盡管云存儲很方便，并且無論用戶使用什么設備都可以隨時隨地訪問數(shù)據(jù)，但云存儲的安全性都是組織非常關心的問題。

將數(shù)據(jù)存儲在云中意味著組織的機密文件和敏感數(shù)據(jù)面臨新的風險。存儲在云中的數(shù)據(jù)超出了用于保護組織數(shù)據(jù)中心中敏感數(shù)據(jù)的安全保護措施的限制。

因此在云存儲方面，除了Dropbox、AWS、微軟和谷歌等云存儲提供商提供的基本安全措施之外，組織還必須采取其他措施來保護云存儲數(shù)據(jù)的安全性。

保證云存儲安全是共同的責任

云存儲提供商和用戶共同負責云存儲安全。云存儲提供商保護用戶的數(shù)據(jù)免受入侵和數(shù)據(jù)竊取。組織應該采用更多的安全措施以加強云存儲中的數(shù)據(jù)保護，并限制對云中敏感信息的訪問。

如果組織的員工沒有采取必要的安全措施，云存儲提供商幾乎無法保護其敏感數(shù)據(jù)免受未經授權的訪問。因此，組織必須讓其員工了解組織的數(shù)據(jù)可能面臨泄露的潛在風險。

云存儲提供商向組織提供數(shù)據(jù)保護解決方案。這些解決方案為如何將數(shù)據(jù)移入和移出云平臺提供了完全的可見性和基于策略的控制。這種做法可以確保只有經過授權的數(shù)據(jù)才能對外輸出，并且只有得到執(zhí)行方的批準才能傳輸。

歸根結底，這取決于組織是否希望在云存儲提供商已經提供安全保護的基礎上對重要數(shù)據(jù)采用更可靠的防護措施。盡管如此，如果云存儲提供商沒有發(fā)現(xiàn)安全漏洞，組織需要采用更多的安全措施保證其數(shù)據(jù)安全。

選擇云存儲安全解決方案

在選擇云存儲安全解決方案時，組織應確保為與云存儲所有形式的數(shù)據(jù)交互提供連續(xù)的監(jiān)視和可見性。它應該提供對過濾到用戶代理和操作系統(tǒng)事件的文件移動的精細控制。

行業(yè)領先的云存儲提供商還將數(shù)據(jù)保護措施擴展到通過加密存儲的數(shù)據(jù)。加密的數(shù)據(jù)以密碼方式鎖定到私鑰，除非私鑰可用，否則無法解密。

數(shù)據(jù)加密的重要性

云存儲提供商不僅確保數(shù)據(jù)的完整性和可用性，還確保其機密性。也就是說，即使在網絡攻擊者獲得組織憑據(jù)的訪問權限的情況下，其數(shù)據(jù)仍然被加密，因此網絡攻擊者無法破解這些數(shù)據(jù)。網絡攻擊者也希望通過登錄這些憑據(jù)之一來獲取對組織數(shù)據(jù)的訪問權，或者想在暗網上出售這些數(shù)據(jù)，但加密方法使他們難以得逞，

數(shù)據(jù)加密使組織的數(shù)據(jù)無法讓沒有密鑰的人員破解，從而保護了數(shù)據(jù)的隱私，其加密的數(shù)據(jù)看起來像一長串隨機字符。

加密對數(shù)據(jù)的隱私至關重要，但它并不能解決所有的安全問題。最佳安全實踐采用多層方法。數(shù)據(jù)必須是端到端安全的，因此數(shù)據(jù)加密是用戶身份驗證、數(shù)據(jù)完整性、數(shù)字簽名和不可否認性的關鍵措施。

數(shù)據(jù)必須在傳輸和靜態(tài)存儲時加密。傳輸過程中的數(shù)據(jù)加密是保證雙方通信安全的基礎。靜態(tài)數(shù)據(jù)加密就是為了維護存儲數(shù)據(jù)的機密性。

安全性不再是一種奢侈品而是必需品，這不僅成為組織的首席信息安全官（CISO）關心的問題，也已經成為每位IT專業(yè)人員的責任。以下了解一下數(shù)據(jù)加密如何與云存儲提供商的安全措施相結合。

云中的數(shù)據(jù)加密

當人們談論如何將數(shù)據(jù)從內部部署數(shù)據(jù)中心存儲到云存儲庫（例如Amazon S3、Google Cloud Storage和Azure Blob Storage）時，必須了解他們只負責保護其云存儲基礎設施免受入侵和數(shù)據(jù)盜竊。主要的云存儲供應商采用的是企業(yè)級安全措施，因此實際上是很安全的。

偽裝成組織員工的網絡攻擊者仍然可以訪問組織的數(shù)據(jù)，對其進行解密并將其推送到他的服務器，而無需云存儲供應商提供任何標記。為了解決這個問題，云存儲供應商提供了一些工具來限制訪問，并監(jiān)視從組織的存儲帳戶中傳輸出來的數(shù)據(jù)。組織有責任使用大多數(shù)這些工具在細粒度級別保護數(shù)據(jù)的權限。

在本文中僅限于靜態(tài)數(shù)據(jù)加密。云計算服務提供商使用傳輸層安全（TLS）對傳輸中的數(shù)據(jù)進行加密。TLS是一個開放的協(xié)議，因此不同的云存儲提供商之間的差別不大。

對于靜態(tài)數(shù)據(jù)加密，每個云存儲提供商都有自己的加密方法，其中包括加密、私鑰管理和密碼登陸。總之，加密有兩個方面：服務器端和客戶端。

服務器端加密vs.客戶端加密

使用服務器端加密，只有在將數(shù)據(jù)傳輸?shù)浇邮照撸ㄔ谶@種情況下為對象存儲服務）之前，數(shù)據(jù)才會被加密。幸運的是，所有主要的云存儲提供商都提供服務器端加密服務，并在實現(xiàn)細節(jié)上有一些不同之處，特別是在私鑰存儲方面。

