云平台市场竞争非常激烈，初创公司不断涌现试图争夺现有供应商的市场份额。这种竞争推动着云服务提供商(CSP)努力添加新功能来区分自己，而可能以牺牲云安全为代价。
提出有关云安全的正确问题
消费者很自然会基于云计算功能来评估CSP，这意味着他们通常会向潜在提供商提出这些问题：
- 如何快速构建基于云计算的产品?
- 通过利用CSP，我可以节省多少成本?
- 哪个提供商提供最好的高可用性解决方案?
这些都是选择解决方案时的关键考虑因素。但是，基于最近数据泄露事故的数量，精明的客户应该重新思考他们应该如何选择CSP。
CSP必须能够确保云安全，最成功的的提供商应该能够很好地回答以下问题：
- 我的数据安全吗?
- 如果发生云服务安全泄露事故，会怎么样?
- 我如何知道我的云应用是否合规?
这些问题都是源于消费者对CSP如何管理关键业务资产缺乏认识。为了弥合这一差距，云服务提供商必须通过创建透明和开放的沟通来试图与消费者建立信任。
合规标准
首先，云服务提供商必须获得知名且可信的认证，例如ISO 27K。这些独立认证标志将让消费者确信提供商的IT安全级别。
CSP还应该考虑部署云计算合规举措，例如云安全联盟(CSA)安全信任和保证项目注册(STAR)--旨在公有云服务的可信缺乏问题。
提供透明度
随着企业越来越多地部署多云和混合模式，企业必须明确消费者、提供商及分包商的角色和责任。CSP应该采用协作的方法确保其所提供产品的整体安全性与合规性。
CSP还应该提供认证报告，例如美国注册会计师协会(CPA)的服务组织控制(SOC)报告。他们还应该与消费者共享事件响应计划。
审核框架
按照公认的安全标准进行时间点审计的传统方法可帮助消费者建立对CSP安全做法的信心。然而，云服务的动态性质将驱使消费者对提供的安全状态寻求更大的实时透明度。
CSP需要考虑提高消费者的可视性，同时，保护自己的知识产权与商业信誉。研究和云技术倡导组织定义了持续审计的框架，但这些框架需要CSP的参与才能获得成功。
云安全是CSP的有效区分因素。随着网络攻击数量和范围不断增加，对于CSP来说，解决客户的顾虑并采取必要的措施建立信任将变得更加重要。
本文作者：邹铮
来源：51CTO