云安全

云安全计划会监控云中的所有活动，并建立完善计划以在发生数据泄露时快速做出反应。总体上，云安全有四大目标：保护、检测、控制和恢复。

为完成这四个目标，企业需在此后混合部署始终有效的策略、工具和控制措施。

策略：企业应将安全性嵌入任何产品或服务的开发流程。这意味着，与其依赖独立的安全验证团队，不如制定一项策略，规定打造新产品/服务的业务部门应纳入 DevOps 和 DevSecOps。该策略要求各部门和员工参与资产识别、分类，责任制也有助于建立意识和保护。

妥善配置：IT 部门需要配置云资产，以将数据与操作分开、自动识别及仅批准需要完成工作之人员和系统的访问请求。

集中管理：许多组织实施了不同的云解决方案，而不同提供商也会提供他们自己的管理工具。统一跨所有服务和提供商的云安全，让 IT 能够从一个位置了解每一个访问点，因而能够更轻松地监控和检测威胁。

持续监控：IT 可通过现成的工具，了解用户正在访问哪些云计算平台和服务，以及哪些活动会让组织陷入风险之中。此外，这类工具能够确保全天候满足所有安全和合规要求。对所用应用和设备的常规审核，以及对风险的评估也将不间断进行。

数据保护：企业应用多种策略来防止数据丢失和/或泄漏。这些策略包括 VPN、加密、掩码（加密可识别身份的信息）以及传输层安全性 (TLS)，以防止窃听以及消息篡改。

维护：维持冗余以及存储在其他位置的完整数据备份十分关键，许多服务提供商将这些功能捆绑到其订阅中。此外，通常由服务提供商负责跟上更新和安全修补程序软件的步伐，但内部 IT 需要负责修补其自己的服务。

DDoS 攻击

创纪录的分布式拒绝服务 (DDOS) 攻击量让参与云的各方（包括提供商和订阅者）难以招架。面对速度和敏捷性要求不断提高带来的负担，必须由组织和提供商共同解决。

集成

为降低敏感信息流向云服务及通过云服务流出的风险，将现场数据流失预防与云提供商集成势在必行。将数据上传到云之前，IT 应当执行手动或自动数据分类，在内部维持用户授权控制。

内部威胁

有时威胁来自内部用户的刻意或意外之举。IT 应采用三管齐下的方法来缓解这种风险：

• 敏感数据只可供托管设备访问
• 将行为分析用于监控活动
• 经常训练用户