瑞斯云：云风险评估——有了框架和标准更容易

企业之中，云风险评估经常会半途而废，但是如果有了标准或框架，这一流程将会得到简化。Expert Dave讨论了一些可行的选项。

随着企业不断向云中迁移的速度加快，你可能很自然地就会想到安全和合规团队将会对所使用的云服务提供商和云服务进行深入的风险评估。可悲的是，事实并不想像那样。

Tenable Network Security最近发布了“2017全球网络安全保证报告卡”发现，云风险评估在全世界范围内，被认为是最大的企业安全漏洞之一。该报告显示，60%的受访者有能力执行云风险评估，但这一数字从前一年开始下降。另外，许多人对于他们的风险评估能力，以及容器化和DevOps 环境并不自信，这两者在当今企业的许多云部署方案中都起着关键作用。

许多企业为风险评估而努力有几个原因。首先，云部署涉及的一些技术较新，且演进比较快，导致多数情况下的具体安全控制和风险参数无法确定。此外，云提供商在不断地更新和改变他们的环境和服务产品，使得风险评估的确保成为了一个移动的标靶。再加上变化的合规性和监管环境，致使执行云为核心的风险评估更加让人生畏。

云风险评估没有进行的另一个原因，有可能是由于云安全技能短缺，更有可能是缺乏足够的人力来完成工作。

云风险评估框架

幸运的是，有几个组织正在努力创建和发布云风险评估框架和标准，企业风险团队可以利用这些机制来帮助指导和执行自己的风险分析工作。

欧洲网络和信息安全局（ENISA）发布了一个合理的风险评估框架，可用于确定涉及云的风险。

ENISA发布了两个文档——一个是一般的云信息保证框架，所有组件都需要评估云基础架构的安全性； 第二份文件是框架补充指南，提供了总体风险评估纲要。ENISA文档提供了云计算风险的主要类别，包括人员安全、物理安全、操作、应用程序保证等等。

可以帮助组织从安全角度评估云供应商环境的另一个指南是，云安全联盟（CSA）共识评估计划调查问卷。这一指南涵盖了许多与ENISA相同的领域，但也符合CSA Cloud Controls Matrix，并且比ENISA文档更新更频繁。

最后一个文档，可能会在规划云风险评估时发现可以用的上，它是来自于“共享评估”的“云风险”指南，该指南提出了与云风险审查有关的一些建议，但不像ENISA或CSA那样提供了可用的框架。

无论以哪个框架组织为起点——并且审查和使用不止一个参考和建议将更有优势，而安全和风险团队需要增强和修改这些指南，从而来满足自己独特的需求。

此外，这些指南对于混合云架构的内部控制具有较少的规定；相反，它们主要侧重于云提供商内部和/或向租户提供的控制。

要确保强调了数据安全控制，如加密和密钥管理、基于角色的访问控制和多因素身份验证、数据生命周期控制和法律请求，以及合同中的数据泄露通知。

最重要的是，确保要有一个治理计划，有助于在安全团队和其他业务利益相关者之间进行有关云风险的有意义的对话。 管理人员应该对云部署、对企业的潜在影响以及他们可用选项存在的风险有很好的了解。开发一个记录良好且可重复的云风险评估流程是实现此目标的最佳途径。