于过往的十年，云计算象征了企业IT之中最为具颠覆性的一种趋势，安全团队于转变过程之中并且没脱离“动荡”。对安全专业的人员而言，他们感受自己已丧失了对于云计算的控制权，并试图处置云计算“动荡”以此保证其免受威胁时常深感失望，这是可理解的。
下列把认识云计算毁坏安全性的方式，详尽认识安全性团队如何利用这些变化，并且顺利完工保证数据安全性的关键性任务。
1.云计算缓解了一些重大责任
企业于使用云计算技术时，可脱离获取与维护物理IT基础设施的负担，这使得企业的安全部门不必对于物理基础设施的安全负责。云计算的共享安全性模型规定，比如AWS与Azure等云计算服务提供商(CSP)需专责物理基础设施的安全性。用户自己专责安全性采用云计算资源。不过，有关分享责任模型存在很多误解，这造成了风险。
2.于云中，开发人员自己作出基础设施决策
云计算资源可以透过应用程序编程接口(API)按照需求获取。因为云计算是一种自助服务，开发人员可迅速采取行动，避开了传统的安全性网关。如果开发人员作为其应用程序开启云计算环境时，他们需要配置基础设施的安全性。但是开发人员也许会犯一些错误，其中包含严重的云计算资源配置错误与违背法规遵从性策略。
3.开发人员不算改变基础设施配置
企业可于云中比于数据中心更快展开创新。持续集成与持续布署(CI/CD)使得对云计算环境的持续更改。开发人员比较容易更改基础设施配置，以此执行比如自实例获取日志或是解决问题等任务。所以，即便他们于第一天的云计算基础设施的安全性是准确的，或许第二天也许会引进错误配置漏洞。
4.云计算是可编程的，可构建自动化
因为可透过API设立、修正与销毁云计算资源，开发人员已放弃了根据Web的云计算“控制台”，并且采用AWS CloudFormation与Hashicorp Terraform等基础设施代码工具对于其云计算资源展开编程。可预定义，按需布署大规模云平台环境，并且以此编程方式与自动化方式展开更新。这些基础设施配置文件包含关键性资源的安全性相关配置。
5.云之中有很多的基础设施需保障
于某些方面，数据中心的安全性越来越好管理。企业的网络、防火墙与服务器均于机架之上行驶，因而云计算亦以此虚拟化形式存在。但是云计算亦获取了一系列全新的基础设施资源，如无服务器与容器。于过往的几年之中，只AWS公司便发行了数百种全新的服务。即便是熟知的东西，例如网络与防火墙，于云中亦以此绝不熟知的方式运行。所有这些均需全新的与有所不同的安全姿势。
6.云之中有越来越多基础设施可保障
组织需越来越余的云计算基础设施资源用以追踪与保护，并因为云计算的弹性，越来越余会随著时间因而变动。于云中全面营运的团队也许将要监管跨多个区域与帐户的数十个云平台环境，每个团队也许牵涉数万个单一安装并且可透过API访问的资源。这些资源相互作用，需自己的身份与访问控制(IAM)权限。微服务架构使这个问题复杂化。
7.云计算安全性和配置错误有关
云计算营运全然和云计算资源配置有关，其中包含网络、安全组等安全敏感的资源，及数据库与对象储存的访问策略。假如企业不用营运与保障物理基础设施，安全性试点把迁移到云计算资源的配置之上，以此保证它们于第一天是准确的，并它们于第二天以及之后维持这种状态。
8. 云安全性亦和身份监管有关
于云中，许多业务透过API初始化相互连接，建议对于安全性展开身份管理，因而绝不是根据IP的网络规则、防火墙等。比如，采用附加到lambda接纳其服务标识的角色的策略来完工自lambda到S3存储桶的连接。身份与访问管理(IAM)及相似的服务均是复杂的，其功能丰富。
9.云计算的威胁的性质是有所不同的
糟的参与者采用代码与自动化来查找云计算环境之中的漏洞并且予以利用，自动化威胁把始终超过人工或是半人工的安全性防御。企业的云安全性必需能抵挡当今的威胁，这使得它们必需包含所有关键性资源与策略，并且于没人工参加的情况之下手动自这些资源的任何错误配置之中回复。这里的关键性指标是关键性云计算配置错误的平均值修复时间(MTTR)。假如以小时、天、周来量度，那麽有工作需做。
10.数据中心安全性于云中不起作用
到目前为止，人们也许已得出结论，于数据中心之中实习的许多安全性工具于云中没多大用处。这并不意味着企业需舍弃始终于采用的所有东西，但是要明白哪些依然适用，哪些已落伍。比如，应用程序安全性依然非常关键，但是靠跨度或是点击来检验流量的网络监视工具绝不会由于云计算服务供应商提供直接网络访问。企业需弥补的主要安全漏洞和云计算资源配置有关。
11.云之中的安全性可以更容易、更有效
因为云计算是可编程的并可构建自动化，这使得云中安全性可高于数据中心更容易、更有效。
监控配置错误与偏差的情况可全然可以实现自动化，企业可作为关键资源使用自我修缮基础设施用以保障敏感数据。于配置或是更新基础设施以前，企业运行自动化试验来证明当作代码的基础设施与否合乎其企业安全策略，便如同企业保护应用程序代码一样。这让开发人员可更快地认识是否适用需修缮的问题，并且最后协助他们更快地地行动，并且不断创新。
12.于云中，合规性亦可以更容易、更有效
这对于合规性分析师亦是好消息。传统的云计算环境人工审核的成本也许十分低廉，易出错且耗时，所以于完工以前它们一般已过时。因为云计算是可编程的，并可构建自动化，所以亦可展开合规性扫描与调查报告。现在可于绝不交付大量时间与资源的情况之下，自动履行合规性审核并且定时分解报告。因为分布式环境变化如此频繁，超于一天的审计间隔可能太长。
自哪里起采用云安全性
(1)认识开发人员正在于做什么
他们采用的是什么云计算环境，他们如何透过帐户(乃研发、试验、产品)分离问题?他们采用什么配置与持续集成与持续布署(CI/CD)工具?他们目前将要采用任何安全性工具吗?这些问题的答案把协助企业制订云计算安全性路线图，并且确认需重视的理想领域。
(2)把合规性框架运用在现有环境
辨识违规行为，接着和企业的开发人员合作以使其符合规定。假如企业绝不遵循HIPAA、GDPR、NIST 800-53或是PCI等合规制度，亦使用互联网安全性中心(CIS)基准。如同AWS与Azure这样的云计算获取商已把其运用至他们的云平台，以此协助去除他们如何运用在企业将要做什么的猜测。
(3)确认关键性资源并且建立不错的配置基线
不要忽略关键细节。企业和开发人员合作，确认包括关键数据的云计算资源，并且作为他们建立安全性的配置基线(及网络与安全组等有关资源)。起检测这些配置偏差，并且考量自动修缮解决方案，以此避免错误配置造成事故。
(4)协助开发人员越来越安全性地展开工作
透过和开发人员合作，于软件开发生命周期早期(SLDC)之中加入安全性，构建“左移”。DevSecOps方法(比如开发期间的自动策略检验)透过去除慢的人工安全性与合规性流程来协助维持创意的快速发展。
精确而且具备弹性的云安全态势的关键是和企业的开发与运营团队密切合作，以此使每个成员均于同一页面之上并且采用相近的语言互动。因而于云中，安全性绝不能当作独立功能运行。