加强云计算安全

关于云的考虑因素

在采用任何新技术时，必须判断它仅仅是时髦，还是确实能够满足自己的业务需要。与自己拥有计算资源相比，云计算在硬件和软件许可证两方面都可能大大节省资金。但是，仅仅是省钱不一定意味着它满足您的业务需求。具体来说，您必须研究这种技术和提供商，确保它们可以满足组织的安全策略需求、法律需求（比如在诉讼期间披露信息等问题）以及与组织相关的所有法律法规的要求。

云计算是否满足您的业务需求在很大程度上取决于在云中存储、操作或共享的数据的类型。

如果您正在考虑使用云来管理敏感信息，包括个人识别信息 (PII)、HIPAA 或 Payment Card Industry (PCI) 数据或者高度机密或对于组织有价值的任何数据，就要研究与此类数据相关的安全策略。例如，如果要存储信用卡号，安全策略会反映 PCI 需求，持卡人数据在通过公共网络传输时或静止存储（比如存储在文件或电子表格中）时必须加密。如果打算向云发送 PCI 或需要加密的任何其他数据，就要询问提供商是否可以满足加密需求。另外，不要忘了加密密钥管理需求。还要确保可以在这些对象上设置访问控制，而且在默认情况下设置为拒绝访问。

应该询问提供商的安全实践。我会问下面这些问题：

管理员（根用户）是否只能访问工作需要的数据？

管理员是通过加密的会话访问服务器吗？

补丁管理战略是什么？

是否运行杀毒和恶意软件保护软件？

服务器的配置符合 PCI、HIPAA、Sarbanes-Oxley 或您必须满足的其他法律法规的要求吗？