多云安全要以架构和治理为重点

富士通公司荷兰分公司多云和应用程序服务总监、企业安全架构师Jeroen Mulder对组织采用的多云安全架构规划为什么应该从业务和客户的角度出发进行了解释和分析。他认为，建立多云环境就像使用新的智能手机一样需要重新配置。

[[382077]]

他说：“当我从包装盒中取出新手机时，它几乎无法使用。要使其功能正常，首先必须将其连接到互联网。然后需要下载应用程序，并且需要数据(例如联系人或照片)以使其应用实现个性化。最后，启用面部识别和其他功能，并采取措施确保除本人之外的人员都不能使用它。”

Mulder表示，多云的概念也是如此。在多个平台上运行复杂的环境需要一种综合的策略来处理连接性、应用程序、数据存储和安全性。

在其撰写的名为《多云架构和治理》的著作中，Mulder阐述了企业架构知识对于构建基于业务目标的多云战略的重要性，以及它属于安全战略的原因。

Mulder详细介绍了作为企业架构师将如何影响安全方法，并为云计算和安全专业人员提供了职业策略的建议。他接受了行业媒体的采访，并对提出的问题进行了解答。

您为什么撰写有关多云架构及其治理的书籍?

Mulder：应用程序是云计算基础设施的基础。但目前很少有书籍描述如何在AWS、Azure或谷歌云平台进行设置，对于如何使用不同的云平台也很少描述。所以我决定自己编写一本。

我首先从技术基础对全球三个主要的公共云进行比较。我要从企业架构师的角度进行思考，这导致我编写的这本书的第一部分专注于多云治理和架构。而在考虑安全技术之前，需要考虑业务角度和架构框架，因此规划多云策略至关重要。

人们关于多云安全最常见的误解是什么?

Mulder：很多公司仍然认为，一旦他们进入混合云、公共云的或多云的运营环境，他们的工作负载就会受到默认保护，显然不是这样。这些云平台所做的唯一一件事就是提供一个工具箱，用户可以用它保护运营环境。这与组织在传统基础设施中确保工作负载安全没有什么不同。

组织不要认为能够阻止网络攻击者进入其系统。但是，当考虑应对不可避免的攻击时，组织可以计划如何响应以及如何保护运营范围内的资产。例如可以采取适当的措施，一旦数据落入攻击者手中，就会使其无法使用。

在多云环境中，保护外围设备的资产尤为重要，因为组织并不总是完全了解资产。许多客户并不知道他们的服务在世界各地运行。这是因为云平台遍布全球，不再是组织的内部部署数据中心。

企业如何解决和防止云蔓延?

Mulder：云蔓延增加了安全性的复杂性。为了防止蔓延，组织的最佳实践是将所有内容尽可能地放在一个堆栈中，但在多云的世界中不可能做到这一点。以智能手机为例：当人们打开手机时，正在使用许多不同的应用程序，而这些应用程序来自Google、Apple、Microsoft以及来自世界各地的其他应用程序，而确保它们的安全性取决于使用者。确保安全是唯一可以访问手机的用户的责任，例如启用Face ID身份验证。

多云安全最佳实践首先需要对资产和身份进行清查，知道谁以及为什么在组织的系统中。需要注意的是，标识可以应用于收集数据甚至软件的服务、应用程序、API。当组织将这些视为身份验证因素时，更容易想到保护数据和应用程序的方法。

企业架构师培训如何影响组织的多云安全方法?

Mulder：组织需要学习如何构建企业架构，因为多云安全不仅仅是技术问题。构建防火墙是一条安全的捷径，但安全性并非始于防火墙，而是始于治理。需要回答一系列问题，例如，谁有资格进入什么系统?需要在哪里保护系统，在什么级别进行保护?为什么?在进行治理之后，还要考虑数据，然后是应用程序，最后是技术。企业架构关注全局，并确定技术是否以及如何为组织增加价值。

组织可以在云计算环境中的任何部分构建更强大的虚拟防火墙，以确保安全，但是这样做可能会使它完全无法使用。组织必须在安全性和可用性之间保持平衡。

在多云环境中工作时，哪些非技术技能很重要?

Mulder：从治理的角度而言，耐心听取客户的意见很重要。需要了解信誉是组织与客户建立关系的原因，所以要自信但不要傲慢。需要能够冷静地解释事情，并随时准备采纳新的观点。

在编写《多云架构和治理》这本书的过程中，学到了什么令人感兴趣的事情?

Mulder：我使用和研究了三个主要云平台——AWS、Azure、GCP。有趣的是，各个云平台之间存在一些相似之处，也有一些方面完全不同的。在编写本书之前，我很了解AWS和Azure，但是谷歌云平台(GCP)对我来说是新事物。

打开谷歌云平台是从云计算控制台开始，而不是脚本或PowerShell开始。这很费时，但为了撰写这本书，我不得不从控制台执行所有操作。在起初，我觉得自己回到了10年前，当时采用Unix重新编程。但令我惊讶的是它的强大功能。我可以在谷歌云平台里做一些我从未想象过的事情，这对我来说是一个重大发现。

使用多云环境的安全架构师应该获得哪些认证?

Mulder：毫无疑问，开放组架构框架(TOGAF)应该是其中之一。建议安全架构师应该获得TOGAF认证以及安全认证。

如果组织正在进入云端，那么从哪里开始并不重要。可以从AZ-900：Azure基础知识或AWS基本认证开始。所有云采用框架都涵盖身份、安全性、成本管理和治理。无论对于AWS还是Azure或谷歌云平台，云计算基础课程的唯一区别在于技术。它们看起来可能有所不同，但是学习通用的公共云概念可以使组织在任何一个云计算环境中工作。