雲端安全是一項共同的責任

確保雲端安全需要有效保護與雲端運算有關的多個層面，包括數據、應用程式和基礎架構，涉及政策、技術與控制措施等等。

雲端應用程式與數據愈來愈分散在不同的環境中，以便提高組織的敏捷性，同時降低成本。這些環境包括私有雲、公有雲 (混合雲或專用雲)，以及軟體即服務 (SaaS) 應用程式，每個環境都有其獨有的敏捷性優勢與安全問題。

對於數據暴露的擔憂使雲端安全成為必須優先考慮的事項。我們面臨的挑戰是需要滿足組織對於敏捷性的需求，同時還要改善應用程式的安全性，保護在不同雲端之間移動的數據。獲得可見度，阻止嘗試從外部位置或透過橫向攻擊來外洩數據的攻擊，對於具有應用程式和數據的所有位置都已迫在眉睫。

組織內部可能會有不同的群組在負責雲端安全：網路團隊、安全團隊、應用團隊、合規團隊，或是基礎架構團隊。然而，雲端安全應該是雲端供應商和組織之間的共同責任。

私有雲– 企業負責所有層面的安全，因為雲端託管在組織自己的數據中心內。這些方面包括實體網路、基礎架構、超級管理器、虛擬網路、作業系統、防火牆、服務設定、身分和存取管理等等。企業擁有數據，負責保護數據安全。

公有雲– 在 AWS^® 或 Microsoft^® Azure™ 等公有雲中，雲端供應商擁有基礎架構、實體網路與超級管理器。企業擁有工作負載作業系統、應用、虛擬網路，以及所承租環境/帳戶和數據的存取權。

SaaS– SaaS 供應商主要負責自身平台的安全，包括實體的安全，以及基礎架構與應用程式的安全。這些供應商不擁有客戶的數據，對客戶使用應用程式的方式亦不負有責任。因此，企業需要負責自身的安全，防止出現數據外洩、意外洩露或惡意軟體進入，降低對應的風險。

伴隨著企業從私有雲過渡到公有雲或是 SaaS 應用程式，保護數據、應用和基礎架構的責任更多地從企業手中移轉到供應商的手中。但是，無論採用何種平台，企業始終需要負責保護自己的數據。

為了安全啟用應用程式，IT 安全部門需要確保其安全供應商已經建置適當的安全措施，能夠保護應用程式與數據安全。為了補強雲端供應商在安全性上的不足，組織還需要採用正確的工具，有效管控風險，保護數據安全。這些工具需要提供 SaaS 應用程式中活動的可見度，提供有關使用情況的詳細分析來避免數據風險和違規問題，提供脈絡感知政策控制以在發生違規時實施隔離，以及有關已知威脅的即時威脅情報，並偵測未知威脅來防止出現新的惡意軟體進入點。