曾任美國國土安全部和美國國稅局首席信息官，現(xiàn)任Learning Tree International公司首席執(zhí)行官的Richard A.Spires對云計算技術(shù)和SaaS安全進(jìn)行了分析和闡述。
他表示，采用云計算有很多好處，既有通過基礎(chǔ)設(shè)施即服務(wù)(IaaS)和平臺即服務(wù)(PaaS)交付模型實現(xiàn)按需計算的優(yōu)勢，也包括使用軟件即服務(wù)(SaaS)應(yīng)用程序的好處。特別是，基于SaaS的應(yīng)用程序正日益成為企業(yè)快速便捷地采用新應(yīng)用程序的方式。這推動了巨大的市場增長，而在美國上市的SaaS初創(chuàng)企業(yè)如今有11000家以上，而根據(jù)調(diào)研機(jī)構(gòu)IDC公司的分析，到2019年，全球基于SaaS的市場規(guī)模超過1120億美元。
IT組織需要開發(fā)一種全面的方法來解決依賴第三方計算和應(yīng)用程序帶來的安全挑戰(zhàn)
盡管云計算和SaaS業(yè)務(wù)模型可以使IT組織降低基礎(chǔ)設(shè)施成本并提高支持客戶的敏捷性，但同時也增加了處理IT安全性的復(fù)雜性。IT組織不僅在某種程度上放棄了對某些IT基礎(chǔ)設(shè)施的控制和可視性，在某種程度上利用了基于SaaS的應(yīng)用程序，而且還讓第三方存儲和控制敏感數(shù)據(jù)。不久前，IT安全人員還致力于保護(hù)組織的IT外圍環(huán)境。隨著出現(xiàn)新的計算和服務(wù)模型，人們不得不承認(rèn)傳統(tǒng)的外圍設(shè)備已經(jīng)不復(fù)存在。
A.Spires認(rèn)為，SaaS安全性是雙重挑戰(zhàn)。首先，對于第三方云計算服務(wù)提供商的使用(包括更傳統(tǒng)的外包數(shù)據(jù)中心服務(wù))，組織需要對這些提供商正在實施適當(dāng)?shù)陌踩刂拼胧┚哂行判?，這些控制應(yīng)該與(或至少類似)他們將在其自己的數(shù)據(jù)中心和網(wǎng)絡(luò)中實施的內(nèi)容相匹配。這些控制范圍從人員的物理訪問到包括系統(tǒng)管理訪問的身份管理和適當(dāng)?shù)木W(wǎng)絡(luò)加密。一些非營利組織一直在努力使這一行業(yè)的控制標(biāo)準(zhǔn)化。值得注意的是，云安全聯(lián)盟(CSA)已經(jīng)開發(fā)了云計算控制矩陣(CCM)，這是一個專門為云計算設(shè)計的安全控制框架。利用云計算控制矩陣(CCM)，云安全聯(lián)盟(CSA)為云計算服務(wù)提供商開發(fā)了一個審計、認(rèn)證和注冊程序，稱之為安全、信任和保證注冊(STAR)。美國聯(lián)邦政府也開發(fā)了類似的模型FedRAMP，這是一種云計算服務(wù)提供商滿足NIST 800-53安全控制套件定義的三個不同級別的最低安全控制要求的方法。
但是，即使IT安全主管對底層云計算服務(wù)提供商的控制套件具有信心，那么對于使用SaaS應(yīng)用程序的組織又將如何呢?在這種情況下，敏感數(shù)據(jù)很可能將由第三方存儲和控制，并由組織的客戶或合作伙伴使用，從而使數(shù)據(jù)永遠(yuǎn)不會與組織的網(wǎng)絡(luò)、防火墻或任何其他安全設(shè)備或過程控制接觸。這對于首席信息官或首席信息安全官(CISO)來說，這種情況令人擔(dān)憂，因為SaaS應(yīng)用程序?qū)?yīng)用程序及其數(shù)據(jù)的安全性幾乎沒有可見性和控制力。因此，第二個挑戰(zhàn)是如何將組織的安全策略和控制擴(kuò)展到公共云和SaaS應(yīng)用程序。
這一挑戰(zhàn)已經(jīng)產(chǎn)生了所謂的云訪問安全代理(CASB)，這些產(chǎn)品充當(dāng)位于企業(yè)內(nèi)部或云中的安全實施點，并且在邏輯上存在于組織和云計算服務(wù)提供商之間以提供一系列服務(wù)包括身份認(rèn)證和授權(quán)、設(shè)備配置文件、應(yīng)用程序白名單、加密、警報、惡意軟件檢測等。CASB市場中的一些行業(yè)領(lǐng)先供應(yīng)商包括Bitglass、Forcepoint、Cloudlock /Cisco和Skyhigh Networks。CASB解決方案的使用正在快速增長，根據(jù)調(diào)研機(jī)構(gòu)Gartner公司的調(diào)查報告，到2020年，將有85%的大型組織使用CASB解決方案，而2015年這一比例還不到5%。
從積極的方面來看，CASB供應(yīng)商具有強(qiáng)大的功能，正在填補(bǔ)市場空白。但是A.Spires表示，他對如何通過繼續(xù)添加工具，然后在內(nèi)部進(jìn)行集成以解決企業(yè)IT安全性挑戰(zhàn)感到困惑。他很少看到這種策略能很好地實施。因此支持以下觀點：應(yīng)對企業(yè)IT安全挑戰(zhàn)的最佳方法是使用IT安全平臺，該平臺可提供一系列功能來幫助企業(yè)發(fā)現(xiàn)漏洞。在這個市場上，Palo Alto Networks、思科和Check Point Software公司提供了集成的平臺解決方案。
作為平臺價值的一個示例，Palo Alto Networks公司最近將其平臺功能擴(kuò)展到了云計算 解決方案和SaaS應(yīng)用程序中。尤其吸引人(并且在操作上很有吸引力)的是，組織可以為一種數(shù)據(jù)類型設(shè)置安全控制(例如根據(jù)數(shù)據(jù)的敏感性來定制控制)，而Palo Alto Networks公司的技術(shù)使用戶能夠在其整個平臺上實施這些策略。無論其數(shù)據(jù)駐留在用戶自己的數(shù)據(jù)中心，外包數(shù)據(jù)中心還是公共云中的SaaS應(yīng)用程序中。這極大地簡化了其組織中安全策略的管理，并提供了高級威脅防護(hù)。此外，網(wǎng)絡(luò)攻擊者使用的越來越多的利用之一旨在通過基于SaaS的應(yīng)用程序通過惡意軟件感染用戶，因為網(wǎng)絡(luò)攻擊者知道大多數(shù)組織都無法像使用內(nèi)部基于應(yīng)用程序的方式來監(jiān)視這些SaaS應(yīng)用程序。這些平臺的關(guān)鍵組成部分包括能夠?qū)⑼{檢測和防御功能引入IT基礎(chǔ)設(shè)施和應(yīng)用程序的各個方面，包括那些駐留在云中的應(yīng)用程序。
基于SaaS的應(yīng)用程序的使用正成為組織快速交付新功能的首選方法。其需求來自業(yè)務(wù)用戶，因此IT組織必須接受并規(guī)劃SaaS的數(shù)量和用途的持續(xù)擴(kuò)展。因此，即使用戶數(shù)據(jù)不會在組織的網(wǎng)絡(luò)或數(shù)據(jù)中心處理或存儲，IT組織也需要開發(fā)一種全面的方法來應(yīng)對依賴于第三方計算和應(yīng)用程序帶來的安全挑戰(zhàn)。
