2023年关于云安全的一些不幸现实

最近的研究数据纷至沓来。Thales 2022年全球云安全研究发现，在过去12个月中，有45%的企业经历了云数据泄露或未能进行审计（希望这个数字可以细分）。如果您一直在关注这个领域，您会发现这与前一年只有5%的差距。是什么原因导致了这样的情况呢？

总体而言，我们正面临一系列问题：对云安全投资不足、对基于云平台的重度依赖以及缺乏云安全人才。许多企业不得不雇佣资质较低的专家，再加上恶意行为者利用生成式人工智能等新工具不断升级，导致大部分企业无法妥善应对新挑战。

数据失控

其中一个更重要的担忧是影子数据的增长。影子数据是指在企业IT基础设施内创建、存储或传输的数据，而企业IT部门没有知情或控制权。这些数据通常存在于未经批准和监控的系统之外，包括存储在员工设备、云服务或其他未经批准和不知名的应用程序上的数据。

如果您曾经将包含敏感业务数据的文档从企业云数据库复制到一个便携式存储设备上以便在家里继续工作，或者在出差前将一个基于SaaS的应用程序中的客户名单通过电子邮件发给自己，那么您正在使用影子数据。影子数据可能包含敏感或机密信息，其不受限制的性质会对数据安全、合规性和治理性带来风险。

这更多是一个培训问题，而不是云安全问题。您可以对使用这些数据设置所有限制，甚至监控使用情况，但归根结底，如果数据可以在屏幕上看到，就有可能变成不安全的影子数据。

IT安全专业人员习惯于通过工具和技术来解决这个问题，但这可能会给人一种虚假的安全感。我们需要一场关于如何处理数据的培训，而IT部门可能认为这是其他部门的问题。通常这个责任被推给了人力资源部门，这就使得问题很少得到解决。

配置错误

配置问题通常是云数据最重要的风险，也是最容易被忽视的。给我一个数据泄露事件，我会告诉你是哪些愚蠢的事情导致了它的发生。最近有一个大型汽车制造商由于云存储系统的配置错误，导致超过两百万客户数据被暴露。

正确配置的安全系统很少会被绕过以获取数据访问权限。通常情况下，存储系统没有得到保护或数据库需要更多加密措施。在为基于云的系统和数据存储配置安全性时，有人并不完全了解他们所做的事情，这与我之前提到的人才短缺有关。如果我们遭受了大规模损失，往往会以这种方式发生。

其他威胁

我们还面临着新兴的威胁，例如不太安全的API。如果您在基于云的平台上构建和部署应用，API是您工作中的主要驱动力。API不仅由云供应商提供，还内置在业务应用程序中。它们提供了对业务数据的开放访问点，并常常被作为“钥匙”留下。

其他新兴威胁包括使用生成式AI系统来伪造信息。正如我在这里所提到的，这些受AI驱动的攻击正在发生。随着恶意行为者在利用AI系统方面变得更加熟练（通常通过免费云服务），我们将看到可以绕过最复杂安全系统的自动化攻击。要防御这些新颖的攻击方式将会很困难。

事实上，利用生成式人工智能按需创建恶意应用程序代码，仅凭可以生成和启动的攻击软件系统数量之多，攻击成功只是时间问题。况且，大多数企业IT领导者无法以与攻击者相同的速度升级自己的防御能力。

我们能做些什么？

要解决这个问题，云安全负责人需要采取一些行动。建立一个更安全的云平台的最佳途径是打牢基础。这意味着采用零信任安全策略和最佳云安全工具。通过这样做，您将建立起更好的防御体系，使其他企业变得更具吸引力，从而减少成为攻击目标的可能性。这就像放置了一个更牢固的锁，使得别人更愿意去盗窃没有锁的摩托车。

解决如此严重的漏洞需要整个公司共同努力，提升员工对云安全的认知。我认为有两个关键领域：首先，从销售主管到行政助理等普通用户必须改进安全实践。他们需要接受培训和治理，并对违反合规性使用数据负责任。

其次是提升企业雇用的安全人才水平。这意味着为招聘最优秀的安全专家提供薪资支持，并支付持续培训费用，并优先考虑参加培训所需时间。我经常听到缺乏培训演习的故事，因为安全人员不得不应对突发事件。请猜猜为什么这些突发事件会发生？如果您认为是缺乏培训，那您就走对了路。