数据困境：云采用和风险现状报告
作者 |晶颜
全球疫情大流行促使组织迅速开启数字化转型旅程，而云无疑是这一切的中心。组织纷纷调整自己的技术、基础设施和软件，以适应现代混合办公需求，包括云应用程序的扩展、不断增长的远程劳动力、无数的设备和用户，以及越来越严格的监管和合规要求。
安全公司Skyhigh发布的《数据困境：云采用和风险现状报告》关注的主要是数据，因为数据困境依然存在。从本质上讲，安全是一个数据保护问题，很难保护无处不在（在设备结构、网络、云应用程序、基础设施和用户之间）的数据。简单地说，数据不再仅仅是一个端点。它在公司网络之外，这就造成了安全漏洞。组织经常面临着控制数据使用方式的挑战，无论其来源如何。
更糟糕的是，云应用程序采用率飙升、影子IT和各种经济因素正在增加问题的复杂性。云服务已经取代了许多以前在本地运行的应用程序，这意味着更多的敏感数据正在迁移到云上。而且，随着越来越多的设备接入云，大家长期以来所依赖的传统解决方案已经失去了用处。
任何安全专家都会告诉你，保护数据的工作并没有变得更容易。为了向远程工作人员提供安全和高效的用户体验，组织需要了解他们的数据在哪里以及如何共享。采用零信任架构是朝着这个方向迈出的关键一步。我们希望这份报告能帮助组织更全面地了解这一点，并帮助组织更好地制定云数据保护策略。
| 重要发现 |
自2019年的研究以来，我们看到云服务的采用越来越多。与此同时，组织必须应对新的安全挑战；
75%的受访者经历过网络安全漏洞、数据威胁和/或被盗，这表明他们需要更强有力的安全控制来阻止漏洞和攻击对他们的影响；
企业平均将61%的敏感数据存储在公共云中；
75%的组织承认影子IT削弱了他们保护数据安全的能力；
只有42%的影子IT用户使用云访问安全代理（CASB）来监控未经授权的云使用；
当审视私有云时，问题变得更加明显，遇到挑战的组织比例从2019年的82%增长至2022年的97%。
| 不断变化的场景 |
在过去的几年里，公共云的使用有了很大的飞跃。2019年，在我们调查的组织中，平均有20个公共云服务在使用。到2022年，这一数字已攀升至30，平均增长50%。这主要是由于疫情导致人们需要在家工作，以及从任何地方访问数据，因此越来越多的组织开始依赖于云。
【在使用的公共云服务平均数量】
Microsoft 365应用程序的使用就是一个例子。例如，Microsoft Teams会议的采用率从2020年到2021年在全球范围内增加了一倍多，这可能是由于从现场工作到混合工作的转变。这也意味着更多的数据被共享：41%的组织报告称他们正在使用Microsoft 365来存储电子邮件和/或文件。
从安全的角度来看，组织不仅需要知道数据的去向，以保护它，而且还需要知道数据的去向，以防止它被泄露。
| 云安全挑战 |
尽管云计算有诸多优势，但企业仍在与安全性作斗争。对于那些使用软件即服务（SaaS）的企业来说，与2019年（分别为23%和17%）相比，更多的企业报告了针对其云应用程序提供商的高级威胁和攻击（28%），以及无法阻止恶意内部盗窃或数据滥用（23%）。缺乏对数据的可见性和对数据去向的控制也是一个日益严重的问题，28%的组织报告称对应用程序中包含的数据缺乏可见性（高于2019年的22%）。
私有云中的安全性更令人担忧。遭遇此类挑战的组织比例从2019年的82%上升到2022年的97%，上升了15个百分点。与公共云一样，这些问题源于不一致的安全控制和缺乏可见性。这表明需要将安全控制整合到一个整体解决方案中，以便运营和安全团队可以对整个云原生环境具有广泛的可见性和控制。
【遇到私有云问题的组织的平均数量】
此外，38%的组织表示，远程/混合工作人员在使用VPN时遇到了延迟或带宽问题。这给用户生产力和IT排除故障并改善正常运行时间带来了额外的压力。
| 保护云中数据是优先事项 |
更复杂的是，公共云中的敏感数据平均增长了13%，从2019年的48%增长到2022年的61%。从客户和员工的个人信息到知识产权和网络密码，这些数据的失窃可能会损害公司的声誉和运行能力，并因未能保护数据而导致巨额监管和合规罚款。而且，随着公共云的安全问题日益严重，数据窃贼无疑渴望利用这种情况。
【公共云服务中存储的敏感信息类型】
这就可以解释为什么37%的组织不相信公共云可以保护他们的敏感数据安全。私有云提供商也存在类似的问题，26%的组织（相比之下，2019年只有9%）不相信他们的敏感数据在这些平台上受到保护。我们大胆地推测，疫情期间和之后远程工作的转变在这方面发挥了作用：组织必须迅速采取行动，将应用程序转移到私有云上——现在他们可能要面对后果了。
还有一个因素也增加了人们对公共云数据安全的担忧：越来越多的组织允许员工使用个人设备访问公共云中的数据。此外，十分之六的组织允许员工将敏感数据下载到个人设备上，这增加了另一层风险。
有趣的是，93%的组织表示，他们的IT部门已经控制了从个人设备上传到云端的敏感数据，这表明他们确实有适当的控制措施，或者更糟的是，他们存在没有意识到的安全缺口。
| 控制数据在所有应用程序中的使用方式 |
现代化和优化云中的数据管理和安全性以与业务目标保持一致，并不是一项简单的任务。为了实现这一共同目标，团队合作至关重要。
