2020年之后, 大多数组织可能正在从数字化转型转向数字化加速. 在短短几周内, 世界见证了前所未有的数字技术的采用，这将在未来几年影响消费者行为和商业运作. 希望您的组织已经在采用云作为其数字加速战略的一部分的道路上走得很好, 但是不管你的组织在这个过程中处于哪个阶段, 安全专业人员负责帮助他们的组织安全地采用云. 做得正确, 安全不仅仅是业务的推动者, 但也可以利用云来增强组织的安全态势. 在您开始使用之前，让我们来探讨一些重要的注意事项, 加上一些云功能，可以帮助安全专业人员晚上睡得更好.
合同 & 尽职调查: 您的组织在云中的足迹可能比它意识到的要多. 你现有的供应商中有多少已经在AWS或微软Azure上托管了他们的应用程序? 可能有很多, 也许在组织内部没有广泛意识到的情况下，多年来发生了云蠕变. 仍然, 如果你打算实现从本地数据中心到Azure的飞跃, 或者将一些应用程序迁移到Microsoft 365, 你会 我想尽职调查一下. 不要以为把你的东西托管在AWS或微软上就默认安全了. 花时间预先进行适当的风险评估，并确保您可以描述自己与云提供商的责任. 一些组织仍然将遵从性视为进入云计算的障碍, 这可能会导致文化厌恶. 然而, 在现实中, 大多数云计算提供商实际上可以通过勾选几个复选框并为您承担一些负担来帮助您实现合规性.
无论你可以把什么责任卸给云提供商, 您的组织最终将对其数据负责. 确保您知道存储了哪些数据，托管在哪里，以及如何保护这些数据. 无论您的安全要求如何, 确保它们被包含或协商到适用的msa和sla中. 如果你希望在一定时间内收到违规通知，请确保以书面形式通知. So, 太, 您将需要确保在发生违约或服务中断时明确规定货币责任. 即使大型供应商一开始可能不愿在他们的条款上让步, 不要害怕反对和争取对你的组织特别重要的条款. 在合同签订之前利用好你的影响力, 以后也别指望会有什么让步.
援助 & 培训: 寻找一个经验丰富的合作伙伴，对云安全了如指掌，可以帮助您避免在此过程中犯严重的错误，这并不可耻. 大多数IT部门都非常有才华和能力, 但是不要低估传统网络管理思维和云管理之间的差异. 云中的错误配置仍然是最大的威胁和最大的妥协途径. 合作伙伴可以提供实际操作, “随学随用”培训确保您的团队了解如何使用, 什么, 为什么每个决定的背后. 渐渐地，你的员工会有信心在未来的交接中掌权. 当你评估潜在的合作伙伴时, 不要忽视找一个了解你所在行业并有相关经验的合作伙伴的好处. 和懂你的人打交道总是比较容易, 与采取一刀切方法的合作伙伴相反.
最后, 考虑为您的员工投资正式的云培训，这些培训可能是特定于供应商的，也可能是与供应商无关的. 例如, 有些培训可能非常专门于管理特定的云应用程序或平台, 而其他程序则教授通常适用于所有环境的云安全原则. 相对于迁移到云端的花费而言, 培训费用相当适中. 你的员工装备越多，他们管理和管理的工作就越好 保护您的环境所以要确保他们获得成功所需的工具和培训.
编制 & 自动化: 不要忽视为限制信息孤岛而编排安全工具的策略. 例如, 您可能正在使用内部部署的SIEM解决方案，并希望将来自云提供商的事件/日志提供给中央窗格. 云提供商是否支持日志聚合, 或者是否存在一些限制或障碍，可能会降低您的可见性或关联活动的能力? 安全团队有足够多的事情要担心，而不会无意中造成更多的工作. 类似地，您可能希望将其他现有的安全工具扩展到云中. 您需要考虑它们是否兼容，并考虑扩展这些解决方案可能产生的任何额外成本.
只要有可能, 尝试自动收集, 检查, 识别和响应真正重要的事件. 一开始你可能会遇到一些困难, 也许是阻止一些合法的人或事, 但不要让它阻碍你尝试利用自动化. 每个工具都只是一个工具，需要一些经验和调整才能正确使用. 通常, 您可以在开始时以被动模式运行大多数工具，以便在切换开关之前有时间进行学习和调优. 这种方法可以减轻对业务流程造成撤销中断的影响.
控制 & 功能: 云计算提供商敏锐地意识到，对他们和将系统和数据委托给云计算的组织来说，什么是利害攸关的. 这是一件好事，因为云提供商正在投入大量资金来创新下一代安全工具，并将更多的机器学习和人工智能纳入检测恶意活动. 像MFA这样的东西应该是给定的, 记住，这是关于分层安全，而不是把所有的鸡蛋放在一个篮子里. 例如, 云提供商可能会提供根据需要提升管理帐户的机制，而不是始终启用的方法. Or, 云提供商可能会提供工具，根据不正常的行为自动检测有风险的账户. 一些云计算提供商也在越来越容易地查明云计算安全中的漏洞，并消除猜测. 例如, Microsoft Secure Score为IT和安全人员提供了一个有用的仪表板，可以快速发现他们可以做出的最有效的更改，以改善他们的安全状况, 采取优先处理的方法.
当然, 没有提到零信任的文章是不完整的, 2021年最新的安全流行语. 要开玩笑, 随着网络边界扩展到云端，零信任原则将变得越来越重要, 随着越来越多的用户在家工作，越来越多的联网设备. 其理念是，凭据本身永远不能很好地指示某人的真实身份，并且应该对访问进行限制，以满足符合组织策略的一组更健壮的标准. 在这个领域，云提供商可以帮助组织快速实现零信任的快速成功, 使用微软的条件访问等工具.
总之, 对于任何想要在数字加速时代竞争的组织来说，云都是必不可少的. 无论你是在考虑一个全包的云战略, 或者一些混合方法, 您将获得大量的敏捷性，并为组织引入新的改变游戏规则的数字功能. 当然, 转弯时加速过快会导致灾难性的后果, 因此，重要的是偶尔给刹车，以确保你花时间进行必要的尽职调查和计划. 如果你加速到云端, 负责任的, 您可以通过业务支持和增强的安全性实现双赢.
编者按: 云审计可以提供对云服务类型和部署策略的全面了解，这对您的业务最有利. 了解更多有关新消息 云审计知识证书(CCAK)，来自ISACA和云安全联盟.
