是什么阻碍了 您安全的进行云迁移？ 以及应对这些问题的最佳实践

YOU DESERVE THE BEST SECURITY

YOU DESERVE THE BEST SECURITY

是什么阻碍了 您安全的进行云迁移？ 以及应对这些问题的最佳实践

3是什么阻碍了您安全的进行云迁移？

目录 引言� 4

挑战�1：人员障碍� 5

团队专业知识不足� 5

团队人手不够、存在内部冲突� 5

挑战�2：流程障碍� 7

变革的步伐� 7

策略之争� 8

挑战�3：技术障碍� 9

多点解决方案� 9

安全误区� 9

原有的应用程序� 10

克服云迁移安全障碍的最佳实践� 11

安全迁移到云端� 11

统一威胁防护� 11

追求运营效率和一致性� 12

采用整合平台� 12

安全自动化�� 13

减少孤立责任�� 13

客户使用案例：获得云级可见性� 14

无忧保护云环境和�DevOps� 15

利用�CloudGuard�实现业界领先的云安全� 15

4是什么阻碍了您安全的进行云迁移？

引言

随着业务不断发展，公司需要将工作有效负载迁移到云

端，由此实现系统扩展升级，满足成本节约要求，同时赢

得竞争优势。而在开启转型之旅后，这些公司往往会遭遇

涉及组织内部人员、流程和技术层面的安全和运营挑战。

本白皮书深入探讨了组织在云迁移阶段面临的安全挑战，以

及如何在迁移之后确保云部署和云活动的持续安全。白皮书

第二部分提供了应对这些障碍或挑战的实用解决方案。

我们采访了 Check Point 的云安全专家以及来自美洲、欧

洲、中东和非洲地区及亚太地区的客户，旨在获取有关客

户和潜在客户所反映的迁移障碍的第一手信息，发掘关于

这些云迁移过程中遇到的问题及洞见。

5是什么阻碍了您安全的进行云迁移？

挑战 1：人员障碍 部署先进的解决方案对于安全的云迁移和迁移后的云安全至关重要。这些工具诚然十分关键，但其有效 性取决于部署和后续管理这些工具的团队。

技术带来的强劲动力有时会导致对人员因素的忽视，但人员因素不论是在初始部署阶段还是持续风险管 理阶段都十分关键。一旦缺乏有效的监督，采用再先进的系统也可能最终事与愿违。目前，合格的云安 全工程师在全球范围内都普遍短缺，组织因而面临愈发严峻的挑战。

团队专业知识不足 组织往往高估其团队的云技能，导致期望与现实之间存在差距，在云安全的专业知识方面尤其如此。引 入新的云解决方案需要成熟的工程师，或是对工程师的云安全技能进行新的培训。

但随着这类解决方案的数量日益增加，技术更新速度也在不断加快，意味着云安全工程师需要持续提升 技能和开展自主学习。加之实施过程时间紧、任务重、协调不力，导致工程师不堪重负，云迁移流程失 去章法，安全性也受到影响。

即使设立了专门的云安全团队，分工不清、职责不明也会造成混乱无序和效率低下。

例如：某金融服务提供商决定迁移到云端，并认为云端运营和安全与他们已在本地进行的工作非常相 似，因此并未培训或聘用专业的云计算工程师。他们没有考虑迁移到云端可能带来的额外风险，也不清 楚云计算与其现有技术的实际差异，比如需要用到云市场、部署模板、修补程序、故障排除以及其他不 熟悉的新流程。这些新技能或许未必很难，但需要花时间学习，而且会拖慢客户的安全迁移进程。

