AWS：如何思考云安全治理

小提示：您能找到这篇{AWS：如何思考云安全治理}绝对不是偶然，我们能帮您找到潜在客户，解决您的困扰。如果您对本页介绍的AWS：如何思考云安全治理内容感兴趣，有相关需求意向欢迎拨打我们的服务热线，或留言咨询，我们将第一时间联系您！

< ">当客户首次迁移到云时，他们的本能可能是基于一个或多个与其行业相关的监管框架来构建云安全治理模型。尽管这可能是有用的第一步，但组织了解其工作负载的控制目标也至关重要。

< ">在本文中，我们将讨论您需要在组织上和技术上使用Amazon Web Services（AWS）进行哪些操作，以构建有效的治理模型。迈向云计算第一步的人可以使用此文章来指导他们的思考。对于已经在云中运行了一段时间的人们来评估他们当前的治理方法，它也可以作为有用的上下文。

< ">但是在建立模型之前，重要的是要了解什么是治理并考虑为什么需要它。治理是组织如何确保所有团队中策略的一致应用。实施一致治理的最佳方法是将尽可能多的过程进行编纂。尤其是，安全治理用于通过定义策略和控制来管理风险来支持业务目标。

< ">迁移到云为您提供了一个机会，可以更快地交付功能，以更加敏捷的方式对瞬息万变的世界做出反应，并将决策权交还给最接近企业的人员。在这种快节奏的环境中，重要的是要有一种方法来保持一致性，可伸缩性和安全性。这就是强大的治理模型可以提供帮助的地方。

< ">为您的组织创建正确的治理模型似乎是一项复杂的任务，但并非必须如此。

< ">< font-size: 18px;">构架

< ">许多客户使用与其行业相关的标准框架来告知其决策过程。通常用于开发安全治理模型的一些框架包括：NIST网络安全框架（CSF），信息安全注册评估员计划（IRAP），支付卡行业数据安全标准（PCI DSS）或ISO/IEC 27001：2013

< ">这些标准中的某些提供了特定于特定监管机构或地区的要求，而其他标准则提供了更广泛的适用范围-您应选择适合组织需求的标准。

< ">虽然框架对于设置安全程序的上下文并为治理模型提供指导很有用，但您不应仅为特定标准上的复选框构建任何框架。至关重要的是，您应该首先构建安全性，然后再使用合规性标准来证明您在做正确的事情。

< ">< font-size: 18px;">控制目标

< ">选择要使用的框架后，接下来要考虑的是控件。控制是基于技术或过程的实施，旨在确保将已识别风险的可能性或后果降低到组织风险承受力可接受的水平。控件示例包括防火墙，日志记录机制，访问管理工具等。

< ">控制将随着时间而发展；有时，他们在采用云的早期阶段会非常迅速地这样做。在这种快速发展的过程中，仅关注控件的实现而不是目标是很容易的。但是，如果您想构建一个强大而有用的治理模型，则一定不要忽视控制目标。

< ">考虑防火墙的示例。使用防火墙时，将实现控件。目的是确保只有应该到达您的环境的流量才能到达它。尽管防火墙是实现此目标的一种方法，但是您可以使用Amazon Virtual Pri网络营销专业介绍vate Cloud（Amazon VPC）安全组，AWS WAF和Amazon VPC网络访问控制列表（ACL），通过分层的方法来实现相同的结果。将控制实现拆分到多个位置可以使工作负载所有者在自动交付基准状态时在配置资源方面具有更大的灵活性。

< ">并非业务的所有领域都必须具有相同的云成熟度级别，或使用相同的方法来部署或运行工作负载。作为安全架构师，您的工作是帮助业务的不同部分以适合其成熟度或特定工作量的方式交付结果。

< ">帮助实现此目标的最佳方法是使组织的安全部门清楚地传达必要的控制目标。作为安全架构师，如果目标得到了很好的交流，就可以轻松讨论应用程序中需要调整的内容。如果工王宝强危机公关作负载所有者不知道自己必须满足某些安全期望，则要困难得多。

< ">安全的工作是什么？

< ">在AWS，我们与众多行业的客户交流。对话中经常出现的一件事是如何帮助客户了解其安全团队在分布式云感知环境中的角色。答案始终是相同的：作为安全人员，我们在这里帮助企业安全地部署和运行应用程序。我们的工作是在满足安全性，风险和合规性要求的同时，指导和培训组织的其他成员以最佳方式实现业务目标。

< ">那你怎么做呢？

< ">技术和文化对于组织的安全态势都很重要，并且可以相互促进。AWS是拥有强大的安全所有权文化的组织的一个很好的例子。所有客户都可以摆脱AWS的一件事：安全是每个人的工作。当您了快手短视频广告收费解了这一点之后，就可以轻松构建使适当的安全控制目标的配置和操作变为现实的机制。

