云安全 化担忧为行动.pptVIP

共享技术潜在风险 不安全的API 未知风险预测 当今重要的云安全问题 重要威胁 恶意使用 数据丢失/数据泄漏 恶意内部人员 账目服务或流量劫持 共享技术潜在威胁 不安全的API 未知风险预测 更新信息 信任：缺少供应商透明度，影响管治、风险管理和符合性 数据：泄漏、丢失或存储在不利地域 不安全云软件 云服务的恶意使用 账目/服务劫持 恶意内部人员 特定云攻击 未来的主要问题 全球范围内不兼容的法律和政策 非标准私有云和公有云 缺少持续性风险管理和符合性监控 不完整的身份管理 对安全事件的杂乱回应 关于云安全联盟 全球性非盈利组织 超过17,000名个人用户，90个企业用户 打造最佳实践和一个值得信任的云生态系统 灵活的理念，应用研究的快速发展 GRC：与风险管理同步 参考模型：使用现有标准创建 身份：云经济运行的关键基础 一流的互用性 提倡审慎的公共政策 “推进使用最佳实践以提供云计算的安全保证，对云计算使用进行培训，帮助保护所有其他形式的计算。” CSA的相关研究 CSA指导研究 指导 100k下载：/guidance 治理和企业风险管理 法律和电子发现 符合性和审计 信息生命周期管理 可移植性和互用性 安全、商务、控制和运作复原 数据中心运营 事件反应、通知和整治 应用程序安全 加密和密钥管理 身份和访问管理 虚拟化 云结构 云运行 云治理 保护云计算的流行的最佳实践 2009年12月发布的V2.1 计划于2011年第三季发布V3 /guidance 请搜索 云安全指南 样本指导- 治理 保证云安全性的最佳机会是在采购前——合同、SLA（服务等级协议）、结构 了解供应商的第三方，BCM/DR、财政可行性和员工审查 如可能，确认数据位置 计划供应商终端和资产收益 如可能，保留审计权利 将供应商节省开支重新投入尽职调查 样本指导- 运行 如可能，对数据进行加密，云供应商提供单独的密钥管理 改写安全软件开发生命周期 了解供应商的修正、供应与保护 记录、数据渗漏、精细客户分离 强化的虚拟机形象 评估供应商IdM整合，例如SAML、OpenID 云控制矩阵工具 通过指导进行控制 定等级应符合S-P-I的要求 客户vs供应商作用 映射为ISO 27001、COBIT、PCI、HIPAA 帮助IT和IT审计员连接“云空隙” 一致性评估倡议 提供研究工具和流程，进行云供应商共用评估 轻质“通用标准”概念 与控制矩阵相整合 2010年发布第1版本的CAI调查问卷，提出了约140个供应商问题以确认现在的安全控制或实践情况 ——用于评估现在的云供应商 云审计 开放标准和API，自动生成安全断言 将数据采集改为数据分析 按照云供应商的规模要求提供审计和保证 将云控制矩阵用作控制命名空间 用于持续性云监控下的云指导 A6：自动审计、断言、评估和保证API CSA和GRC栈 一套工具、最佳实践和适用技术 综合行业研究并简化云中的GRC 适用于云供应商、企业、解决方案供应商和审计/符合性 控制架构、调查问卷和持续性控制监控自动化 /grcstack 控制要求 供应商断言 私有和公有云 一致性评估倡议 云控制矩阵 Copyright ? 2010 Cloud Security Alliance Copyright ? 2010 Cloud Security Alliance Cloud computing is one of the most significant trends in the history of technology. It may be overhyped today, but it is likely underhyped in the future. Turning computing into a pay as you go utility allows a user to align costs with usage, and this will cause all businesses to rethink how they will invest in the development of new products. It is not about saving money as much as it is being agile, and much, much faster. * 我们认为云是在大型机和客户服务器之后的第三代计算形式。它代表了网络的成熟。我们非常需要对云作出一个普遍定义。CSA指出了云的重要促进者： 摩尔定律大大降低了原始的MIPS和存储成本 宽带连接确保了数据移动的灵活性以及在其它位置的适用性 SOA（服务导向架构）简单的整合了多个软件应用程序 大型网络公司处理数以百万