团队人手不够、存在内部冲突 将这些问题归入人员障碍一类，是因为即使组织内部相关员工具备安全迁移至云端所需的技能，这些人 员也不能保证随时待命。

精通云技术和安全技术的 IT 团队通常需要平衡多项紧迫职责，忙到分身乏术。有经验的团队成员往往兼 顾多个方向，承担大量任务，无法完全专注于云迁移的安全。

6是什么阻碍了您安全的进行云迁移？

鉴于很难做到全程跟进以确保无缝安全过渡，故而迁移过程存在延迟和不一致的情况。

例如：另以我们采访的一所大型高校为例，他们拥有专业的安全工程师，但事后才发现，这些工程师并 非总能有足够的时间来充分规划和执行向云端迁移的工作，因为他们仍然需要负责本地日常安全运营事 务。他们还透露，早期云迁移规划会议并未邀请全部利益相关者，会议开始后他们竟然发现关键人物缺 席（其中一次是拥有从云市场部署解决方案权限的人员），这也导致项目进度延后。

组织的内部矛盾可能会使云迁移之旅更加复杂。有关云安全工具和流程的决策往往受政治因素左右，而 非立足于组织的客观需求。围绕从本地迁移到云端适合采取何种方式，本地工程师和云安全团队各执一 词，这也是需要谨慎对待的障碍之一，因为所谓的“正确”解决方案或流程并无一定之规。

这些内部矛盾会阻碍安全、高效地采用云计算，因此需要借助协作平台来协调团队，以利于云迁移的平 稳过渡。

例如：我们采访的某制药公司没有明确的流程用来评估哪些内容可以或应该迁移到云端，冲突由此产 生，妨碍了将工作有效负载迁移到云端，导致这些工作有效负载无法从中获益。此外，某些流程和服务 未能获准实施，往往也让安全迁移变得更加麻烦。比如有一次，由于新服务受限，他们的管理层并未批 准注册新的云服务；还有一次，公司审计人员坚持要求更改流量，而这与他们之前的架构设计不符。

在另一个例子中，Check Point 云安全架构师解释了客户新组建的云安全团队为何没有与经验丰富的本 地安全团队协商。该本地团队以往曾部署新的数据中心，积累了相关专业知识，尽管许多基本安全概念 相近，但他们并未参与其中。

7是什么阻碍了您安全的进行云迁移？

挑战 2：流程障碍 有效的流程对于成功实施云迁移发挥着至关重要的作用，为数据和应用程序转换提供结构化框架。它们 可以确保高效、安全地协调迁移组件。然而，许多组织面临着安全流程过时或无效的难题，即使拥有成 熟的团队和先进的技术，云迁移工作仍然阻力重重。

如果没有强大的流程，人员和技术之间的协作就会中断，导致无法有效地保护基础设施，从而使关键资 源暴露于风险之中。

变革的步伐 在迁移到云端时，一些组织速战速决，另一些则更为谨慎。这两种方法都可能影响云迁移的安全。

计划不周会让许多组织在着手实施云迁移时迟疑不决，造成流程进展缓慢并出现脱节。这些组织非但无 法受益于高效、周密的迁移，反倒因为犹豫而迟迟不能建立一致的架构和安全态势。

迁移步伐过缓往往导致组织缺乏全面的策略，而是采用拼凑的安全解决方案来满足新出现的需求。

由于缺少重大进展，组织很难证明进一步投资云计划的合理性，也就难以通过有序、安全的云迁移来获 得潜在增长和云迁移带来的诸多优势。

另一种情况是，许多组织听说了云迁移的价值，便仓促上马。急于求成的结果是，本地解决方案在集成 到云端之后却无法有效发挥作用。

与之类似，有些公司在迁移时一味求快，往往选择以结果为导向而非以流程为导向的第三方供应商。在 这种情况下，第三方供应商完成了迁移，但组织并未获得与其软件开发生命周期相一致的完整流程。

例如：Check Point 云安全专家指出，无论从运营还是安全角度来看，规划不当（不仅是在云计算中） 都势必造成中断和风险。他们经常看到客户的风险管理执行不到位，例如为可能出错的事项分配一段缓 冲时间。某大型医疗服务提供商在提出一种架构方案后，发现由于急躁冒进，所选架构无法满足特定要 求，他们不得不推倒重来，换一套方案重新部署。

