企業持續快速將工作負載從數據中心遷移到云上，利用無服務器、容器和機器學習等新技術，以獲得效率提升、更好的可伸縮性和更快的部署等收益。

隨著公有云的采用持續激增，特別是在2020年疫情危機和隨之而來的向遠程辦公加速轉變的情況下，人們依然對云安全十分擔憂。

因此，這份2020年云安全報告旨在探討企業如何應對云環境中不斷演變的安全威脅，以及合格安全人員的持續短缺。

[[352483]]

主要發現

盡管云計算得到快速應用，但對于云用戶來說，安全性仍然是一個關鍵問題。大多數網絡安全專業人士(94%)認為，他們至少對公有云安全有一定程度的擔憂，這一比例較去年調查數據略有上升。

在采用云計算的主要障礙中，企業提到缺乏合格的專業人員(37%)是加快采用云計算的最大阻礙——去年的調查中排名第五。

連續四年，培訓和認證IT員工(61%)被列為組織部署的主要策略之一，以確保滿足不斷變化的安全需求。58%的受訪者依賴于云供應商的原生安全工具，34%的受訪者希望雇傭更多致力于云安全的員工。

約六成企業預計云安全預算將在未來一年內增加。平均而言，企業將27%的安全預算分配給云安全。

當被問及組織如何評價他們的整體安全準備時，69%的企業覺得他們團隊的安全準備等于或低于平均水平。只有31%的人認為自己高于平均水平。其中80%的人認為團隊將受益于云安全培訓和/或認證。

調查中反復出現的一個主題是，合格的網絡安全人員持續短缺，而且所有員工都缺乏應有的安全意識和安全技能。網絡安全專業人士認為，59%的員工將從安全培訓和/或工作認證中受益。

調研結果

1. 公有云安全

盡管云計算得到快速應用，但對于云用戶來說，安全性仍然是一個關鍵問題。大多數網絡安全專業人士(94%)認為，他們至少對公有云安全有一定程度的擔憂，這一比例較去年調查數據(93%)略有上升。

 

 

 

圖1 企業對公有云安全的關心程度

 

大多數組織對其云安全態勢沒有信心(66%)。雖然信心從去年的84%下降了18個百分點，但仍然存在一定程度的過度自信。總的來看依舊是用戶對云上安全不放心，也許是前期上云過程中的過度自信，在真正在云環境下運行業務時，各類安全問題才開始顯現，以至于云用戶對自身安全態勢有了新的認識，不再過度自信。

圖2 企業對自身云安全態勢的自信程度

2. 云安全所擔憂的問題

作為云服務的一部分，云供應商開始提供越來越健壯的安全措施，但是最終負責保護云上工作負載的依舊是用戶自己。在調查中，最突出的云安全挑戰是關于數據泄漏(69%，比去年上升5個百分點)和數據隱私(66%，比去年上升4個百分點)。緊隨其后的是對憑據意外暴露和事件響應的擔憂(從去年的29%上升到44%)。今年看到數據主權問題開始進入大家的視線，因為最近關于數據出境的一些討論和國際政策，爭論比較激烈，具體可以參考《數據安全法(草案)》相關的分析文章。

圖3 最擔憂的云安全問題

在運維安全痛點方面，隨著越來越多的工作負載遷移到云上，網絡安全專業人士已經意識到保護這些工作負載的復雜性。缺乏合格的安全人員(47%)從去年的第三名上升到了排行榜的第一名，這是企業上云后普遍開始遇到的一個問題，目前主要方式還是選擇第三方服務機構來進行管理，但這并非適合所有企業。其次是合規性(40%)和跨云及本地環境一致性的安全策略(36%)。其他方面可以發現，是近2年來大家一直在關注的問題，安全可視化大屏和監控，自動化監測與響應平臺(SOAR、SOC)、DevSecOps以及遺留系統遷移上云的技術集成等問題。

圖4 運維安全痛點問題

3. 上云的阻礙

在采用云計算的障礙中，企業提到缺少專業員工(37%)是加速上云的最大障礙——去年的調查中排名第五。接下來是與現有IT環境集成方面的挑戰，以及數據安全問題(并列35%)。

 

圖5 上云的主要阻礙

4. 云安全的最大威脅

當被問及公有云面臨的最大安全威脅是什么時，組織將云平臺的錯誤配置(68%)列為頭號問題，高于去年的第三名排名。其次是未授權訪問(58%)、不安全接口(52%)和帳戶劫持(50%)。與去年數據相比，前三名的威脅沒有變化，這幾個問題穩居前三，只是占比明顯提升，分析應該是上云用戶逐漸增加，并且開始適應云上環境，一些普遍問題開始擴散。新上榜的一個威脅是來自國家級的網絡攻擊，這個內涵就太多了，這里不再展開，也不是本報告分析的重點。

