云上的數(shù)據(jù)安全最佳實(shí)踐包括：了解和實(shí)施安全基礎(chǔ)知識(shí)、遵守責(zé)任共擔(dān)模型、數(shù)據(jù)加密以及遵守適用的法規(guī)。

數(shù)據(jù)安全的基本原理通?？梢宰匪莸紺IA三要素：數(shù)據(jù)機(jī)密性、數(shù)據(jù)完整性和數(shù)據(jù)可用性。

責(zé)任共擔(dān)模型是指云供應(yīng)商和使用云的組織都有責(zé)任確保組織云基礎(chǔ)架構(gòu)的整體安全性，包括存儲(chǔ)在其中的數(shù)據(jù)。

數(shù)據(jù)加密是數(shù)據(jù)安全的基本要素，在云環(huán)境中尤為重要。云供應(yīng)商可以提供高級(jí)加密工具以及用于加密密鑰的安全存儲(chǔ)模塊。

最后，圍繞數(shù)據(jù)安全，特別是數(shù)據(jù)隱私的法規(guī)也在不斷發(fā)展。組織應(yīng)建立系統(tǒng)，以確保其始終遵守任何相關(guān)法律法規(guī)。

CIA 三位一體和云中的數(shù)據(jù)安全

CIA 三要素是一組三個(gè)安全屬性，可指導(dǎo)組織保護(hù)任何環(huán)境(包括云)。三位一體涵蓋了安全性的基本方面，可以幫助組織理解和更好地實(shí)施安全工具。這三個(gè)屬性是機(jī)密性、完整性和可用性。它有時(shí)被稱為AIC，以免與美國(guó)情報(bào)機(jī)構(gòu)混淆。主要的云供應(yīng)商提供能夠遵守三位一體的安全服務(wù)。

數(shù)據(jù)機(jī)密性是指私人數(shù)據(jù)保持私密狀態(tài)，未經(jīng)授權(quán)的實(shí)體不會(huì)看到這些數(shù)據(jù)。組織通常會(huì)使用加密來(lái)確保只有有權(quán)訪問(wèn)數(shù)據(jù)的授權(quán)實(shí)體才能看到它。

當(dāng)組織知道數(shù)據(jù)沒(méi)有被意外或惡意行為者操縱時(shí)，數(shù)據(jù)具有完整性。組織可以使用身份訪問(wèn)管理 (IAM) 工具僅允許授權(quán)實(shí)體訪問(wèn)數(shù)據(jù)。通過(guò)使用 IAM 工具，組織可以遵循最小特權(quán)原則，即員工僅擁有有效完成工作所需的云訪問(wèn)權(quán)限量。

可用性是指被授權(quán)實(shí)體可以訪問(wèn)數(shù)據(jù)的時(shí)間量。數(shù)據(jù)變得不可用的一種方式是當(dāng)拒絕服務(wù)(DoS)攻擊或網(wǎng)絡(luò)中斷導(dǎo)致云數(shù)據(jù)中心癱瘓時(shí)。擁有分散在地理位置上的數(shù)據(jù)備份可以提高數(shù)據(jù)可用性。當(dāng)云供應(yīng)商的云數(shù)據(jù)中心在地理位置上分散時(shí)，它被稱為分布式云。

然而，在云計(jì)算中使用CIA三元組存在挑戰(zhàn)。它是一種基本的安全方法，但不能涵蓋所有現(xiàn)代安全威脅。例如，物聯(lián)網(wǎng)(IoT)設(shè)備的激增對(duì)于CIA來(lái)說(shuō)本身就是一個(gè)挑戰(zhàn)。

許多物聯(lián)網(wǎng)設(shè)備依賴于云，物聯(lián)網(wǎng)設(shè)備通常沒(méi)有足夠頻繁地修補(bǔ)，使用弱密碼，并且很容易被損壞以用于僵尸網(wǎng)絡(luò)中的DoS攻擊。這些安全風(fēng)險(xiǎn)打開(kāi)了一扇通往云的大門，并損害了完整性。

組織可能還必須進(jìn)行權(quán)衡。例如，如果數(shù)據(jù)需要高度的機(jī)密性和完整性，則它可能必須具有較低的可用性。犧牲可用性可能意味著數(shù)據(jù)無(wú)法分布在多個(gè)數(shù)據(jù)中心。

組織緩解 IoT 設(shè)備風(fēng)險(xiǎn)的一種方法是實(shí)施一致的策略。由于跨云環(huán)境中策略實(shí)施的一致性，組織云環(huán)境中的弱點(diǎn)受到限制。這是因?yàn)閾碛腥嫦嗤陌踩呗钥梢詼p少云中可能被利用的弱點(diǎn)的可能性。

主要云供應(yīng)商的安全技術(shù)

