根据 Palo Alto Networks 周三发布的 2024 年云原生安全状况报告，人工智能生成的代码中的安全漏洞是 2024 年最常见的云安全问题，因为 100% 的调查受访者表示他们的组织使用人工智能来辅助编码。
对人工智能的担忧、开发人员和安全团队之间的冲突、仓促的云迁移以及跨多个云工具的碎片化是该报告的重点，而人工智能、API 和访问管理风险是受访者最关心的问题。
该报告还显示，数据泄露、合规违规和涉及高级持续威胁（APT）的事件等安全事件正在增加，这表明需要加强身份和秘密管理。该报告最后提出了提高云原生安全性的建议。
GenAI 是开发人员和云安全专家的首要考虑因素
该调查涵盖了来自全球开发、信息安全和信息技术部门的 2,800 名高管和从业者的反馈，这是《云原生安全状况报告》历史上首次出现一致回应，100% 的受访者表示他们的组织正在其开发运营中采用人工智能辅助编码。
与此同时，人工智能风险构成了三种最常见的云安全担忧中的两种，44% 的受访者对人工智能生成的代码中的漏洞表示担忧，38% 的受访者表示人工智能驱动的攻击构成了威胁。
与此同时，“各组织并没有把谨慎抛在脑后”，报告指出。 99% 的受访者表示，他们的组织计划制定人工智能安全政策，并确保对人工智能模型进行适当的“需要知道”的访问管理。此外，98% 的受访者表示他们的组织计划全面清点其 AI 模型和 GenAI 辅助应用程序。
调查发现，总体而言，100% 的组织计划优先考虑人工智能部署整个生命周期的可见性。
API、身份风险常见的云安全问题
调查受访者第二大最常见的安全担忧是 API 相关风险，43% 的受访者提到这一点。
报告指出：“各组织的担忧主要集中在不受管理和不安全的 API、第三方 API 风险以及 API 集成缺乏监督。”
35% 的受访者还担心云中的访问管理不足。云的引入带来了身份管理挑战，包括跨多个服务的身份碎片化。
该报告有关事件响应的部分反映了对更强的 API 安全性和访问控制的需求，64% 的受访者表示过去一年数据泄露事件有所增加，48% 的受访者表示重大合规违规行为有所增加，45% 的受访者表示涉及不安全 API 的事件。
45% 的受访者还表示，由于配置错误导致的停机时间增加，APT 相关事件增加了 45%，秘密泄露增加了 43%，身份访问过于宽松导致的停机时间增加了 42%。调查中指出的两大“数据安全敌人”是云环境的复杂性和碎片化（54%）以及宽松的事件和访问管理实践（50%），强调了身份在防止云原生数据安全事件中的作用。
上市时间紧迫会破坏安全性，给员工带来压力
Palo Alto 的云原生安全状况报告中强调的另一个问题是开发人员和安全团队之间的优先级冲突，DevOp 团队面临着快速交付的压力，并将 SecOps 同事的请求视为负担。
高达 92% 的组织表示 DevOps 和 SecOps 之间的冲突导致应用程序开发和部署效率低下，84% 的组织表示安全流程导致项目时间表延迟。与此同时，71% 的受访者表示，仓促的时间表导致部署时出现安全漏洞。
这些冲突不仅危害安全，还会给 DevOps 和 SecOps 员工带来巨大的工作压力。超过一半 (52%) 的受访者表示 DevOps 和 SecOps 团队之间的冲突是工作场所压力的一个来源。
在云迁移方面也感受到了时间紧迫，一半的受访专业人士表示，他们希望花更多时间为云重构应用程序，而不是采取“直接迁移”的方法。
2024 年云安全建议
鉴于当前的挑战，Palo Alto Networks 提出了五项提高云安全性的建议。首先，组织应该考虑整合其云安全工具，因为调查发现，组织平均在 12 个云服务提供商 (CSP) 中使用 16 个云安全工具，98% 的受访者表示减少这一数字很重要。
报告指出：“为新的云安全需求做好准备的一个战略方法是从可以扩展到未来用例的平台供应商开始，涵盖应用程序和操作安全。”
第二项建议侧重于安全的人工智能采用，为人工智能的使用和访问制定明确的政策。该报告还建议自动发现敏感数据，以将敏感细节排除在模型训练之外，并指出在第三方软件供应链中使用人工智能生成的代码时意识的重要性。
第三，鉴于云数据泄露的增加，应实施智能数据安全解决方案并定期审查数据安全策略。访问控制和员工培训也是保护云中数据的关键。
第四项建议解决了速度和安全性之间的拉锯战，敦促组织衡量安全性在生产时间表中成为控制因素的频率，并调整其工作流程以最大限度地提高效率和安全性。采用安全设计方法也可以在这方面有所帮助。
最后，积极主动地实施应用程序开发的安全措施有助于协调 DevOps 和 SecOps 之间的关系，并使两个部门达成共识。
报告总结道：“如果你没有刻意、有策略地全力致力于建立 DevSecOps 文化，你的业务成果就会面临风险。”
发表评论
您还未登录，请先登录。
登录