RichardA.Spires是Learning Tree國際公司首席執行官，美國國土安全部和美國國稅局前任首席信息官。

作為一名前首席信息官，Spires已經(jīng)看到了云計算的顯著(zhù)好處，既可以通過(guò)基礎設施即服務(wù)(IaaS)和平臺即服務(wù)(PaaS)交付模型來(lái)實(shí)現按需計算的杠桿作用，也可以實(shí)現使用軟件即服務(wù)(SaaS)應用程序。尤其是，基于SaaS的應用程序越來(lái)越成為組織可以快速輕松地利用新應用程序的方式。這正推動(dòng)著(zhù)巨大的增長(cháng)，美國在《創(chuàng )新天使榜》有超過(guò)11,000家SaaS初創(chuàng )公司，而idc公司預測，到2019年，基于SaaS的市場(chǎng)將超過(guò)1,120億美元。

IT組織需要開(kāi)發(fā)一種綜合方法來(lái)解決依賴(lài)于第三方計算和應用程序帶來(lái)的安全挑戰。
盡管云計算和SaaS業(yè)務(wù)模型可以使IT組織降低基礎設施成本，并提高支持客戶(hù)的敏捷性，但同時(shí)也增加了處理IT安全性的復雜性。IT組織不僅放棄了對某些IT基礎設施的控制和可視性，以達到利用基于SaaS的應用程序的程度，而且還讓第三方存儲和控制敏感數據。不久之前，IT安全人員將致力于保護組織的IT范圍;使用當今的新計算和服務(wù)模型，必須承認傳統的邊界已不存在，或者如果邊界確實(shí)存在，則可能包括保護許多第三方云服務(wù)和SaaS應用程序提供者。
Spires認為SaaS安全性是雙重挑戰。首先，關(guān)于使用第三方IT云服務(wù)提供商(以包括更多傳統的外包數據中心服務(wù))，組織需要確信這些提供商正在實(shí)施應匹配(或至少與之相似)的適當安全控制。他們將在自己的數據中心和網(wǎng)絡(luò )中實(shí)施什么。這些控制范圍從人員的物理訪(fǎng)問(wèn)，到包括用于系統管理訪(fǎng)問(wèn)的身份管理和適當的網(wǎng)絡(luò )加密。許多非營(yíng)利組織一直在為行業(yè)標準化這些控制措施。值得注意的是，云安全聯(lián)盟開(kāi)發(fā)了Cloud Controls Matrix(CCM)，這是專(zhuān)門(mén)為云計算設計的安全控制框架。利用Cloud Controls Matrix，云安全聯(lián)盟為云計算服務(wù)提供商開(kāi)發(fā)了審核、認證和注冊計劃，稱(chēng)為安全、信任和保證注冊(STAR)。在類(lèi)似的模型中，美國聯(lián)邦政府開(kāi)發(fā)了FedRAMP計劃，這是一種云計算服務(wù)提供商可以滿(mǎn)足NIST800-53安全控制套件所定義的三個(gè)不同級別上的最低安全控制要求的方法。
但是，即使IT安全經(jīng)理相信底層云計算服務(wù)提供商的控制套件，對于組織利用SaaS應用程序的情況又如何呢?在這種情況下，敏感數據很可能將由第三方存儲和控制，并由組織的客戶(hù)或合作伙伴使用，以使數據永遠不會(huì )與組織的網(wǎng)絡(luò )，防火墻或任何其他安全設備或過(guò)程控制接觸由組織。作為首席信息官和首席信息安全官，這種情況令人擔憂(yōu)，因為SaaS應用程序對應用程序及其數據的安全性幾乎沒(méi)有可見(jiàn)性和控制力。因此，第二個(gè)挑戰是如何將組織的安全策略和控制擴展到公共云和SaaS應用程序。
這項挑戰引起了所謂的云訪(fǎng)問(wèn)安全代理(CASB)的關(guān)注，這些產(chǎn)品充當位于企業(yè)內部或云中并在組織與云計算服務(wù)提供商之間邏輯地存在以提供一系列服務(wù)的安全實(shí)施點(diǎn)。其中包括身份驗證和授權、設備配置文件、應用程序白名單、加密、警報、惡意軟件檢測等。云訪(fǎng)問(wèn)安全代理(CASB)市場(chǎng)中的一些領(lǐng)先供應商包括Bitglass、Forcepoint、Cloudlock/Cisco和Skyhigh Networks。云訪(fǎng)問(wèn)安全代理(CASB)解決方案的使用迅速增長(cháng)，據Gartner公司的調查報告，到2020年，將有85%的大型組織使用云訪(fǎng)問(wèn)安全代理(CASB)解決方案，而2015年這一比例不到5%。
從積極的方面來(lái)看，云訪(fǎng)問(wèn)安全代理(CASB)供應商具有強大的功能，正在填補市場(chǎng)空白。但是，作為一名前首席信息官，Spires對如何通過(guò)繼續添加工具，然后在內部進(jìn)行集成以解決企業(yè)IT安全性挑戰感到困惑。很少看到這種策略能很好地工作。因此，Spires支持以下觀(guān)點(diǎn)：應對企業(yè)IT安全挑戰的優(yōu)秀方法是使用IT安全平臺，該平臺可提供一系列功能來(lái)幫助防止(必要時(shí))發(fā)現企業(yè)中的漏洞。在這個(gè)市場(chǎng)上，Palo Alto Networks，Cisco和Check Point Software提供了集成的平臺解決方案。
作為平臺價(jià)值的一個(gè)示例，Palo Alto Networks公司最近將其平臺功能擴展到了云計算解決方案和SaaS應用程序中。特別有趣的(并且在操作上很有吸引力)的是，Spires可以為某種數據類(lèi)型設置其安全控制(例如，根據數據的敏感度來(lái)定制控制)，而Palo Alto Networks公司技術(shù)使其能夠在其整個(gè)平臺上實(shí)施這些策略，無(wú)論該數據駐留在自己的數據中心，外包數據中心還是公共云中的SaaS應用程序中。這顯著(zhù)簡(jiǎn)化了整個(gè)企業(yè)中安全策略的管理，并提供了高級威脅防護。此外，網(wǎng)絡(luò )攻擊者使用的一種日益增長(cháng)的攻擊目的是通過(guò)基于SaaS的應用程序通過(guò)惡意軟件感染用戶(hù)，因為攻擊者知道大多數組織都無(wú)法像使用內部基于應用程序的方式那樣監視這些SaaS應用程序。這些平臺的關(guān)鍵組成部分是能夠將威脅檢測和防御功能引入IT基礎設施和應用程序的各個(gè)方面的能力，包括駐留在云中的那些方面。
基于SaaS的應用程序的使用正成為為組織快速交付新功能的首選方法。需求來(lái)自業(yè)務(wù)用戶(hù)，因此，IT組織必須接受并計劃SaaS的數量和用途的持續擴展。因此，即使用戶(hù)和數據可能永遠不會(huì )穿越組織的網(wǎng)絡(luò )或數據中心，IT組織也需要開(kāi)發(fā)一種綜合方法來(lái)解決依賴(lài)于第三方計算和應用程序帶來(lái)的安全挑戰。