#1.了解共同責任模型
雲端運算的主要賣點之一是它允許組織將其 IT 基礎架構的部分責任外包給雲端服務供應商。 然而，雲端提供者並未對其客戶的基礎架構或保護其安全承擔全部責任。
對雲端共享責任模式的清晰理解是雲端資安策略的重要基礎。 責任共擔模式分解了雲端供應商和客戶之間針對各種雲端服務模式的責任，例如基礎設施即服務（基礎架構式服務）、平台即服務（PaaS）和軟體即服務（SaaS）。 了解模型及其分配給客戶的職責使組織能夠制定策略來履行其職責。
#2.採用零信任控制
零信任安全模型旨在限制組織的網路安全風險。 在零信任模型下，所有使用者和裝置都被視為潛在威脅，並且經過驗證的使用者的每個存取請求都會根據基於角色的存取控制和環境因素進行獨立評估。
採用基於雲端的基礎設施擴大了組織的攻擊面，而雲端的獨特性質意味著基於雲端的基礎設施比本地資源更容易受到外部威脅。 採用和實施零信任安全模型有助於透過降低入侵的可能性和影響來改善網路安全風險。
＃3。優化正常運作時間和效能
影子 IT 是許多組織面臨的問題。 造成這種情況的最常見原因是企業服務無法滿足員工的需求，因此他們尋找替代方案和解決方法，使他們能夠有效地完成工作。 然而，這些替代方案往往也會使公司面臨風險。
最大限度地降低影子 IT 風險的一種方法是努力消除導致員工尋求替代方案的痛點。 優化雲端服務的效能和正常運行時間有助於確保員工獲得順暢的體驗，從而無需尋找更可用但安全性較低的替代方案。
＃4。承認可見性和可觀察性的重要性
在雲端中很難實現可見性。 雲端服務供應商控制底層基礎設施，因此無法在雲端資料中心內部署安全設備。
可見性和可觀察性在雲端環境中與在本地環境中同樣重要。 雲端資安的一個重要面向是在組織的整個 IT 生態系統中實現一致的可見性。 這需要部署為本地和雲端環境提供支援的安全解決方案。
＃5。制定安全態勢和治理策略
隨著遷移到雲端，組織面臨網路攻擊並面臨網路威脅。 防範這些威脅需要明確定義的安全策略。
制定此策略的第一步是確定組織的目標安全態勢和治理要求。 從那裡，公司可以致力於開發並實施策略和安全控制，例如雲端資安態勢管理(CSPM) 解決方案，該解決方案可以在雲端以及本地環境中實現這些目標。
＃6。執行一致的安全策略
保護雲端的安全性可能比本地網路的安全更加困難。 在雲端中，公司缺乏對底層基礎設施的控制，這意味著設計滿足其需求的網路和部署安全設備更加困難。
然而，儘管存在這些困難，在組織的整個 IT 生態系統（包括本地環境和基於雲端的環境）中創建和實施一致的安全策略仍然至關重要。 在現代企業中，本地環境和雲端部署緊密相連。 如果公司未能在整個環境中一致地加強安全性，攻擊者就可以利用公司網路某一部分的安全漏洞進行初始訪問，然後利用其與本地或其他雲端環境的連接橫向移動並訪問其他公司 IT資產。
#7.實現合規與監理要求
大多數公司需要遵守至少一項或可能多項法規。 近年來， PCI-DSS和 HIPAA 等現有法規隨著越來越多旨在保護某些類型敏感資料的新要求（GDPR、CCPA、CMMC 等）而增強。
在大多數情況下，受這些法規保護的資料在組織的基於雲端的基礎設施上儲存、處理或傳輸。 這些雲端部署也在合規審計範圍內，必須滿足合規要求。
通常，合規性要求將決定組織使用的雲端基礎設施的選擇，例如公有雲或私有雲。 此外，公司必須確定並實施保護雲端中和本地資料所需的安全控制（加密、存取控制等）。
＃8。部署集中式身分管理
擴展到雲端會為組織的 IT 基礎架構帶來極大的複雜性。 通常，公司採用多雲端基礎設施以及來自不同供應商的解決方案。 企業還可以部署不同服務模式下的雲端解決方案，例如軟體即服務、PaaS、基礎架構式服務等。
