根據ESG的研究顯示，63%的中端市場(即擁有250至999名員工的企業)，以及大型企業(員工超過1000余人)目前正在使用軟件即服務(SaaS)，33%使用基礎設施即服務(IaaS)，以及27%使用平臺即服務(PaaS)。此外，72%的企業正計劃在今年提高云計算的開支。

[[117593]]

云計算部署中是否也存在安全風險?安全專家對此相當關注。在最近的ESG研究調查中，信息安全專業人士指出了幾個云計算安全風險：

· 33% 的企業安全專業人士表示，缺乏對用于內部使用的IT資源相關的安全操作的直接控制。

· 31% 的企業安全專業人士表示，對由云計算基礎設施供應商存儲和/或處理的敏感數據和/或監管數據的隱私關注。

· 29%的企業安全專業人士表示，缺乏對云安全基礎設施的安全可視性。

· 28%的企業安全專業人士表示，破壞云服務供應商的基礎設施的安全泄漏事故。

· 27%的企業安全專業人士表示，在云服務提供商方面糟糕的信息安全做法。

這些安全擔憂顯然是合理的，企業也許會更加謹慎，但卻并沒有做出什么實際改進。

對于想要利用SaaS、IaaS和PaaS用于金融行業和獲取商業利益的企業，安全專家必須想出一種辦法來讓企業在這樣做的同時，確保不會帶來任何不好的IT風險。

那么，我們應該怎么做呢?在IT控制正在減弱的時代，首席信息安全官必須更好地控制他們能控制的事物。在筆者看來，這可以歸結為幾個關鍵的優先領域：

1. 識別。 無論應用程序和數據在哪里，企業都必須知道誰正在訪問這些資源，他們在使用何種設備，用戶的位置。他們還需要不斷地更新這些信息。在任何情況下，企業都應該確保這種監督水平，這意味著企業需要知道具體用戶(員工或第三方)、具體設備、具體網絡位置、具體時間日期等。此外，我們還需要業務背景，例如我們需要知道John Smith正在試圖從公共網絡訪問財務數據，以及奇怪的IP地址、MAC地址和DNS查詢。對于Centrify、ForgeRock、Okta、Ping以及McAfee、微軟等公司而言，將這種識別帶入到云應用程序是一個巨大的機會。

2. 數據。 網絡攻擊者可以發起DDoS[注]攻擊來獲取IT資產，但大多數攻擊都是瞄準目標本身。因此，我們需要知道數據的位置、重要程度，以及誰在對數據做什么。這是CloudLock、Ionic Security、賽門鐵克、Varonis、Verdasys和Vormetric等公司的領域。

3. 可視性。 作為首席信息安全官(+本站微信networkworldweixin)，你需要了解一切，你的內部網絡在發生什么，端點在發生什么，云計算在發生什么等。此外，你還需要從不同角度獲取內部和外部的態勢感知。例如，如果你想要了解你的業務合作伙伴以及云計算供應商相關的風險。與此同時，隨著工作負載從服務器到服務器跨內部和云供應商網絡移動，你想要鎖定日志數據、web會話和網絡數據包，你還想要獲取威脅情報來預測內部IT、整個行業或云供應商合作伙伴的情況，你會想要中央的命令和控制。

還有一個比這三個方面更重要的領域。管理現在的IT安全需要對所有IT資產、網絡、傳輸的一致的完整的控制，無論它們位于企業內部還是云計算中。這可能需要一種聯合的方法或者跨整個網絡的單窗格視圖，但作為首席信息安全官，你需要對一切事物的綜合可視性。

毫無疑問，在未來云計算將會成為主導，但現在大多數企業仍然有很多內部資源。連接內部資源和云計算環境將會是成功的關鍵，聰明的首席信息安全官將會盡可能地構建更少的連接，并專注于彌合其最重要的監督和可視性方面的差距。(鄒錚編譯)