通過客戶端加密，數(shù)據(jù)在發(fā)送者端進行加密，然后再傳輸?shù)浇邮照撸ㄔ谶@種情況下也是對象存儲服務）。同樣，所有主要的云存儲提供商都允許客戶端加密，但有所不同。

云中數(shù)據(jù)加密的優(yōu)缺點

在當今世界，網絡攻擊和盜竊事件日益增多，數(shù)據(jù)加密至關重要。從安全的觀點來看，數(shù)據(jù)加密也至關重要。如果不希望自己的個人信息可供組織外部的任何人使用，則最佳方法是通過組織之間的端到端加密來保護數(shù)據(jù)。

此外，醫(yī)療和財務記錄等高風險數(shù)據(jù)必須始終加密，只有組織的授權人員才能訪問，

1.數(shù)據(jù)加密的優(yōu)點

（1）改善數(shù)據(jù)安全性

將數(shù)據(jù)從一個地方遷移到另一個地方時，將處于較高的風險中。那就是最需要加密的時候。加密既可以在傳輸層面工作，也可以在靜態(tài)層面上工作，從而降低了受到中間人攻擊的風險。

（2）保密性

保密性是數(shù)據(jù)加密用于鎖定人員的安全性，隱私和敏感信息的主要原因。與此同時，它提供了隱私保護，并降低了欺詐的機會。

（3）可靠性

數(shù)據(jù)加密可以保護數(shù)據(jù)資源，使其免受網絡攻擊者的侵害。盡管加密的數(shù)據(jù)不能完全抵御網絡欺詐和攻擊，但數(shù)據(jù)所有者可以隨時識別其數(shù)據(jù)中是否存在惡意事件，這為他們采取主要行動提供了更好的機會。

（4）合規(guī)性

加密是存儲和移動數(shù)據(jù)的最安全技術之一，因為它符合對組織強制的法規(guī)要求和限制，例如遵循FIPS、FISMA、HIPAA或PCI/DSS等法規(guī)。

2.數(shù)據(jù)加密的缺點

雖然云計算安全和數(shù)據(jù)加密已被證實是保護組織具有價值信息的最有效方法，但它們也有其局限性。

（1）繁瑣的數(shù)據(jù)恢復

數(shù)據(jù)加密是保護敏感數(shù)據(jù)的一種非常有效的方法。但是有時候由于受到數(shù)據(jù)訪問工具控制，組織在聲明自己擁有的數(shù)據(jù)時變得更加困難。

（2）安全漏洞

數(shù)據(jù)加密的一個主要障礙是，它僅對已經傳輸?shù)臄?shù)據(jù)提供部分安全性。

（3）數(shù)據(jù)傳輸費用

數(shù)據(jù)加密措施可能會變得很昂貴，因為它需要高度復雜的安全存儲系統(tǒng)來保存加密的數(shù)據(jù)。其系統(tǒng)還必須具有足夠的可擴展性以進行升級，從而增加了相關成本。

這些是數(shù)據(jù)加密的主要的優(yōu)點和缺點。組織是否希望使用云計算加密保護其業(yè)務數(shù)據(jù)完全取決于自己的判斷。盡管存在種種限制，但確實需要在云存儲中進行數(shù)據(jù)加密。

數(shù)據(jù)加密和公共云供應商

AWS S3、Microsoft Azure Blob Storage和Google Cloud Storage等主要云存儲提供商都采用一套通用的對稱和非對稱加密技術來保護數(shù)據(jù)和密鑰，并提供服務器端和客戶端加密。當采用現(xiàn)代公共云存儲解決方案中常見的對稱和非對稱加密技術時，AES-256和RSA將成主要的標準。

適合采用云存儲嗎？組織有什么選擇？

如果組織在不同的地點經營以數(shù)據(jù)為中心的業(yè)務，那么隨時隨地的可訪問性對組織而言比什么都重要。在這種情況下，將數(shù)據(jù)存儲在組織的內部部署存儲中是不可行的，必須選擇可靠的云存儲解決方案。

幸運的是，所有云計算供應商都提供了內置了頂級安全措施很好的選擇。他們采用業(yè)界標準的加密技術來保護客戶端和服務器端的數(shù)據(jù)。

對于云存儲解決方案中的數(shù)據(jù)安全性，漏洞和數(shù)據(jù)盜竊通常是管理組織的存儲帳戶的管理員的疏忽或不知道將解密數(shù)據(jù)發(fā)送給誰的員工的過錯。

通過強大的權限管理、監(jiān)視支持和訪問控制，組織可以通過限制對云存儲中敏感信息的訪問來避免這些風險。

AWS S3存儲桶使得使用AWS身份和訪問管理（IAM）進行訪問控制變得非常容易。使用AWS IAM，組織的管理員可以獨立管理用戶權限，并向組織員工授予Amazon S3存儲桶及其文件夾和文件的詳細權限。

Google Cloud IAM和Microsoft Azure IAM分別將相同的功能擴展到Azure Blob Storage和Google Cloud Storage。

亞馬遜公司的AWS S3和IAM在行業(yè)領域的應用時間更長，因此在可用的調整方面趨于成熟，從而為組織提供了無與倫比的方式來根據(jù)自己的安全策略自定義最佳設置。

如果組織已經訂閱了其他Microsoft Enterprise服務（例如Microsoft 365 Enterprise），則微軟公司的Azure Blob Storage也是一個明智的選擇。微軟公司提供的集成水平仍然是市場上其他云存儲解決方案無法比擬的。如果組織是一家中小型企業(yè)，那么Google Cloud Storage也是一個很好的選擇。
責編AJX