（文章來源：機(jī)房360）

如今，幾乎每個可用的軟件平臺或應(yīng)用程序都具有某種云計算功能。他們可能將企業(yè)的數(shù)據(jù)托管在云中，使企業(yè)可以跨平臺訪問您的帳戶，或者允許在任何地方上傳和下載文件。這非常方便，并且是在工作場所提高生產(chǎn)力和溝通的重大突破，但同時也存在一些漏洞。一個安全漏洞可能使企業(yè)的數(shù)據(jù)可供惡意目的的人使用。

云安全是一個復(fù)雜的主題，包含許多不同的注意事項，包括保存數(shù)據(jù)的數(shù)據(jù)中心的物理完整性以及允許企業(yè)訪問它的軟件的編碼。值得信賴的云計算開發(fā)人員應(yīng)采取預(yù)防措施，并盡最大努力提高云安全性。但是，開發(fā)人員對確保系統(tǒng)完整性應(yīng)承擔(dān)的責(zé)任有多大？存在許多潛在的漏洞點(diǎn)，這些漏洞可能會損害云計算帳戶的完整性。但是，并非所有的云計算開發(fā)者都可以控制它們。

讓我們從關(guān)注云計算開發(fā)人員和服務(wù)提供商可以切實控制的安全領(lǐng)域開始：物理數(shù)據(jù)存儲和完整性。大多數(shù)云平臺都依賴大規(guī)模、高度安全的數(shù)據(jù)中心，它們在其中存儲用戶數(shù)據(jù)并確保其安全。由于云平臺是唯一可以訪問這些數(shù)據(jù)中心的平臺，因此它們是負(fù)責(zé)確保其安全的平臺。這通常意味著要創(chuàng)建具有多個備份的冗余，并采取物理保護(hù)措施來防御攻擊和自然災(zāi)害。

軟件完整性。云平臺還負(fù)責(zé)確保軟件的結(jié)構(gòu)完整性。不應(yīng)存在任何編碼空白，以免有人強(qiáng)行進(jìn)入和/或操縱系統(tǒng)。API、通信和集成完整性。任何應(yīng)用程序中最大的潛在缺陷之一就是其與其他用戶和其他集成的連接點(diǎn)。如果該應(yīng)用允許消息交換，則應(yīng)使用端到端加密對其進(jìn)行保護(hù)。如果有任何活動的API調(diào)用與其他應(yīng)用程序集成，則這些調(diào)用必須高度安全。

用戶控件和選項。對于云計算應(yīng)用程序來說，包括多個選項和功能以供用戶自己負(fù)責(zé)安全性也很重要。例如，這可能包括創(chuàng)建和管理具有不同管理權(quán)限的多種類型的用戶的能力。但是，在云計算提供商直接控制的范圍之外，還有其他一些漏洞。例如：

網(wǎng)絡(luò)加密和安全性。如果最終用戶依賴公共網(wǎng)絡(luò)，或者沒有加密和強(qiáng)密碼保護(hù)的云平臺，那么云平臺將無能為力。這項責(zé)任完全落在最終用戶的身上。硬件和端點(diǎn)安全性。盡管軟件開發(fā)過程要求開發(fā)人員對用于訪問其應(yīng)用程序的硬件有一定程度的了解，但他們對這些固有漏洞的了解有限。如果最終用戶使用過時的設(shè)備或存在重大安全漏洞的設(shè)備，那么云平臺也無能為力。

密碼和帳戶保護(hù)習(xí)慣。最終用戶的職責(zé)幾乎完全是創(chuàng)建強(qiáng)密碼并保護(hù)自己的帳戶。如果他們最終選擇了弱密碼，或者如果他們從不更改這些密碼，那么內(nèi)置的安全措施將無濟(jì)于事。如果它們屬于網(wǎng)絡(luò)釣魚方案，或者他們自愿將密碼提供給某人，則同樣如此。同樣，開發(fā)人員的最終用戶必須了解在線欺詐的本質(zhì)，但這通常超出了他們的控制范圍。

惡意軟件。將惡意軟件安裝在設(shè)備上后，它就可以訪問該設(shè)備上的其他所有內(nèi)容，包括能夠監(jiān)視在云計算應(yīng)用程序內(nèi)執(zhí)行的操作。除非云計算應(yīng)用程序故意掃描惡意軟件，否則它無法告訴已安裝惡意軟件。采取預(yù)防措施是最終用戶的責(zé)任，例如避免可疑的下載鏈接以及安裝防病毒軟件以運(yùn)行偶爾的掃描。

即使這些不是直接在云平臺提供商的控制范圍內(nèi)，云計算權(quán)威也可以采取一些措施來改善它們或減輕其潛在的漏洞。例如，云計算提供商不能保證良好的密碼創(chuàng)建和調(diào)整習(xí)慣，但是他們可以向用戶教育良好密碼習(xí)慣的重要性和/或強(qiáng)迫他們定期更新密碼?？傮w而言，云平臺應(yīng)遵循高安全性標(biāo)準(zhǔn)，但是其可控制的功能受到限制。各種形式的數(shù)字安全都需要團(tuán)隊的共同努力。