8是什么阻碍了您安全的进行云迁移？

策略之争 在云迁移期间，组织面临众多策略博弈，必须考虑权衡取舍。例如，开发人员以速度为先，安全团队则 强调安全，双方相互角力。

另一个例子是迁移策略。速度更快的“整体迁移”方法对服务的干扰较小，但可能无法针对云计算准确 实施安全功能；而彻底重构的方法需要更多时间，但通常更全面，可以针对新环境定制安全控制措施。

例如：某市政府将所有应用程序分为两类：对所有现有本地应用程序采用“整体迁移”方式，而对所有 新应用程序进行重构。安全团队负责“整体迁移”，开发人员则负责重构和推进，并且通常以不安全的 方式进行。因此，这两种策略并不矛盾，却也始终不会趋同。

9是什么阻碍了您安全的进行云迁移？

挑战 3：技术障碍 技术挑战可能阻碍安全的云迁移过程。公司需要应对兼容性问题，需要考虑如何选择正确的安全措施， 这些障碍会延缓迁移过程，并带来潜在的安全风险。公司还需要在不中断当前运营的情况下集成新技 术，这些挑战带来更多复杂性。

此外，市场上大大小小的供应商令人目不暇接，他们纷纷表示自己拥有最佳解决方案，常令供应商陷入 决策僵局。

多点解决方案 在云迁移期间和迁移之后如果依赖多点解决方案，将会带来重大挑战，使组织环境日益庞杂。实施和管 理不同的解决方案需要复杂的学习曲线，以及多次谨慎的集成。这会增加管理工作和复杂性，进而造成 潜在的低效率和额外的安全风险。

多点解决方案还可能因大量不同的通知而引发警报疲劳，使管理进一步复杂化，并降低安全团队的 效率。

这些互不关联的解决方案无法像集成平台那样跨安全层和功能无缝共享信息，导致组织错过直观的 “1+1=3”协同效应。这使这些解决方案难以发挥协同作用，而且往往适得其反。

例如：某酒店管理公司从 AWS 开启他们的云计算之旅，并选择只实施 AWS 安全解决方案。在收购另一 家使用 Azure 的公司后，安全团队意识到，由于安全控制措施不一致会带来复杂性和额外的风险，因此 无法将现有解决方案与所收购组织的 Azure 安全集成。

安全误区 一个常见的误区是，所有云安全解决方案提供的保护级别相差无几。事实并非如此：各种工具在有效性 和功能性方面存在很大差异。

Gartner 指出，云服务供应商防火墙提供基本保护，但被视为入门级“特定领域产品”，与高级解决方 案相比存在不足。卓越的网络安全供应商产品可提供增强的威胁情报功能、无缝集成以及针对复杂攻击 的强大防御机制，所有这些在当今庞杂的安全环境中必不可少。

https://pages.checkpoint.com/gartner-magic-quadrant-for-network-firewall-2022.html

10是什么阻碍了您安全的进行云迁移？

如果不能辨别产品差异，不去选择先进的解决方案，组织将处于不利地位。

例如：Check Point 专家告诫称，“勾选”式安全措施可能在纸面上够用，但在实践中却会带来灾难性后 果。很多时候，这些解决方案仅以通过审计为目标，但无法抵御高级威胁，从而将组织置于巨大风险之 下。与前面的例子类似，为每种云环境分别选择特定的解决方案会增加运营成本，甚至带来更大的风险。

原有的应用程序 组织面临的压力与日俱增，他们需要将所有内容迁移到云端，而原有技术的存在使这一过程变得更加繁 冗，同时带来更多安全风险。

由于原有应用程序在设计上存在固有漏洞，许多组织往往不愿意将其迁移到云端，因为这些老旧应用程 序通常更难确保安全以及执行修补或更新。相关团队拥有深厚的知识积累，但在有关采用新技术的讨论 中，他们往往被边缘化。

组织必须有明确且令人信服的迁移理由，例如增强安全性、降低成本、提高可靠性或改善可管理性。如 果没有明确的目标，迁移原有应用程序会增加复杂性，却无法带来预期的效益。

