云上的數(shù)據(jù)安全最佳實踐包括：了解和實施安全基礎(chǔ)知識、遵守責(zé)任共擔(dān)模型、數(shù)據(jù)加密以及遵守適用的法規(guī)。

數(shù)據(jù)安全的基本原理通常可以追溯到CIA三要素：數(shù)據(jù)機密性、數(shù)據(jù)完整性和數(shù)據(jù)可用性。

責(zé)任共擔(dān)模型是指云供應(yīng)商和使用云的組織都有責(zé)任確保組織云基礎(chǔ)架構(gòu)的整體安全性，包括存儲在其中的數(shù)據(jù)。

數(shù)據(jù)加密是數(shù)據(jù)安全的基本要素，在云環(huán)境中尤為重要。云供應(yīng)商可以提供高級加密工具以及用于加密密鑰的安全存儲模塊。

最后，圍繞數(shù)據(jù)安全，特別是數(shù)據(jù)隱私的法規(guī)也在不斷發(fā)展。組織應(yīng)建立系統(tǒng)，以確保其始終遵守任何相關(guān)法律法規(guī)。

CIA 三位一體和云中的數(shù)據(jù)安全

CIA 三要素是一組三個安全屬性，可指導(dǎo)組織保護任何環(huán)境(包括云)。三位一體涵蓋了安全性的基本方面，可以幫助組織理解和更好地實施安全工具。這三個屬性是機密性、完整性和可用性。它有時被稱為AIC，以免與美國情報機構(gòu)混淆。主要的云供應(yīng)商提供能夠遵守三位一體的安全服務(wù)。

數(shù)據(jù)機密性是指私人數(shù)據(jù)保持私密狀態(tài)，未經(jīng)授權(quán)的實體不會看到這些數(shù)據(jù)。組織通常會使用加密來確保只有有權(quán)訪問數(shù)據(jù)的授權(quán)實體才能看到它。

當組織知道數(shù)據(jù)沒有被意外或惡意行為者操縱時，數(shù)據(jù)具有完整性。組織可以使用身份訪問管理 (IAM) 工具僅允許授權(quán)實體訪問數(shù)據(jù)。通過使用 IAM 工具，組織可以遵循最小特權(quán)原則，即員工僅擁有有效完成工作所需的云訪問權(quán)限量。

可用性是指被授權(quán)實體可以訪問數(shù)據(jù)的時間量。數(shù)據(jù)變得不可用的一種方式是當拒絕服務(wù)(DoS)攻擊或網(wǎng)絡(luò)中斷導(dǎo)致云數(shù)據(jù)中心癱瘓時。擁有分散在地理位置上的數(shù)據(jù)備份可以提高數(shù)據(jù)可用性。當云供應(yīng)商的云數(shù)據(jù)中心在地理位置上分散時，它被稱為分布式云。

然而，在云計算中使用CIA三元組存在挑戰(zhàn)。它是一種基本的安全方法，但不能涵蓋所有現(xiàn)代安全威脅。例如，物聯(lián)網(wǎng)(IoT)設(shè)備的激增對于CIA來說本身就是一個挑戰(zhàn)。

許多物聯(lián)網(wǎng)設(shè)備依賴于云，物聯(lián)網(wǎng)設(shè)備通常沒有足夠頻繁地修補，使用弱密碼，并且很容易被損壞以用于僵尸網(wǎng)絡(luò)中的DoS攻擊。這些安全風(fēng)險打開了一扇通往云的大門，并損害了完整性。

組織可能還必須進行權(quán)衡。例如，如果數(shù)據(jù)需要高度的機密性和完整性，則它可能必須具有較低的可用性。犧牲可用性可能意味著數(shù)據(jù)無法分布在多個數(shù)據(jù)中心。

組織緩解 IoT 設(shè)備風(fēng)險的一種方法是實施一致的策略。由于跨云環(huán)境中策略實施的一致性，組織云環(huán)境中的弱點受到限制。這是因為擁有全面相同的安全策略可以減少云中可能被利用的弱點的可能性。

主要云供應(yīng)商的安全技術(shù)

主要的云供應(yīng)商非常重視其云數(shù)據(jù)中心的安全性。云供應(yīng)商采取許多措施來為客戶數(shù)據(jù)提供安全的環(huán)境。這些操作可能包括物理數(shù)據(jù)中心安全、安全軟件、信任根硬件、徹底的數(shù)據(jù)擦除和硬件銷毀。

