如今的企业都在向云交付的IT发展。如果企业可以获得现成的应用程序，那么SaaS因其相对简单、易于部署和维护而具有吸引力。如果企业需要在内部开发应用程序，可能希望采用现代云计算和基于容器的计算模型，并使用包含自动化、连续测试和映像部署的DevOps管道。

但在现实世界中，大多数企业运营的IT系统也早于云计算的推出，因此不支持简单的云迁移。虽然企业将其业务迁移到云平台通常被视为简化IT的一种手段，但它实际上可能使工作和生活变得更加复杂，因为IT团队需要一致地管理云计算和遗留IT系统。事实上，根据Netrix公司发布的云安全报告，减缓云采用的首要因素(41%的受访者提到)是与现有IT环境的集成。

到2023年，73%的企业已经拥有混合IT基础设施。37%的企业计划在未来12个月内采用云计算技术。这意味着对于大多数企业来说，学习如何有效而安全地使用云计算服务是至关重要的。

私有云、公有云和混合云

谈到云架构，主要有两种选择：私有云和公有云。但是，企业可能需要两者的组合，也就是混合云。企业的选择涉及一系列问题，包括成本、可扩展性、安全性和合规性。

采用私有云意味着企业拥有自己的云计算基础设施，由内部IT团队构建和管理。这种方法通常可以更好地控制数据和基础设施，但是获得灵活性是有代价的。管理这些系统需要更多的硬件、软件和人力资源。此外，私有云的总拥有成本包括持续的维护、升级和支持。

另一方面，在公有云中运营意味着企业正在使用云计算服务提供商的基础设施来托管数据和应用程序。这种选择更方便，成本效益更高，但在定制和控制方面也有一些限制。更重要的是，安全责任在云计算服务提供商和企业自己的IT团队之间是分开的。企业没有机会协商谁来处理什么。作为客户，企业只需接受他们的条款和条件。因此，为了避免安全漏洞，企业需要特别注意自己需要负责哪些方面。

如果企业有特定的安全性或合规性需求(例如HIPAA)，那么在自己的云平台运营可能更可取。但是，如果企业需要快速扩展业务，或者没有足够的资源来管理自己的云计算基础设施，那么公有云通常会让其工作变得更简单。

100%基于云的安全细节

在100%基于云的IT模型中，安全性是多方面的。一方面，云计算服务提供商拥有强大的安全措施。事实上，许多企业将获得SOC2认证，这意味着云计算服务提供商、他们的基础设施和操作程序已经经过审计和判断，达到了足够高的安全水平。

另一方面，作为云平台的租户，企业需要采取额外的措施来确保应用程序和数据的安全性。最重要的策略之一是零信任方法。这不是专门针对云计算的新安全控制，而是一种基本的IT安全最佳实践，用于确保只有授权用户才能访问其应用程序和数据，并根据需要授予访问权限。这可能涉及使用多因素身份验证、访问控制和监视。

另一个重要的安全考虑是加密。同样，这并不是云计算所独有的措施，但当数据存储在本质上是可公开访问的资源中时，它可能更为重要。确保数据在传输和静止时都被加密，即使系统受到损害，也可以对数据丢失提供保障。幸运的是，加密是许多公有云提供商的标准选项。

最后，基于云的企业还需要仔细考虑他们的备份策略。当企业拥有内部部署服务器时，可以离线存储备份，使网络攻击者更难以访问它们。当所有数据都在云端时，需要确保将备份存储在另一个云平台上。例如，如果企业有微软的应用程序数据，不要将备份存储在Azure平台中。

需要保护遗留IT系统的安全

如果企业只需要现代的Windows或Linux平台，那么可以使用公有云和私有云的任何组合来做任何事情。然而，如果企业仍然依赖于遗留平台，例如原有的Linux或Unix版本，甚至是iSeries和大型机，那么完全迁移到云平台可能不是一个选择。

更重要的是，这些遗留IT系统需要最大程度的保护。由于云计算供应商通常不再支持此类系统，因此不会提供补丁或更新。此外，企业的业务可能会受到过时的加密技术的限制。

因此，需要保持警惕，并采用多种方法来加强遗留IT系统并弥补安全控制。这些控制可能包括防火墙、跳转服务器、代理连接和虚拟桌面访问等等。企业需要考虑将IT遗留系统与网络的其余部分隔离开来，以显著减少网络攻击面，并使攻击者更难渗透到企业IT环境的其他部分。

选择合适的云平台

云计算架构从根本上不同于内部部署架构，它需要不同的方法来设计、实现和管理。当迁移到云端时，企业需要仔细考虑在自己的云平台中运行与在公有云中运行之间的差异，包括对安全性、成本和可扩展性的影响。

IT专业人员必须采取措施确保基于云的应用程序和数据的安全性和可用性，密切关注云计算提供商负责和不负责的内容。零信任方法可能特别有价值。如果企业需要维护遗留系统，那么将不得不更多地依赖基本的安全控制，例如系统强化和访问控制。