例如：某大型保险公司将一款原有应用程序迁移到云端，但云环境中的负载平衡器却意外地干扰了应用 程序的故障转移流程。在该案例中，组织此前并不了解这款应用程序的局限性，直到需要在云环境中运 行时才发现这一点。云服务功能通常由云服务提供商设定，无法根据组织的需要进行更改。Check Point 云安全架构师认为这是将原有应用程序迁移到云端时的“意外后果法则”。

“整体迁移”应用程序在云环境中出现故障，通常表明某些基本假设不正确。这需要制定彻底的修复方 案。但是，在云端运行的应用程序可能暗藏内部缺陷，从而导致每月账单远超预期，而这种情况可能会 持续数月或更长时间而不被察觉。

11是什么阻碍了您安全的进行云迁移？

克服云迁移安全障碍的最佳实践 探索安全迁移之路确实是一项艰巨的任务。但通过利用最佳实践，可以有效应对和克服每一项挑战。

这需要将技术调整和关键运营变革结合起来，组织必须致力于做出明智的决策并实施结构化规划，而不 是采用非正式的方法。

安全迁移到云端 尽管人们认为云迁移非常复杂，但组织可以从韧性基础开始，确保安全过渡。3C 最佳安全原则对于这一 基础不可或缺：

组织需要安全可靠的方法契合这些原则，从而显著增强安全态势，确保安心无忧地高效实施迁移流程。

统一威胁防护 要应对云迁移挑战，公司必须认识到需要在本地和不同云环境中采用高级威胁防护和多层级化安全方 法。统一的威胁防护策略和技术堆栈解决方案令这一问题迎刃而解，不再只是单纯地关注孤立的安全方 面，而是可为多个分布式环境中的所有资产和工作有效负载提供统一的安全性。

这种全面的方法可以帮助组织从原有应用程序过渡到前沿技术解决方案，为整个云环境提供更强大、更 现代化的安全功能。即使是那些快速采用云技术的组织，在应对快速无序增长的情况下，其混合基础设 施的防御措施也能保持一致性、适应性和韧性。

全面� (Comprehensive)： 注重广泛的保护策略

整合� (Consolidated)： 打造统一的安全平台

协作� (Collaborative)： 倡导团队协作和工具协同配合， 主动防范威胁并管理威胁

https://blog.checkpoint.com/security/the-three-cs-of-best-security-comprehensive-consolidated-and-collaborative/

12是什么阻碍了您安全的进行云迁移？

客户实例：Emaar 是位于阿联酋迪拜的一家跨国房地产开发公司，将本地数据中心与 Microsoft Azure、Google Cloud Platform (GCP)、Oracle Cloud Infrastructure (OCI) 及 VMware NSX-T 私有 云中的资产与工作有效负载相结合。

追求运营效率和一致性 运营一致性需要明晰的管理方向。组织必须定义清晰的路径，设定增长优先级，并确定具体的时间表和 所有权角色。这种明确的策略有助于将云迁移作为优先事项，减少潜在的混乱，并确保协作环境中的所 有团队在目标和方法上保持一致，从而解决可能因所有权产生的内部冲突。

从本地到公有云和私有云，跨多个域的一致工具可以简化云迁移流程。它还有助于组织弥合知识差距， 缩小新老员工的学习范围，促进更流畅的迁移过程，并降低因缺乏一致性而导致的风险。

客户实例：Clarks 由一对兄弟于 1825 年创立，他们发明了世界上第一双贴合脚型的鞋子，品牌在全 球的鞋履销量迄今已突破 4600 万双。通过使用 CloudGuard Network Security 以及 Check Point 的 Quantum 本地安全网关，Clarks 在本地和云网络之间获得了一致的安全保护、策略实施和全面可 见性。

采用整合平台 一套整合的平台比分散的单点解决方案更具优势。统一方法可增强安全性，避免多个脱节解决方案的漏 洞，尤其是那些因依赖不太成熟的云服务供应商提供的解决方案而产生的漏洞。

