雲端安全政策：前 6 大政策

您是否擔心雲端上的網路安全攻擊？您可能會驚訝地發現，雲端安全政策或許正是保護您組織所需的關鍵。雲端安全政策可協助您了解自身安全態勢的確切位置。  永遠都會有需要您處理的缺口，而我們許多人並未意識到這些缺口。  單一資料外洩事件就會導致信任大幅流失，並帶來高達數百萬甚至數十億美元的罰款。

良好的雲端安全政策可保護您的組織；確保您的資料受到保護、妥善處理並受到控管。本指南將涵蓋建立雲端安全政策所需了解的一切。我們也將檢視如何管理、維護及納入這些政策。

什麼是雲端安全政策？ 

雲端安全政策是一套準則，用於定義您的公司如何在雲端生態系中運作。至少可以說，它們是所有與 Cloud Security 相關之安全決策與策略的基礎。雲端運算安全政策概述了管理與使用雲端服務及應用程式的流程。 

為什麼雲端安全政策很重要？ 

雲端安全政策著重於貴組織的內部運作。它將回應其需求與目標，並為您的員工與 IT 人員提供指引。良好的雲端安全政策可為做出關鍵安全決策提供穩固的框架，並與公司的長期願景與目標保持一致。雲端安全政策會為各種應用程式與服務的使用設定基準。它們可以描述或定義如何處理大量敏感資訊，並保護組織免於資料外洩。

雲端安全政策與標準有何不同？ 

雲端安全政策與標準之間的主要差異在於，標準必須被強制執行。標準不是可選項，而雲端安全政策則是。是否需要雲端安全政策，取決於組織自行決定。內部安全專業人員負責建立與實施雲端安全政策，而全球性組織與主管機關則要求企業強制執行雲端安全標準。

您必須避免將標準的制定外包給第三方或員工。 雲端安全標準 由公認機構制定，並在全球廣泛接受。這些標準是用來建立保護雲端環境基準的規則、最佳實務與指引。政府機構與部門也會制定雲端安全標準。CIS benchmark 就是一個很好的例子。 

醫療保健或金融等特定產業對於資料保護有嚴格規範。雲端安全政策可確保公司遵循最新標準，並避免法律問題，以免聲譽受損。雲端安全政策與標準之間的另一個差異在於其詳細程度。標準是管理風險並確保雲端基礎架構正確設定的基本準則。標準無法自訂，但雲端安全政策可以。政策可量身打造，以符合組織的獨特需求。雲端安全政策定義可接受的行為，且不考量各種安全工作流程。

相較之下，標準在彈性或容忍程度上，可能與雲端安全政策所展現的不同。組織可能需要遵循額外步驟，才能符合雲端安全標準。若未達成，可能會面臨後果；但若組織未遵循其雲端安全政策，則仍可進行改善、恢復狀況，或之後再補上。

雲端安全政策的關鍵組成要素

以下是建立雲端安全政策範本時涉及的關鍵組成要素： 

1. 目的與範圍

雲端安全政策範本的第一個組成部分是其目的與範圍。目的說明為保護整個雲端生態系中的資料與資源而必須實施的安全作法。其確保敏感資料資產的機密性、完整性與可用性，並確保符合相關法規。範圍涵蓋受保護的雲端資產程度，包括資料、應用程式、基礎架構與服務。其也將此涵蓋範圍延伸至存取或處理雲端服務的員工、承包商及第三方服務供應商。

2. 角色與職責

建立完善雲端安全政策的下一個組成要素，是設定明確的角色與職責。這些角色說明由誰負責實施、維護與管理這些政策。雲端安全政策中的角色包括安全主管、IT 與安全團隊主管、系統管理員、資料擁有者以及終端使用者。

3. 資料分類 

資料分類會將雲端資料加以分類，並判定不同資料需求所需的保護等級。雲端安全政策可將資料分類為兩種不同類型：公開、內部、機密和敏感。資料的敏感性也由資料分類與控制機制決定。資料控制措施也會根據這些分類來定義存取權限。以角色為基礎的存取控制（RBAC）屬於此存取控制元件。它會限制使用者與雲端資源之間共用的存取角色與責任。它可確保只有已獲授權存取雲端資產的人員，才擁有執行其工作所需的權限。它也會概述驗證需求，並強制要求在雲端帳戶上實作多重要素驗證、追蹤使用者活動，以及定期檢視存取權限。制定資料傳輸政策也是此元件的一部分，可確保資料在傳輸中與靜態時的安全性。

4. 資料加密

資料加密 制定了對敏感資料進行加密與解密的安全協定。它可以遮蔽資料，使其在傳輸過程中即使遭到攔截，也無法被未經授權的實體解讀。每一項良好的雲端安全政策都會定義可接受的加密標準等級。它也應說明在資料備份、復原或外洩期間，如何處理已加密的資料。