< ">您构建的云环境在两个关键方面对实现该目标大有帮助。首先，它为平台上的人员提供护栏和自动指导。其次，它允许解决方案扩展。

< ">组织遇到的挑战之一是开发人员多于安全人员。由人类查看体系结构图执行的时间点风险和控制评估的传统方法无法扩展。您需要一种在不增加人员数量的情况下扩展知识和能力的方法。实现此目标的最佳方法是在构建和发布过程的早期尽可能多地进行整理。

< ">一种实现方法是自行将AWS平台作为产品运行。团队成员应该能够提交功能请求，并且应该对通过平台启用的功能进行度量。构建工作负载的团队可以从平台继承的安全能力越强，他们在工作负载级别上实施的次数就越少，他们花在产品功能上的时间就越多。总会有一些安全控制目标，这些目标只能通过特定配置在工作负载级别上实现；这应该建立在从云平台继承的内容之上。您的安全团队和其他团队需要共同努力，以确保云平台提供的功能可用来帮助人们安全地构建和发布。

< ">我们要强调的治理模型的一部分是平台启动的概念。治理模型的这一部分的思想是快速，一致地获得一组基线控制，这些控件使您能够在特定环境中安全地使用服务。一个很好的例子是使开发人员能够使用实验帐户评估服务。为了支持此过程，您不想花费很长时间为每种可能的结果构建控件。最好的方法是利用云平台提供的基础控件作为起点。诸如联合身份验证，日志记录和服务控制策略之类的内容可用于提供保护栏，使您能够快速使用服务。在评估服务时，

< ">AWS架构完善的框架

< ">您使用的云平台是许多安全控件的基础。这些联邦，日志记录，服务控制策略和自动响应的防护栏适用于所有类型的工作负载。AWS架构完善的框架中的安全性支柱基于其他风险管理和合规性框架，为您提供最佳实践，并帮助您评估架构。这些最佳实践是寻找在云中构建时应该做什么的好地方。类别（身份和访问管理，检测，基础架构保护，数据保护和事件响应）与在AWS中构建时要重点关注的最重要领域保持一致。

< ">例如，身份是云环境中的基础控件。AWS架构完善的安全性最佳实践之一是“依靠集中式身份提供商”。您可以为此目的使用AWS Single Sign-On（AWS SSO）或等效的集中式机制。如果集中您的身份提供者，则可以对用户执行身份生命周期管理，向他们提供对所需资源的访问权限，并支持在团队之间移动的用户。这可以适用于您的AWS环境中的多个AWS账户。AWS Organizations使用服务控制策略使您能够在特定环境中使用一部分AWS服务；这是以身份为中心的方式提供防护栏。

< ">除了联合用户外，在整个环境中启用日志记录和监视服务也很重要。这样，您可以在发生意外情况时生成事件，例如，用户试图调用AWS Key Management Service（AWS KMS）来解密他们应该访问的数据。安全地存储日志意味着您可以执行调查以确定可能遇到的任何问题的原因。使用Amazon GuardDuty和AWS CloudTrail并启用了一组AWS Config规则的AWS客户在构建应用程序时可以访问安全监控和日志记录功能。

< ">夹心蛋糕模型

< ">当您考虑云安全性时，我们发现将层蛋糕用作良好的心理模型很有用。蛋糕的基础是对AWS提供的线下功能的理解。这包括自助提供来自AWS Artifact的合规性文档，以及了解AWS共同责任模型。

< ">蛋糕的中间是基本控件，包括本文前面描述的控件。这是最重要的一层，因为它是控制最多的地方，因此对于安全团队来说是最大的价值。您可以将其描述为“一次解决，多次使用”的层。

< ">最重要的是应用程序专用层。该层包括更多与上下文相关的内容，例如某种类型的应用程序或数据分类的正确控制目标。中间层的工作有助于支持该层，因为中间层提供了使自动交付顶层功能更容易的机制。

< ">中间和顶层不仅是技术层。它们还包括方程式的人员和过程部分。正是该技术可以支持流程。

< ">要注意的一件事是，在允许企业使用服务之前，您不应该尝试定义服务的所有可能控件。利用组织中的各种环境（实验，开发，测试和生产），以最少的防护栏尽可能快地将服务提供给开发人员，以避免意外配置错误。然后，使用评估服务的时间与开发人员就控件实现进行协作。然后可以将控制实现滚动到蛋糕的中间层，并且服务可以被业务的其他部分采用。

< ">这也是应用实用威胁建模技术的理想时机，这样您就可以了解必须解决的威胁和风险。与您的企业合作以定义推荐的实施模式也有助于提供有关通常如何使用服务的上下文。这意味着您可以专注于最相关的控件。

