SMB云安全手册

这款中小型企业（SMB）Cloud Security Playbook中的第一条规则是，我们要赢得它。 不能过得去，或者节省足够的零用钱来买咖啡，或者跟着人群走。 这是关于将公司提升到一个新的水平，同时节省资金和增强安全性。 如果您不期望从迁移到云中获得所有这些好处，那么您就错了。

迁移到云计算具有战略意义并且有利可图。 不要将迁移到云计算视为事后的想法。 聘请经验丰富的优秀工人，而不是兼职实习生。

无论您的主要业务是汽车部件，活动计划乃至计算机软件，本手册的目标都是帮助您专注于中心愿景。 在很大程度上，计算机操作只是一种干扰。 现在，IT调配已经足够常规，您最好将其信任给外部供应商，而不要让您自己的员工尝试全部完成。 有了正确的云选择，您的组织将节省资本支出，获得运营安全性并变得更加敏捷和响应。

认识自己的机会

公司应该关注云安全性。 Anthem，Ashley Madison，CVS，Experian，Scottrade，Target和Trump Hotel Collection等公司最近数据泄露的直接和间接损失令人震惊。 失败并不是由云漏洞造成的； 它们是公司内部基本政策和执行力的崩溃。

“云”涵盖了众多产品。 对于一家公司而言，采用简单的在线服务以网络工具代替工人的考勤卡可能会改变游戏规则。 另一家公司可能会决定，它需要的只是一个完整的数据中心即服务（DCaaS），通过桌面即服务（DaaS）进行访问并通过灾难恢复即服务（ DRaaS），一切都移到了本地。 第三家公司可能会完全跳入云中，但在物理位置上符合法律法规的私人公司。

这些示例之间的云安全性细节将有所不同，但是许多基本原理是相同的：

1.为每个员工提供自己的登录名。

2.创建员工离职时退休帐户的标准程序。

3.提供有关备份访问和云支持的书面管理员说明。

4.在紧急情况发生之前，在您的组织和云安全供应商之间建立业务关系。

5.您和您的提供商应就服务水平协议（SLA）的期望达成可理解的明确协议，包括中断频率和中断行动计划。

就像正式的业务计划可以帮助您充分利用整个组织一样，拥有明确的IT要求说明也很有意义，其中涵盖了工作流程，优点和缺点。 一个重要的规划方面是采访组织中的关键工作负载所有者，以确认有关业务开展方式的准确细节。 确保您迁移的是真正的工作负载，而不是您过去记得的工作负载。

另外，为您的迁移计划一个明确的顺序。 寻找低垂的水果； 首先迁移易于运输，低风险和高回报的工作流程。 从早期迁移中学习，并在迁移到更多不确定或危险的迁移时更新您的迁移模式（或根据您的经验决定将特定的工作流程置于云之外）。

第一次编写需求时，您并不会很完美。 可以制定一个计划，认为您已经捕获了所有计划，开始依赖云服务，然后得出结论，这是不可行的。 您的第一个合同的巨大价值可能是学习有效的方法。 尽早更换供应商没有什么可耻的。 当组织通常要“解决”本意良好但不合适的标准时，就会发生许多头条新闻。 大多数云服务明确提供了一个月的试用期； 希望利用这些“测试驱动器”。

切记：您越清楚地了解真正对您而言重要的事情，您就越有可能接受它。 概括地说，您可以要求云提供商提供从移动安全性，消费者级文件共享和备份到业务线（LOB）功能（包括会计，清单和企业资源计划（ERP））的所有内容。 您最清楚自己应该优先考虑的事情。 不要仅仅接受您所提供的东西； 想一想最能为您带来收益的业务。

了解您的数据

现代企业认识到他们的数据值得特别关注。 在很大程度上，业务的其他部分可以替换或外包。 但是有关客户，员工，流程和属性的关键数据形成了公司的独特价值。

因此，您的迁移计划应包括明确且明确的术语，不仅包括您的操作以及如何在云中进行操作，还应包括如何确保公司关键信息的安全。 电子邮件是迁移到云的常见负载。 尽管电子邮件通常包含大量专有信息，但它也是一项成熟的技术，并且云技术可以很好地传递电子邮件。 几位独立分析师得出的结论是，与内部管理电子邮件服务相比，在云中托管电子邮件通常更安全。 但是，如果您有特殊的电子邮件要求（例如在特定辖区存储的法律限制），则需要调整计划以解决此问题。

体现客户交易或工业流程的定制程序呈现出相反的情况。 没有云供应商可以提供您独特的服务。 另一方面，即使是最不寻常，专有和私有的软件也可以在从云租用的虚拟机（VM）上运行。 可以将数据存储在组织内，但可以依靠云对数据进行操作。 这会将购买服务器的资本支出（CAPEX）变为可调整的运营支出（OPEX）。

