糟糕的云安全状况必须是投资或迁移到云计算的组织的首要问题。由于其规模经济和易用性，组织已迅速接受云计算。外包所需的基础设施要容易得多，尤其是在多租户环境和难以为自己的基础设施融资的中端市场企业中。然而，安全已成为云平台的一项不堪重负的任务。使用云计算就像将您的房门钥匙留在门垫下一样。企业不仅外包基础设施，还外包保护敏感数据和文件的加密密钥。谁有权访问加密密钥？这个问题的答案决定了你的数据在云端是否安全。除非您对加密密钥拥有独占控制权，否则您可能会面临风险。不幸的是，云计算并非如此，这也是人们不断收到抱歉的电子邮件通知他们数据已泄露的原因之一。每个云计算服务和软件即服务提供商都代表着大范围的威胁，因此是一个有趣的目标。随着企业将一切都转移到云端，您如何让密钥管理发挥作用？这是一个需要解决的挑战。钥匙在哪里？云计算解决方案中最简单的概念是多租户——应用程序、数据库、文件和托管在云中的所有其他内容。许多组织认为他们需要多租户解决方案。这是最简单的概念，因为很容易理解如何将内部基础设施可视化为云计算实例。但是，使用三种常见的基于云的选项中的任何一种将密钥管理系统(KMS)迁移到云端都会带来重大风险。CloudKMS（企业拥有密钥，但它们存储在云软件中）：基于软件的多租户云KMS特别不适合加密密钥管理。由于硬件资源在多个客户端之间共享，因此在保护这些密钥时存在更高级别的不安全性，正如Spectre和Meltdown漏洞所证明的那样。外包KMS（云提供商拥有密钥）：云提供商表示所有数据和文件都是安全和加密的。这很好，除非提供商的账户凭证被黑客攻击（就像Uber对AWS所做的那样）。企业的文件可能是加密的，但如果加密密钥与加密密钥一起存储，黑客也可以解密所有内容，前提是他们也可以访问企业的密钥。CloudHSM（企业拥有密钥，但它们存储在云硬件中）：这是保护加密密钥的理想解决方案，即安全加密处理器——硬件安全模块(HSM)和可信平台模块(TPM)。虽然使用基于云的HSM或TPM可以减轻一些风险，但事实仍然是，在云中，即使使用安全加密处理器的应用程序仍然是多租户基础设施的一部分。在专用硬件加密处理器或在多租户环境中运行的应用程序之间，从黑客的角度来看，应用程序总是更容易成为黑客的目标。了解法律使用下一代防火墙和其他保护措施的边界安全是必要的，云计算提供商可以提供它。但保护敏感数据和文件（业务的核心要素）免遭破坏需要使用基本的“加密密钥管理法”进行加密：加密密钥必须由单个组织内的多个密钥保管人独家控制。加密密钥必须在安全加密处理器(HSM/TPM)的控制下受到保护。使用加密处理程序处理敏感数据的应用程序部分不得在公共多租户环境中执行。不仅敏感数据在多租户环境中不受保护，而且用于向加密处理器验证应用程序的秘密也是如此。虽然法律是件好事，但不幸的是，没有满足这些基本要求的公共云。将安全性完全交给云计算提供商的组织可能需要担心其业务的安全性。博士学位不需要工程学士学位来开发更安全的云解决方案：将企业的敏感数据和文件存储在云中，而在公共云之外的受控环境中，由企业自己的安全加密处理器保护保留对加密密钥。使用这个框架，即使黑客瞄准了云计算服务提供商的云平台，黑客也无法得到任何东西，因为他们只能在没有密钥的情况下访问加密信息。在保持数据保护的同时仍然可以实现云计算的优势。这使企业能够证明遵守数据安全法规，同时尽可能利用云计算（私有或公共）。云安全状况不佳必须是投资或迁移到云计算的组织的首要任务。即使云计算应用程序使用的数据是加密的，加密密钥也是真实的。不仅信息需要保持安全，而且密钥也需要保持安全。鉴于云环境的现实，中型组织将通过采用企业级工具和实践来确保他们拥有更强的安全性。企业不应假设云计算提供商正在保护他们的数据。相反，假设情况并非如此，并找到应用加密密钥管理法则的解决方案，以在云中实现更安全的未来。
