导航云安全：免费调查问卷

基于云的解决方案在各行各业的企业中越来越普遍。利用云，组织可以跨设备和用户无缝访问数据，从而通过数字化转型提高运营效率。但是，云解决方案也存在许多安全问题，从而增加了对云安全的需求。

使用基于云的工具的组织必须优先考虑云安全，以维护强大的网络安全防御，以抵御漏洞和网络攻击。此博客概述了云安全性以及用于在混合云环境中保护资产的最流行的安全框架。此外，还包括一份免费的云安全调查问卷，您的组织或第三方供应商可以使用该调查问卷来评估您当前的云安全计划并确定需要改进的领域。

使用 UpGuard > 升级组织的网络安全计划

什么是云安全？

云安全是指旨在保护虚拟化 IP、数据、服务和云计算系统基础设施的策略、技术、应用程序和控制措施。Amazon Web Services （AWS） 是各种组织最常用的云计算环境之一。

云计算为组织提供可扩展且灵活的资源，例如数据存储、服务器、数据中心、自动化和软件，这些资源遍布 Internet，而不是本地。这种数字技术提供了许多工作负载优势，但也带来了用户必须考虑的独特安全风险。这些挑战来自虚拟化环境中的数据共享和存储，这些环境可能由第三方云服务提供商管理和运营。

云安全包括保护云计算环境免受外部和内部网络安全威胁的措施和协议。这些协议可促进数据保护，确保授权用户安全地访问云服务，并保护系统免受未经授权的访问和其他安全挑战。

云安全的关键方面

有效的云安全计划包括策略、安全控制和最佳实践。DevSecOps 团队成员应优先考虑云安全解决方案的关键方面，其中包括：

• 数据保护：通过加密、访问控制和安全传输协议保护云存储的数据，以防止盗窃、数据丢失和删除
• Identity and Access Management （IAM）：通过管理身份、身份验证和授权，将云资源访问限制为只有授权用户
• 威胁检测和管理：使用自动化安全监控和检测系统识别和响应恶意软件、勒索软件和其他网络攻击
• 合规性：遵守管理数据和信息安全的法律、法规和准则 — 这对于处理敏感数据的行业（如医疗保健或金融）尤为重要
• 基础架构安全：确保物理和虚拟基础架构（包括服务器、网络和数据库）的安全
• 业务连续性和灾难恢复：确保服务可以继续，并且在发生网络攻击或自然灾害等事件时可以恢复数据
• 隐私：根据相关隐私法律和法规处理个人数据

云安全态势管理工具

许多组织利用云安全态势管理 （CSPM） 工具来保护其云环境。这些工具旨在增强云安全策略并减少安全威胁。使用 CSPM 集成是一个相对较新的概念，但由于越来越多的组织将其传统工作流转移到云中，该策略越来越受欢迎。

CPSM 工具通过可见性、监控、威胁检测和修复工作流程管理云攻击面风险，从而识别和修复由云错误配置引起的风险。此过程可改善多云环境的安全状况。这些环境涵盖云架构的所有部分，包括：

• 软件即服务 （SaaS）
• 平台即服务 （PaaS）
• 基础设施即服务 （Iaas）

常见的云安全框架

各种网络安全框架指导和增强云安全实践，为管理和缓解云环境中的风险提供结构化方法。除了 GDPR 和 PCI-DSS 等传统法规外，其他一些常见的云安全框架包括：

• 云安全联盟的云控制矩阵
• NIST 网络安全框架
• ISO/IEC 27001 和 27017
• CIS 基准测试和控制

云安全联盟 （CSA） 的云控制矩阵 （CCM）

云安全联盟 （CSA） 的云控制矩阵 （CCM） 是专为云计算提供商和消费者设计的网络安全控制框架。它包括为保护组织免受云环境威胁和漏洞而量身定制的安全控制和指南。

CCM 由 16 个域中的 133 个控制对象组成。每个领域都涵盖了云技术的重要方面，例如云原生应用程序和接口安全 （API 安全）、加密和密钥管理、身份和访问管理 （IAM）、基础设施和虚拟化等。控制框架符合 CSA 的 Security Guidance for Critical Areas of Focused in Cloud Computing。它被认为是云安全保证和合规性的事实标准。

NIST 网络安全框架

美国国家标准与技术研究院 （NIST） 开发了 NIST 网络安全框架，广泛用于管理和降低网络安全风险。它包含管理网络安全相关风险的标准、指南和最佳实践，高度适用于云安全。

具体来说，NIST 网络安全框架提供了组织风险管理生命周期的高级战略视图。NIST 框架核心（识别、保护、检测、响应和恢复）可以直接应用于云环境中的风险和漏洞。NIST 框架还强调了持续安全监控和实时评估的必要性，这对于云计算的动态特性至关重要。

