原文
近年来，对智能安全解决方案的需求急剧上升。组织更关注云安全、数据保护与隐私，并希望确保敏感数据不会被黑客或其他网络犯罪分子泄露、截获或窃取。
云计算是企业上云的重要台阶，但随着云服务的广泛使用，需要云安全政策与框架。云安全趋势已从防御策略转向称为“左移”的主动策略，通过让开发与测试人员对各自编写或测试的代码承担更多问责，将更多责任前移到开发生命周期。DevSecOps 帮助团队将安全融入 SDLC（软件开发生命周期）。
什么是云安全？
DevOps 更侧重部署速度与快速迭代，但要应对攻击者对云环境 管理失当 及 SDLC 各阶段的威胁，似乎仍存在需要弥补的安全缺口。
若您希望参与云变革，云安全是关键议题。越来越多企业经历数字化转型，将传统的软件开发、数据存储与基础设施方式迁移到云。
左移范式是 DevOps 中在软件开发生命周期更早阶段处理安全问题的策略，已被证明能有效防止安全漏洞进入软件。
近期云安全报告与洞见
Fugue 与 Sonatype 设计的《2021 年云安全状况报告》收集了 300 名云工程师的回复，发现过去 12 个月中有 36% 的企业经历过严重的云安全数据泄露或入侵。
Netwrix 的云数据安全报告指出，54% 在云中存储客户数据的组织在过去 12 个月发生过安全事件。
OpsCompass 2021 年云安全态势管理报告指出，55% 的企业经历过数据泄露。
Cybersecurity Insiders 2021 年云安全报告发现，尽管云计算迅速普及，安全仍是大多数云客户的首要问题。
Aqua 的云安全报告指出，云错误配置已成为近期最大的痛点并带来巨大安全风险；报告显示，由于错误配置，90% 的企业易受安全入侵影响。
引领云安全的五大趋势
安全话题众多，但我们认为以下趋势正在引领云安全方向。
安全优先与左移：
将安全置于最高优先级带来了诸多降低安全风险的改进。今天鼓励开发者安全地编写与管理功能，左移安全已被证明能通过在开发生命周期极早阶段发现缺陷，缩短发布优质软件的时间。这样安全不再是事后考量，而是从代码到生产的必备环节。
默认让安全成为每个人的职责，已成为新的信条。
在 SDLC 中自动化安全：
拥抱 DevOps 意味着追求全程零接触自动化。安全自动化同样利用现代云原生 CI/CD 工具与工作流，在 SDLC 早期扫描并测试漏洞。
自动化确保安全无缝融入 SDLC，并有助于注入安全合规与治理流程，促使开发者默认落实安全。安全 SDLC 旨在遏制已部署软件与生产环境中的漏洞；在 SDLC 各阶段设置精细的安全检查点，可大幅降低缺陷进入生产的概率。
在云安全中运用 AI 与 ML：
AI 与 ML 在 DevSecOps 中的应用讨论很多，且确有依据。网络安全中较先进的一类用法是让 AI 系统遍历历史数据识别攻击模式；随着数据科学进步，ML 模型可提示安全团队存在缺口与可能被利用之处，使团队更早发现异常并修复。
AI 系统极擅长追踪并识别是否有外来身份进入系统，便于管理员、网络与安全团队阻断此类实体。许多云提供商正逐步采用并在基础云存储中提供此类能力。
RBAC 与身份安全：
企业如今将 RBAC 与身份安全管理作为网络安全政策的一部分。
基于角色的访问控制与身份安全是零信任的重要组成部分，确保仅有经授权的具体用户可访问工作负载与系统；RBAC 限制未授权实体访问。
由于在 RBAC 与身份安全中明确定义角色、预先批准的策略与权限，企业用此方法缓解来自外部的安全威胁。
通过 BYOK 加强安全：
随着关键业务应用上云，BYOK（自带密钥）对数据安全与隐私愈发重要。三大云服务商 Amazon Web Services (AWS)、Google Cloud Platform (GCP) 与 Microsoft Azure 均支持 BYOK 作为数据安全的一部分。
随着云普及，加密市场也在增长。
为确保坚实的合规、治理与内部安全，企业需要掌控加密密钥。BYOK 有助于降低安全风险，使企业在充分受益于云能力的同时掌控关键密钥。另一益处是客户不易陷入云厂商锁定；若无 BYOK，将数据从一云迁移至另一云往往繁琐且昂贵。
如何缓解云安全入侵？
传统部署应用时，您拥有整个数据中心与服务器并负全责；上云后则是您与云提供商的共同责任。因此重新思考各自安全职责至关重要。
以 PaaS 为例：您构建应用、将数据迁移上云并在云上运行应用；您负责保护应用、工作负载与数据，云提供商负责管理平台安全以保持合规与安全。
SolarWinds 等重大攻击后，企业更积极升级安全能力；拜登网络安全行政令也在软件公司中推动遵守其中安全标准。
以下为缓解云安全入侵时须牢记的要点：
通过访问控制与身份管理限制对最有价值数据的访问。
要求第三方厂商遵守贵司安全治理规则与政策。
采用多云策略，在降低厂商锁定风险的同时获得不同云提供商的益处。
在 SDLC 各阶段强制设置安全检查点，降低缺陷进入生产的概率。
使用现代 CI/CD 工具自动化构建并运行多项测试。
使用可靠的安全扫描与漏洞工具，在 SDLC 早期发现缺陷与许可违规。
运用 AI 与 ML 自动发现、报告并阻止未授权实体进入系统。
为员工定期开展安全培训并强制参加。
建立能快速响应攻击的安全响应团队。
实时监控应用、工作负载与环境以检测异常与潜在威胁。
部署日志管理工具，便于追溯系统错误原因。
云安全今日已居中心舞台；随着对 DevSecOps 关注日益增加，企业采用多种工具与技术缓解风险与攻击。每种热门云趋势都会吸引攻击者寻找机会，因此安全至关重要。例如，混合云与多云虽因诸多益处而流行，也带来多重安全威胁，强烈建议制定云安全策略。