凭借单一界面、统一报告和跨不同云服务提供商的全面可见性，组织可以更轻松、更自信地驾驭其安全环 境并改善云安全态势。这种方法简化了管理流程，尤其是对于那些跨多个域（从本地到各种公有云和私有 云环境）运营的组织而言。对于新员工来说，这种方法还能加快新手引导过程，促进人才快速融合发展。 经验丰富的工程师可将安全功能无缝扩展至新的云部署中。

https://www.checkpoint.com/customer-stories/emaar/ https://www.checkpoint.com/customer-stories/clarks

13是什么阻碍了您安全的进行云迁移？

客户实例：丹佛野马队是位于美国科罗拉多州丹佛市的一家职业美式足球俱乐部。他们的 IT 团队利用 Check Point 本地网络安全、终端安全和 CloudGuard Network Security 解决方案来防范组织整个攻击 面上的威胁。俱乐部信息技术高级副总裁 Russ Trainor 表示：“Check Point 为我们提供了整合该视角 的理想方式，如果出现警报，我们不必在不同系统之间跳转。”

安全自动化� 随着开发人员加速推出新功能，组织开始向云端迁移并享受其长期优势，手动安全流程和任务已变得不 切实际，并且会增加业务风险。安全自动化可确保一致地执行协议、安全最佳实践和法规，从而解决这 一问题。自动化工具可在所有系统中统一应用安全策略，通过利用能够识别、预防和纠正错误配置的自 动化治理系统来消除潜在疏失。这使组织能够在运营的同时扩展安全功能，并通过将繁琐的流程自动化 来弥补团队人手不足的问题。

客户实例：总部位于中国台湾的英业达公司生产各种电子产品，并面向全球电子公司提供生产代工服 务。统一安全管理可为英业达安全团队节约时间和资源。安全网关会自动更新最新的保护措施，统一安 全管理则会动态地更新策略，并在用户和云资产发生变化时对其进行映射。

减少孤立责任� 运营一致性还需要发现并解决冲突。例如，开发团队认为安全团队降低了他们的敏捷性，而安全团队认 为开发团队的工作不负责任，未能实施负责任的流程。

卓有成效的整合云安全解决方案可以促进这些团队之间的沟通，平衡这些相互冲突，从而实现安全、顺 畅、有效的云迁移。

客户实例：Xero 公司总部位于新西兰惠灵顿，为小型组织及其顾问提供全球在线平台。Xero 的安全工 程和架构主管表示：“我们不会通过设置安全‘门禁’要求开发人员停下来寻求安全帮助或意见，而是 通过部署防护机制，在帮助开发人员继续前进的同时，避免妨碍其工作进程。我们现在可以自由地加速 开发，不以任何方式限制增长，同时保护我们的品牌。”

https://www.checkpoint.com/customer-stories/denver-broncos/ https://www.checkpoint.com/customer-stories/inventec/ https://www.checkpoint.com/customer-stories/inventec/ https://www.checkpoint.com/customer-stories/xero/

14是什么阻碍了您安全的进行云迁移？

客户使用案例：获得云级可见性 Eagers Automotive 通过将其本地 Microsoft Exchange 环境迁移至 Office 365，开启云计算之旅。此 后不久，IT 团队开始将服务器迁移到 AWS，最近又迁移至 Azure。云计算为 Eagers Automotive 带来 更大的灵活性，使其更容易将系统更新为最新功能。主要基础设施通常在 AWS 上实施，但在过去一年 中，Eagers Automotive 已开始在 Azure 云上部署基础设施和开发功能。

“我们最初依赖于原生 AWS 或 Azure 云安全工具。”Eagers Automotive 国家信息安全、风险与治理 经理 Mark Nix 表示，“我们可以扫描每个云环境中的漏洞，但原生工具并没有真正涵盖我们需要的所 有功能。”

除了增加对于云资产的安全控制措施，团队还需要更好地了解每个环境。展望未来，更多应用程序和内 部开发将转移至云环境中，安全团队需要采取一种更简单的方式来查看并保护所有内容。

“我们需要通过更好的解决方案来获得可见性，并确保 AWS 和 Azure 环境中的合规性。”Nix 表 示，“我们还需要安全左移功能，以便可以在代码级新开发中实施安全功能。我们开始寻找新的云安 全供应商。”