ISO/IEC 27001 和 27017

ISO/IEC 27001 和 27017 是信息安全管理的国际标准。ISO/IEC 27001 侧重于建立和维护信息安全管理体系 （ISMS），而 ISO/IEC 27017 专门提供了云服务信息安全的指南。

ISO/IEC 27001 中的综合安全方法通常适用于云基础设施，安全团队可以通过将 ISO/IEC 27017 的应用程序应用于云计算环境来更进一步。这包括有关为云服务提供商和客户实施安全控制的指南，包括：

• 虚拟计算环境中的隔离
• 云服务客户对云服务提供商活动的监控
• 虚拟机配置

互联网安全中心 （CIS） 基准和控制

CIS 关键安全控制是一组针对网络安全的优先措施。它们提供具体且可作的最佳实践，以缓解最常见的网络攻击并形成深度防御策略。CIS Controls 的主要好处是它们优先考虑并专注于大大降低网络安全风险的少数行动。

CIS Controls 旨在适应不同的云服务和部署模型。他们强调了基本安全实践的重要性，这些实践对于云计算的动态性质至关重要。这些做法包括持续的漏洞评估和及时补救。

此外，CIS 控制还为各种技术（包括云服务）提供了特定的配置准则。这些控制措施确保组织可以维护其云环境的安全配置。通过实施这些控制和基准，组织可以以全面和结构化的方式有效地加强其云安全态势。

免费的云安全问卷模板

为了帮助评估您当前的云安全状况，请使用以下免费的云安全问卷。我们的调查问卷涵盖云安全的关键方面，例如身份和访问管理、威胁检测、隐私和合规性等。此调查问卷也可以发送给您的第三方服务提供商，如果他们使用云解决方案处理您组织的敏感数据，这可能会很有用。

此调查问卷利用了上述框架的关键组件，是识别云安全计划中易受攻击区域的一个很好的起点。可能需要调整此调查问卷以满足您的业务和云环境，因为每个组织都不同。

组织和基础设施安全

一般信息

您是否有专门的云安全团队？

• 是的
• 不
• [自由文本字段]

您是否实施了正式的云基础设施风险评估流程？

• 是的
• 不
• [自由文本字段]

您的云基础架构是否由内部员工专门管理？

• 是的
• 不
• [自由文本字段]

是否记录和清点所有云服务和应用程序？

• 是的
• 不
• [自由文本字段]

您是否制定了明确的云服务提供商 （CSP） 选择标准？

• 是的
• 不
• [自由文本字段]

策略与合规性

您是否有书面的云安全策略？

• 是的
• 不
• [自由文本字段]

所有云服务都符合适用的行业法规吗？

• 是的
• 不
• [自由文本字段]

您是否对云合规性问题进行了法律审查？

• 是的
• 不
• [自由文本字段]

云安全策略和程序是否有定期审查流程？

• 是的
• 不
• [自由文本字段]

员工是否定期接受云安全合规性要求方面的培训？

• 是的
• 不
• [自由文本字段]

数据安全和隐私

是否对所有云存储的数据强制执行数据加密或零信任？

• 是的
• 不
• [自由文本字段]

云存储中是否有数据分类和处理策略？

• 是的
• 不
• [自由文本字段]

您是否有防止在云中未经授权共享数据的机制？

• 是的
• 不
• [自由文本字段]

是否有既定的协议来报告和响应数据泄露？

• 是的
• 不
• [自由文本字段]

是否对所有云服务进行数据隐私影响评估？

• 是的
• 不
• [自由文本字段]

身份和访问管理

是否部署了强大的 Identity and Access Management （IAM） 解决方案？

• 是的
• 不
• [自由文本字段]

用户访问权限是否定期审查和更新？

• 是的
• 不
• [自由文本字段]

云访问是否必须进行多重身份验证？

• 是的
• 不
• [自由文本字段]

是否记录和监控云环境中的所有用户作？

• 是的
• 不
• [自由文本字段]

您是否定期审核 IAM 政策和程序？

• 是的
• 不
• [自由文本字段]

网络和基础设施安全

防火墙和入侵检测系统是否保护所有云服务？

• 是的
• 不
• [自由文本字段]

进出云的网络流量是否加密？

• 是的
• 不
• [自由文本字段]

您是否定期进行网络安全评估？

• 是的
• 不
• [自由文本字段]

是否有立即隔离受损网段的程序？

• 是的
• 不
• [自由文本字段]

您的网络基础设施是否定期更新以减少漏洞？

• 是的
• 不
• [自由文本字段]

威胁检测和管理

监控和事件响应

您是否对云服务进行了实时监控？

• 是的
• 不
• [自由文本字段]

是否有针对基于云的事件的既定事件响应计划？

• 是的
• 不
• [自由文本字段]

安全事件日志是否被保留并定期审查？

• 是的
• 不
• [自由文本字段]

您是否定期执行安全事件响应演习？

• 是的
• 不
• [自由文本字段]

是否有专门的团队来处理云安全事件？

• 是的
• 不
• [自由文本字段]

