對(duì)于任何將工作負(fù)載和應(yīng)用程序遷移到云的組織而言，最重要的考慮因素之一就是確保其所基于的云計(jì)算基礎(chǔ)設(shè)施是安全的。

而對(duì)于許多組織而言，滿足某些合規(guī)標(biāo)準(zhǔn)的需求不僅是遵守行業(yè)最佳實(shí)踐的問(wèn)題，而且在特定情況下是法律要求的。處理敏感的個(gè)人、財(cái)務(wù)和健康數(shù)據(jù)的組織必須驗(yàn)證它們是否具有適當(dāng)?shù)目刂拼胧﹣?lái)保護(hù)該數(shù)據(jù)，無(wú)論該數(shù)據(jù)駐留在其自己的本地?cái)?shù)據(jù)中心中還是在云中，以及在傳輸過(guò)程中。

盡管從技術(shù)上講，可以在不合規(guī)的基礎(chǔ)設(shè)施之上構(gòu)建安全的應(yīng)用程序，但對(duì)于客戶而言，這樣做是不切實(shí)際的。因此，對(duì)于云基礎(chǔ)設(shè)施提供商而言，與其客戶一樣，標(biāo)準(zhǔn)合規(guī)性也是一個(gè)大問(wèn)題。實(shí)際上，對(duì)于大多數(shù)組織而言，遵守安全標(biāo)準(zhǔn)是云計(jì)算供應(yīng)商選擇過(guò)程中的必要先決條件。

符合標(biāo)準(zhǔn)

有許多合規(guī)標(biāo)準(zhǔn)，例如支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)（PCIDSS）、ISO/IEC27001：2013、HITRUST和SOC2。PCIDSS由支付卡行業(yè)定義，目的是確保信用卡信息安全。PCI需要采取措施，例如加密持卡人數(shù)據(jù)的傳輸并使用防火墻對(duì)其進(jìn)行保護(hù)。無(wú)論大小或處理量如何，任何傳輸、存儲(chǔ)、處理或接受信用卡數(shù)據(jù)的業(yè)務(wù)都必須遵守PCI標(biāo)準(zhǔn)。ISO27001是用于數(shù)據(jù)安全性的更通用的國(guó)際標(biāo)準(zhǔn)。HITRUST旨在確保組織可以根據(jù)HIPAA法規(guī)安全地處理醫(yī)療保健信息。對(duì)于所有云計(jì)算服務(wù)提供商而言，最常見(jiàn)的合規(guī)性標(biāo)準(zhǔn)也許就是SOC2。SOC2信任服務(wù)標(biāo)準(zhǔn)概述了一個(gè)控制要求框架，該要求可應(yīng)用于所有在云中存儲(chǔ)客戶數(shù)據(jù)的組織，包括所有SaaS和IaaS公司以及那些使用云存儲(chǔ)自己的客戶信息。

客戶應(yīng)期望其云基礎(chǔ)設(shè)施提供商將其年度SOC2Type2審核報(bào)告（應(yīng)由獨(dú)立的第三方審核公司準(zhǔn)備）供審核。SOC2Type2審核是對(duì)客戶數(shù)據(jù)安全性、可用性、機(jī)密性和隱私性控制措施的操作有效性進(jìn)行全面評(píng)估。他們?cè)趯?duì)云服務(wù)提供商進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)為客戶提供有價(jià)值的信息。SOC2審計(jì)報(bào)告可以向客戶保證，云基礎(chǔ)設(shè)施供應(yīng)商為關(guān)鍵業(yè)務(wù)應(yīng)用程序提供了安全并符合標(biāo)準(zhǔn)的基礎(chǔ)。

除了為云基礎(chǔ)設(shè)施提供商及其客戶提供有關(guān)安全控制實(shí)施的通用語(yǔ)言和理解之外，標(biāo)準(zhǔn)合規(guī)性還被視為組織內(nèi)部安全文化的指示。實(shí)際上，某些不需要遵循特定標(biāo)準(zhǔn)（例如PCI）的客戶可能仍會(huì)要求它（或?qū)崿F(xiàn)它的路線圖），因?yàn)樗f(shuō)明了基礎(chǔ)設(shè)施提供商的運(yùn)營(yíng)效率。

云安全方程式的另一個(gè)關(guān)鍵方面是了解共享責(zé)任模型。云基礎(chǔ)設(shè)施提供商通常會(huì)明確說(shuō)明他們負(fù)責(zé)總體安全框架的哪些方面以及客戶必須自己管理的那些方面。一般而言，基礎(chǔ)設(shè)施提供商負(fù)責(zé)保護(hù)基礎(chǔ)設(shè)施本身，包括構(gòu)成托管平臺(tái)的人員、硬件、軟件、網(wǎng)絡(luò)和物理設(shè)施。客戶通常負(fù)責(zé)保護(hù)自己的環(huán)境，包括來(lái)賓操作系統(tǒng)，應(yīng)用程序和數(shù)據(jù)。例如，基礎(chǔ)設(shè)施提供商通常將負(fù)責(zé)為托管云平臺(tái)的系統(tǒng)和應(yīng)用程序?qū)嵤┥矸莨芾恚淇蛻魧⒇?fù)責(zé)為其云環(huán)境中的系統(tǒng)和應(yīng)用程序?qū)嵤┥矸莨芾怼?duì)于客戶來(lái)說(shuō)，了解他們的責(zé)任從哪里開(kāi)始以及基礎(chǔ)設(shè)施提供商的終點(diǎn)是至關(guān)重要的，以防止任何可能導(dǎo)致漏洞的漏洞。

兼容的基礎(chǔ)設(shè)施使客戶更容易構(gòu)建符合相同標(biāo)準(zhǔn)的安全應(yīng)用程序。基礎(chǔ)設(shè)施提供商可以通過(guò)自己遵守法規(guī)來(lái)簡(jiǎn)化其法規(guī)遵從流程，這不僅使數(shù)字世界更加安全，而且還可以提供競(jìng)爭(zhēng)優(yōu)勢(shì)。

組織通常會(huì)花費(fèi)大量時(shí)間，精力和金錢來(lái)實(shí)現(xiàn)其自己的應(yīng)用程序，網(wǎng)絡(luò)和內(nèi)部部署基礎(chǔ)結(jié)構(gòu)中的標(biāo)準(zhǔn)合規(guī)性。對(duì)于從事特定行業(yè)（例如金融服務(wù)）的組織來(lái)說(shuō)，保持符合PCIDSS等標(biāo)準(zhǔn)的負(fù)擔(dān)甚至可能成為云遷移的障礙（以及性能，規(guī)模和業(yè)務(wù)敏捷性的相關(guān)優(yōu)勢(shì)）。通過(guò)提供標(biāo)準(zhǔn)合規(guī)性，云基礎(chǔ)設(shè)施提供商可以降低風(fēng)險(xiǎn)并簡(jiǎn)化客戶遷移到云的過(guò)程。
責(zé)任編輯：YYX