随着企业上云已是大势所趋，云上安全成为企业数字化转型趋势下不可忽视的重要因素。《网络安全法》《数据安全法》《个人信息保护法》等法律法规的出台，使得我国网络安全在制度层面得到进一步完善。在国外，欧盟的GDPR、美国的CCPA等相关数据安全法律法规，无不彰显对数据保护的力度。因此，在云环境下如何确保数据和应用安全的要求，也成为云服务商与企业用户的共同目标。

在云安全方面，由于不同云技术厂商对于IaaS、PaaS、SaaS安全责任边界存在一定程度的模糊性，且许多企业会采用多云模式，而企业云上安全责任边界如果不清晰，就很容易形成安全薄弱环节，成为网络攻击与违法犯罪的入口。

云安全成为数字时代新的“主战场”

如今，数据作为关键生产要素和重要的战略资产，备受各国政府的关注和重视。但与此同时，海量的数据催生了许多安全管理问题，消费者的数据安全和用户的隐私保护工作愈发重要。放眼全球，各国也都在持续优化数据安全政策环境。安全合规，已经成为当下中国企业迈向云端的一堂必修课。

受数字化转型影响，越来越多的企业希望借助更现代化的数据备份、恢复和管理解决方案，实现关键业务变革。目前，数据的存储主要以云架构为技术基础，采用虚拟分布式存储的方式，在云端进行数据信息的操作处理。云存储提供了一种低成本的方案，企业不需要维护冗余设施，在花费更少资金的情况下，通过企业信息化管理提升工作效率。

《Veeam 2022 数据保护趋势报告》调研显示，2020年，30%的企业选择把数据备份在本地数据中心，23%的企业选择把数据备份在DRaaS云提供商那里；2021年，28%的企业选择把数据备份在本地数据中心；30%的企业选择把数据备份在云端。并且，本地数据正在快速向云端迁移，预计到2024年，将有53%的企业选择把数据备份在云端。

Gartner也发现，中国数据库正加速增长并逐步向云端迁移。数据显示，2020年云数据库已占据整体数据库市场份额的40%，预计2022年云数据库营收数据将占据数据库整体市场的半数以上。未来四年，中国数据库向公有云迁移的速度将超过全球平均水平。

随着企业对云计算的依赖度越来越高，风险敞口也一步步暴露出来。美国电信运营巨头Verizon发现，现今大部分的网络安全事件都涉及云端基础架构，而且外部云端资产受到的影响高于内部资产。有一半的企业将其40%以上的数据储存于外部云端环境，但对敏感数据进行加密保护的企业却并不多。

AWS在2021年8月针对使用者所进行的一项调查发现，100%受访者都在公有云环境，至少遭遇过一次安全事故。如今，大多数企业的IT系统会在多云环境下运行，但不同的云服务厂商带来了更严峻的安全挑战。大多数人表示，关于谁应该做什么，共同责任模型通常不够明确。公有云和混合云的快速采用，让安全维护变得更加困难，而疫情的推波助澜也加速了企业数字化转型的进程，这让云安全成为企业的刚需配置。

宜未雨而绸缪 勿临渴而掘井

根据Cybersecurity Insiders发布的《2021年云安全报告》显示，云安全是企业的“心腹大患”，几乎所有的受访者（96%）都表示有至少中等程度的安全担忧，三分之一的受访者（33%）表示对公有云安全非常担忧。

云平台安全能力与独立第三方安全产品难以抉择，平台、租户、应用厂商之间安全责任划分不清，合规监管下无法进行有效整改，云上安全风险无法主动识别，事件无法持续监控与响应，安全风险和态势无法全面洞察是企业面临的一系列安全挑战。

云安全带来的挑战首先来自于，企业需要控制数据，并确保数据的安全性和隐密性。无论是外包数据存储还是使用流行的云计算SaaS应用程序，将更多数据存储在云端，意味着可能给信息带来更多不必要的或者未经授权的访问。但因为云计算带来的商业利益，很多企业还是将业务和数据不断转移到云端。所以，企业安全团队和IT团队需要竭力保护云端数据，同时允许用户对云端数据的合理访问和使用。

其次，另一个巨大的挑战是确定云数据的具体位置。一旦数据离开企业的防火墙，转移到云计算中，这些数据通常会位于云服务供应商的设备中，这通常位于企业外部。由于各个国家和各个行业的法规都不同，企业必须能够遵守适用其数据的法规，这对于跨国企业来说是一个很大的挑战，他们需要遵守特定的数据法规，而他们的云服务供应商可能位于多个国家。

同时，安全建设的碎片化，网络安全意识存在偏差，也成为企业所面临的挑战之一。网络环境复杂度的增强，安全事件攻击手段的提升使网络空间的攻防战愈演愈烈，传统的人工应对方式已经完全不足以解决当前数量巨大、变化多端的威胁信息和攻击；在安全制度方面，安全事件处理流程无法标准化，安全专家经验不能迭代固化，使得安全建设体系发展缓慢；未体系化建设的安全，又常常是产品的堆砌，不同安全产品之间各自为战，碎片化、孤岛化，不仅无法带来安全能力的提升，反而增加运营团队的压力。

所以，企业需要提升云安全能力，制定规范的安全策略，构建有效的安全运营体系框架，在安全无忧的环境之中释放云能力，为数字化转型赋能。

在海外，亚马逊AWS、微软Azure均采用了与用户共担风险的安全策略。对IaaS服务来说，云服务商需保障物理、网络和虚拟化层面的安全，而用户需要保障操作系统、应用程序和数据的安全；对PaaS服务来说，操作系统安全也归云服务商负责，用户只需要负责应用程序和数据安全；对SaaS服务来说， 用户要负责的就是数据安全，而其他所有的部分都是云服务商的保障范围。

亚马逊云科技大中华区战略业务发展部总经理顾凡表示，随着企业加速上云，企业放到云上的数据类型、数量也会继续增加。而随着今天越来越多的中国企业出海，很多企业业务在全球范围拓展，甚至有很多企业是跨若干行业赛道进行竞争，所有这一切都会加剧企业面对安全合规的挑战。安全不仅仅是技术的问题，也是管理的问题。亚马逊云科技的“JobZero安全文化”将安全作为亚马逊云科技最高优先级的工作。

亚马逊云科技为客户打造防护体系的宗旨是，帮助客户更简单地解决安全问题，持续不断加大安全投入，却不设置安全方面的营收指标，要让安全服务像水和空气一样，提供给用户。不依靠水和空气产生利润，却需要给用户提供优质的水和空气，创造健康的环境。亚马逊云科技目前提供了280多个安全、合规服务及功能，在五大领域为客户提供全方位的安全服务。

针对这种责任共担机构的分界线，顾凡透露，在IaaS、PaaS、SaaS不同的场景分界线会有所移动。举例来说，如果客户使用的是基础资源，分界线是云厂商保护云基础设施，例如虚拟机、网络存储、计算，用户负责虚拟化之上的资源，例如操作系统、应用、数据访问、加密。如果客户在云上采用的是PaaS服务，亚马逊云科技肩负的责任会更多。到SaaS服务的时候，客户主要负责的就是数据，以及数据的访问权限。

随着企业客户对于云的使用量增长，云业务在增长的同时也激发出更大的安全需求，云安全正成为数字时代新的主战场。基于云架构和针对数据的安全体系将被快速、广泛地结合进现有安全体系得到实践，以符合政策的监管和企业的需求。同时，各类产业的安全需求将更加细化，以实现更加严格的安全防护。因此，企业该如何保护业务，更好应对日益增长的威胁，这都是留给网络安全领域巨大的增长空间。