新研究發現：IT 專業人員對企業安全的關注度遠高於家居安全

甲骨文和 KPMG 第三次合作發佈的《2020 年雲端威脅報告》顯示，數據安全對 IT 專業人員帶來了許多顧慮，引發很多信任問題。該研究對全球 750 名網絡安全和 IT 專業人員進行調查，發現數據安全、配置錯誤的服務以及混亂的新雲端安全模式會引發信任危機，企業只有將安全性融入企業文化才能消除這一危機。

數據安全讓 IT 專業人員徹夜難眠

該研究不僅揭示 IT 專業人員面對的擔憂和信任問題，亦發現 IT 專業人員對於企業數據安全的關注遠超家居安全。

• IT 專業人員對公司財務和知識產權安全的關注度是家居安全的3倍
• IT 專業人員對雲端服務供應商有所顧慮：80% 的受訪者擔心有業務往來的雲端服務供應商將成為未來核心市場上的競爭對手
• 雖然有 75% 的 IT 專業人員認為公用雲比自有數據中心安全，但亦有高達 92% 的 IT 專業人員表示他們尚未準備好使用公用雲服務
• 近 80%的 IT 專業人員表示，最近其他企業發生的數據洩露事件令他們更加注重數據安全

傳統數據安全方法讓 IT 專業人員應接不暇

IT 專業人員同時使用多種獨立的網絡安全產品來嘗試解決數據安全問題，卻因難以正確配置這些系統而引發許多問題。

• 78% 的受訪企業使用 50 多種獨立的網絡安全產品來解決安全問題；甚至有 37% 的受訪企業採用100 多種網絡安全產品。
• 去年，雲端服務配置錯誤的受訪企業至少發生過10 次數據遺失事件。
• 有 59% 的受訪企業表示，員工的雲端特權帳號曾受到魚叉式網絡釣魚攻擊。
• 最常見的配置錯誤有：
  • 特權帳號過多 (37%)
  • 公開 Web 伺服器和其他類型的伺服器負載 (35%)
  • 缺乏登入關鍵服務的多重身份驗證 (33%)

責任轉變：引發更多混亂和安全威脅

隨著企業將越來越多的關鍵業務負載遷移至雲端，不斷增長的雲端使用量產生了新的盲點。IT 團隊和雲端服務供應商正在努力釐清各自應該承擔的數據保護責任。面對這種混亂局勢，IT 安全團隊對於與日俱增的安全威脅已感到應接不暇。

• 近 90% 的受訪企業表示正在使用軟件即服務 (SaaS)，76% 的受訪企業正在使用基礎設施即服務 (IaaS)。另外，有 50% 的受訪企業表示會在未來兩年內將所有數據遷移至雲端。
• 責任共享的安全模型令 IT 人員產生困惑：只有 8% 的 IT 安全主管表示完全了解責任共享的安全模型。
• 70% 的 IT 專業人員認為保護公用雲足跡所需的專用工具過多。
• 75% 的 IT 專業人員遇過多次雲端服務數據遺失的情況。

建立安全優先模型 (Security-First Model)已刻不容緩

為了應對日益增加的數據安全擔憂和信任問題，雲端服務供應商和 IT 團隊必須合作，在企業內部建立安全優先的文化，例如招聘、培訓並留住技能熟練的 IT 安全專業人員，以及不斷改善流程和技術來緩解日益數碼化世界中的安全威脅。

• 有 69% 的受訪企業表示，只有在發生網絡安全事件後，他們的資訊安全總監才會被動作出應對，著手準備公用雲項目。
• 73% 的受訪企業表示他們已經或計劃招聘雲端安全技能更完備的資訊安全總監；超過一半的受訪企業 (53%) 增設了業務資訊安全總監 (Business Information Security Officer, BISO) 這一全新角色，負責幫助資訊安全總監將安全性融入企業文化。
• 88% 的 IT 專業人員認為，在未來三年內，大多數雲端產品將具備智能自動化修補及更新功能，藉此增強安全性。
• 87% 的 IT 專業人員認為 AI/機器學習功能是採購新安全產品的必要考量之一，以便更有效地防範詐欺、惡意軟件和錯誤配置。

觀點引述

甲骨文雲端高級副總裁 Steve Daheb 表示：「過去幾年，將關鍵數據直接遷移至雲端已經展現出巨大潛力。然而，拼湊出來的安全工具和流程卻導致配置錯誤和數據洩漏事件不斷發生，企業並為此付出沉重的代價，所幸一切都正在改善。在不久的將來，企業一定會將智能自動化工具納入 IT 支出規劃以消弭技術缺口。另外，高級主管亦會將工作重心放在建設安全優先文化上，系統地管理不同業務線。」

KPMG LLP網絡安全服務全球負責人暨美國地區負責人 Tony Buffomante 表示：「為了應對當前挑戰，各企業紛紛開始加速將工作負載和相關敏感性數據遷移至雲端，藉此支援新的工作方式和優化成本模式，這不僅暴露了現有漏洞，還產生了新的風險。面對這一新形勢，資訊安全總監在制定雲端遷移策略和實施策略時必須充分考慮安全性，並與企業保持定期溝通，以有效管理不斷新增的威脅。」

本年度報告為系列報告中的第一份(共分為 5 個報告)，後續報告將圍繞中央雲端安全性調查結果，包括：

• 雲端安全責任共享模型揭秘
• 現代數據洩露的業務影響
• 消除雲端網絡風險和詐欺
• 以雲端為中心的資訊安全總監使命