询问你想要什么

计算机操作在很大程度上是常规操作，但围绕它们的业务模型尚未完全成熟。 云的某些部分已完全标准化。 例如，每天有成千上万的人收到来自Google，Microsoft，Yahoo等的新的免费电子邮件帐户。 没有人干预。

但是，更专业的云服务通常由支持人员支持。 您可以并且应该提出问题。 如果某个特定的云服务看起来很合适，除了它没有以与您的会计系统匹配的格式提供报告，请与提供商联系。 通常，他们可以做出一些不会出现在公共页面上的安排。

在很大程度上，云问题不是“我们应该采用吗？” 无论您是否意识到，您的员工已经在使用云服务。 更相关的云问题是：“哪个供应商最合适？” 如果您需要审核运营以符合《健康保险流通与责任法案》（HIPAA）或《萨班斯-奥克斯利法案》（SOX），请这样说。 如果阅读挫败尝试的日志给您带来舒适感，请寻求帮助。 大多数提供商都知道，良好的客户可以形成长期的关系，他们会配合合理的要求进行合作。 依靠云的最大优势之一是，您可以让世界一流的专家为您工作。 充分利用这一点。

分配获奖冠军

将您的公司在云中的成功职责分配给合格的人员。 理想的候选人应该表现出一些特定的素质：

1.公司内部的崇高地位。

2.热衷于云带来的机会。

3.对安全问题敏感。

4.胜任项目管理和运营。

5.雄心勃勃（很好）。

虽然您不太可能找到符合所有条件的候选人，但值得努力找出至少具有这些属性中的两个或三个的冠军。 拥护者不必是经过认证的云安全专家，甚至不必专职IT职责。 热情和勤奋是更重要的素质。

如果组织足够小，则云冠军可能来自财务或采购部门，他们会聘请顾问来审查计划和审核结果。 寻找可以清楚地表达其业务成就的顾问； 这些工具能够量化他们减轻的工作量和削减的处理时间，而不仅仅是量化他们涉足的时尚技术。

保持联系

专门负责您公司的人应与您的提供者保持联系。 定期致电，阅读任何提供商博客或新闻稿，并询问新产品。 您可能有一个员工会特别寻找补充肥皂的特色，或者知道银行的哪个收银员可以加快存款确认。 重要的公司数据安全至少应同样重视细节。

它不必是沉重的负担； 即使每周仅一个小时，也可以极大地改善您的提供商的运作方式以及对您的意义。 提供商通常可以建议培训有关新的安全威胁，如何缓解威胁，您的公司如何更好地利用云的方法（有时以更低的成本！），来年可能发生的变化等等。 充分利用应成为战略合作伙伴的东西。

信任但要验证

您需要在一定程度上依赖提供商，但不要让自己过于脆弱。 制定可预见提供商损失的灾难恢复计划。 具体取决于云为您提供的确切信息。 DR可能意味着任何事情，从备份的ZIP驱动器从密码箱中取出到热切换到功能齐全的DRaaS安装。 好的提供商可以帮助您进行至少部分计划，尽管您的备份和灾难恢复应由独立顾问进行审核。

您的灾难恢复计划是否应包括反向因素？ 意思是，即使云变得完全不可用或互联网崩溃，也可以继续前进的方法吗？ 对于一个简短的回答，这个问题在哲学上已经走得太远了，但是公司可以做的是，在计划中明确考虑极端事件以及与不同对策相关的成本。 您的公司可能有一个不依赖Internet的廉价DR计划，因此认为值得保护。 大多数组织制定相对原始的灾难恢复计划并确定日常操作的优先级。 虽然，至少开始DR练习是一种教育和有益的经历。

保持真实

如果您对云安全性抱有切合实际的期望，那么您将处于成功的最佳位置。 是的，您可以以惊人的低价在当地的大型商店购买TB级的存储。 当您按月订购云服务时，请记住，您不仅获得了磁盘的价值，而且还获得了自动备份，通风，在与Internet主干网的高速连接上运行以及清理和监视安全隐患的磁盘。 在几乎所有云产品中，硬件仅占很小一部分费用。

即使转移到云中，您最大的计算机安全威胁仍将存在于公司内部：盗窃和其他员工犯罪。 您的提供商可以而且应该帮助您监控运营，但是最终，您自己的公司文化将决定您通过云旅行的大部分命运。 执行以下八个步骤，您的云迁移将成功：

1.努力赢得胜利，志向高远，并期望获得更好的安全性，更低的成本和更快的响应能力。

2.了解您自己的要求，并以书面形式提出。

3.了解您的特定数据安全配置文件。

4.明智地谈判，并询问您的需求。

5.分配一名将获胜的云冠军。

6.保持联系。

7.信任但要进行验证，以确保不会损失提供商。

8.保持真实并调整期望。