帳號的全部權(quán)限來登錄到Pokemon的應(yīng)用程序中。

原文標(biāo)題：The 5 Most Common User Mistakes That Lead to Data Loss，作者：Cameron Coles

【51CTO譯稿，合作站點轉(zhuǎn)載請注明原文譯者和出處為51CTO.com】