云基础架构提供商的标准合规性和安全性

对于任何将工作负载和应用程序迁移到云端的企业来说，最重要的考虑事项之一是确保他们构建的云基础设施是安全的。对于许多企业来说，满足某些法规遵从性标准的需要不仅仅是遵守行业最佳实践，而且在特定情况下，这是法律所要求的。处理敏感的个人、财务和健康数据的企业必须验证他们是否有适当的控制措施来保护这些数据，无论这些数据是驻留在自己的内部数据中心还是云中，以及在传输过程中。

尽管从技术上讲，可以在不合规的基础架构之上构建安全的应用程序，但对于客户而言，这样做是不切实际的。结果，对于云基础架构提供商而言，与其客户一样，标准合规性也是一个大问题。实际上，对于大多数企业而言，遵守安全标准是云供应商选择过程中的必要先决条件。

有许多合规标准，如支付卡行业数据安全标准（PCI DSS）、ISO/IEC 27001:2013、HITRUST和SOC 2。PCI DSS，由支付卡行业定义，用于保证信用卡信息的安全。PCI需要对持卡人数据的传输进行加密，并使用防火墙来保护它。任何传输、存储、处理或接受信用卡数据的业务，无论其大小或处理量如何，都必须符合PCI标准。ISO27001是一个更通用的数据安全国际标准。HITRUST旨在确保企业能够根据HIPAA法规安全地处理医疗保健信息。对于所有云服务提供商来说，最常见的遵从性标准可能是soc2。SOC 2信任服务标准概述了一个控制需求框架，可应用于在云中存储客户数据的所有企业，包括所有SaaS和IaaS公司，以及使用云存储自己客户信息的企业。

客户应期望其云基础设施提供商提供其年度SOC 2类型2审计报告（应由独立的第三方审计公司编制）以供审查。SOC 2第2类审计是对客户数据的安全性、可用性、保密性和隐私性的控制措施的运行有效性进行的综合评估。在对云服务提供商进行风险评估时，他们为客户提供了有价值的信息。SoC 2审计报告可以向客户保证云基础设施供应商为业务关键应用提供了安全、标准兼容和安全的基础。

除了为云基础架构提供商及其客户提供有关安全控制实施的通用语言和理解之外，标准合规性还被视为企业内部安全文化的指示。实际上，某些不需要遵循特定标准（例如PCI）的客户可能仍会要求它（或实现它的路线图），因为它说明了基础架构提供商的运营效率。

云安全方程式的另一个关键方面是了解共享责任模型。云基础架构提供商通常会明确说明他们负责总体安全框架的哪些方面以及客户必须自己管理的那些方面。一般而言，基础架构提供商负责保护基础架构本身，包括构成托管平台的人员，硬件，软件，网络和物理设施。客户通常负责保护自己的环境，包括来宾操作系统，应用程序和数据。例如，基础架构提供商通常负责为托管云平台的系统和应用实施身份管理，而他们的客户将负责在其云环境中为系统和应用程序实施身份管理。对于客户来说，了解他们的责任从哪里开始以及基础架构提供商的终点很重要，以防止可能导致漏洞的任何差距。

兼容的基础架构使客户更容易构建符合相同标准的安全应用程序。基础设施提供商可以通过自己遵守法规来简化其法规遵从流程，这不仅使数字世界更加安全，而且还可以提供竞争优势。

企业通常会花费大量时间，精力和金钱来实现其自己的应用程序，网络和内部部署基础结构中的标准合规性。对于从事特定行业（例如金融服务）的企业而言，保持符合PCI DSS等标准的负担甚至可能成为云迁移的障碍（以及性能，规模和业务敏捷性的相关优势）。通过提供标准合规性，云基础架构提供商可以降低风险并简化客户迁移到云的过程。