多云环境增加安全挑战

企业为什么要采用多云策略？因为多云策略也可以带来诸多好处。首先，多云策略可以让企业规避“供应商锁定”，无需依赖单一供应商满足其所有云需求。其次，多云策略使企业能够同时利用多家云服务供应商提供的优惠。最后，多云策略有助于企业抵御数据损失和/或系统宕机，因为一个环境中的问题未必会蔓延到另一个环境。

但多云策略不总是那么好部署的。因为要管理多个云环境，一些企业就难以维持监管标准合规了。而且，他们可能缺乏跨整个云基础设施管理漏洞的必要工具。

这一现实引发了几个问题。各团队怎样看待与多云环境相关联的安全挑战？企业如何解决这些因素？

越复杂，越棘手

为了回答这些问题，Tripwire委托 Dimensional Research对直接负责各自公司基础设施安全的314位安全人员进行了访问调查。他们的反馈有助于说明2021年企业环境的云安全状况。

首先，73%的受访者称，其雇主采用了多云环境。这些受访者提到了前文所述多云策略的所有益处。他们还提及多云环境在某些情况下十分符合自家业务需求。事实上，41%的受访者指出，不同团队、部门和业务线实现了针对不同供应商的标准化，企业必须采用多个云部署。与之类似，几乎相同比例的受访者（40%）表示，他们的一些应用确实需要特定供应商。

图：采用多家云提供商的各种原因

即便如此，98%的多云环境信息安全人员认为，多云策略给自家企业带来了额外的安全挑战。三分之二的受访者特别指出，不同环境需要不同的工具来进行安全管理。60%的受访者称，因为每个供应商都有自己的安全方法，他们必须了解多个协议集。  

Tripwire产品管理与策略副总裁Tim Erlin解释称，出现这样的调查结果毫不意外。

日益增长的业务需要管理更多的数据并具有更高的可达性，于是，大量企业纷纷向云端迁移。考虑到向云环境迁移所伴随的系统和威胁的日益复杂，以及每家提供商所独有的安全策略，企业觉得越来越难以保护边界安全也是情有可原的。

实践中这一困难表现为：

● 仅21%的受访者称其公司采用中央仪表盘获取多云账户安全态势和策略合规情况视图。

● 59%的受访者揭示，自家企业已建立公有云环境配置标准。员工规模1000人以下的中小企业中这一比例还更少些，为45%。

● 半数信息安全人员称，自己跨所有框架（但不是所有实例）使用最佳实践安全框架。仅38%表示二者均采用最佳事件安全框架。

企业如何解决这些安全挑战

被问及如何管理其多云环境时，很多受访者称，其企业的安全团队接受正式培训或在线认证。其他则表示在线自学。难怪只有9%的受访安全人员认为自家企业的内部团队是公有云安全“专家”。

图：仅9%的受访者认为其内部专业知识是“专家级”

不过，说到公有云安全，企业倒也无需培养自己的内部专业技能。Erlin阐述了个中原因：

对大多数安全人员而言，管理多云云环境是其日常工作中不太明确的新鲜部分。幸运的是，一些成熟的框架和解决方案可以帮助弥补差距，确保企业无需完全依赖云供应商来保护其环境安全。

以Tripwire的云网络安全解决方案为例。这些解决方案横跨企业的物理、虚拟和多云环境（81%的受访者认为理想的工具应该做到这一点）。采用这种统一的方法，Tripwire的解决方案可以维持所有网络资产（包括动态创建和销毁的云资源）的一致可见性。安全团队由而可以利用此可见性监视所有资产的安全配置，并管理可能影响其物理或云环境的漏洞。

Tripwire《保护公有云基础设施调查》：

https://www.tripwire.com/misc/securing-public-cloud-infrastructure-survey