對安全的擔心是許多企業(yè)不愿意“邁向云端”的重要原因。由于云計算會引起操作模式的許多變化，所以企業(yè)在是否采用云的問題上保持謹慎是很正常的。

在數(shù)據(jù)從內部服務器遷移到云中之后，其遭受危害的問題似乎更嚴重了，而且數(shù)據(jù)訪問也移動化了。當然，公司和IT部門正努力減少云中數(shù)據(jù)的安全威脅。

1、知道數(shù)據(jù)在什么地方。

如果不知道數(shù)據(jù)在哪里，怎么保障其安全?當然，防火墻和入侵檢測和防御可以防止多數(shù)入侵者，數(shù)據(jù)加密也可以使數(shù)據(jù)更安全，但在你終止了服務時或在云供應商倒閉時，你能否知道數(shù)據(jù)存在于什么地方?能夠指向一臺機器并說出你的數(shù)據(jù)就在這臺計算機上，這對于保證云中數(shù)據(jù)安全性很有益處。專用硬件是使云計算服務能夠符合最嚴格的安全準則的一個關鍵。

2、經(jīng)常備份數(shù)據(jù)。

關于云計算，最容易被人忽視的一個方面是同時也是加強數(shù)據(jù)控制最簡單的一個方法是：不管發(fā)生什么，你都擁有數(shù)據(jù)的安全備份。擁有數(shù)據(jù)的完整備份不僅有助于保障數(shù)據(jù)安全，更主要的是使人安心。

3、要保證服務器或數(shù)據(jù)中心重視安全問題。

通過知道數(shù)據(jù)位于哪臺服務器或哪個數(shù)據(jù)中心，企業(yè)就可以探測和調查其已經(jīng)部署的所有可行的安全方法。企業(yè)可以看看其安全機制是否符合權威的安全認證。如果服務器或數(shù)據(jù)中心能夠提供可管理的服務，這也可以給企業(yè)增加很多好處和專門技術，從而使應用程序、數(shù)據(jù)、業(yè)務等更富有靈活性。例如，可管理的防火墻和可管理的入侵檢測等往往是由信譽良好的數(shù)據(jù)中心或云供應商等提供的，這種可管理的服務能夠為可管理的服務器增加安全措施。

4、從其它客戶得到參考意見。

企業(yè)存在疑問時，不妨問一下云供應商的其它客戶意見，特別是那些要求嚴格安全措施的客戶。例如，不妨問一下保險公司的意見。雖然參考他人的意見不能保證什么，但是如果使用相同供應商的其它公司和貴公司擁有類似的安全目標，這種參考就很有益處了。一定要盡可能地直接聯(lián)系這些客戶，看看這些公司使用云服務在做什么，看看他們采取了哪些安全措施。

5、反復測試

不要假設哪些是安全的。云中數(shù)據(jù)是否安全的唯一方法是測試。對于擁有高度敏感數(shù)據(jù)的公司來說，雇傭一位熟練的道德黑客測試自己的安全狀況是很重要的。漏洞掃描和評估無論在云中還是云外都至關重要。須知，如果你可以找到一種非授權訪問數(shù)據(jù)的方法，別人也能。

6、對靜態(tài)的、使用中的和傳輸?shù)臄?shù)據(jù)進行加密

加密被認為是任何重視安全意識企業(yè)的最佳方法，其性價比對于采用云計算的企業(yè)來說很有吸引力。企業(yè)運用了正確的加密技巧，可以使數(shù)據(jù)更安全且事半功倍。

當數(shù)據(jù)在云中、虛擬盤上、云中的數(shù)據(jù)庫中或在對象存儲中時，就容易被暴露。在數(shù)據(jù)傳輸過程中，如在從用戶的瀏覽器傳輸?shù)皆浦械姆掌鲿r，或在云服務器之間傳輸時，就有可能發(fā)生竊聽。真正可惡的黑客甚至有可能訪問云服務器的root賬戶，并在使用數(shù)據(jù)和進行計算時查看服務器的內存。企業(yè)應當清楚這些可能性，并選擇可以解決這些風險的解決方案。

7、定義安全責任

許多法規(guī)或規(guī)范(如PCI DSS)要求在多個點上加密數(shù)據(jù)。這意味著加密不是其它人(客戶、供應商、設備廠商等)問題，而是企業(yè)的問題。在數(shù)據(jù)安全問題上，不必過分依賴外部力量，必須學會“自己動手，豐衣足食”。

據(jù)調查，有許多公司甚至不知道自己的云服務器已經(jīng)被黑客攻擊了。在云加密問題上，企業(yè)必須負起責任，關鍵是定義哪些團隊應為數(shù)據(jù)的安全負責;在由于失誤造成企業(yè)的安全損失后，應該承擔什么責任等。

8、檢查云加密的各種選擇，選擇最強健的方案

正確地實施加密并不是一個輕松的事情。最佳的選擇是使用專家建議的方案。企業(yè)應檢查一下可用于云服務的加密方案。私有或公有云的選擇對于云加密方案的選擇起著重要作用。企業(yè)應確保使用最強健的加密標準，并經(jīng)常檢查。

9、為最糟糕的情況做好加密準備

為了防止外部黑客訪問企業(yè)數(shù)據(jù)，你可能已經(jīng)強化了服務器。但對內部雇員怎么辦?

企業(yè)應做好應對最壞情況的準備。對于已經(jīng)實施了強加密的數(shù)據(jù)來說，企業(yè)應僅允許有工作需要的人員訪問，而且要培訓這些雇員如何訪問加密數(shù)據(jù)，可以從什么地方訪問，并要求他們遵循安全規(guī)程。

不要忘了加密備份和快照。加密對于維護多個數(shù)據(jù)副本和備份來說，尤其重要。

10、保護密鑰

將密鑰交給安全廠商或云供應商就是向攻擊者提供目標。企業(yè)應使用最強健的加密密鑰技術，如同態(tài)密鑰管理來強化密鑰的安全。同態(tài)密鑰提供兩個密鑰，其中，加密主鑰交給應用程序或數(shù)據(jù)自身，在使用應用程序和數(shù)據(jù)的過程中仍能保持加密。即使加密主鑰失竊，非法用戶仍無法訪問數(shù)據(jù)。

數(shù)據(jù)加密是保護云數(shù)據(jù)安全的重要手段卻并非唯一手段，企業(yè)仍需強化其它方面。例如BYOD的使用可能給網(wǎng)絡和企業(yè)的數(shù)據(jù)帶來新的安全問題。實際上，將數(shù)據(jù)存在云中而不是存在雇員的設備中可以防止非法訪問。將云存儲、數(shù)據(jù)加密和網(wǎng)站安全手段結合起來，可以為企業(yè)防御網(wǎng)絡威脅構建強健的安全陣線。