跟著第三方云辦事逐步普及，企業(yè)必需從頭考慮本身的安然計(jì)謀。Neohapsis安然專(zhuān)家切磋了在擬定云安然政策時(shí)應(yīng)當(dāng)考慮的標(biāo)題問(wèn)題。
企業(yè)此刻可以將關(guān)頭任務(wù)利用外包到公有云中，這是不是意味著IT和收集安然治理員必需“割讓”數(shù)據(jù)和收集安然的責(zé)任呢?完全不是如許。不管企業(yè)將多少根本舉措措施和多少收集辦事和營(yíng)業(yè)利用法度轉(zhuǎn)移到云中，信息和收集的最終責(zé)任仍然落在企業(yè)本身身上。這也是為甚么企業(yè)需要精心擬定云安然政策的啟事。
不幸的是，按照Ponemon研究機(jī)構(gòu)2013年端點(diǎn)狀況查詢(xún)拜訪實(shí)際，雖然云辦事在鼓起，只有40%的企業(yè)有正式的集中的云安然政策。這為治理員供給了充沛的機(jī)緣來(lái)抓緊鎖定其公司的數(shù)據(jù)和收集。筆者比來(lái)采訪了安然辦事供給商N(yùn)eohapsis的首席安然參謀，他談到了企業(yè)應(yīng)當(dāng)若何更有效地呵護(hù)其云計(jì)較擺設(shè)。
擬定云安然政策時(shí)應(yīng)當(dāng)考慮的關(guān)頭標(biāo)題問(wèn)題
對(duì)企業(yè)來(lái)講，云安然政策仍然是頭痛的工作，Hazdra暗示：“在變亂產(chǎn)生后，企業(yè)才會(huì)心識(shí)到，我們沒(méi)有想到如許的工作會(huì)產(chǎn)生。”抱負(fù)環(huán)境下，企業(yè)應(yīng)當(dāng)在擺設(shè)云之前就成立本身的云安然政策。Hazdra談到了企業(yè)應(yīng)當(dāng)考慮的幾個(gè)標(biāo)題問(wèn)題。
在這些標(biāo)題問(wèn)題中，首要的標(biāo)題問(wèn)題是企業(yè)是不是有明白的數(shù)據(jù)分類(lèi)政策。企業(yè)具有的敏感數(shù)據(jù)越多，這個(gè)標(biāo)題問(wèn)題就加倍首要，出格是在遭到嚴(yán)格監(jiān)管的行業(yè)，例如醫(yī)療保健和金融辦事公司。數(shù)據(jù)分類(lèi)將幫忙企業(yè)避免數(shù)據(jù)中間內(nèi)首要數(shù)據(jù)的不測(cè)上傳，這還可以幫忙呵護(hù)在收集辦事中穿行的數(shù)據(jù)。例如，Rackspace供給客戶(hù)端的別例來(lái)節(jié)制哪些類(lèi)型的流量可以穿過(guò)虛擬收集的哪些路徑，但企業(yè)起首需要對(duì)流量進(jìn)行分類(lèi)。
除數(shù)據(jù)分類(lèi)，企業(yè)可能還有其他政策可以利用到云計(jì)較擺設(shè)中?？山庸艿睦谜呔褪且粋€(gè)典型的例子。企業(yè)是不是將承諾用戶(hù)拜候他們本身設(shè)備上的云托管的企業(yè)數(shù)據(jù)?假定是如許的話，企業(yè)是不是擺設(shè)了根本舉措措施來(lái)治理這些設(shè)備?在肯定現(xiàn)有政策與新的云政策堆疊的處所，請(qǐng)查抄企業(yè)所考慮的云手藝供給商是不是有合適你的政策。Hazdra暗示：“假定云供給商沒(méi)有企業(yè)想要的任何政策或節(jié)制，就需要考慮這個(gè)供給商是不是合用于本企業(yè)?！?/P>
企業(yè)還要考慮承諾將數(shù)據(jù)存放在甚么位置。數(shù)據(jù)的物理位置觸及法令和隱私標(biāo)題問(wèn)題。云辦事供給商可否將企業(yè)的數(shù)據(jù)移到外面?國(guó)外?供給商是不是能同意將企業(yè)的數(shù)據(jù)保持在特定命據(jù)中間?假定供給商政策不知足企業(yè)的所有要求，那么企業(yè)的哪些數(shù)據(jù)應(yīng)當(dāng)保持在企業(yè)內(nèi)部?從這些標(biāo)題問(wèn)題來(lái)看，數(shù)據(jù)分類(lèi)很首要。
最后，對(duì)企業(yè)放到云計(jì)較中的數(shù)據(jù)，需要從云供給商獲得如何的安然包管?當(dāng)觸及SaaS時(shí)，這個(gè)標(biāo)題問(wèn)題特別首要，Hazdra暗示，“軟件開(kāi)辟人員一向在盡力進(jìn)步其法度的機(jī)能，有時(shí)辰可能與杰出的安然性有沖突。有時(shí)辰，開(kāi)辟人員被承諾封鎖安然功能來(lái)實(shí)現(xiàn)所需的機(jī)能程度。企業(yè)需要決定安然和機(jī)能的優(yōu)先級(jí)?！逼髽I(yè)可能需要肯定機(jī)能的進(jìn)步是不是值得支出安然性降落的代價(jià)。首要的是，企業(yè)需要肯定優(yōu)先級(jí)，和確保云供給商的政策合適企業(yè)的期看。
假定企業(yè)此刻正在考慮擬定完全的云安然政策，需要想想將授權(quán)或核準(zhǔn)哪些人來(lái)審核與云供給商的和談。Hazdra暗示：“可能有專(zhuān)業(yè)人士(例如大夫、牙醫(yī)和律師)利用云辦事用來(lái)存儲(chǔ)，以便他們可以從家里便利地拜候其工作文件?！边@將讓個(gè)別員工的工作更輕松，但也將讓企業(yè)數(shù)據(jù)處于風(fēng)險(xiǎn)當(dāng)中。指定特定位置來(lái)為工感化處設(shè)置云辦事，并考慮背反政策后的具體后果。
云安然：誰(shuí)該負(fù)責(zé)?
上述標(biāo)題問(wèn)題把我們帶到云安然會(huì)商的核心標(biāo)題問(wèn)題：對(duì)云中的數(shù)據(jù)的安然，最終是誰(shuí)負(fù)責(zé)?一部門(mén)責(zé)任可能在于云辦事供給商，而此中更多的責(zé)任在SaaS供給商，IaaS供給商承擔(dān)更少的責(zé)任。
但是，回根結(jié)底，對(duì)他們本身的信息，企業(yè)必需承擔(dān)責(zé)任，不管誰(shuí)在措置這些信息。假定你在尋覓根本舉措措施供給商，就必需確保供給商能實(shí)施其承諾，不管是經(jīng)由過(guò)程成績(jī)、查抄仍是與云供給參群情具體細(xì)節(jié)。跟著企業(yè)轉(zhuǎn)移到SaaS中，履行可接管利用、隱私、加密和數(shù)據(jù)發(fā)掘政策仍然是企業(yè)的責(zé)任。CIO們還必需確保云供給商遵守他們本身的政策。
云計(jì)較的鼓起無(wú)疑將改變收集和IT安然治理員的角色，但云計(jì)較其實(shí)不會(huì)完全消弭他們的工作。跟著期間的改變，企業(yè)的政策也必需改變。提出準(zhǔn)確的標(biāo)題問(wèn)題以確保這些政策的合用性。