除了获得更好的可见性和对安全开发的支持之外，Eagers Automotive 还希望找到一家声誉卓著的成熟 供应商。便捷的管理也很重要。由于需要保护的资产迅速增长，自动化和统一管理必不可少。在考虑了 多家云安全供应商和其它独立的 DevOps 安全解决方案供应商后，Eagers Automotive 选择了 Check Point CloudGuard Network Security 和 CloudGuard Posture Management。

https://www.checkpoint.com/customer-stories/eagers/

15是什么阻碍了您安全的进行云迁移？

无忧保护云环境和�DevOps CloudGuard 跨应用程序、工作有效负载和云网络提供统一的云原生安全。CloudGuard Network Security 的高级威胁防护功能可为云资产和工作有效负载防御 AWS 和 Azure 环境中最复杂的威胁。团 队通过单一平台查看所有云流量、安全警报、资产和自动修复的可视化信息。来自多个日志源的丰富上 下文信息有助于快速、清晰地了解任一云环境中发生的事件。

CloudGuard Posture Management 可以跨多云资产和服务实现治理自动化。现在，团队可对安全态势 进行可视化评估、检测错误配置、建立模型并积极执行黄金标准策略。由于可以修改并自动执行流程， 遵守最佳实践非常简单。

借助 CloudGuard，Eagers Automotive 可实现功能“左移”，将 CloudGuard 安全功能引入 CI/CD 管道，以检测和预防云部署中的风险。DevOps 团队可扫描基础设施即代码 (IaC) 模板以发现风险，检 查软件是否存在已知漏洞，并扫描存储桶和容器是否存在安全问题。

利用 CloudGuard 实现业界领先的云安全 CloudGuard 使组织能够基于 3C（全面、整合及协作）原则实现安全无忧的云迁移。

CloudGuard 提供一套全面的高级威胁防护和安全解决方案，可有效保护组织在不同云环境中的资产和 工作有效负载。

整合平台能够精简组织的安全流程，提供统一的界面、清晰的报告以及跨所有主流云服务提供商的一致 可见性。CloudGuard 可简化管理并增强安全性。

此外，CloudGuard 还支持采用协作式安全方法，该方法可与组织的运营变革无缝集成，确保统一的策 略实施，并随着组织扩增业务而对保护功能加以扩展。

16是什么阻碍了您安全的进行云迁移？

全球总部� 5 Shlomo Kaplan Street, Tel Aviv 6789159, Israel | 电话：+972-3-753-4599

中国总部 上海市黄浦区延安东路 550 号海洋大厦 1806-1808 室 | 邮编：200020 售前电话：021-60293505 售后咨询：4008180087 www.checkpoint.com.cn

© 2024 Check Point Software Technologies Ltd. 保留所有权利。

促进创新。保护企业。助力业务成功。

CloudGuard 是组织在保护数字资产方面的得力助手，让组织得以自信而高效地驾驭复杂的云安全环 境。CloudGuard 全面涵盖云安全应用场景，无论组织在云计算领域经验水平如何，在云迁移过程处于 什么位置，以及采取何种云迁移策略，都能够在所有云环境中提供从代码到云的保护。

云网络安全是所有云迁移的关键基础之一，组织通过部署虚拟安全网关来提供高级威胁防护、流量检测 和微分段。根据 GigaOm Radar for Cloud Network Security 报告，“网络是任何攻击者的切入点， 因而需要成为第一道防线。”

立即预约 CloudGuard Network Security 免费演示，了解使用 3C 原则确保云迁移安全的最佳实践。

非常感谢 Jeff Engel、Gustavo Coronel 和 Christian Castillo 对本白皮书的贡献。另 外也要向 Lee Psinakis、Aaron Brongersma、Rolando Panez、Ron Carney、Nigel Spence、Bisham Kishnani、Michael Stichel 和 Stefan Pompe 致谢。

https://pages.checkpoint.com/gigaom-cloud-network-security-checkpoint-leader.html https://pages.checkpoint.com/cloudguard-network-demo.html