Orca Security（一家用于掃描云工作負(fù)載的工具的提供商）最近發(fā)布的一份報告表明，云安全的分擔(dān)責(zé)任方法并沒有像大多數(shù)組織所希望的那樣成功。

根據(jù)對Amazon Web Services（AWS）Microsoft Azure和Google Cloud Platform（GCP）上運行的30萬個公共云資產(chǎn)進行的200萬次掃描分析后，結(jié)果發(fā)現(xiàn)云安全性落后：超過80％的組織至少有一家被忽略，運行在不受支持的操作系統(tǒng)上或未修補超過180天的面向Internet的工作負(fù)載。

此外報告還發(fā)現(xiàn)，有60％的組織至少有一個被忽略的面向Internet的工作負(fù)載已經(jīng)到期，因為不再提供安全更新。

該報告還發(fā)現(xiàn)，將近一半的組織（49％）擁有至少一臺可公開訪問且未打補丁的Web服務(wù)器，而44％的組織具有面向互聯(lián)網(wǎng)的工作負(fù)載，其中包含機密和憑據(jù)，包括明文密碼，應(yīng)用程序編程接口（API）密鑰哈希密碼以及可以促進跨云環(huán)境橫向訪問的哈希密碼。

將近四分之一（24％）的至少一個云帳戶未對超級管理員用戶使用多因素身份驗證，而19％的云帳戶具有可通過非企業(yè)憑據(jù)訪問的云資產(chǎn)。

遺憾的是在該報告中指出，面對互聯(lián)網(wǎng)的工作負(fù)載并沒有好得多。超過四分之三（77％）的組織至少有10％的內(nèi)部工作負(fù)載處于被忽略的安全狀態(tài)。

Orca安全CEO Avi Shua表示，盡管DevSecOps取得了進展，但網(wǎng)絡(luò)安全團隊和開發(fā)者之間仍有明確的責(zé)任劃分。他說，錯誤總是會犯的，因此網(wǎng)絡(luò)安全專業(yè)人士也需要核實是否實施了正確的控制措施。

當(dāng)網(wǎng)絡(luò)安全團隊長期缺乏人員并且云中部署的工作負(fù)載數(shù)量呈指數(shù)級增長時，挑戰(zhàn)就在于如何實現(xiàn)這一目標(biāo)。 Shua指出，IT組織需要定義一個流程，以使盡可能多的云安全驗證流程自動化。

企業(yè)對云安全的大多數(shù)擔(dān)憂與云服務(wù)提供商提供的基礎(chǔ)架構(gòu)無關(guān)。相反，這是因為開發(fā)人員依靠模板來自動化云服務(wù)的配置，例如，導(dǎo)致端口保持打開狀態(tài)或暴露應(yīng)用程序機密。至少從理論上講，作為向最佳DevSecOps最佳實踐轉(zhuǎn)移的一部分，開發(fā)人員承擔(dān)了實施安全控制的更多責(zé)任。但是，實際上，開發(fā)人員始終如一地實施這些控件的能力仍然不平衡。

不管是好是壞，在云中部署應(yīng)用程序工作負(fù)載的速度不會很快降低，尤其是在COVID-19大流行帶來的經(jīng)濟衰退之后。不管喜歡與否，許多網(wǎng)絡(luò)安全團隊都需要接受這樣一個事實，即即使開發(fā)人員變得更加注重安全，正如一位著名總統(tǒng)曾經(jīng)指出的那樣，始終需要信任但要核實。