修改企业安全策略涵盖云服务

每个互联网服务每天都处于崩溃的边缘。SSH服务每天都在不断遭受root登录尝试;Web站点则随时会收到恶意程序发动的访问请求;防火墙在端口扫描过程中不断丢弃数据包。IT安全需要面对的状况非常多，包括密码暴力破解、笔记本盗窃、拒绝服务攻击、社交媒体上的个人信息过分详细等，都是IT信息安全需要考虑的问题。

企业的安全技术由IT安全专家、安全工具以及安全策略组成和实现。很多企业还配有专门的安全专家团队，配备了高端的安全软硬件产品，随时监控企业网络的安全状况，阻止网络攻击。而企业安全团队所能做的工作，完全受企业的IT安全策略决定(这里我所说的安全策略并不是指应用策略，比如活动目录的组策略，而是指企业领导层制定的各种规章制度)。每个企业都需要这样的策略，这种安全策略对于企业来说，就好像是配置文件对于应用程序的作用。

沉重老旧的企业IT安全策略

每个企业都有IT安全策略。这个策略列出了企业认为与安全相关的各种内容，比如系统证书、密钥管理、电邮过滤等。由于策略必须覆盖所有方面，因此总是处于企业管理的高优先级。一般企业的策略都是经过长期建设而成的，由管理层控制，在经过授权的情况下才能进行修改。对于传统企业来说，长期的修改和升级，使得安全策略冗长而难以管理。传统的安全策略可能存在以下几个问题：

策略可能提出了适当的加密方案，但是没有提及具体的加密类型、供应方或者具体的使用范围。

策略可能制定了文档的分类等级(如绝密、机密、秘密、开放等)，但是没有说明对数据进行这种分类的依据或原则。

策略可能解释了员工的工作职责，但是并没有强制规定员工要承担哪些义务。

灵活的新型云安全策略

传统的安全策略可能看上去沉重，但是由于经过了多年的磨合，很多问题已经得到了解决或者已经被企业所适应，所以运转起来也没有什么大问题。但是，当企业打算使用其它云服务或者打算将自己的企业应用迁移到公共云环境时，传统的安全策略的弊端就凸现出来了。由于企业的安全策略陈旧，而云计算相对新颖，导致了企业的安全策略根本无法覆盖到云计算环境。比如，云计算会将企业的保密数据分散到上百个云服务存储空间;建立新的云服务时，也不用再考虑入侵检测系统了;当云供应商倒闭或消失，数据也很可能随之丢失。

至于传统安全系统对云安全系统的对比分析，我们可以参考针对网站的渗透测试。当网站管理者对于网站的安全性不放心时，通常都会进行这种渗透测试。对于传统数据中心来说，渗透测试包含两部分内容：后台架构测试和前台服务测试。这些测试实际上是通过扫描器扫描、sniffers记录，以及各种黑客工具进行攻击，最后将扫描和探测到的漏洞列出供网站管理人员参考。不过这类渗透测试对于Amazon Web Services不起作用。

Amazon Web Services采用的是分担型模式，这意味着黑客几乎无法接近底层架构。因此后台的渗透测试根本无法进行。而如果缺乏安全测试，或无法达到企业安全策略中规定的要求，企业很可能就不会放弃安全策略的规定而勇敢的采用AWS。

云安全领域

云计算安全性对于使用云计算服务的用户来说至关重要。而传统企业的IT安全策略必须加以修改才能涵盖云计算领域。

鉴于新旧技术上的差异，市面上已经出现了云安全工具帮助企业解决衡量云计算服务安全性的难题。这些工具针对新的云计算模型提供了漏洞扫描、数据加密、登录分析，以及防火墙配置指南等功能。

而使用这些新型云安全工具最佳的人选就是企业原先的那些安全专家们，因为他们最了解自己企业的状况，而且企业也不情愿再增加新的人手解决云安全问题。