11、云安全：从架构到运营的全面保障

云安全：从架构到运营的全面保障

1. 云安全要求概述

云安全要求主要涉及数据本地化和数据主权两个方面：
- 数据本地化 ：指在一个国家或司法管辖区内生成或收集的所有数据，都应存储在该区域内的存储设备上。
- 数据主权 ：涉及数据的物理存储位置，以及该位置适用的数据相关法律法规。

需要注意的是，实施这些云安全要求并不能保证整个云环境或应用程序完全免受恶意攻击。除了遵循云安全框架中的控制措施外，组织还应定期使用MITRE的ATT&CK®框架进行全面的威胁建模、进行渗透测试和补丁管理，以减轻已知的安全漏洞。

2. DevSecOps：开发、安全与运营的融合

DevSecOps将安全融入软件开发的每个阶段，它使应用程序和基础设施的安全成为开发、安全和IT运营团队的共同责任。这种方法通常借助自动化手段，加速开发周期，将安全任务贯穿整个生命周期，并提高云环境和应用程序的可靠性。

将安全集成到DevSecOps管道中，可在开发、运营和安全团队之间形成统一的文化，改善反馈循环，加快解决安全问题的周期，从而实现更好的协作、更高的安全性以及可重复、自动化且易于审计的配置。

3. 云环境的变更管理

在云环境中，严格的变更管理至关重要。每个对配置或文件的修改或建议都必须进行记录、审查和批准，这样可以为审计提供必要的文档，防止未经授权的更改，并提供用于监控和安全目的的审计日志。

核心规则是将几乎所有的工件、容器、文件、脚本、证书等都视为代码进行管理（除了机密信息和私钥）。这些内容应存储在项目仓库中