< ">架构，平台或云卓越中心（CoE）团队可以在此阶段提供帮助。他们可能会快速确定AWS服务是否适合您组织的架构方向。这种快速分类有助于安全团队集中精力帮助企业安全地获得服务，而不会被视为阻碍采用。简化新服务使用的一种有效机制是确保积压的情况得到很好的传达，通常是在平台团队Wiki上进行。这有助于组织的安全和非安全部分将时间优先用于提供最大业务价值的服务。一致的开发方法意味着所使用的服务可能正在组织中的更多地方使用。

< ">简单性，指标和文化

< ">世界瞬息万变。您不仅可以定义安全状态和控制目标，然后再走开。推出了新的服务，这些服务使执行更复杂的事情变得更加容易，业务优先级发生了变化，并且威胁形势在不断发展。您如何跟上所有这些？

< ">答案是简单性，指标和文化的结合。

< ">简单很难，但很有用。例如，如果您有100个应用程序团队都以不同的方式构建，那么您必须确保明智地定义了许多不同的配置。理想情况下，您可以通过编程方式执行此操作，这意味着定义和维护该组安全控件的工作非常重要。如果您有100个应用程序团队仅使用10种主要模式，则构建控件会更容易。这具有减少操作结束时的复杂性的额外好处，这适用于日常操作和事件响应。控制环境的简化意味着您的监视变得不那么复杂，故障排除也更容易，并且人们有时间专注于开发新的控制或流程。

< ">指标很重要，因为您可以根据数据做出明智的决策。度量有用的一个很好的例子是打补丁。修补是改善安全状况的最简单方法之一。拥有补丁程序使用期限的度量标准（在该信息对您的环境最重要的位置）上显示，使您可以专注于最有价值的领域。例如，边缘边缘的基础架构比多层控件背后的基础架构更重要，以保持补丁状态。您应该修补所有内容，但需要在应用程序团队的构建和发布周期中使其变得容易。向团队和领导层公开指标可帮助您的组织从业务的高效领域中学习。这些团队可能定期满足修补要求，或者需要补救渗透测试结果的情况很少。有关控制有效性的度量标准和数据使您能够在内部和外部提供保证您已达到控制目标。

< ">这将我们带入文化。我们认为，将安全性作为促成因素是最重要的概念。您必须构建使组织中的人员能够最安全地选择安全配置或设计的功能。这就是安全性的作用。您还应该确保在出现问题时，您的安全团队与企业合作，以帮助所有人了解原因并为下一次改进。

< ">AWS具有一种对所有事物都使用故障单的文化。如果我们的员工认为他们有安全问题，我们会告诉他们开票；如果不确定他们是否存在安全问题，我们会告诉他们无论如何都要开票以获取指导。这种文化鼓励人们交流和帮助手段，以便我们尽早发现并解决问题。不那么认真思考的问题可以迅速降级。这种售票文化为我们提供了数据，以告知我们构建的内容，从而帮助人们更加安全。您可以在自己的环境中开始使用这样的系统，或者如果已经启动，则希望扩展功能。

< ">根据我们的建议，在您所有帐户中启用GuardDuty。我们建议将由此产生的高中警报发送到票务系统。查看如何解决这些问题，并使用它来确定接下来的两周工作的优先级。现在，您可以构建自动化以解决问题，更重要的是，可以构建以防止问题首先发生。问问自己，“我需要什么信息来诊断问题？”然后，构建自动化以丰富发现，以便您的票证具有该上下文。迭代自动化以了解上下文。例如，您可能希望包含信息以显示环境是生产环境还是非生产环境。

< ">请注意，在非生产环境中具有类似于生产的控件意味着您减少了部署失败的机会。它还使团队习惯于在安全护栏内工作。在此过程的早期，这增加了严格性，并且也可以帮助您的变更管理团队。

< ">摘要

< ">您使用什么安全框架或标准来告知业务都没有关系，甚至可能不符合特定的行业标准。重要的是建立一个治理模型，该模型使组织中的人员能够始终如一地做出良好的安全决策，并为安全团队提供实现此目标的能力。要开始或继续发展您的治理模型，请遵循AWS架构完善的安全最佳实践。然后，确保您实施的平台可帮助您实现基本的安全控制目标，以便您的企业可以将更多的时间花费在针对其工作负载的业务逻辑和安全配置上。

< ">您做出的技术和管理选择是建立积极的安全文化的第一步。安全是每个人的工作，并且是确保平台，自动化和指标支持使这项工作变得容易的关键。

< ">我们在这篇文章中讨论的重点领域是使安全成为业务的推动力，并最终帮助您更好地帮助客户并通过所做的一切赢得客户的信任。

保罗霍金斯

Paul帮助各种规模的客户了解如何考虑云安全性，以便他们可以构建将安全性作为业务推动力的技术和文化。他对安全性持乐观态度，并认为正确建立基础是改善安全性的关键。

麦迪培根

Maddie（她）是AWS Security的技术作家，热衷于创建有意义的内容。她之前曾在TechTarget担任安全记者和编辑，并拥有数学学士学位。在业余时间，她喜欢阅读，旅行以及哈利波特的所有事物。