返回IT运维网
  • |
  • 文章EID:
  • |
  • 账号:
  • 密码:
赛门铁克:防范影子应用
2017-11-13 IT运维网 / IT运维网

      随着企业业务不断转移至云端,云应用和云服务使得企业运营更加高效,企业拥抱云的同时,也带动了云应用部署的增长。然而,由于企业缺乏必要的政策与流程来规范用户对云服务的使用,未经IT批准的云应用的数量也在不断上升,这增加了部署云应用的风险。

何为影子应用?

      未经批准的云应用通常被称为“影子应用”(Shadow IT),而“影子数据”是指在IT管理员不知情,或未经同意而存储在云端的企业应用数据。当下,企业所使用的云应用中,平均30% 是未经IT批准的应用(影子应用)。

      由于企业IT管理员难以追踪用户如何使用云服务,或是否将企业敏感信息上传至文件分享平台,这大大增加了数据可视性以及合规管理的难度。

      事实上,赛门铁克的调研显示,大多数公司的CIO以为自身使用的云应用只有30至40个,但多数企业的实际平均使用量是928个,两者相差高达20多倍。

      为何会存在如此大的差距?首先,企业用户对云的概念理解或许存有误解,有些人认为云应用只是SaaS服务,如BOX、dropbox等。但其实诸如邮箱及iCloud等其他Web应用同样被归为云应用,这是由于其数据管理同样是通过云端实现,并且大部分是公有云的体系,例如许多公司所使用的Office365、Google、Dropbox和Salesforce等应用程序。实际上,在2016年,Office 365、Google和Dropbox是企业最常用的三大协同应用。因此,很多企业CIO、CISO对云应用的误解在于,他们只看重企业的SaaS服务或者基础架构的服务,但并没有将iCould、微博、微信应用考虑在内。正是因为企业IT对云的理解存在认知差异,这也造成了企业内部所实际运行的云应用数量和认知中的差距如此之大。

      造成落差的第二个原因在于,用户所使用的同步功能导致很多企业内部数据被同步至“影子应用”里。用户很可能在无形中将企业数据同步至多个应用中,从而在不知不觉中增加了企业部署云应用的数量。

潜在风险

      正是以上企业对云应用数量的认知落差给企业带了巨大的潜在风险:

      增加了企业数据遭到泄露的风险。如果用户通过“影子应用”将企业内部的重要文档放到公有云上,一旦黑客获得云端账号,就能轻松盗取大量企业敏感数据,从而可能对企业造成无法挽回的损失。

       “影子应用”可能导致恶意程序的入侵。企业CIO担心员工为了方便办公和文件分享,从而使用不安全的云应用。如果员工没有全面的网络安全意识和专业的IT技能,就很容易下载或使用到含有恶意程序的应用,因而让企业面临网络攻击或系统入侵的风险。

      企业对数据的可视性降低,增加了违反数据合规性的风险。由于企业无法掌握真正所使用的云应用数量,从而降低了对云端数据的可视性,也就无法在应用中识别、分类和精细化访问和管理敏感数据,在数据的合规性方面面临很大风险。

企业应如何考量?

      影子应用和影子数据仅仅是企业所面临的云端安全威胁之一。限制企业员工使用便捷的文件分享服务平台(例如Office 365或者Box)并不是应对这类问题的主要手段。加强更加智能的数据管理,例如识别、分类和监测云端数据才是避免数据泄露所应采取的措施。

      企业需要全面的衡量云端安全,并针对云端安全及时部署相关安全战略。赛门铁克建议CIO与CISO应从以下四个方面考量:

      第一,部署全面整体的网络安全和云安全应对措施。企业应该考虑借助专业的网络安全团队来保障企业数据及业务安全。

      第二,了解云应用的风险系数。这意味着企业需要清楚地了解哪些云应用的安全风险较高,通过全面的安全评估,管控员工使用危险系数较高的云应用及服务,从而减少企业关键应用和数据遭遇泄露的风险。

      第三,将数据管理条例和法规纳入考虑范围。随着《网络安全法》的实施,企业必须更加完善地保护用户的个人数据,避免由违反法规所带来的损失。

      第四,针对云端安全,部署相应的保护机制。例如为员工的云端访问建立动态密码保护,以确保即使用户帐号被窃取,黑客也无法骗取相关的动态密码,从而无法访问关键数据。

全面防范“影子应用”

      不仅如此,针对云安全风险,企业还应当积极采取行动。首先,建立符合企业业务的云安全计划。企业应该将网络安全保护的范围延伸至云以及其他应用场景。其次,无论是普通员工还是企业高层,都需要加强网络安全意识和认知,了解如何安全地使用云应用或使用影子应用,避免出现员工在无意中将关键数据外泄的意外。第三,通过集成本地与基于云的数据防泄漏解决方案,将敏感数据监控策略与工作流程拓展至基于云的服务中。最后,企业应该考虑针对云平台安全进行长远的规划,使用集成式解决方案来保障云端安全。例如在云端安全策略部署时,赛门铁克建议,企业能够将云应用与CASB(云访问安全代理)相集成,利用设备与行为分析确保所有应用与访问都能够通过云网关来实现身份认证、数据保护,以及云安全审计。

相关评论 [查看所有评论]
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
心情:
  • 支持
  • 高兴
  • 枪稿
  • 不解
  • 搞笑
  • 愤怒
  • 谎言
账号: 密码:
验证码 看不清?点击更换
相关阅读