5. 事件回應規劃

事件回應規劃 概述組織在安全事件發生時如何處理。它說明公司在緊急情況下應採取哪些步驟。它如何偵測損害？如何通報這些事件？它可以如何迅速行動、解決問題，並防止情況進一步升級？事件回應與通報會處理並涵蓋所有這些事項。其目標是將損害降到最低，並在事件後進行檢討，以防止未來再次發生事件。

6. 合規與稽核

雲端安全政策中的合規與稽核章節，概述雲端稽核的範圍與頻率，並記錄為解決任何合規缺口所需的矯正措施。合規標準包括 HIPAA、ISO 27001、NIST 等框架。持續性的合規監控與報告也是其中一部分。大多數雲端合規要求都需要定期對雲端基礎架構進行稽核。

CNAPP Market Guide

Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.

Read Guide

常見的雲端安全政策有哪些？

以下是組織最常見的雲端安全政策類型：

• 資料保護政策： 隨著雲端採用率提升，資料應受到妥善保護。此政策控管我們如何分類、儲存及保護資訊。它包含加密與金鑰管理標準，以維持機密性與完整性。
• 存取控制政策： 存取控制決定誰可以存取哪些資源，以及原因為何。套用最小權限等原則，可確保只有經授權的人員能管理關鍵資源，從而降低非故意或惡意存取所帶來的風險。
• 事件回應政策： 網路事件無可避免。此政策概述清楚的路徑，用於偵測、分析及遏制威脅，同時快速復原並從事件中學習，以降低其影響並防止未來再次遭到入侵。
• 身分與驗證政策： 合法存取至關重要。您將在此了解如何驗證使用者、裝置與系統。此政策將指引您在允許存取關鍵雲端資源之前確認身分，並防止未經授權的使用。
• 網路安全政策： 此政策定義了設計安全性、防火牆、VPN 與威脅偵測，以維持穩定且可信賴的連線能力，並保護跨越地端、混合式與雲端環境之網路中的傳輸中資料。
• 災難復原與營運持續政策： 當災難來襲時，無論是來自網路攻擊或颶風，此政策都能透過優先處理備份、定義角色並定期測試計畫，確保服務快速恢復，讓計畫保持完善且可靠。

如何有效執行雲端安全政策？

若要有效實施並執行雲端安全政策，您應該這麼做：

• 了解您的組織在產業或利基市場中的定位。向您的團隊（以及您自己）說明您希望達成的目標。您必須評估自己是否需要雲端安全政策。如果您正在撰寫文件，請先說明該政策的目的為何。
• 定義您的法規要求，並確認哪些合規標準適用於您的組織。並非所有合規標準都相同，這點很重要。理想情況下，您雲端安全的所有部分都應符合並滿足您的法規要求。
• 在仔細規劃基本事項後，擬定良好的政策撰寫策略。取得高階管理層與利害關係人的核准。為實施您的政策撰寫策略設定時程與里程碑。定期舉行管理諮詢，並納入法務與人資團隊成員的意見。
• 檢視您的雲端安全服務供應商，並確認您正在與哪些對象合作。了解您正在使用的內容以及您所在地區的服務類型。規劃核心重點領域，並調查您的 CSP 所提供的安全功能。
• 記錄您目前雲端安全政策所涵蓋的資料類型。請為您的資料類型納入子類別（例如客戶資料、財務資訊、員工資料，以及任何其他專有資料）。這些資料將隨您的日常工作負載一同處理。請根據不同的敏感度與風險等級，為這些資料類型排定優先順序。在指派角色與職責之前，請先聚焦於您的資料價值與暴露程度。
• 記錄您的資料保護標準，並概述其執行方式。您的雲端安全架構應包含實體安全措施、技術控制，以及與行動安全相關的特殊規則。它也應包含與存取管理、網路分段、端點防護、惡意軟體管理、資料與裝置竊盜防護，以及安全資料作業環境相關的控制與規範。
• 如需其他雲端安全服務，請概述如何為 CSP 進行精確風險評估的相關資訊。您的員工也應知道誰有權新增或移除這些服務。
• 規劃災難復原，並寫下您的雲端安全政策範本所涵蓋的威脅。記錄貴公司將如何處理資料外洩、系統中斷，以及大規模資料洩漏或遺失。同時，建立雲端資料稽核與執行規則。
• 在您的利害關係人與管理階層核准雲端安全政策後，還有一個步驟。這就是我們所稱的發布。在此步驟中，您會讓所有雲端使用者（無論是公開或私有）都能存取您的政策。他們會逐條檢視、逐節閱讀，並徹底了解您的政策內容。範本範例將提供清楚的結構，供所有人遵循。它將被納入您的工作場所。如果需要任何變更，您的團隊與員工將提出申請。若有強而有力的證據支持這些變更，且獲得足夠票數，則可能需要修訂該政策。

