14、云平台与基础设施安全：风险评估与应对策略

云平台与基础设施安全：风险评估与应对策略

1. 云环境风险评估与分析

在考虑采用云服务时，对云服务提供商（CSP）或云解决方案进行风险评估和分析至关重要。这一过程涉及多个部门，包括业务部门、供应商管理、隐私和信息安全部门。云解决方案带来的新风险主要与隐私和信息安全相关。以下是进行风险评估时需要关注的几个关键问题：
- 认证问题 ：云解决方案是提供认证服务，还是由客户进行认证？如果使用云解决方案的认证，云提供商的认证安全性未知。由于用户倾向于重复使用密码，云服务认证服务器的漏洞可能导致本地系统被攻击。如果客户提供自己的身份与访问管理（IAM）系统，可以通过软件即服务（SaaS）IAM解决方案，或与本地IAM管理器联合实现。每种解决方案都有优缺点，无论哪种情况，用户教育都是云IAM策略的重要组成部分。
- 数据安全 ：供应商如何加密静态数据非常重要。此外，还需要调查数据在供应商与客户之间以及供应商与第三方服务之间的传输方法。即使数据存储在供应商的系统中，客户仍对数据负责。
- 供应商政策和流程 ：评估供应商的政策和流程带来的风险，包括隐私政策、事件响应流程、Cookie政策、信息安全政策等。此时不仅要评估组织自身的政策，还要评估合作伙伴的政策。
- 事件响应支持 ：对于一些关键系统，评估事件响应支持很重要，包括日志记录支持、供应商的漏洞扫描、应用程序漏洞扫描以及对供应商的外部评估。

许多提供服务的供应商会有SOC - 2或SOC - 3报告，首选的是SOC - 2 Type - 2报告。获取该报告通常需要签署保密协