多年來，云托管行業一直在反對這樣一個概念，即在云中托管不如將數據保存在您自己的數據中心安全（“數據中心”可能意味著從壁櫥里幾臺布滿灰塵的計算機到狀態 -最先進的空調設施）。

既然云服務提供商已經讓市場相信云對于他們的關鍵工作負載來說足夠安全，他們就不得不重新審視對話。客戶現在期望他們的安全和合規性問題只需將他們的數據移動到托管解決方案即可得到解決。但這種情況并非如此。那么，您可以做些什么來確保您的數據安全？以下是您應該要求房東確保安全的 5 個安全問題。

您需要提出的 5 個安全問題

1. 你的組織曾經被入侵過嗎？

如果幸運的話，答案將是否定的，但不幸的是，更有可能是肯定的。違規不一定是對組織的起訴，只是作為生活在這個世界上的一部分的事實。由于法律原因，他們可以提供的信息量可能有限。快速的谷歌搜索也可能提供任何大到需要公開披露的數據。關鍵要點？如果它們已被破壞，您想了解事件的范圍、他們是如何處理的，以及采取了哪些措施來防止它再次發生。

2. 從托管的角度來看，您涵蓋哪些合規要求？

在進行審核時，您需要提供證據證明您的托管環境與您的公司環境一樣合規。您的提供者應該向您提供該證據。您關心的要求將取決于您的行業。它們可能包括 SOC 1/2/3 認證、PCI合規證明、HIPAA獨立審計或GDPR的隱私保護和數據處理器協議。請記住，合規并不一定意味著安全，但它確實表明強大的流程和程序。任何不具備這種堅實基礎的供應商都可能表明其安全標準存在問題。

3. 您是否定期（或允許客戶執行）第 3 方滲透或漏洞掃描？

作為合規要求和內部安全標準的一部分，大多數人會進行某種程度的測試。您應該能夠在此處提供一些信息，但可能需要保密協議才能共享任何評估信息。

允許客戶執行這樣的掃描可能會使您的云計算鄰居面臨性能下降的風險，或者看起來像是惡意活動。如果您想進行獨立評估，請準備就此處可以完成的范圍簽署相當嚴格的協議。

4. 您可以使用哪些安全和合規選項來保護我的數據？您為這些選項提供什么級別的支持？

這就是共享責任模型的用武之地。之前的安全問題側重于保護底層托管基礎設施，以確保“客戶”作為一個整體受到保護。當談到保護“客戶”時，供應商將有額外的產品和服務可以簽約以滿足您的需求。這些服務將圍繞每個客戶的特定環境要求進行設計、實施和維護。提供商將對這些產品提供不同級別的服務。這些范圍從完全托管到客戶（或第 3 方）負責運行平臺的簡單推薦。了解您的提供商可以為您處理多少工作是評估它們時的一個重要因素。

5. 誰有權訪問我的數據？第三方可以訪問我的數據嗎？

確保您對誰有權訪問您的數據感到滿意！許多托管服務提供商都有某種職責分離，因此任何一名員工都無法完全訪問您的托管環境。例如，支持防火墻的網絡團隊無權訪問客戶服務器；一線 Linux 支持團隊可以訪問。

您還可以考慮詢問那些有權訪問的員工需要什么級別的培訓。第 3 方訪問的常見示例是異地備份或安全服務，其運營中心分析惡意活動的數據。通常，任何這種性質的合作伙伴關系都將包括提供商之間的某種類型的數據隱私協議。這意味著您受到保護，至少從法律的角度來看是這樣。準確傳達您特別關注的數據有助于獲得更多相關信息。許多第 3 方訪問甚至可能不適用于您的特定托管環境。

最后的評論

提出這些安全問題時要關注的概念是“責任”。在管理項目時將此與 RACI 模型聯系起來考慮。僅僅因為您的名字帶有“R”并不一定意味著您必須自己完成所有工作。這意味著您有責任確保工作完成。遷移到托管云環境時，安全性和合規性責任也是如此。您的提供商將擁有一組他們負責的項目，而作為客戶的您將擁有您負責的項目。確保你確切地知道每一方的責任，你將有一個成功的良好基礎。用一句老話來說，知道是成功的一半。