對(duì)于數(shù)據(jù)安全而言云平臺(tái)的責(zé)任有多大

（文章來源：機(jī)房360）

如今，幾乎每個(gè)可用的軟件平臺(tái)或應(yīng)用程序都具有某種云計(jì)算功能。他們可能將企業(yè)的數(shù)據(jù)托管在云中，使企業(yè)可以跨平臺(tái)訪問您的帳戶，或者允許在任何地方上傳和下載文件。這非常方便，并且是在工作場(chǎng)所提高生產(chǎn)力和溝通的重大突破，但同時(shí)也存在一些漏洞。一個(gè)安全漏洞可能使企業(yè)的數(shù)據(jù)可供惡意目的的人使用。

云安全是一個(gè)復(fù)雜的主題，包含許多不同的注意事項(xiàng)，包括保存數(shù)據(jù)的數(shù)據(jù)中心的物理完整性以及允許企業(yè)訪問它的軟件的編碼。值得信賴的云計(jì)算開發(fā)人員應(yīng)采取預(yù)防措施，并盡最大努力提高云安全性。但是，開發(fā)人員對(duì)確保系統(tǒng)完整性應(yīng)承擔(dān)的責(zé)任有多大？云平臺(tái)責(zé)任，存在許多潛在的漏洞點(diǎn)，這些漏洞可能會(huì)損害云計(jì)算帳戶的完整性。但是，并非所有的云計(jì)算開發(fā)者都可以控制它們。

讓我們從關(guān)注云計(jì)算開發(fā)人員和服務(wù)提供商可以切實(shí)控制的安全領(lǐng)域開始：物理數(shù)據(jù)存儲(chǔ)和完整性。大多數(shù)云平臺(tái)都依賴大規(guī)模、高度安全的數(shù)據(jù)中心，它們?cè)谄渲写鎯?chǔ)用戶數(shù)據(jù)并確保其安全。由于云平臺(tái)是唯一可以訪問這些數(shù)據(jù)中心的平臺(tái)，因此它們是負(fù)責(zé)確保其安全的平臺(tái)。這通常意味著要?jiǎng)?chuàng)建具有多個(gè)備份的冗余，并采取物理保護(hù)措施來防御攻擊和自然災(zāi)害。

軟件完整性。云平臺(tái)還負(fù)責(zé)確保軟件的結(jié)構(gòu)完整性。不應(yīng)存在任何編碼空白，以免有人強(qiáng)行進(jìn)入和/或操縱系統(tǒng)。API、通信和集成完整性。任何應(yīng)用程序中最大的潛在缺陷之一就是其與其他用戶和其他集成的連接點(diǎn)。如果該應(yīng)用允許消息交換，則應(yīng)使用端到端加密對(duì)其進(jìn)行保護(hù)。如果有任何活動(dòng)的API調(diào)用與其他應(yīng)用程序集成，則這些調(diào)用必須高度安全。

用戶控件和選項(xiàng)。對(duì)于云計(jì)算應(yīng)用程序來說，包括多個(gè)選項(xiàng)和功能以供用戶自己負(fù)責(zé)安全性也很重要。例如，這可能包括創(chuàng)建和管理具有不同管理權(quán)限的多種類型的用戶的能力。但是，在云計(jì)算提供商直接控制的范圍之外，還有其他一些漏洞。例如：網(wǎng)絡(luò)加密和安全性。如果最終用戶依賴公共網(wǎng)絡(luò)，或者沒有加密和強(qiáng)密碼保護(hù)的云平臺(tái)，那么云平臺(tái)將無能為力。這項(xiàng)責(zé)任完全落在最終用戶的身上。

硬件和端點(diǎn)安全性。盡管軟件開發(fā)過程要求開發(fā)人員對(duì)用于訪問其應(yīng)用程序的硬件有一定程度的了解，但他們對(duì)這些固有漏洞的了解有限。如果最終用戶使用過時(shí)的設(shè)備或存在重大安全漏洞的設(shè)備，那么云平臺(tái)也無能為力。

密碼和帳戶保護(hù)習(xí)慣。最終用戶的職責(zé)幾乎完全是創(chuàng)建強(qiáng)密碼并保護(hù)自己的帳戶。如果他們最終選擇了弱密碼，或者如果他們從不更改這些密碼，那么內(nèi)置的安全措施將無濟(jì)于事。如果它們屬于網(wǎng)絡(luò)釣魚方案，或者他們自愿將密碼提供給某人，則同樣如此。同樣，開發(fā)人員的最終用戶必須了解在線欺詐的本質(zhì)，但這通常超出了他們的控制范圍。

惡意軟件。將惡意軟件安裝在設(shè)備上后，它就可以訪問該設(shè)備上的其他所有內(nèi)容，包括能夠監(jiān)視在云計(jì)算應(yīng)用程序內(nèi)執(zhí)行的操作。除非云計(jì)算應(yīng)用程序故意掃描惡意軟件，否則它無法告訴已安裝惡意軟件。采取預(yù)防措施是最終用戶的責(zé)任，例如避免可疑的下載鏈接以及安裝防病毒軟件以運(yùn)行偶爾的掃描。

即使這些不是直接在云平臺(tái)提供商的控制范圍內(nèi)，云計(jì)算權(quán)威也可以采取一些措施來改善它們或減輕其潛在的漏洞。例如，云計(jì)算提供商不能保證良好的密碼創(chuàng)建和調(diào)整習(xí)慣，但是他們可以向用戶教育良好密碼習(xí)慣的重要性和/或強(qiáng)迫他們定期更新密碼?？傮w而言，云平臺(tái)應(yīng)遵循高安全性標(biāo)準(zhǔn)，但是其可控制的功能受到限制。各種形式的數(shù)字安全都需要團(tuán)隊(duì)的共同努力。
? ? ? ?