但是，云供應(yīng)商并不完全負責(zé)保護云和客戶數(shù)據(jù)。 責(zé)任共擔(dān)模型可能因云供應(yīng)商而異，它描述了是供應(yīng)商還是客戶負責(zé)保護云的不同方面。根據(jù)組織使用的是在云中運行的軟件即服務(wù) (SaaS) 應(yīng)用程序、平臺即服務(wù) (PaaS) 產(chǎn)品還是基礎(chǔ)結(jié)構(gòu)即服務(wù) (IaaS) 產(chǎn)品，責(zé)任量存在差異。例如，以下是Microsoft Azure的共擔(dān)責(zé)任模型：

來源：Microsoft Azure

組織可以利用的一些云安全服務(wù)包括：

• 數(shù)據(jù)備份
• 數(shù)據(jù)加密
• 防火墻
• 硬件安全模塊 (HSM)
• 身份訪問管理工具
• 監(jiān)控軟件

使用監(jiān)控軟件可以高度了解云基礎(chǔ)架構(gòu)，以便它可以檢測何時發(fā)生安全漏洞。

云中的加密

數(shù)據(jù)加密和解密由加密密鑰執(zhí)行，無論它是否發(fā)生在云中。理想情況下，這些密鑰使用的算法非常復(fù)雜且難以破解。主要云供應(yīng)商(如AWS)使用的一種算法是256位高級加密標準(AES)。

為了保證加密數(shù)據(jù)的安全，加密和解密數(shù)據(jù)的加密密鑰也必須安全存儲。這就是AWS CloudHSM，Azure Key Vault或GCP的Cloud Key Management Service(KMS)等服務(wù)發(fā)揮作用的地方。

HSM 是設(shè)計有物理安全方面和符合政府法規(guī)的軟件安全工具的硬件。物理安全方面可以包括防拾取鎖或防篡改密封。軟件安全方面可以包括基于身份的身份驗證，其中檢查用戶身份以查看他們是否有權(quán)訪問密鑰。

法律法規(guī)

政府和行業(yè)都為云中的數(shù)據(jù)安全制定了標準和法規(guī)，包括 SOC 2、聯(lián)邦信息處理標準 (FIPS) 140、支付卡行業(yè)數(shù)據(jù)安全標準 (PCI DSS) 以及健康保險流通與責(zé)任法案 (HIPAA)。

SOC 2是由美國注冊會計師協(xié)會(AICPA)制定的標準。這是一項審核，用于審查客戶數(shù)據(jù)的管理情況。審計的基礎(chǔ)是五項原則，AICPA網(wǎng)站將其描述為“服務(wù)組織用于處理用戶數(shù)據(jù)的系統(tǒng)的安全性和處理完整性以及這些系統(tǒng)處理的信息的機密性和隱私性”。

FIPS 140 專注于硬件和軟件加密模塊的測試要求。為了滿足這些要求，加密模塊(如 HSM)必須通過一系列測試，這些測試涵蓋物理安全性、攻擊緩解、身份驗證和接口等方面。FIPS 140 有四個級別，盡管它們每個級別都適合特定的用例，并不一定等同于每個級別的安全性更高。

PCI DSS是由信用卡公司制定的行業(yè)標準。該標準建立了云提供商必須擁有的安全要求和行業(yè)工具的基線，以確保敏感信息的安全。

總結(jié)：云上數(shù)據(jù)安全關(guān)鍵要點

• 保護云中數(shù)據(jù)的最佳實踐包括使用安全基礎(chǔ)知識、保護云基礎(chǔ)架構(gòu)、加密數(shù)據(jù)以及遵守法規(guī)。
• CIA三要素可以被組織用作保護其云環(huán)境中數(shù)據(jù)的指南。
• 責(zé)任共擔(dān)模型顯示客戶負責(zé)云安全的哪些部分。
• 為了加密數(shù)據(jù)，組織可以使用云供應(yīng)商提供的安全服務(wù)。
• 組織應(yīng)警惕適用于他們的法律和法規(guī)，以及這些法律和法規(guī)何時更改或被添加到其中。

原文鏈接：https://www.sdxcentral.com/security/definitions/data-security-in-the-cloud-best-practices/