您当前的位置:   首页 > 新闻中心
云安全和分析:数据安全团队必上的4节课
发布时间:2020-12-10 10:45:27   阅读次数:

云安全和分析:数据安全团队必上的4节课(图1)

去年,一位精通云的黑客找到了一种绕过Web应用程序防火墙的方法,该防火墙保护了主要银行的信用卡应用程序。结果:攻击者收集了超过1亿个人的记录,该公司最终支付了8000万美元的罚款。 


该银行的云服务器配置错误,允许任何人访问其中存储的数据,并且未正确应用安全措施(如加密服务器上的信息)。


该事件突显出,鉴于他们正在生产、收集、处理或获利的数据量,每个公司如何成为数据公司。随着企业努力跟上数据爆炸的步伐,将应用程序和数据迁移到云中已成为其可伸缩性,按需配置,基于消耗的定价和高可用性的便捷选择。


根据Flexera的2020年云状态报告,到2020年,多云使用率和混合云策略分别达到93%和87%的历史新高。此外,如果没有至少一些云基础架构,那么任何规模的公司都不会考虑未来。


因此,保护网络外围尤其是网络外围的数据变得更加重要。公司需要对数据应用其他更好的安全措施,尤其是应用以数据为中心的保护,以防止折衷变成漏洞。


但是,与此同时,企业也不会失去使用和分析数据的能力。业务分析是数字化转型的关键部分,并且是敏捷地响应客户和市场的能力。对于那些为应对数据风险而苦苦挣扎的公司,结论是,尽管出于安全性考虑必须对数据进行去识别或去敏感化,但出于业务原因,需要通过保留数据的功能或分析价值以及参照完整性来实现安全性。


随着公司在COVID-19大流行期间和之后,加速迁移到云中以适应当前向远程工作人员的转移,找到一种安全使用云数据的方法变得更加重要。


这是处理云数据和业务分析的公司必上的4节课:


1.安全是您与云服务共同承担的责任

云的安全性与存储在云中的数据的安全性之间有一条细线。不要期望您的云提供商会保护您免受数据泄露的伤害。云提供商的安全责任终止于保持整体基础架构免受入侵和破坏的安全的地步。


IT领导者应验证云提供商所采取的保护措施。即使AWS表示默认情况下,该公司保护其存储桶,数据也不一定是永久加密的,并且肯定不是仅由您的企业可以访问或控制的密钥加密的。


最后,只需一个丢失的配置设置即可向知识渊博的黑客开放您的数据。在安全方面,公司应验证其配置文件并自动进行检查,以避免可能导致重大违规的简单错误。或者,甚至更好的是,他们应该应用最高级别的以数据为中心的安全性,以在静止,传输和使用中持久保护数据。


2.传统的安全控制在云中变得不再重要

许多公司最初通过“提升和转移”其服务器和应用程序而迁移到云中,并且同样相信其安全控制也可以被提升和转移。但是,尽管服务器在云中可以很好地代表虚拟机,但现代的云基础架构包括没有物理模拟的容器、API和无服务器功能。


因此,公司必须考虑可在所有这些不同类型的资产上使用的安全性,并且不应指望有灵丹妙药。尽管扫描漏洞,使用Web应用程序防火墙监视到云应用程序和基础结构的流量以及运行时应用程序自我保护(RASP)等对于检测和避免潜在的安全漏洞至关重要,但跨这些不同层仅需一次错过安全控制为坏演员打开了大门。


3.数据蔓延意味着外围安全控制通常会失败

冠状病毒大流行继续改变着人们的工作方式,有98%的公司有很多(30%+)的工人在家工作,而77%的公司有大多数(60%+)的工人至少在办公室外工作一天。根据普华永道会计师事务所的数据。因此,难怪数据泛滥已成为企业高管关注的主要问题。


超过四分之三的首席信息官担心远程工作和使用云会导致其公司失去对数据的控制。对于依赖基于外围控件的公司,这一统计数据应该令人恐惧。阻止数据蔓延意味着监视关键数据资产的使用并使用加密来保护数据,无论其位于何处。


4.使用加密和令牌化Tokenization)来保护数据并确保有用性

解决数据散乱、数据的云存储以及从任何地方对业务数据进行分析的需求的最佳方法是始终保护数据。公司不能依赖系统级加密控制,外围或访问控制。一旦访问受到威胁,并且绕过外围控件,数据就会越过外围,并且信息也不再受到保护。


取而代之的是使用保留功能或保留分析功能的行业标准加密技术,例如格式保留加密-包括AES-NIST SP800-38G的FFX模式。这使公司可以随时保护数据,但仍可以对信息执行一组特定的分析。搜索、分类、查询、报告和应用机器学习或人工智能是已加密的某些可能使用分析的数据。


面对数据隐私和主权法律法规日益增加的压力,随着企业迅速采用混合和多云策略,企业必须采用无状态且不可知于云的安全性。但是他们需要一种工具,该工具不会将它们锁定在特定的云提供商中,而是允许它们跨其他云或在本地迁移数据,并保持将数据保护在一个国家边界内的能力。


仍然存在巨大挑战

数据隐私和保护不是公司网络安全策略或程序的默认或副产品。企业需要认真对待数据安全并将其作为专用程序进行驱动,这需要足够的计划、资源和预算,以确保发现、分类、分析可量化风险、管理、取消标识、淘汰、跟踪和跟踪数据报告。


通过利用适当的以数据为中心的保护技术,您可以确保根据未经授权的访问锁定敏感数据,并同时确保该数据的价值得到了释放。企业应能够针对其业务案例与第三方合作伙伴和客户共享假名或匿名数据,并确保其数据保护软件独立于云提供商。对于使用多个云服务的公司而言,这尤其重要。


随着您的业务越来越依赖云,请确保您存储在云服务中的数据可用于业务分析,并且始终受到保护。


最适合的产品和方案

Thales CipherTrust数据安全平台集成了数据发现、分类、数据保护和空前的细颗粒度访问控制,所有这些都具有集中式密钥管理功能。该解决方案消除了数据安全性的复杂性,缩短了合规时间,并保护了云迁移,从而减少了用于数据安全性运营的资源,无处不在的合规控制,并显着降低了整个企业的风险。


CipherTrust数据安全平台包含了一系列产品,可从密钥生命周期的安全和管理为基础,实现密钥保护、数据发现和分类、数据透明加密、数据加密、签名验签、令牌化(Tokenization)、数据屏蔽数据库保护等功能。


联系揽阁信息,不仅可以获取产品的详细资料,还可以获得揽阁信息为您定制的解决方案与配套的专属服务。您可以在本文下方留下您的联系方式,我们的专业顾问会第一时间与您联系。




揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息,您可以获取到更多满足全球合规性要求的信息安全产品资料,以及相关的整体解决方案的相关资料。如:


您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问!


相关阅读

购买咨询电话
021-54410609