什麼是雲端安全框架？

隨著我們在日常生活中持續擁抱科技，我們正穩步邁向一個依賴網際網路進行資料儲存與存取的數位世界。我們經常稱之為雲端的這項技術，是個人與專業環境中的重要組成部分。我們將關鍵資料託付給雲端，包括無價的家庭照片與重要的公司資料。然而，這些資料究竟有多安全，才是關鍵問題。這正是雲端安全發揮作用的地方。在網路威脅持續演變且日益複雜的時代，建立強健的雲端安全框架 至關重要。此類框架可作為保護敏感資訊並維護客戶信任的關鍵措施。

本文可作為簡明指南，介紹 雲端安全框架 的基本概念與考量事項。

什麼是雲端安全？

網路安全的一個分支稱為「雲端安全」，專注於保護雲端運算基礎架構。這包括在網頁型平台、基礎架構與應用程式中維護資料安全與隱私。雲端服務供應商與使用者，無論是個人、中小型企業或大型企業，都必須共同合作來保護這些系統。

雲端供應商透過持續運作的網際網路連線在其伺服器上託管服務。由於其公司仰賴消費者信任，因此會使用雲端安全技術來維持客戶資料的機密性與安全性。然而，客戶也需對雲端安全負擔部分責任。成功的 雲端安全解決方案 取決於對這兩個面向皆有扎實的理解。

雲端安全涵蓋多個面向，包括：

• 資料安全： 為了保護資料免於未經授權的存取、資料外洩 與資料遺失，必須實施包括加密、存取控制與資料分類在內的程序。組織可藉由使用這些方法來確保其資料安全且具機密性。
• IAM（身分與存取管理）：安全環境仰賴 IAM。最小權限原則與以角色為基礎的存取控制長期以來一直是存取控制實作的基石，而隨著雲端基礎架構部署日益普及，這一點如今更是如此。事實上，Azure 指出，由於身分識別控制誰可以存取哪些資源，雲端使用者應將身分識別視為主要的安全邊界。實作 MFA、管理密碼、建立與清除認證、以角色為基礎的存取控制、區隔環境，以及使用特權帳戶，都是 IAM 安全機制的範例。
• 保護雲端中的資料：為了保護您雲端中的資料，請考量所有狀態下的資料安全，包括靜態、傳輸中與儲存中的資料，以及由誰負責。共享責任模型如今規範了人們如何與雲端資源互動，以及由誰負責資料保護。雲端資料安全的兩個重要組成部分，是在 AWS、Azure 與 Google Cloud 中採用適當的加密與金鑰管理工具。
• 保護作業系統： 維護、適當設定與修補技術可提升您的雲端供應商所提供之任何作業系統的安全性。安排維護時段、持續符合系統組態需求，以及建立修補基準，都是雲端安全的重要要素，您的公司必須確實執行，尤其是在當前的網路威脅環境下，惡意個人與組織會迅速利用漏洞。
• 網路層保護：可透過網路保護資源，以防止未經授權的存取。由於這涉及對資源連線性的理解，網路安全可能是一項困難的工作。保護您組織的環境，取決於是否具備一套行動計畫，說明何處需要分段、將如何建立連線，以及如何持續維持網路整潔。
• 監控、警示、稽核軌跡，以及用於安全的 事件回應 for Security：若沒有良好的監控軟體，您將無法具備辨識安全事件或雲端基礎架構中任何異常狀況所需的知識。為了進行營運監督，實作監控是必要的。對於雲端營運而言，務必確保針對安全資訊、事件管理及適當的關聯技術評估正確的資料點。無論您選擇哪一家雲端供應商，都應善用監控與記錄工具，並啟用通知功能，以因應例如非預期的組態變更與驗證失敗等情況。

要實現有效的雲端安全，需要技術、流程與員工意識。客戶與 CSP（雲端服務供應商）都對資料安全負有責任。雙方各自扮演獨特角色。

什麼是雲端安全框架？

雲端安全框架是一組通用或特定的政策，用於支援使用雲端時的安全防護措施。其中概述了安全使用雲端所需的政策、工具、組態與指引。它們可能專注於特定產業，例如醫療保健業，或為各種安全計畫提供驗證與認證。整體而言，這些框架提供一套限制條件，並附有安全使用雲端的詳細說明。

雲端安全框架日益受到歡迎，這是有充分理由的。它們有助於雲端服務平台（CSP）向客戶傳達最佳實務，同時也為使用者提供保護其雲端使用的計畫。由於雲端系統規模龐大且複雜性呈指數成長，雲端從業人員在保護雲端環境時面臨艱鉅挑戰。雲端遷移快速且往往毫無預警地發生，進一步加劇了這些困難。

