CapitalOne的数据泄露凸显了IT领导者迫切需要纠正错误配置。专家说，这就是云安全态势管理技术和其他安全工具发挥作用的地方。安全漏洞问题已经引起越来越多的组织对新兴安全软件感兴趣。例如，云安全状态管理(CSPM)技术可以搜索云计算环境并提醒员工注意配置问题和合规风险，其中大部分是由人为错误引起的。2019年，金融服务提供商CapitalOne发生重大数据泄露事件，当时一名AWS员工启用了配置错误的Web应用程序防火墙(WAF)，该防火墙作为一项服务托管在AWS云平台上。公司的一部分，导致大量客户数据泄露。2018年沃尔玛和GoDaddy使用的AWS存储实例泄露了大量数据，因为其他人可以通过AWS存储实例访问全球互联网上的数据。云平台配置错误据研究公司Gartner的分析师尼尔·麦克唐纳(NeilMacDonald)称，大多数企业CIO在调查中表示，他们的数据在云计算提供商的云平台中更安全，但由于人为错误和网络攻击导致许多企业的数据泄露给外界。事实上，据Gartner称，到2025年，99%的云安全故障将是客户自己的错。“他们最担心的是一些内部员工犯了错误，他们的数据被泄露了，”MacDonald说。LandO'Lakes首席安全官TonyTaylor表示，例如，由于DevOps的最后期限，许多公司的开发工作都面临压力。人们急于启动新的虚拟机，无意中暴露了他们的网络。常见的错误配置会暴露可通过全球互联网访问的云存储文件夹和数据传输协议，以及具有过多访问权限的用户帐户。此前，工作人员通过人工检查或编写自动化脚本进行检测来发现此类漏洞。审视云计算安全现状MacDonald表示，由于云平台的高度自动化和用户自助服务（例如，基础设施即服务和平台即服务），适当的重要性突出显示了云配置和合规性。Gartner建议企业通过投资云安全态势管理(CSPM)来解决风险，CSPM是为软件即服务(SaaS)实施而设计的云访问安全代理软件(CASB)的扩展。安全、合规和治理政策。Taylor表示，LandO'Lakes正在使用云访问安全代理软件(CASB)和云安全状态管理(CSPM)软件来了解向谁提供了数千个帐户、每个用户拥有什么权限以及与谁共享什么。数据，以及该公司的MicrosoftOffice365和Azure云软件的其他功能。McAfeeInc.的MVISIONCloud软件可以识别错误，例如端口和数据库中的错误配置和未加密的技术服务，以及不符合州和联邦隐私法的系统。它还会自动提醒安全人员注意异常情况，例如可疑访问。这种保护功能对于关注根据国家隐私法（例如《加州消费者隐私法案》和《通用数据隐私条例》）保护个人信息的企业来说至关重要。“在我们采用云安全工具之前，我们对安全状况没有很好的了解，”泰勒说。云中的“侧窗”McAfee云计算高级副总裁RajivGupta指出，确保云计算环境的安全具有挑战性，因为与内部部署技术不同，企业围绕内部部署技术设置防火墙和其他边界保护设施，由于云计算的多租户架构，来自多个客户的数据通常驻留在同一台计算机上，每个客户可以使用不同的资源。Gupta指出，云计算环境已成倍地扩大了网络犯罪分子寻找漏洞以泄露数据的范围。可以肯定的是，这些漏洞也出现在本地基础设施中，但其中仍然存在许多错误配置。“有了云计算服务，旧的安全措施就消失了，”他说。此外，随着时间的推移，开发人员在启动新服务器、打开新端口和获得更高权限时会无意中创建漏洞。古普塔说，这种“配置偏差”削弱了安全态势。当开发人员使用API将第三方应用程序（例如商业智能工具）连接到他们的云计算服务时，事情会变得更加复杂。在许多企业不知情的情况下，第三方服务复制了所有数据。许多公司没有意识到他们在数据泄露之前已经创建了这个“侧窗”。“问题变得复杂，因为云原生组件之间存在复杂性和侧窗，”Gupta说。“CIO对云安全的看法CapitalOne公司的数据泄露给人们敲响了警钟，很多CIO都认同这一观点。新泽西运输公司CIOLookmanFazal认为，与任何新兴技术一样，云计算技术呈现出一种CIO的风险回报情景。当他考虑将他的业务转移到云端时，Fazal探索是否可以在他自己的数据中心复制AWS的99.9%正常运行时间，以匹配其事件安全响应率，但答案是否定的。Fazal说，“AWS云平台的正常运行时间和安全关键绩效指标（KPI）较好。“此外，相比于发生宕机时故障转移到内部数据中心的成本，AWS云平台提供新泽西交通的容灾服务，迁移到云平台的成本也低很多，这使得NJTransitCompanies可以将本地数据中心的计算资源运行成本降低200万美元。84LumberCIOPaulYater表示，选择合适的云计算提供商对企业也至关重要。作为客户，这是IT领导者的责任确保正确的检查点和审计协议到位。“企业不能假设他们做的每件事都是正确的，”亚特谈到云计算提供商时说。相反，云提供商需要被视为其IT组织的扩展，以便他们对相同级别的安全负责。“保护云计算服务的提示”IT领导者提供了一些与云计算提供商合作以确保安全的提示。云平台LandO'Lakes公司Taylor表示，rm安全至关重要。在开发商推出云计算服务之前，客户必须首先执行政策和程序。IT领导者必须修复云计算环境中的任何漏洞，确保数据不泄露，并建立稳健的DevSecOps模型。亚特指出，云计算供应商需要盈利，企业需要云计算供应商展示PEN（渗透）测试，并跟踪和查询他们的防火墙、传感器和其他监控网络连接之间流量的工具。此外，确保他们制定了正确的数据保留政策来保护业务运营。每个人，古普塔说每个人都有责任。安全应该在“责任共担”模式的背景下实施，在这种模式下，企业和云计算供应商将尽自己的一份力量来保护自己和用户的数据。古普塔说，“人们需要理解维护模型责任的含义。”