隨著這種額外的複雜性，需要在所有這些新服務中管理使用者的身分。 集中式身分識別管理對於雲端資安至關重要，因為它允許公司確保正確配置和取消配置使用者帳戶，並根據需要更新權限。 強制使用者對每項服務進行單獨身份驗證會降低可用性，並增加濫用過多權限的風險。
＃9。確保基礎設施安全
由於雲端服務供應商和雲端客戶之間的關係，雲端中的基礎設施安全性變得複雜。 正如雲端共享責任模型所概述的那樣，根據所選的雲端服務模型（軟體即服務、PaaS、基礎架構式服務等），雲端客戶對其雲端中的基礎設施承擔不同程度的責任。
也就是說，保護雲端中的基礎設施對於保護其上建置的服務至關重要。 除了根據責任共擔模型管理其控制下的基礎設施層級之外，公司還應該考慮保護網路並選擇最適合其安全要求的雲端平台。 在某些情況下，安全策略和監管要求可能會強制要求使用私有或混合雲端模型，而不是公有雲端，因為能夠更好地控制對底層基礎設施的存取。
＃10。 使用強大的網路控制
雲端基礎設施可直接從公共互聯網訪問，並位於傳統網路邊界之外。 此外，基於雲端的服務通常與其他雲端環境和本地系統進行通訊。 這使得公司更難限制對基於雲端的資源的訪問，並使強大的雲端網路安全控制變得至關重要。
雲端網路應根據各種雲端資源的用途、風險等級和敏感度進行分段。 透過實施網路分段，組織不僅能夠監控、檢查和實施安全控制，不僅可以對南北向流量進行監控，還可以對網段之間的東西向流量進行監控、檢查和實施安全控制。 這種更精細的可見性和安全實施對於零信任安全策略至關重要，並使公司能夠區分對其網路的風險和潛在入侵。
＃11。 保護工作負載
公司越來越多地採用基於雲端的工作負載，以充分利用雲端的潛力和優勢。 無伺服器和容器化應用程式通常比傳統應用程式更加敏捷和可擴展，使它們更適合快速的開發營運開發週期。
這些雲端工作負載具有獨特的安全需求，傳統的內建雲端資安解決方案可能無法滿足這些需求。 作為雲端資安策略的一部分，公司必須部署應用程式安全解決方案，以提供雲端工作負載所需的精細可見性和安全性。
＃12。 防止警報疲勞
大多數企業安全營運中心 (SOC)都被來自其安全解決方案陣列的警報淹沒。 企業平均每天收到 10,000 個警報，遠遠超出了 SOC 團隊分類、調查和回應的能力。 結果，真正的威脅被淹沒在噪音中，並且由於 SOC 分析師將時間浪費在處理誤報檢測上，其他重要工作也被擱置。
隨著遷移到雲端，企業安全基礎架構可能會變得更加複雜，導致警報量進一步增加。 確保公司能夠保持安全可見性並保護自己免受網路威脅，需要刻意努力管理警報量。 透過選擇使用人工智慧和預防性控制來最大限度地減少誤報警報的整合安全解決方案，組織可以確保警報量保持可控，並且分析師的工作重點放在可以為企業提供最大利益的地方。
＃13。 利用雲端智慧、取證和威脅追蹤
大多數雲端資安控制都是保護性和偵探性的，旨在幫助防止威脅或在威脅進入網路後進行偵測。 然而，這些控制措施提供的保護並不完善，還需要透過更主動的安全措施來增強。
響應式和主動式雲端資安都需要存取有關威脅的高品質資訊以及即時回應這些威脅的能力。 因此，威脅情資源和自動化是雲端資安策略的重要組成部分。 自動威脅偵測和回應系統可以取得日誌資料和威脅情報，並採取措施預防、補救或隔離對組織的潛在威脅。
威脅情報和自動化也支援主動和人為驅動的安全工作，例如威脅搜尋和取證調查。 自動收集和處理整個 IT 環境中的數據的能力為威脅追蹤者和調查人員提供了寶貴的背景信息，並實現了更快速、可擴展和可持續的威脅檢測和響應。
反映意見