7 个致命的云安全罪以及中小企业如何做得更好

商业安全

通过消除这些错误和盲点，您的组织可以在优化云的使用方面取得巨大进步，而不会面临网络风险

菲尔·芒卡斯特

16 Jan 2024  •  , 5分钟读

云计算是当今数字环境的重要组成部分。如今，与传统的本地配置相比，IT 基础设施、平台和软件更有可能作为服务提供（因此分别是 IaaS、PaaS 和 SaaS 的缩写）。这对中小型企业 (SMB) 的吸引力超过大多数企业。

云提供了与更大的竞争对手建立公平竞争环境的机会，从而在不花费太多的情况下实现更高的业务敏捷性和快速扩展。这可能就是为什么 53% 的全球中小企业在一项调查中接受了调查 最近的报道 表示他们每年在云上的支出超过 1.2 万美元；高于去年的 38%。

然而，数字化转型也带来了风险。安全性 (72%) 和合规性 (71%) 是中小企业受访者最常提到的第二和第三大云挑战。应对这些挑战的第一步是了解小型企业在云部署中犯的主要错误。

中小企业最容易犯的七大云安全错误

我们要明确的是，以下不仅仅是中小型企业在云中犯的错误。即使是规模最大、资源最好的企业有时也会因忘记基础知识而感到内疚。但是，通过消除这些盲点，您的组织可以在优化云的使用方面取得巨大进步，而不会面临潜在的严重财务或声誉风险。

1. 没有多重身份验证（MFA）

静态密码本质上是不安全的，并不是每个企业都坚持使用静态密码 完善的密码创建策略。密码可以是 以各种方式被盗，例如通过网络钓鱼、暴力破解或简单猜测。这就是为什么您需要在 MFA 之上添加额外的身份验证层，这将使攻击者更难访问用户的 SaaS、IaaS 或 PaaS 帐户应用程序，从而降低勒索软件、数据盗窃和其他可能后果的风险。另一种选择是在可能的情况下切换到其他身份验证方法，例如 无密码认证.

2. 过于信任云提供商（CSP）

许多 IT 领导者认为，有效投资云意味着将一切外包给值得信赖的第三方。这只是部分正确。事实上，有一个 共同责任模型 为了保护云安全，在 CSP 和客户之间分配。您需要注意的事项取决于云服务的类型（SaaS、IaaS 或 PaaS）和 CSP。即使大部分责任由提供商承担（例如，在 SaaS 中），投资额外的第三方控制措施也可能是值得的。

3. 备份失败

如上所述，永远不要假设您的云提供商（例如文件共享/存储服务）会为您提供支持。为最坏的情况做好计划总是值得的，最坏的情况很可能是系统故障或网络攻击。不仅数据丢失会影响您的组织，而且事件发生后可能会造成停机和生产力下降。

4. 未能定期打补丁

如果无法修补，您的云系统就会遭受漏洞利用。这反过来可能导致恶意软件感染、数据泄露等。补丁管理是一项核心安全最佳实践，无论在云中还是在本地，都同样重要。

5. 云配置错误

CSP 是一群创新者。但他们根据客户反馈而推出的大量新特性和功能最终可能会为许多中小型企业创建一个极其复杂的云环境。这使得了解哪种配置最安全变得更加困难。常见错误包括 配置云存储 因此任何第三方都可以访问它，并且无法阻止开放端口。

6. 不监控云流量

一个常见的说法是，如今，问题不再是“如果”而是“何时”您的云（IaaS/PaaS）环境遭到破坏。如果您想及早发现迹象并在攻击有机会影响组织之前遏制攻击，那么快速检测和响应至关重要。这使得持续监控成为必须。

7. 未能加密公司皇冠上的宝石

没有任何环境能够 100% 防泄露。那么，如果恶意方设法获取您最敏感的内部数据或受到严格监管的员工/客户个人信息，会发生什么？通过在静态和传输过程中对其进行加密，您将确保它无法被使用，即使它已被获取。

正确对待云安全

解决这些云安全风险的第一步是了解您的职责所在以及哪些领域将由 CSP 处理。然后，要判断您是否信任 CSP 的云原生安全控制，还是希望通过其他第三方产品来增强它们。考虑以下：

• 投资 第三方安全解决方案 在全球领先云提供商提供的云服务中内置的安全功能之上，增强您的云安全性并保护您的电子邮件、存储和协作应用程序
• 添加扩展或托管检测和响应 (XDR/MDR) 工具，以推动快速事件响应和违规遏制/补救
• 开发和部署基于强大资产管理的持续的基于风险的修补程序（即了解您拥有哪些云资产，然后确保它们始终是最新的）
• 对静态数据（在数据库级别）和传输中的数据进行加密，以确保即使坏人掌握了数据，数据也会受到保护。这还需要有效且持续的数据发现和分类
• 定义明确的访问控制策略；强制使用强密码、MFA、最小权限原则以及针对特定 IP 的基于 IP 的限制/允许列表
• 考虑采用 零信任法，它将结合上述许多元素（MFA、XDR、加密）以及网络分段和其他控制

上述许多措施与人们期望在本地部署的最佳实践相同。尽管细节会有所不同，但从较高的层面来看，它们是一样的。最重要的是，请记住云安全不仅仅是提供商的责任。立即掌控以更好地管理网络风险。