5 云安全解决方案的注意事项

现在许多公司开始转向云安全解决方案，以便从战术和战略上部署安全措施，从安全监控平台到编排工具，再到警报系统，不一而足。专门设计的技术解决方案，能极大保障公司的安全，特别是是内部专业技术和资源有限的公司，而且无需额外雇人，也无需给公司增添额外的麻烦。

但是，在选择云安全解决方案之前，需要考虑很多因素，其中一些重点关注解决办法本身，另一些则重点关注解决方案的供应商（因为无法将解决方案和供应商割裂开来，毕竟解决方案来自供应商）。在这篇文章中，我们将介绍一些最重要的考虑因素。

注意： 尽管我们自己是云安全供应商，但本文中的建议是基于我们团队自己购买安全解决方案的经验。因此，我们认为我们提出的考虑因素是每个云安全公司应该遵守的最优方案，也是您作为买方，在寻求解决方案时应该考量的因素。

毋庸置疑，以下是评估和选择云安全解决方案时要牢记的首要标准。

1. 他们采用安全责任分配模式(Shared Responsibility Model)

大多数云安全解决方案都是在云上运行的。要想不在云上运行，很难。所以你要确保他们采用 安全责任分配模式。这意味着他们应该尽最大努力来保障运行在云上的数据，系统和应用程序的安全，即使他们正在使用像AWS这样的云服务供应商（cloud service provider, 缩写 CSP）来宣称自己有高度的安全性。

当然，你或许会觉得一个安全公司卖给你的产品是安全的，但俗话说：要信任，但也要验证。验证他们是否具有 所有最优方案，从加密到严格的用户访问策略，防火墙到监视及警报。

例如，在Threat Stack，我们使用自家的产品。我们使用预兆堆栈云安全平台（Threat Stack Cloud Security Platform）来监视我们自己的云环境。通过这种方式，我们可以确定，我们的配置始终符合规定，我们可以实时了解整个环境中的任何情况，并且在发生事故时，我们所需的所有险兆信息，总是唾手可得。在和用户进行安全责任分配的讨价还价过程中，我们就是这样来保障我们的那份权益的。

使用我们自己的 配置审核和监控功能， 可以确保我们遵循最优方案，实施最新的更新和补丁程序，监视我们云环境中的各种情况。我们以安全责任分配模式为核心，因为这种模式是确保强力安全状态的关键。

2.他们有你可以学习的安全专家

与采用当前最新云安全最优方案的云安全公司合作，开发自己的最优方案，并公开分享这些信息可以在多个方面使您受益——尤其是在你很少或根本没有时间研究，或跟不上不断变化的安全世界的新发展的情况下。

您不仅可以了解到您所使用的解决方案是建立在专业知识和实践知识的基础之上的，而且还可以通过与该公司的合作学到一些业内最好的解决方案。那么你怎么知道一家公司是否有你可以学习的、支持他们团队的安全专家呢？

首先，看看他们的博客。他们是否经常写安全相关的博客？接下来，查看他们的网站上是否有资源栏目——在这个栏目里面，他们或许有深入的教程，网络研讨会，或指导你进入特定主题的手册。当你的团队第一次涉猎相关产品的时候，这些资源帮助特别大。当你和他们的销售团队交谈时，问问他们可以为你提供什么水平的教育，比如是有额外的培训、设置以及团队安全专家的支持，还是说只有客户相关的活动或讲习班。

所有这些都意味着，他们对自己的知识是开放的，愿意并渴望分享。

3.他们在你的行业有经验

每个行业都面临不同的威胁，客户要求和合规性规定。如果您处于受到高度监管的行业，那么您不仅需要满足HIPAA和PCI-DSS等合规要求，还要超出这些要求以确保数据的全方位安全。

为此，您需要知道您所评估的云安全解决方案是否适合您的行业，是否与您所在行业的其他客户成功合作过，是否满足合规和安全需求。查看他们的网站上的客户名单，看看他们已经与谁合作过，以及是否有任何可供参考的推荐书或用户案例。您也可以直接向公司询问有关其客户群和用例的更多信息。不用因为担心而不开口索要参考案例，尽力让他们了解你的行业，让他们成为你的安全之旅的强大合作伙伴。

4.他们有API，可以集成

目前 市场上有 成千上万的安全产品。但是并不是所有的产品都表现良好。您有十个安全工具，但这些安全工具相互之间都无法集成或共享信息——您应该不希望最后的结局是这个样子。理想情况下，您希望您的安全工具集是开放的，这意味着每一个软件都有API，有的或许可以与其他常用工具和应用程序进行集成。

在Threat Stack中，例如，我们有基于REST的API。我们还提供了webhook API，它允许Threat Stack客户配置自己的集成，订阅特定的优先消息。我们还将许多客户日常使用的应用程序集成到一起，包括Slack，PagerDuty，Docker，VictorOps，Chef 等等。这些集成中的许多程序将威胁管理器警报通报给聊天或事务管理工具，您的团队可以定期使用它来提高警报的可见性和优先级。

因此，在决定云安全解决方案之前，请考虑您的团队每天使用的聊天、票务、事务管理等工具。然后，查看哪些供应商能够将安全和您的日常工作流程进行无缝衔接。

5.他们支持迁移过程

近段时间，许多公司正在转向云端。但是，如果您不确定如何将您的内部部署控件转向云端，那么安全性可能是个未知数。正如我们在这篇文章中所解释的那样， 移动到云端时不一定需要改变安全方案——需要变化的是工具。这意味着收集数据和监控端点的方式可能与内部部署不同，但您仍然可以保持相同的安全级别 - 通常甚至更高。

然而您正在评估的云安全供应商可能精通云安全，如果这是您的组织所担心的问题，请不要因为担心而不去问他们如何处理本地安全问题。现在我们正处在很多公司正在转型的时刻，安全供应商帮助处理这个过程是很关键的。理想情况下，您选择的云安全解决方案应该能够将您的内部部署控制、业务流程以及内部监管转化为云的独特需求，从而实现无缝转换。

为您选择合适的供应商

有了上述考虑，您可以开始与云安全解决方案供应商进行有效会谈了，从而确定哪种产品和供应商最适合您以及您独特的云安全目标。从您自身环境到选择的安全工具，充分了解情况并从战略和整体角度考虑您的整个安全计划，至关重要。