更新與修訂雲端安全政策的步驟

以下是您更新與修訂雲端安全政策時需要遵循的步驟：

• 稽核您現有的政策。看看哪些有效、哪些無效。如果有任何內容已過時，就將其移除。與 IT、安全與法規遵循領域的利害關係人合作。與您的雲端服務供應商互動，了解其新功能與建議的安全控制。
• 讓您的雲端安全政策與最新法規標準及產業最佳實務保持一致。NIST CSF 2.0 與 ISO/IEC 27017 指南比以往任何時候都更具相關性；它們提供有關以雲端為中心之控制細節的指引。更新您的政策，使其納入新的攻擊向量。這些可能包括新興勒索軟體變種、針對容器協調平台的攻擊、瞄準 API 端點的零時差漏洞，以及更多。 
• 整合即時威脅情報來源，以據此推動政策變更。
• 完成更新後，請測試並驗證您的雲端安全政策。執行演練與入侵模擬演習，並讓人員在受控環境中對這些政策提出挑戰。這將確保當攻擊是真實的（而非模擬）時，您的政策確實有效且不會失效。

適用於混合與多雲環境的雲端安全政策

大多數組織會在 AWS、Azure 和 Google Cloud 之間協調工作負載。有效的雲端安全政策必須包含與供應商無關的基礎控制措施，並保有彈性。混合式部署要求對內部部署與雲端中的敏感工作負載之安全協定進行謹慎同步。請確保分段、網路微邊界，以及統一記錄實務能夠彌合本地與雲端環境之間的落差。目標是無縫整合您的安全控制措施，而不是建立會造成盲點或缺口的拼湊式架構。

實作雲端安全政策的常見挑戰

即使是設計最完善的政策，在實作時也可能遇到阻礙。其中一項挑戰是組織阻力：IT 與 DevOps 團隊將新政策視為繁文縟節，而非安全創新的促進因素。 

您可以透過在 DevSecOps 流程早期納入這些團隊，並向他們展示這些政策如何與業務目標一致，來克服這個問題。另一項挑戰是威脅態勢持續演變。六個月前仍有效的政策，今天可能已顯得過時。持續學習與靈活性是關鍵。

政策混淆是許多公司需要協助解決的另一個問題。團隊經常倉促行事，可能未閱讀政策或遺漏關鍵步驟。投資於安全意識訓練計畫可將這些風險降到最低。您也需要適當的工具來執行政策。良好的安全工作流程自動化、監控與整合式威脅情報，可將您沉寂的指示轉化為主動防護。

建立雲端安全政策的最佳實務

以下是建立雲端安全政策的一些最佳實務：

• 從清楚與簡潔開始。讀起來像法律制式條文的政策會令人挫折，並容易導致誤解。使用每個人都能理解的簡單語言，但仍保留必要的技術參與，並讓所有相關利害關係人參與其中，包括安全專業人員、雲端架構師、法律顧問與業務線經理，以確保政策反映安全要求與營運現實。
• 將您的政策歸類到明確的標題之下：資料分類與存取控制、網路安全控制、事件回應程序，以及法規遵循標準。多寫「為什麼」，少寫「做什麼」。如果人們聽到這項活動背後的理由，他們會對政策更感興趣。 
• 考慮將您的政策與可衡量的指標連結。每月偵測並封鎖未經授權存取的頻率是多少？加密標準是否一致套用於所有資料位置？請定期監控所有這些指標，以判斷您的政策運作得如何。 
• 將您的雲端安全政策視為活文件，而非紙上文件。透過開發與改進，您將確保它們持續成為對抗不斷變化威脅的強大嚇阻力量。

企業雲端安全政策範例

一家中型金融服務公司可能會在其雲端環境中要求嚴格的資料加密政策。例如，所有儲存在 Amazon S3 儲存貯體中的客戶財務記錄，至少必須以 AES-256 加密。醫療保健提供者可能會要求所有 PHI 僅能存放於符合 HIPAA 要求的指定雲端區域，且嚴格控制進出流量，只允許往返受控的一組 IP 位址。

對於跨國零售商而言，調適型 IAM 政策可能會對使用雲端管理主控台的員工強制執行多重要素驗證，並將管理作業嚴格限制在特定的「維護時段」內。這些範例說明如何根據各組織的法規遵循需求，以及營運與安全因素來量身打造政策。

Cloud Security Demo

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

我們可以看到，雲端安全政策不再只是附加項目，而是安全且值得信賴的雲端營運之基礎構成要素。這些政策必須在混合雲與多雲環境中定期更新，並由適當的工具提供支援。雲端安全政策將使組織在面對新興威脅時具備韌性。最重要的是，您可以安心確信您的雲端資產已獲得妥善保護、安全敏捷性得以維持，且您的雲端資產版圖可獲得完整涵蓋。