但我们的调查结果显示并非如此。平均超过一半的SaaS服务是在没有IT参与的情况下委托的。这一趋势在所有地区都是一致的。为什么这一点值得关注？业务决策者通常缺乏安全方面的专业知识，而那些不涉及IT的决策者可能会将他们的组织置于风险之中。
【由IT以外的部门委托且没有IT部门直接参与的SaaS服务平均百分比】
更糟糕的是，受访者表示，他们对平均46%的SaaS服务缺乏可视性，这些服务是在没有IT参与的情况下委托的。这与他们在世界上的哪个地方无关，因为这是一个在所有地区都存在的问题。缺乏这种可见性，数据丢失预防几乎是不可能的，使组织面临更大的未经授权访问风险。
但是影子IT已经存在了一段时间，而且没有证据表明它会很快消失。报告称，影子IT削弱其保护数据安全能力的组织增加了25%，从2019年的50%增加到2022年的75%。这让组织越来越意识到影子IT对数据安全的负面影响。这也表明了对公共云使用的高需求正在危及现有的数据安全系统。
| IT部门采取多种方法 |
显然，数据丢失是企业日益关注的一个严重问题。监控非IT批准的云使用以保护数据是至关重要的。有几种解决方案：CASB解决方案（42%的组织使用）和安全Web网关（SWG）（28%的组织使用）。
这些解决方案的主要好处是，它们增加了一个急需的安全层，并通过自动化流程减轻了IT的负担。
【用于监控非IT批准的云使用的CASB解决方案】
一旦影子IT被发现，23%的组织使用数据丢失防护（DLP）和加密等方法来保持云服务的安全，这与组织用于与安全服务边缘（SSE）框架保持一致的保护方法一致。
一些公司（17%）甚至阻止访问未经授权的云服务，这有助于减少影子IT，但如果员工无法访问他们工作所需的信息，可能会影响生产力。同样令人不安的是，有19%的人继续只是监控使用情况，根本不采取任何行动。简单地坐着、观察和等待并不是值得推荐的安全解决方案。
【IT部门在发现影子IT后采取的保护云服务的一些方法】
| 展望未来 |
我们的研究结果表明，组织认为保护云中的数据平均而言是两个角色的共同责任。虽然这在某种程度上可能是正确的，但许多组织可能会认为是其他人在处理这个问题。
但当敏感数据的安全受到威胁时，这可能是一个危险且可能是错误的假设。拥有明确的所有权可以实现更好的数据治理和控制，因为这意味着每个人都了解他们在保护云数据方面的角色。
【负责保护云中的数据的部门】
云计算的一大优点是可扩展性和容量。正因为如此，在云中存储和共享的敏感数据的数量、速度和复杂性都在飙升，部分原因是远程工作的增加。正如我们所指出的，组织平均将61%的敏感数据存储在云中。
这意味着保护数据正成为一项复杂的挑战。从管理员的角度来看，86%的人认为云安全可以更简单。这种情绪的背后是什么？很可能组织正在努力获得对正在发生的事情的高级视图，特别是在使用多种安全工具的情况下。
而且，从用户体验的角度来看，79%的人承认它可以更简单，这可能是由于混合工作环境中VPN使用增加带来的延迟和带宽问题。自动化和集成应用程序为用户和管理员提供了更简单、更无缝的体验，可能是克服这些问题并跟上对云服务不断增长的需求的答案。
【75%的组织至少经历过其中一种威胁】
先进的集成解决方案可以帮助组织更有效和高效地管理云安全。它们还可以帮助最小化网络安全风险。我们发现，大多数组织都至少遭遇过一次网络安全漏洞（90%）、网络安全威胁（89%）和/或数据被盗（80%）。不幸的是，对一些人来说，这种情况已经发生了不止一次。由于这些问题中的许多都与云安全有关，这些事件可能会在未来继续发生，因此实施正确的控制比以往任何时候都更加重要。
好消息是，遭受这些攻击的组织意识到，他们需要做更多的工作来避免未来的攻击。超过一半的组织计划在网络安全方面投入更多，这表明他们目前的投资无法处理保持数据安全的复杂性。许多组织都着眼于开发灾难恢复和采用零信任安全以防止数据丢失。
| 结语 |
无论您的组织是100%远程、混合还是现场工作环境，在云中共享数据都将继续呈指数级增长。云安全需要与时俱进，以应对监测和控制数据流的复杂性，以及影子IT等持续存在的挑战。安全供应商认识到安全是数据保护问题，并通过创建复杂的点解决方案来保护数据，无论数据位于何处。
但如今，数据无处不在。这意味着组织必须将这些不同的技术结合在一起，以产生一个全面的解决方案。我们已经看到，组织开始采取主动措施，通过分层使用额外的安全工具来保护云中的数据。例如，他们通过实施CASB（42%）和web网关（28%）来监控非IT批准的云使用情况，一旦发现影子IT，他们就会通过DLP和加密（23%）等其他措施来保护云服务。
虽然这表明朝着正确的方向迈出了一步，但这种零碎的、未集成的方法会导致安全漏洞、控制和策略的不一致应用以及管理复杂性，给已经不堪重负的安全团队增加了负担。
有一种更好的方法：一种自上而下的方法，专注于数据本身，而不是传统的自下而上的过程，即从数据的存储位置开始。通过将零信任原则扩展到如何使用数据而不是如何访问数据，这从根本上简化了数据安全性。
推荐使用SSE解决方案，该解决方案可以保护数据，并在网络、云（SaaS）和平台即服务（PaaS）以及私人应用程序中应用一致的控制和策略，可以从任何地方、任何应用程序和任何设备中使用。此外，建议考虑一个单一供应商的解决方案，将所有安全服务（包括SWG、CASB、零信任网络访问和云原生应用程序保护）融合到一个统一的、集中管理的平台中，以提高效率和可扩展性。
原文链接：
精彩推荐