對于任何將工作負載和應用程序遷移到云的組織而言，最重要的考慮因素之一就是確保其所基于的云計算基礎設施是安全的。

而對于許多組織而言，滿足某些合規標準的需求不僅是遵守行業最佳實踐的問題，而且在特定情況下是法律要求的。處理敏感的個人、財務和健康數據的組織必須驗證它們是否具有適當的控制措施來保護該數據，無論該數據駐留在其自己的本地數據中心中還是在云中，以及在傳輸過程中。

[[355186]]

盡管從技術上講，可以在不合規的基礎設施之上構建安全的應用程序，但對于客戶而言，這樣做是不切實際的。因此，對于云基礎設施提供商而言，與其客戶一樣，標準合規性也是一個大問題。實際上，對于大多數組織而言，遵守安全標準是云計算供應商選擇過程中的必要先決條件。

符合標準

有許多合規標準，例如支付卡行業數據安全標準(PCIDSS)、ISO/IEC27001：2013、HITRUST和SOC2。PCIDSS由支付卡行業定義，目的是確保信用卡信息安全。PCI需要采取措施，例如加密持卡人數據的傳輸并使用防火墻對其進行保護。無論大小或處理量如何，任何傳輸、存儲、處理或接受信用卡數據的業務都必須遵守PCI標準。ISO27001是用于數據安全性的更通用的國際標準。HITRUST旨在確保組織可以根據HIPAA法規安全地處理醫療保健信息。對于所有云計算服務提供商而言，最常見的合規性標準也許就是SOC2。SOC2信任服務標準概述了一個控制要求框架，該要求可應用于所有在云中存儲客戶數據的組織，包括所有SaaS和IaaS公司以及那些使用云存儲自己的客戶信息。

客戶應期望其云基礎設施提供商將其年度SOC2Type2審核報告(應由獨立的第三方審核公司準備)供審核。SOC2Type2審核是對客戶數據安全性、可用性、機密性和隱私性控制措施的操作有效性進行全面評估。他們在對云服務提供商進行風險評估時為客戶提供有價值的信息。SOC2審計報告可以向客戶保證，云基礎設施供應商為關鍵業務應用程序提供了安全并符合標準的基礎。

除了為云基礎設施提供商及其客戶提供有關安全控制實施的通用語言和理解之外，標準合規性還被視為組織內部安全文化的指示。實際上，某些不需要遵循特定標準(例如PCI)的客戶可能仍會要求它(或實現它的路線圖)，因為它說明了基礎設施提供商的運營效率。

云安全方程式的另一個關鍵方面是了解共享責任模型。云基礎設施提供商通常會明確說明他們負責總體安全框架的哪些方面以及客戶必須自己管理的那些方面。一般而言，基礎設施提供商負責保護基礎設施本身，包括構成托管平臺的人員、硬件、軟件、網絡和物理設施。客戶通常負責保護自己的環境，包括來賓操作系統，應用程序和數據。例如，基礎設施提供商通常將負責為托管云平臺的系統和應用程序實施身份管理，而其客戶將負責為其云環境中的系統和應用程序實施身份管理。對于客戶來說，了解他們的責任從哪里開始以及基礎設施提供商的終點是至關重要的，以防止任何可能導致漏洞的漏洞。

兼容的基礎設施使客戶更容易構建符合相同標準的安全應用程序。基礎設施提供商可以通過自己遵守法規來簡化其法規遵從流程，這不僅使數字世界更加安全，而且還可以提供競爭優勢。

組織通常會花費大量時間，精力和金錢來實現其自己的應用程序，網絡和內部部署基礎結構中的標準合規性。對于從事特定行業(例如金融服務)的組織來說，保持符合PCIDSS等標準的負擔甚至可能成為云遷移的障礙(以及性能，規模和業務敏捷性的相關優勢)。通過提供標準合規性，云基礎設施提供商可以降低風險并簡化客戶遷移到云的過程。