概述 

來自英國NCSC 的云安全方法

關(guān)于云技術(shù)有一些模棱兩可的術(shù)語，因此值得花一些時間來定義一些常見術(shù)語。當(dāng)我們談?wù)摗霸啤?、“云服?wù)”或“云計算”時，我們的意思是：

“一種按需、大規(guī)模可擴(kuò)展的服務(wù)，托管在共享基礎(chǔ)設(shè)施上，可通過互聯(lián)網(wǎng)訪問。典型的服務(wù)提供數(shù)據(jù)存儲、數(shù)據(jù)處理和預(yù)構(gòu)建功能，例如日志記錄。

這遵循NIST 對云計算的定義，以確定云服務(wù)的共同特征。

云服務(wù)可以分為兩大類：

• 預(yù)構(gòu)建的云服務(wù)，解決業(yè)務(wù)問題；這些通常稱為軟件即服務(wù)或 SaaS
• 提供用于構(gòu)建服務(wù)以解決業(yè)務(wù)問題的組件的云平臺；此旗幟下的服務(wù)包括平臺即服務(wù) (PaaS)、基礎(chǔ)設(shè)施即服務(wù) (IaaS) 和無服務(wù)器組件

了解云服務(wù)部分更詳細(xì)地介紹了各種類型的云，以及有關(guān)其部署、安全和管理模型的信息。

云中的安全性

公共云服務(wù)的規(guī)?？梢詭?/span>許多安全優(yōu)勢以及眾多的功能優(yōu)勢。然而，大多數(shù)云服務(wù)的共享性質(zhì)可能會讓您很難清楚地了解采用服務(wù)時將面臨的風(fēng)險。

本指南將幫助您：

• 評估公共云服務(wù)的安全性
• 確定它們是否適合您的預(yù)期用途

為此，您必須首先了解服務(wù)提供的分離措施。您還需要清楚地了解服務(wù)安全運(yùn)行的責(zé)任平衡（和提供商之間）。

如果您要使用云平臺構(gòu)建服務(wù)，則需要很好地了解在此設(shè)置中通常如何處理加密技術(shù)。我們的云加密指南涵蓋了所涉及的所有術(shù)語和技術(shù)。

大多數(shù)概念同樣適用于混合云、多云和一些較大的私有云部署。有關(guān)服務(wù)部署模型的部分涵蓋了這些不太常見的云部署類型的一些額外注意事項(xiàng)。

我們關(guān)于安全使用云服務(wù)的指南包括您在構(gòu)建云平臺之前需要采取的一些操作，以及保護(hù)軟件即服務(wù) (SaaS) 應(yīng)用程序的安全。

致力于云安全

從項(xiàng)目一開始就考慮網(wǎng)絡(luò)安全，效果最佳。嘗試在最后一刻添加安全性可能會產(chǎn)生不可預(yù)測（且昂貴）的結(jié)果。

當(dāng)完全集成到合適的開發(fā)流程中時，本指南中的建議將產(chǎn)生最佳結(jié)果。我們建議的方法包括以下四個步驟。按順序完成這些操作將幫助您確定適合您的預(yù)期用途的安全云服務(wù)。

1.了解業(yè)務(wù)需求

您應(yīng)該首先了解云服務(wù)的預(yù)期用途，以及將在其中存儲和處理的數(shù)據(jù)。我們建議在識別和管理網(wǎng)絡(luò)安全風(fēng)險時參考 NCSC 的風(fēng)險管理指南。

2.選擇滿足需求的云提供商

我們的云提供商選擇指南介紹了如何使用以下任一方法選擇合適的云提供商：

如果要對云服務(wù)進(jìn)行商業(yè)招標(biāo)，我們建議要求投標(biāo)中包含對云安全原則的響應(yīng)。 

“物有所值”永遠(yuǎn)是選擇服務(wù)時考慮的因素。某些云服務(wù)具有不同價格的許可證，這些許可證具有不同的安全功能（例如單點(diǎn)登錄或強(qiáng)制多重身份驗(yàn)證）。應(yīng)該確保獲得的許可證報價包含滿足您安全需求的服務(wù)。

·云安全原則，或

·云安全的輕量級方法

3.安全使用云服務(wù)

選擇云提供商后，您應(yīng)該了解使用該服務(wù)或平臺時的安全責(zé)任。所有云服務(wù)都需要您應(yīng)用某種配置來確保其符合您的需求；云服務(wù)完全“默認(rèn)安全”是不尋常的。我們在安全使用云服務(wù)指南中概述了您應(yīng)該采取的最重要的操作。 

選擇云提供商后設(shè)計您的服務(wù)架構(gòu)將使您能夠充分利用服務(wù)中內(nèi)置的本機(jī)安全技術(shù)。 

許多公共云服務(wù)都會發(fā)布安全良好實(shí)踐指南、示例架構(gòu)和配置基線來幫助您入門。

4.持續(xù)監(jiān)控和管理風(fēng)險

使用后，請定期檢查該服務(wù)以及您使用該服務(wù)的方式是否仍然滿足您的業(yè)務(wù)和安全需求，您也應(yīng)該不時進(jìn)行檢查。