中國云安全資源池創(chuàng )新洞察

傳統的安全保護手段注重外圍防護，多數安全工具獨立工作，無(wú)法滿(mǎn)足當今企業(yè)的安全需要。隨著(zhù)數字化程度的日益提高和云采用的不斷增多，企業(yè)機構正在尋求以更加靈活、敏捷的方式部署安全能力。

云安全資源池可以提供一整套集成的安全能力，但采購集成解決方案雖然便利，卻帶來(lái)了供應商鎖定的風(fēng)險。因此，安全和風(fēng)險管理（SRM）領(lǐng)導者在做出采購決策前，須對選擇單一解決方案供應商的收益和風(fēng)險進(jìn)行全面評估。

什么是云安全資源池

云安全資源池是一個(gè)基于軟件的集成的安全工具集，具備統一管理、統一監控、編排和自動(dòng)化，以及合規能力。資源池集成了廠(chǎng)商自身生態(tài)系統的各種安全工具，并開(kāi)放第三方安全工具的集成，提供了與云服務(wù)資源類(lèi)似、可按需獲取和彈性使用的安全資源。

這些安全工具包括防火墻（FW）、Web應用和API保護（WAAP）、漏洞管理（VM）、云工作負載保護平臺（CWPP）、云安全態(tài)勢管理（CSPM），以及容器和Kubernetes安全工具等。這些必要的核心能力為云安全資源池和以這些能力為支撐的安全工具奠定了基礎。

雖然云安全資源池大都部署在本地，但不少安全廠(chǎng)商也提供各類(lèi)其他選擇。多數云安全資源池以虛擬/物理方式部署，或以軟件和服務(wù)一樣的方式來(lái)獲取。在選擇部署模式時(shí)，要始終銘記，由于安全資源池的關(guān)鍵性，需要時(shí)刻保持其可用和災難恢復能力（見(jiàn)圖1）。

圖1：云安全資源池部署模式

收益、用途及風(fēng)險

使用安全資源池可以帶來(lái)許多收益，如：

·       通過(guò)統一的安全平臺簡(jiǎn)化安全管理流程

·       減少產(chǎn)品集成風(fēng)險

·       提高效率，縮小技能差距

·       節約成本

·       提供一站式運維支持

·       提高合規性

同時(shí)，云安全資源池也對許多行業(yè)具體應用場(chǎng)景提供了支持。對政府而言，云安全資源池為數量不斷增加的政務(wù)云提供合規的安全能力；對于金融行業(yè)，由于中國的金融機構有著(zhù)嚴格的監管，采用云安全資源池能夠在符合監管要求的前提下，對金融機構的私有云提供保護；而對云服務(wù)提供商，使用云安全資源池，為云提供保護，并創(chuàng )建云安全服務(wù)。云安全資源池可滿(mǎn)足等保和其他法規提出的監管要求，例如租戶(hù)隔離等。

而使用云資源池并非毫無(wú)風(fēng)險，最值得關(guān)注的問(wèn)題就是供應商鎖定。雖然云安全資源池可以與各類(lèi)安全工具集成，但這些工具都是由廠(chǎng)商本身的工具生態(tài)系統或合作伙伴提供的，與其他廠(chǎng)商的安全產(chǎn)品集成需要進(jìn)行測試，可能還需要與產(chǎn)品開(kāi)發(fā)團隊合作。

同時(shí)，無(wú)論采用何種部署方式，云安全資源池都需要與云技術(shù)集成才能使用，而目前對于集成并沒(méi)有規定相關(guān)的標準。因此，如果所選擇的云安全資源池無(wú)法證明可以與企業(yè)正在使用的云技術(shù)成功集成，就可能帶來(lái)風(fēng)險。

另外，在云外部署云安全資源池會(huì )產(chǎn)生延遲和吞吐量瓶頸。

由于云安全資源池與同一家供應商的多個(gè)安全工具集成，無(wú)法對所有工具進(jìn)行測試，因而難以確保所有工具都符合要求。為減少風(fēng)險，企業(yè)必須針對不同場(chǎng)景提前與供應商協(xié)商并明確折扣和責任：

·    需要第三方解決方案，且需要安全資源池廠(chǎng)商提供集成和測試支持。

·    當云戰略發(fā)生變化或當前的云戰略無(wú)法滿(mǎn)足需求時(shí)，不再需要使用云安全池產(chǎn)品。

·    未來(lái)不需要某一特定工具或組件，并希望將該工具或組件從現有的產(chǎn)品套裝中剔除。

·    需要云安全資源池廠(chǎng)商提供附加工具或組件。

如果云安全資源池無(wú)法滿(mǎn)足企業(yè)需求時(shí)，企業(yè)可以嘗試其他替代方案。長(cháng)期看來(lái)，企業(yè)機構必須了解新型的網(wǎng)絡(luò )安全網(wǎng)格架構，并著(zhù)手進(jìn)行規劃。Gartner客戶(hù)可在The Future of Security Architecture: Cybersecurity Mesh Architecture [CSMA] 報告全文中獲得更詳細的分析。