圖6 云安全的最大威脅

5. 傳統工具云上集成情況

隨著工作負載不斷向云上遷移，組織面臨著云計算帶來的安全挑戰。大多數遺留安全工具都不是為云而設計的。82%的受訪者表示，傳統的安全解決方案要么根本無法在云環境中工作，要么功能有限——與去年的調查(66%)相比，情況明顯惡化。

圖7 遺留安全工具在云上使用情況

6. 云安全解決方案的驅動因素

企業快速上云是云計算不可否認的一些優勢所驅動的。企業認識到部署云安全解決方案的一些關鍵驅動因素，包括更快的部署時間和成本節約(41%持平)。緊隨其后的是在補丁和軟件更新方面的投入減少(40%)。隨著上云的普及，一些成熟的解決方案開始被推廣，企業上云速度越來越快，云上運營成本越來越低，使企業嘗到了云計算的甜頭。一些自動化工具和流程的應用，大大減少企業資源的投入，可以節省更多時間對業務和安全進行優化。相比去年數據，沒有太大變化，占比略有提升。這其中也有疫情因素，似的企業不得不改變傳統的工作和交付方式。

圖8 云上解決方案的驅動因素

7. 采用云安全方案的阻礙

盡管云安全解決方案提供了顯著的優勢，但采用它的障礙仍然存在。當涉及到業務轉換和上云時，必須將三個重要方面結合起來：人、流程和技術。調查顯示，企業面臨的最大挑戰不是技術，而是人員和流程。員工專業知識和培訓(55%，去年為41%)仍然是最大的障礙，其次是預算(46%，去年為40%)、數據隱私問題(37%)和缺乏與本地安全工具的集成(36%)。與去年調查的結果基本相同，但占比有所提高。

圖9 阻礙云解決方案采用的主要問題

8. 上云收益

當被問及云計算的好處時，參與調查的企業普遍覺得云計算實現了之前的承諾：靈活的功能和彈性(51%)、改善可用性和業務連續性(46%)和提高敏捷性 (45%)。排名前三的收益較去年沒有變化，但占比有較大幅提高(去年分別為39%、34%和32%)。

圖10 上云的主要收益

9. 強化云安全的途徑

培訓和認證IT員工(61%)連續4年被列為組織部署的主要策略，以確保滿足不斷變化的安全需求。58%的受訪者依賴于云供應商的原生安全工具，34%的受訪者希望雇傭更多致力于云安全的員工。

圖11 強化云安全的主要方式

10. 安全備戰情況

當被問及組織如何評價他們的整體安全準備時，69%的企業覺得他們團隊的安全準備等于或低于平均水平。只有31%的人認為自己高于平均水平。其中80%的人認為團隊將受益于云安全培訓和/或認證。

調查中反復出現的一個主題是，合格的網絡安全人員持續短缺，而且所有員工都缺乏應有的安全意識和安全技能。網絡安全專業人士認為，59%的員工將從安全培訓和/或工作認證中受益。

圖12 多數人認為員工會從培訓或認證中受益

當談到安全培訓主題的優先級時，調查中的網絡安全專家選擇了云網絡安全(66%)、應用安全(45%)和基于風險的框架(43%)作為培訓和教育成功最有價值的主題。相較于去年，前兩位沒有變化，只是占比增加，但是第三位由事件響應變為基于風險的框架(去年為25%)，還是那句話，剛到一個新環境，稍微適應之后各種問題開始顯現，目前企業關心的就是云上安全整體解決方案，而這就需要一個適用于云上的安全風險框架。

圖13 培訓重點

11. 云安全預算情況

約六成企業預計云安全預算將在未來一年內增加。平均來看，企業將27%的安全預算分配給云安全。盡管這個比例不算大，但是企業開始重視云上安全問題(以上各方面問題占比較比去年均有所提高)，隨著時間推移，預計預算會持續增加。

圖14 云安全預算

報告來源于Cybersecurity Insiders，作者Holger Schulze，CEO and Founder.報告中數據主要來自ISC2。

共計調查了653名網絡安全專業人員，旨在發現云用戶是如何在云中應對安全威脅,以及培訓、認證和最佳實踐。受訪者范圍從技術主管到IT安全從業人員，代表了多個行業中不同規模的企業。

在云安全背景下，接下來的文章將和大家分享國內上云情況以及企業如何進行上云遷移。