我們暫且不管這些董事屬于何方陣營(yíng)，我認為有一點(diǎn)非常重要，那就是一個(gè)企業(yè)的首席信息安全官 （CISO） 必須要參與到有關(guān)云安全的討論當中，只有這樣才能讓企業(yè)高層明白在安全方面不能只做“事后諸葛”，而是要居安思危，未雨綢繆。鑒于此，我向各位企業(yè)首席信息安全官提出如下四點(diǎn)建議：在與董事會(huì )討論云安全相關(guān)話(huà)題時(shí)，這些建議需要你們重點(diǎn)強調。
一、云也是一種風(fēng)險
談及云安全的重要性，只有強調它會(huì )給業(yè)務(wù)帶來(lái)風(fēng)險時(shí)，董事們才更容易有所觸動(dòng)。各位董事每天都在圍繞風(fēng)險做出決策，云只是所有風(fēng)險里的一種。在每一場(chǎng)有關(guān)云安全的談話(huà)中，董事會(huì )成員都應該先問(wèn)自己一個(gè)問(wèn)題，而這個(gè)問(wèn)題在任何一場(chǎng)有關(guān)風(fēng)險話(huà)題的談話(huà)中都有可能會(huì )提及，那就是：當我們把數據部署于云，如何做才能降低這些風(fēng)險帶給企業(yè)的實(shí)質(zhì)性影響？
任何一款云應用使用的數據都有所不同，這需要企業(yè)有針對性地進(jìn)行評估。例如，如果企業(yè)在云上存儲的是面向大眾的營(yíng)銷(xiāo)資料，資料泄露帶給業(yè)務(wù)的風(fēng)險就不是很高。但另外一方面，如果是某一新品的源代碼庫，那么泄露所帶來(lái)的風(fēng)險必定是貽害無(wú)窮。
二、公有云自帶的安全措施遠遠不夠
董事們應該掌握公有云自身以及如何確保公有云安全的最基本認識。幾乎所有云供應商都會(huì )在其平臺上內置某種形式的安全措施。此外，使用者往往都認定這些由供應商提供的安全措施足夠有效，但事實(shí)上卻遠非如此。在安全方面企業(yè)和公有云供應商應該有著(zhù)同等的責任：平臺基礎設施的安全應該由云供應商負責，而確保數據安全則是企業(yè)的責任。
現實(shí)情況是，云上存儲的數據與企業(yè)內部存儲的數據，在安全性方面毫無(wú)差異。因此說(shuō)，如果你需要部署額外安全措施來(lái)保護那些非云上存儲的數據，那對于云上存儲的數據就更需要采取措施來(lái)進(jìn)行保護。此外，你所部屬的安全措施要能夠與其他安全架構實(shí)現完全集成，并以高速自動(dòng)化的方式進(jìn)行協(xié)作。只有這樣，企業(yè)才有更大的機會(huì )防御網(wǎng)絡(luò )攻擊，保護數據免于外泄。
三、云安全并不另類(lèi)
云安全經(jīng)常被看作是“另類(lèi)”安全，需要另類(lèi)的方法來(lái)處理。每當聽(tīng)到有人如此表述的時(shí)候，我一般會(huì )問(wèn)同一個(gè)問(wèn)題給他們：這樣的話(huà)，用我們去管理網(wǎng)絡(luò )邊緣、數據中心和移動(dòng)設備安全的方式，來(lái)管理云服務(wù)安全，豈不更好？
董事們都應該支持在企業(yè)內實(shí)施始終如一的安全措施，這不但可行，而且也是在云、網(wǎng)絡(luò )和端點(diǎn)成功阻截網(wǎng)絡(luò )攻擊的唯一希望。首席信息安全官們知道對多重安全措施和產(chǎn)品進(jìn)行管理和編排，會(huì )使安全環(huán)境變得復雜，產(chǎn)生偏差和風(fēng)險的幾率大大增加，同時(shí)提高成本。強調那些風(fēng)險和潛在的花費是董事們欣賞并理解的行為，因此也會(huì )正確地區分優(yōu)先次序。
四、保護云安全也是防御哲學(xué)中的一部分
在網(wǎng)絡(luò )安全方面，我遇到的那些積極的董事都已經(jīng)開(kāi)始采用防御哲學(xué)來(lái)指導工作。這套哲學(xué)的基礎是對網(wǎng)絡(luò )實(shí)現一致的可視化和保護，無(wú)論是對數據中心、網(wǎng)絡(luò )邊緣、移動(dòng)設備亦或是云。在各位首席信息安全官的協(xié)助下，這些董事開(kāi)始明白：要想阻止悲劇發(fā)生，就應該將防御設定為主要目標，并成為在安全方面投資的決策基礎。對于那些希望能夠說(shuō)服董事會(huì )成員的首席信息安全官來(lái)說(shuō)，最重要的是要能夠向其展示一套完整的安全方案是如何實(shí)現包括云在內的各類(lèi)安全的，以及最終是如何消除業(yè)務(wù)風(fēng)險、阻截網(wǎng)絡(luò )攻擊的。
關(guān)于Palo Alto Networks
作為全球網(wǎng)絡(luò )安全領(lǐng)導企業(yè)，Palo Alto Networks一直以不斷挑戰網(wǎng)絡(luò )安全現狀而著(zhù)稱(chēng)。我們的使命就是通過(guò)有效防御網(wǎng)絡(luò )攻擊來(lái)保護數字時(shí)代的生活方式，我們有幸能夠參與其中，為成千上萬(wàn)家企業(yè)以及他們的客戶(hù)保駕護航。我們的獨具開(kāi)創(chuàng )性的Security Operating Platform，通過(guò)持續創(chuàng )新為客戶(hù)的數字化轉型戰略提供支持。Palo Alto Networks掌握安全、自動(dòng)化以及數據分析領(lǐng)域的最新技術(shù)突破。通過(guò)提供最真實(shí)的平臺，并聯(lián)合志同道合的變革企業(yè)，我們共同推動(dòng)生態(tài)系統的不斷成長(cháng)，并以此為基礎為業(yè)界提供卓有成效且獨具創(chuàng )新性的跨云端、網(wǎng)絡(luò )和移動(dòng)設備的網(wǎng)絡(luò )安全解決方案。