漏洞管理

您是否对云基础设施进行定期漏洞扫描？

• 是的
• 不
• [自由文本字段]

自动化工具是否用于持续漏洞评估？

• 是的
• 不
• [自由文本字段]

是否有及时修补已识别漏洞的流程？

• 是的
• 不
• [自由文本字段]

您是否有跟踪和解决报告的漏洞的流程？

• 是的
• 不
• [自由文本字段]

云服务提供商是否需要披露其漏洞管理实践？

• 是的
• 不
• [自由文本字段]

业务连续性和灾难恢复

弹性和冗余

您是否有特定于云的业务连续性计划？

• 是的
• 不
• [自由文本字段]

是否定期在多个地理位置分散的位置备份数据？

• 是的
• 不
• [自由文本字段]

灾难恢复演习是否至少每年进行一次？

• 是的
• 不
• [自由文本字段]

您是否有针对关键云服务的故障转移机制？

• 是的
• 不
• [自由文本字段]

是否有定期更新灾难恢复计划的流程？

• 是的
• 不
• [自由文本字段]

测试和评估

您是否定期测试基于云的应用程序是否存在安全漏洞？

• 是的
• 不
• [自由文本字段]

云灾难恢复计划是否在模拟故障条件下进行测试？

• 是的
• 不
• [自由文本字段]

您是否对云服务进行第三方安全评估？

• 是的
• 不
• [自由文本字段]

云服务提供商的安全措施是否定期接受审计？

• 是的
• 不
• [自由文本字段]

是否有用于改进测试后云安全性的反馈机制？

• 是的
• 不
• [自由文本字段]

供应商和第三方管理

云服务提供商评估

您是否评估了所有潜在云服务提供商的安全状况？

• 是的
• 不
• [自由文本字段]

云服务提供商是否有合同义务遵守安全标准？

• 是的
• 不
• [自由文本字段]

您是否对第三方供应商进行定期安全审计？

• 是的
• 不
• [自由文本字段]

供应商安全实践是否符合您组织的标准？

• 是的
• 不
• [自由文本字段]

是否有定期审核和更新供应商安全要求的流程？

• 是的
• 不
• [自由文本字段]

数据主权和地理注意事项

选择云提供商时是否考虑数据驻留要求？

• 是的
• 不
• [自由文本字段]

您是否有确保遵守跨境数据传输法律的机制？

• 是的
• 不
• [自由文本字段]

供应商合同中是否解决了数据主权问题？

• 是的
• 不
• [自由文本字段]

您是否限制数据存储和处理的地理位置？

• 是的
• 不
• [自由文本字段]

员工是否接受过有关数据主权和地理影响的培训？

• 是的
• 不
• [自由文本字段]

最终用户教育和意识

培训和意识计划

是否有针对所有员工的强制性云安全培训计划？

• 是的
• 不
• [自由文本字段]

您是否定期开展有关云安全风险的宣传活动？

• 是的
• 不
• [自由文本字段]

用户是否定期测试其云安全知识？

• 是的
• 不
• [自由文本字段]

是否有明确的报告流程供员工报告云安全事件？

• 是的
• 不
• [自由文本字段]

是否为所有用户明确定义了云安全责任？

• 是的
• 不
• [自由文本字段]

反馈和改进

您是否定期征求用户对云安全实践的反馈？

• 是的
• 不
• [自由文本字段]

是否有持续改进云安全措施的机制？

• 是的
• 不
• [自由文本字段]

从安全事件中吸取的经验教训是否纳入未来的规划？

• 是的
• 不
• [自由文本字段]

您是否根据行业标准对云安全实践进行基准测试？

• 是的
• 不
• [自由文本字段]

云安全策略和实践是否定期审查和更新？

• 是的
• 不
• [自由文本字段]

云安全是组织整体网络安全战略的一部分。如果您的组织想要增强您的安全态势，一流的攻击面管理工具至关重要。UpGuard 的 BreachSight 是一个一体化的攻击面管理平台，为组织提供整个组织的可见性和可扩展性选项，揭示构建网络弹性的宝贵见解。

BreachSight 可帮助您了解影响外部安全状况的风险，并确保您的资产得到持续监控和保护。我们的用户友好型平台可让您轻松一目了然地查看组织的网络安全，并在内部就风险、漏洞或当前安全事件进行沟通。其他功能包括：

• 数据泄漏检测：通过及时检测数据泄漏并避免数据泄露来保护您的品牌、知识产权和客户数据
• 持续监控：获取实时信息并管理风险，包括域、IP 和员工凭证
• 减少攻击面：通过发现可利用的漏洞和存在拼写错误风险的域来减少攻击面
• 共享安全配置文件：通过创建 UpGuard 共享配置文件，无需回答安全问卷
• 工作流程和豁免：简化和加速修复问题、豁免风险和响应安全查询的方式
• 报告和见解：访问为不同利益相关者量身定制的报告，并查看有关外部攻击面的信息