這些原則為客戶與服務供應商提供了負責任使用技術的方法，可降低財務損失、減少資料外洩，並確保資料完整性。採用雲端安全框架是一種主動式策略，可提升雲端運算環境的安全性，並使所有相關方受益。

雲端安全框架有何用途？

對許多遷移至雲端的企業而言，安全性往往是次要考量。由於缺乏傳統地端安全工具與流程的保護，企業如今容易受到雲端環境特有的風險與攻擊影響。

儘管許多企業已實作多種點狀解決方案來提升雲端安全，但這種拼湊式策略可能會大幅降低可視性，使建立穩固的安全態勢變得困難。

已遷移至雲端或正在遷移中的公司，需要制定專為雲端量身打造的完整安全計畫，並與更廣泛的企業安全計畫與解決方案整合。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

什麼是雲端安全框架架構？

雲端安全框架是一套策略、建議與政策的集合，企業可用來保護其在雲端中的資料與應用程式資源。

多種雲端安全框架涵蓋了不同的安全領域，包括治理、架構與管理標準。有些雲端安全框架適用於一般用途，但有些則更具產業特定性，例如醫療保健、國防與金融等產業所使用的框架。

此外，雲端系統可使用 COBIT 作為治理標準、ISO 27001 作為管理標準、SABSA 作為架構標準，以及 NIST 作為網路安全標準。根據企業的特定需求與情況，也有某些專門的安全框架，例如醫療保健產業使用的 HITRUST。

為確保雲端環境中的安全性所需的硬體、軟體與基礎架構，共同構成雲端安全架構。雲端安全架構有四個基本組成部分：

• 雲端治理：治理控制包括預先設定的控制措施，旨在確保私人資訊維持私密。治理涵蓋的一些廣泛主題包括資產管理、雲端策略與架構，以及財務控制。
• 錯誤組態與身分：由於雲端規模龐大，要跟上環境變更極具挑戰，因此錯誤組態經常發生。鑑於現今雲端環境中存在數百甚至數千個身分，一種常見的錯誤組態是賦予某個身分過多存取權限。這類錯誤組態散布於整個雲端中，是非常嚴重且經常未被察覺的風險。監控 root 帳戶、採用 MFA、使用以角色為基礎的存取控制、遵循最小權限原則，以及更多做法，都是最佳實務的例子。
• 持續監控：透過持續追蹤並記錄每一項活動，以記錄您環境中事件的誰、什麼、何時、何地與如何，持續監控旨在協助應對雲端的複雜特性。在所有資源上啟用記錄、設定指標與警報，以及管理弱點，都是一些最佳實務。
• 合規報告：最後，報告至關重要，因為它可提供近期與過往的合規證據。只有在稽核時，追蹤這些內容才會派上用場。

雲端安全框架架構為組織提供全面且結構化的雲端安全方法，使其能夠建立強大的安全態勢，並在雲端運算環境中有效管理風險。

雲端安全框架的類型

1. 控制框架

控制框架可作為為公司建立控制系統的概念基礎。透過以協調一致的方式運用實務與程序，這套控制措施旨在降低風險。由 Treadway Commission 的 Committee of Sponsoring Organizations (COSO) 所建立的 Integrated 結構，是最廣為人知的控制結構。根據此框架，內部控制是一種為下列三個類別之目標達成提供合理程度保證而建立的程序：

• 公司的營運成效與效率
• 公司財務報告的準確性
• 企業遵循相關規則與法規的情況

此框架納入以下概念：

• 內部控制是一種旨在服務企業需求的程序，而非其本身就是目的。
• 內部控制會受到公司各部門人員的影響；它不只是規則、法規與文書工作的集合。
• 內部控制只能為公司的管理階層與董事會提供合理程度的保證；無法提供完全保證。
• 內部控制旨在協助企業達成特定目標。

2. 計畫框架

雖然計畫框架比控制框架更難被接受與實作，但計畫框架確實具有明顯優勢。如果有人詢問，您會得到一套可展示的具體「計畫」，而且您可以用簡單直接的方式向領導層說明目前的安全狀況。就網路安全而言，我們經常在這方面有所不足。

為了確保計畫成功，以及正確建立並維持關係，自上而下掌握網路安全倡議的可視性至關重要。

NIST CSF 和 ISO 27001 是兩個常見計畫框架的例子。如果您正在閱讀本文，且對美國以外的事項有所疑慮，ISO 27001 通常會是您的首選計畫框架，因為它是全球公認的標準。您也可以在 ISO 27001 計畫下取得 ISMS，也就是資訊系統管理系統。重點在於 system，因為它就是如此

