2024年云安全十大威胁 | 推荐CCSP认证培训

根据云安全联盟（Cloud Security Alliance）发布的《2024年云计算十大威胁报告》，过去与云服务提供商相关的安全问题的严重性正在逐渐降低。配置错误、身份与访问管理（IAM）薄弱以及API风险等问题依然是当前云安全的重大隐患。

云安全威胁的三座大山

报告显示，自2022年以来，云安全问题的严峻性并未减少，尤其是配置错误、IAM弱点、不安全的应用程序接口（API）这“三座大山”依然牢牢占据着云安全威胁榜单的前三名。

“同样的问题一直位居榜首，可能令人误以为是安全进展缓慢所致。但广泛来看，这反映了各组织对这些漏洞的重视，以及他们在构建更安全、弹性云环境方面的努力。”云安全联盟十大威胁工作组联合主席Michael Roza表示。

2024年云安全十大威胁排名

根据最新报告，以下问题被列为2024年云安全的主要威胁：

• 配置错误与变更控制不当
• 身份与访问管理（IAM）
• 不安全的接口与API
• 云安全策略选择/实施不当
• 不安全的第三方资源
• 不安全的软件开发
• 云数据泄露
• 系统漏洞
• 云的可见性/可观测性不足
• 未认证的资源共享

值得注意的是，一些在2022年排名靠前的问题，如拒绝服务攻击、共享技术漏洞和CSP数据丢失，在本次报告中排名较低，未进入前十。

云安全未来的四大关键趋势

在新的云安全威胁背景下，报告还探讨了云计算和云安全的四大关键趋势：

• 攻击复杂性增加：攻击者将继续发展更复杂的技术，包括利用人工智能（AI）来攻击云环境中的漏洞，这将需要企业采取更积极的安全姿态，并加强持续监控和威胁狩猎能力。
• 供应链风险增加：随着云生态系统的复杂性增加，供应链漏洞的攻击面也将扩大，企业需要将安全措施扩展到其供应商和合作伙伴。
• 监管环境演变：预计监管机构将实施更严格的数据隐私和安全法规，要求企业调整其云安全实践。
• 勒索软件即服务（RaaS）崛起：RaaS将使技术欠缺的攻击者更容易发起复杂的勒索软件攻击，这要求企业拥有强大的数据备份和恢复解决方案，并加强访问控制。

云安全联盟技术研究主管Sean Heide指出：“鉴于不断变化的网络安全环境，企业很难始终保持领先地位，降低财务和声誉风险。通过关注这些行业内最为关切的威胁、漏洞和风险，企业可以更好地集中资源应对挑战。”

网络安全行业内的两家国际顶尖的组织国际信息系统安全认证联盟ISC2与云安全联盟Cloud Security Alliance，在2015年合作开发了一项全新的国际云安全从业人员认证，即CCSP（Certified Cloud Security Professional），注册云安全专家认证。

最新一期CCSP将于10月19日开班，现在报名赠送三次考前强化辅导。

CCSP(Certified Cloud Security Professional，注册云安全专家）认证旨在确保云安全专业人员在云安全设计、实现、架构、运营、控制和遵守监管要求方面拥有所需的知识、技能和能力。通过培训后CCSP认证持有者拥有先进的技术技能和知识，能够使用(ISC)²的网络安全专家制定的最佳实践、政策和程序来设计、管理和保护云中的数据、应用程序和基础设施。这种专业能力是根据全球公认的知识体系来衡量的。CCSP认证满足云计算市场对合格安全人才的关键需求，并反映最新、最全面的云安全最佳实践。

经验要求

• 获得CCSP认证，申请者应具备至少五年IT行业工作经验，其中三年信息安全相关经验和一年与CCSP认证六大知识域中任意一个知识域相关的经验；
• 已持有CSA的CCSK证书可免一年工作经验；
• 已持有CISSP认证的申请者完全满足CCSP认证申请对于工作经验的要求。

适用人群

• 企业架构师
• 云架构师
• 安全架构师
• 安全管理员
• 安全工程师
• 安全顾问
• 首席信息官
• 首席信息安全官
• 安全主管
• IT主管
• IT经理

课程大纲

CCSP 的公共知识体系(CBK)中包含的议题确保了云安全领域中所有原理的相关性。通过认证的考生展示了在以下六大知识领域的能力：

云概念、架构和设计

• 了解云计算概念
• 描述云计算参考架构
• 了解与云计算相关的安全概念
• 了解安全云计算的设计原则
• 评估云服务供应商

云数据安全

• 描述云数据概念
• 设计和实现云数据存储架构
• 设计和应用数据安全技术和策略
• 实现数据发现
• 计划和实现数据分类
• 设计和实现信息权限管理 (IRM)
• 规划和实施数据保留、删除和归档策略
• 设计和实施数据事件的可审计性、可追溯性和责任性

云平台和基础架构安全

• 理解云基础架构和平台组件
• 设计安全的数据中心
• 分析与云基础架构和平台相关的风险
• 计划和实现安全控制
• 计划业务连续性 (BC) 和灾难恢复 (DR)

云应用安全

• 倡导应用程序安全性的培训和意识
• 描述安全软件开发生命周期 (SDLC) 流程
• 应用安全软件开发生命周期 (SDLC)
• 使用经过验证的安全软件
• 了解云应用架构的细节
• 设计适当的身份和访问管理 (IAM) 解决方案

云安全运营

• 为云环境构建和实现物理和逻辑基础架构
• 运行和维护云环境的物理和逻辑基础架构
• 实施运营控制和标准(例如，信息技术基础架构库 (ITIL)、国际标准组织/国际电子技术委员会(ISO/IEC)20000-1)
• 支持数字取证
• 管理与相关方的沟通
• 管理安全运营

法律、风险和合规

• 明确云环境中的法律要求和独特风险
• 了解隐私问题
• 了解云环境的审计流程、方法和必要的调整
• 了解云对企业风险管理的影响
• 了解外包和云合同设计

考试相关

考试时长

4小时

考题数量

150题

考题格式	1000 分中得到 700 分

考试语言	中文，英语，日语，韩语，德语，西班牙语

考试中心	Pearson VUE Testing Center

考试费用

599美金