云上数据安全优秀实践，你学会了吗？

作者：肖力 翻译 2022-04-22 08:10:45

云计算

云原生 HSM 是设计有物理安全方面和符合政府法规的软件安全工具的硬件。物理安全方面可以包括防拾取锁或防篡改密封。

云上的数据安全最佳实践包括：了解和实施安全基础知识、遵守责任共担模型、数据加密以及遵守适用的法规。

数据安全的基本原理通常可以追溯到CIA三要素：数据机密性、数据完整性和数据可用性。

责任共担模型是指云供应商和使用云的组织都有责任确保组织云基础架构的整体安全性，包括存储在其中的数据。

数据加密是数据安全的基本要素，在云环境中尤为重要。云供应商可以提供高级加密工具以及用于加密密钥的安全存储模块。

最后，围绕数据安全，特别是数据隐私的法规也在不断发展。组织应建立系统，以确保其始终遵守任何相关法律法规。

CIA 三位一体和云中的数据安全

CIA 三要素是一组三个安全属性，可指导组织保护任何环境(包括云)。三位一体涵盖了安全性的基本方面，可以帮助组织理解和更好地实施安全工具。这三个属性是机密性、完整性和可用性。它有时被称为AIC，以免与美国情报机构混淆。主要的云供应商提供能够遵守三位一体的安全服务。

数据机密性是指私人数据保持私密状态，未经授权的实体不会看到这些数据。组织通常会使用加密来确保只有有权访问数据的授权实体才能看到它。

当组织知道数据没有被意外或恶意行为者操纵时，数据具有完整性。组织可以使用身份访问管理 (IAM) 工具仅允许授权实体访问数据。通过使用 IAM 工具，组织可以遵循最小特权原则，即员工仅拥有有效完成工作所需的云访问权限量。

可用性是指被授权实体可以访问数据的时间量。数据变得不可用的一种方式是当拒绝服务(DoS)攻击或网络中断导致云数据中心瘫痪时。拥有分散在地理位置上的数据备份可以提高数据可用性。当云供应商的云数据中心在地理位置上分散时，它被称为分布式云。

然而，在云计算中使用CIA三元组存在挑战。它是一种基本的安全方法，但不能涵盖所有现代安全威胁。例如，物联网(IoT)设备的激增对于CIA来说本身就是一个挑战。

许多物联网设备依赖于云，物联网设备通常没有足够频繁地修补，使用弱密码，并且很容易被损坏以用于僵尸网络中的DoS攻击。这些安全风险打开了一扇通往云的大门，并损害了完整性。

组织可能还必须进行权衡。例如，如果数据需要高度的机密性和完整性，则它可能必须具有较低的可用性。牺牲可用性可能意味着数据无法分布在多个数据中心。

组织缓解 IoT 设备风险的一种方法是实施一致的策略。由于跨云环境中策略实施的一致性，组织云环境中的弱点受到限制。这是因为拥有全面相同的安全策略可以减少云中可能被利用的弱点的可能性。

主要云供应商的安全技术

主要的云供应商非常重视其云数据中心的安全性。云供应商采取许多措施来为客户数据提供安全的环境。这些操作可能包括物理数据中心安全、安全软件、信任根硬件、彻底的数据擦除和硬件销毁。

但是，云供应商并不完全负责保护云和客户数据。 责任共担模型可能因云供应商而异，它描述了是供应商还是客户负责保护云的不同方面。根据组织使用的是在云中运行的软件即服务 (SaaS) 应用程序、平台即服务 (PaaS) 产品还是基础结构即服务 (IaaS) 产品，责任量存在差异。例如，以下是Microsoft Azure的共担责任模型：

来源：Microsoft Azure

组织可以利用的一些云安全服务包括：

• 数据备份
• 数据加密
• 防火墙
• 硬件安全模块 (HSM)
• 身份访问管理工具
• 监控软件

使用监控软件可以高度了解云基础架构，以便它可以检测何时发生安全漏洞。

云中的加密

数据加密和解密由加密密钥执行，无论它是否发生在云中。理想情况下，这些密钥使用的算法非常复杂且难以破解。主要云供应商(如AWS)使用的一种算法是256位高级加密标准(AES)。

为了保证加密数据的安全，加密和解密数据的加密密钥也必须安全存储。这就是AWS CloudHSM，Azure Key Vault或GCP的Cloud Key Management Service(KMS)等服务发挥作用的地方。

HSM 是设计有物理安全方面和符合政府法规的软件安全工具的硬件。物理安全方面可以包括防拾取锁或防篡改密封。软件安全方面可以包括基于身份的身份验证，其中检查用户身份以查看他们是否有权访问密钥。

法律法规

政府和行业都为云中的数据安全制定了标准和法规，包括 SOC 2、联邦信息处理标准 (FIPS) 140、支付卡行业数据安全标准 (PCI DSS) 以及健康保险流通与责任法案 (HIPAA)。

SOC 2是由美国注册会计师协会(AICPA)制定的标准。这是一项审核，用于审查客户数据的管理情况。审计的基础是五项原则，AICPA网站将其描述为“服务组织用于处理用户数据的系统的安全性和处理完整性以及这些系统处理的信息的机密性和隐私性”。

FIPS 140 专注于硬件和软件加密模块的测试要求。为了满足这些要求，加密模块(如 HSM)必须通过一系列测试，这些测试涵盖物理安全性、攻击缓解、身份验证和接口等方面。FIPS 140 有四个级别，尽管它们每个级别都适合特定的用例，并不一定等同于每个级别的安全性更高。

PCI DSS是由信用卡公司制定的行业标准。该标准建立了云提供商必须拥有的安全要求和行业工具的基线，以确保敏感信息的安全。

总结：云上数据安全关键要点

• 保护云中数据的最佳实践包括使用安全基础知识、保护云基础架构、加密数据以及遵守法规。
• CIA三要素可以被组织用作保护其云环境中数据的指南。
• 责任共担模型显示客户负责云安全的哪些部分。
• 为了加密数据，组织可以使用云供应商提供的安全服务。
• 组织应警惕适用于他们的法律和法规，以及这些法律和法规何时更改或被添加到其中。

原文链接：https://www.sdxcentral.com/security/definitions/data-security-in-the-cloud-best-practices/