3. 風險框架

組織通常會在建立起控制框架與計畫框架經常提供的基礎後，決定需要以風險為基礎的安全框架。但為什麼呢？為什麼公司會採用以風險為基礎的策略，而這意味著龐大的財務投入？不僅採用困難，還有與風險型框架相關的較高管理成本？

原因在於問題的出現：其控制與計畫已發現大量、數百甚至數千個弱點、錯誤設定、缺口及其他問題。他們需要解決這個問題。以風險為基礎的框架就是答案，並將協助他們對其他計畫中發現的弱點進行排序。

像 ISO 27005 和 NIST 800-39 這類框架，提供了建立流程以管理風險所需的技術。NIST 800-39 之下的其他 Special Publications (SP) 包括 800-37（說明風險管理框架）以及 800-30（說明風險評估方法）。800-30 和 800-37 是 800-39 的子組成部分。

雲端安全框架範例

在選擇網路安全框架時，您有非常多樣的選擇。以下是目前業界公認較佳的一些框架。當然，您的決定將取決於公司的安全需求。

組織會尋求網路安全框架作為指引。適當的框架若能正確實作，便可讓 IT 安全專業人員為其組織管理網路風險。公司可以從零開始設計自己的框架，或修改現有框架。

以下列出幾個雲端安全框架範例：

• NIST 網路安全框架 (CSF)： 由美國國家標準暨技術研究院 (NIST) 制定，這個自願性框架可作為組織有效且主動管理與降低網路安全風險的寶貴資源。
• ISO/IEC 27002 和 27001： 這些廣泛認可的國際標準，建立了資訊安全管理系統 (ISMS) 的要求，並提供實作全面性安全控制的指引。

• 支付卡產業資料安全標準 (PCI DSS)： 此框架定義了相關要求，以確保涉及處理、傳輸或儲存此類資料的公司能安全處理信用卡資訊。
• 網際網路安全中心 (CIS) 控制項： 由 20 項安全控制組成，此框架提供可執行的措施，以降低常見且嚴重的網路攻擊。
• HITRUST CSF： 此全面性的安全框架專為醫療保健產業量身打造，使醫療保健組織能夠管理風險並達成法規遵循。
• 聯邦風險與授權管理計畫 (FedRAMP)： 此計畫在政府整體層級上建立，實作標準化方法，以對雲端產品與服務進行安全評估、授權與持續監控。
• 網路安全能力成熟度模型 (C2M2)： 此框架由能源部建立，透過提供結構化的評估與改進模型，協助組織評估並提升其網路安全能力。

這些框架各自服務於特定目的，並為組織提供寶貴指引，以改善其網路安全實務。選擇最合適的框架取決於組織的安全需求。

雲端安全框架與法規遵循框架之比較

雲端安全框架 與法規遵循框架的目的各不相同，但在網路安全領域中具有密切關係。

雲端安全框架

雲端安全框架類似於企業用來在雲端中保護其資料、應用程式和電腦系統安全的規則手冊。這些手冊提供逐步指引，用於找出並解決安全問題。它們特別重視遵循安全法規與法律，但比起只是遵守規則，更重視真正維持安全。其中一些規則手冊可協助企業符合特定的安全要求與法規；然而，並非所有手冊都包含這類規則的全部要求。

法規遵循框架

法規遵循框架類似一本組織完善的操作手冊，說明公司如何確保遵守所有適用於自身的規則、法律與特定要求。這本手冊明確規定公司必須遵循的標準，以及其如何建立內部流程與規則來遵守這些規定。

這類手冊可能涵蓋的主題包括：組織如何就遵循規則進行溝通、如何管理風險以維持在規則範圍內，以及如何確保公司中的每個人都在做正確的事。它也會指出不同法規之間可能相似之處，讓組織不必浪費時間重複處理相同內容。

雲端安全框架與法規遵循框架之間的關係

可以將雲端安全框架視為一套用於確保您的資料在雲端中安全的工具組。它為您提供保護資料與系統的規則和工具。另一方面，法規遵循框架則類似企業必須遵守的規則手冊。它們可能會指示您使用安全工具箱中的工具，以符合特定規則。

因此，法規遵循框架中的規定可能會說：「嘿，使用這些安全工具來確保您符合法律要求。」這些框架可作為檢查清單，以確保企業遵循其產業中的特定規範與法規。

結論

在本文中，您已了解雲端安全框架、其不同類型，以及它們為何有用等內容。

總而言之，建立雲端安全框架就像打造一座堅固堡壘，以防範駭客與資料外洩。這些框架也能協助企業取得遵循特定規則的認證。選擇採用框架需要時間與心力，但若執行得當，這會是一項值得的投資。框架提供明確的方法來維持安全，並讓您測試安全技術的有效性。