主要的云供應(yīng)商非常重視其云數(shù)據(jù)中心的安全性。云供應(yīng)商采取許多措施來(lái)為客戶數(shù)據(jù)提供安全的環(huán)境。這些操作可能包括物理數(shù)據(jù)中心安全、安全軟件、信任根硬件、徹底的數(shù)據(jù)擦除和硬件銷毀。

但是，云供應(yīng)商并不完全負(fù)責(zé)保護(hù)云和客戶數(shù)據(jù)。 責(zé)任共擔(dān)模型可能因云供應(yīng)商而異，它描述了是供應(yīng)商還是客戶負(fù)責(zé)保護(hù)云的不同方面。根據(jù)組織使用的是在云中運(yùn)行的軟件即服務(wù) (SaaS) 應(yīng)用程序、平臺(tái)即服務(wù) (PaaS) 產(chǎn)品還是基礎(chǔ)結(jié)構(gòu)即服務(wù) (IaaS) 產(chǎn)品，責(zé)任量存在差異。例如，以下是Microsoft Azure的共擔(dān)責(zé)任模型：

來(lái)源：Microsoft Azure

組織可以利用的一些云安全服務(wù)包括：

• 數(shù)據(jù)備份
• 數(shù)據(jù)加密
• 防火墻
• 硬件安全模塊 (HSM)
• 身份訪問(wèn)管理工具
• 監(jiān)控軟件

使用監(jiān)控軟件可以高度了解云基礎(chǔ)架構(gòu)，以便它可以檢測(cè)何時(shí)發(fā)生安全漏洞。

云中的加密

數(shù)據(jù)加密和解密由加密密鑰執(zhí)行，無(wú)論它是否發(fā)生在云中。理想情況下，這些密鑰使用的算法非常復(fù)雜且難以破解。主要云供應(yīng)商(如AWS)使用的一種算法是256位高級(jí)加密標(biāo)準(zhǔn)(AES)。

為了保證加密數(shù)據(jù)的安全，加密和解密數(shù)據(jù)的加密密鑰也必須安全存儲(chǔ)。這就是AWS CloudHSM，Azure Key Vault或GCP的Cloud Key Management Service(KMS)等服務(wù)發(fā)揮作用的地方。

HSM 是設(shè)計(jì)有物理安全方面和符合政府法規(guī)的軟件安全工具的硬件。物理安全方面可以包括防拾取鎖或防篡改密封。軟件安全方面可以包括基于身份的身份驗(yàn)證，其中檢查用戶身份以查看他們是否有權(quán)訪問(wèn)密鑰。

法律法規(guī)

政府和行業(yè)都為云中的數(shù)據(jù)安全制定了標(biāo)準(zhǔn)和法規(guī)，包括 SOC 2、聯(lián)邦信息處理標(biāo)準(zhǔn) (FIPS) 140、支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn) (PCI DSS) 以及健康保險(xiǎn)流通與責(zé)任法案 (HIPAA)。

SOC 2是由美國(guó)注冊(cè)會(huì)計(jì)師協(xié)會(huì)(AICPA)制定的標(biāo)準(zhǔn)。這是一項(xiàng)審核，用于審查客戶數(shù)據(jù)的管理情況。審計(jì)的基礎(chǔ)是五項(xiàng)原則，AICPA網(wǎng)站將其描述為“服務(wù)組織用于處理用戶數(shù)據(jù)的系統(tǒng)的安全性和處理完整性以及這些系統(tǒng)處理的信息的機(jī)密性和隱私性”。

FIPS 140 專注于硬件和軟件加密模塊的測(cè)試要求。為了滿足這些要求，加密模塊(如 HSM)必須通過(guò)一系列測(cè)試，這些測(cè)試涵蓋物理安全性、攻擊緩解、身份驗(yàn)證和接口等方面。FIPS 140 有四個(gè)級(jí)別，盡管它們每個(gè)級(jí)別都適合特定的用例，并不一定等同于每個(gè)級(jí)別的安全性更高。

PCI DSS是由信用卡公司制定的行業(yè)標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)建立了云提供商必須擁有的安全要求和行業(yè)工具的基線，以確保敏感信息的安全。

總結(jié)：云上數(shù)據(jù)安全關(guān)鍵要點(diǎn)

• 保護(hù)云中數(shù)據(jù)的最佳實(shí)踐包括使用安全基礎(chǔ)知識(shí)、保護(hù)云基礎(chǔ)架構(gòu)、加密數(shù)據(jù)以及遵守法規(guī)。
• CIA三要素可以被組織用作保護(hù)其云環(huán)境中數(shù)據(jù)的指南。
• 責(zé)任共擔(dān)模型顯示客戶負(fù)責(zé)云安全的哪些部分。
• 為了加密數(shù)據(jù)，組織可以使用云供應(yīng)商提供的安全服務(wù)。
• 組織應(yīng)警惕適用于他們的法律和法規(guī)，以及這些法律和法規(guī)何時(shí)更改或被添加到其中。

原文鏈接：https://www.sdxcentral.com/security/definitions/data-security-in-the-cloud-best-practices/