首席信息安全官在云计算协作安全中的4个实践.pdf

在远程工作的新常态下，云计算协作安全成为了组织和个人都关注的重要议题。首席信息安全官（CISO）作为企业中负责维护信息安全的关键角色，必须确保在使用云计算服务时能够有效保护企业数据和隐私。根据分析和实践指导，首席信息安全官在云计算协作安全中应考虑以下四个实践： 1. 进行供应链风险评估：首席信息安全官需要对供应商的安全性进行全面评估，包括供应商是否有安全认证和能否提供独立的安全审计报告。这对于识别和防范潜在的威胁至关重要。例如，组织应检查供应商是否在使用安全摄像头、监控进入服务器设施的人员，并且确保供应商的网络层安全。McAfee公司的调查表明，疫情期间，对企业云账户的外部攻击数量大幅上升，这要求组织更加重视供应链的安全问题。 2. 谨慎选择中小数据中心SaaS提供商：首席信息安全官应关注供应商的安全性和可靠性。即使顶级供应商如思科和微软在安全性方面有所投入，组织在使用他们的服务时仍需承担部分安全责任。而那些没有深厚安全工程专业知识的中小SaaS提供商，可能在打补丁或提供安全服务方面存在缺陷，首席信息安全官需要格外关注这些潜在的安全弱点。 3. 主动配置用户访问权限：在部署新的SaaS平台时，首席信息安全官需要主动配置用户访问权限，确保这与组织的风险偏好保持一致。第三方风险分析和安全性配置应成为首席信息安全官工作的重点。例如，应定期审查和更新第三方应用程序的访问权限，特别是在第三方访客访问功能自动启用时。 4. 多层云协作安全控制：采用多因素身份验证（MFA）等安全措施，确保用户在防火墙的保护下进行访问，以此作为云协作安全计划的一部分。同时，首席信息安全官应关注对外部用户开放协作平台的利弊，评估其对投资回报率（ROI）的影响，并考虑在部署新应用时的潜在风险。 此外，首席信息安全官应密切监控云服务中使用的补丁和安全标准。专家警告称，供应商默认设置的变化可能带来风险，例如在Microsoft Teams中自动支持第三方访客访问功能的变化。因此，首席信息安全官要定期检查相关设置，确保它们符合组织的安全政策。 首席信息安全官在云计算协作安全中实施这些实践，有助于降低远程工作环境中的安全风险，确保组织数据和隐私得到妥善保护。同时，这些实践也体现了在云计算协作中，安全是一项持续进行的过程，需要不断地评估和调整安全策略来应对新兴的威胁和挑战。