- 使用云服务（PaaS或SaaS）构建内部应用
除了使用云上的虚拟硬件资源，越来越多的企业选择直接使用云应用替代本地应用软件或基于PaaS搭建内部应用。PaaS或SaaS服务模式下企业的安全责任范围较小，但由于是直接通过公共网络访问，且对应用软件、业务系统和基础设施都没有控制，企业需要利用新技术才能对用户和数据进行妥善保护和管理。
云应用识别
技术介绍：通过分析网络流量或防火墙和网络代理等的日志，能够识别用户所使用的各种云应用以及各应用可能存在的风险，帮助企业管理员充分认识存在的风险。云应用识别技术一般根据应用服务器地址、URL、HTTP请求参数和页面内容等特征判断所使用的云应用，同时根据应用是否接受信息提交、是否支持文件上传、提供商是否通过安全认证等等多种因素判定云应用的风险等级。
客户收益：云应用大都是Web应用，而传统防火墙或Web安全网关（上网行为管理）等安全设备通常都只关注网络和连接，不能对应用层进行深入分析和控制。同时，云应用已经在企业中广泛使用，但企业管理员还无法知道具体的使用情况和存在的风险，也无法进行充分的控制，即存在“影子IT”（Shadow IT）。云应用识别和管理技术主要作为Web访问安全代理（Cloud Access Security Broker，CASB）的重要功能，或作为附加模块集成到防火墙或Web安全网关，能够帮助企业管理员获知云应用的使用情况，以加强对用户使用云应用的管理。
使用建议：推荐企业关注具有云应用识别功能的产品。国内各个行业各种规模的企业中云应用的使用都已经非常普遍，但相关的安全问题还没有引起重视；尽管国内企业一般还没有使用云应用承载关键业务或用于处理核心数据，但由于员工已经在广泛使用各种云应用作为工具，很可能已经有不少企业遭受了损失但还未发觉。
云应用管理
技术介绍：对云应用的管理主要有两种实现方式：以代理方式充当用户与云应用通信的中间人或使用云应用提供的API。另外，除了简单的允许和阻止，对云应用的管理还包括对用户使用云应用时的环境、动作和对应用数据的操作等进行精确识别和管理。
客户收益：在识别云应用的基础上，根据业务需求和使用云应用所存在的风险，企业所使用的云应用可分为四类而分别进行管理：a)允许使用业务必需且风险较小的云应用，进行一般管理；b) 允许业务必需但风险较大的应用，对用户行为和数据处理进行严格管控；c)允许非业务必需且风险较小的应用，禁止有风险的操作；d)禁止非业务必需但风险较大的应用。
使用建议：企业在逐渐使用云应用承载核心业务和数据时，应该密切关注云应用管理技术和产品的进展，及时部署。同时，在选择云应用管理产品时，应该仔细了解产品对企业所使用和关注的核心应用的支持情况。
云防数据泄漏（DLP）
技术介绍：通过查找和匹配数据特征和文件指纹，云DLP帮助企业查找云应用中的违规数据，防止用户将敏感的企业数据上传到不安全的云应用或使用不安全的终端访问云应用中的企业数据。根据不同粒度的策略配置，云DLP可以拦阻用户动作、及时告警，或者在必要时对数据进行加密等等处理。
客户收益：云DLP在业务应用的执行逻辑之外从相对独立的数据维度加强了企业对数据的保护，帮助企业满足各种合规需求，防止企业的重要数据被泄漏或滥用。随着云应用在企业核心业务中的使用，云DLP的重要性在不断增强；同时，云DLP与企业本地部署的DLP集成能够显著提高数据识别和保护的效率，也有助于企业建立统一的数据保护机制。
使用建议：如果员工已经在使用云应用，可能导致数据泄漏或滥用，企业在加强对云应用的管理的同时，应该考虑使用云DLP；如果企业已经使用云应用处理关键业务并承载重要数据，应尽早部署云DLP。
云端数据加密
技术介绍：云端数据加密技术是指数据在提交到云应用提供商之前进行加密处理，确保云应用提供商或其他第三方在直接获得企业的云端数据时无法识别和解读。除了使用标准算法（通常以AES为主）对文件（非结构化数据）进行加密，云端数据加密还会使用如令牌化（Tokenization）等多种其他算法对结构化数据进行处理以满足不同场景需求，如保留数据格式、搜索、索引等等。
客户收益：云端数据加密主要用于帮助企业在不充分信任云应用提供商时使用其提供的云应用，打消企业在使用云应用时对数据安全的顾虑。同时，由于各种法律法规要求，特定数据被限定在企业内部使用和存储，如果企业对云应用的使用涉及这类数据，则必须对数据加密才能满足合规需求。
使用建议：如果对云应用提供商保护企业数据的能力或意愿有怀疑，企业应该购买云端数据加密产品或服务，同时注意明确提供云应用提供商和云数据加密提供商对保护企业数据的义务和责任。另一方面，如果企业在使用云应用时有相关合规需求，则需要在确认云端数据加密方案满足要求后才能使用云应用。
- 私有云
在私有云环境下，企业内部的网络结构和应用在逻辑上并没有实质性的变动，但虚拟化的引入使底层硬件设备与软件应用分离。同时，SDN（Software Defined Network，软件定义网络）以及进一步的HCI（hyper-converged infrastructure，超融合基础设施）使私有云的底层硬件（基础设施）具有更大的灵活性。企业对私有云能够实现从物理硬件到业务数据的全部控制，因此也需要对各方面的安全负责。
私有云的安全体系结构与传统IT类似，具体方案和措施可以参考微软发布的《A Solution for Private Cloud Security》系列文档。特别的，尽管安全应该与业务环境和流程紧密结合，但在传统IT架构下，由于历史原因安全常常被简化为各种由独立的设备提供特定的功能，而企业在迁移到私有云的过程中将有机会重新设计和构建整个安全体系。从私有云方案的初始设计阶段就考虑相关安全功能及实现，提高企业整体的安全能力和效率。
私有云安全模型，微软《A Solution for Private Cloud Security》
除了本章前述IaaS相关的安全技术可应用于私有云外，传统的网络安全相关的技术如防火墙和IPS等对于私有云的安全也非常必要。需要注意的是，私有云内部的流量发生在虚拟机之间，网络流量可能只限于在同一台物理服务器内部，跨物理服务器的网络流量也都使用相关隧道技术而与第三方隔离，独立的传统安全设备很难适应需求。另一方面，私有云内部的资源分配和网络构成经常发生变化，也要求安全功能相应快速变化：调整配置、改变功能、甚至重新部署。因此，与传统IT环境相比，私有云安全也相应“云化”：
- 虚拟化：防火墙、IPS、各种安全网关等安全功能都以虚拟机方式提供。
- 服务化：各种安全功能都作为服务提供，可以根据需要快速部署和回收。
- 资源池：对各种安全功能和资源进行统一管理，可灵活分配，支持弹性扩充。