医疗保健提供商Jefferson Health公司的首席信息安全官(CISO)Mark Odom日前对医疗保健提供商如何向云优先战略的转变进行了探讨，并分享了如何创建更高效、更敏捷且以风险为中心的网络安全方法。

Odom指出，Jefferson Health公司在网络安全方面的口号是“如果我们做不好，就不会去做”。事实证明，这种方法对于Jefferson Health公司快速过渡到云优先的远程模型以满足在发生新冠疫情情况下正常开展业务的需求是不可或缺的。

事实上，通过将网络安全放在其云计算创新的前沿，该公司为一些医院采用了一种更高效、更敏捷、更注重风险的安全方法来保护业务安全。Odom说，“几年来，我们的战略一直以云计算为中心，但我们的许多平台都非常大，通常不会在几个月内更改和移动，而是需要数年才能移动。发生的疫情加速了事情的发展。”事实上，医院庞大的数据库涵盖医疗保健、教育和研究业务的数据，其中一些数据库依赖于传统的遗留系统，这些系统需要向云端转移，以实现更大的灵活性、成本效益和安全性。

网络安全文化是云计算应用的关键

Odom倡导采用网络安全文化以有效地完成这一旅程，Jefferson Health公司总裁也在大力推动这种文化。Odom说，“我们得到了确切的安全信息，这让我们专注于执行，而不是向管理者介绍为什么需要采取安全措施。我们可以从一开始就以一种正确的方式加快发展，而不是在传统的内部部署基础设施上所做的那样落后于发展曲线。”

Odom解释说，采用正确的安全工具可以防止员工将事情搞得一团糟，从而消除了围绕生产和运营中改变系统以达到安全标准的艰难对话。他说，“我们采用的一种非常有条理、有计划的方法，并从一开始就理解了安全性，这给我们带来了很多好处。”

Odom表示，业务一致性是Jefferson Health公司实施云迁移的另一个核心文化元素，治理是将网络安全定位为与更广泛的企业动态保持一致的不可或缺的组成部分。他说，“从监管的角度来看，我们有不同的业务，每个业务都有非常不同的使命和要求。这在很大程度上是关于了解所有这些领域的业务用例及其在云计算空间中的需求，然后安全团队与云计算架构师一起正确构建云平台。”

为了确保保持这种以业务为中心的心态，Odom经常与其他利益相关者和同行一起参加安全技术研讨会议和活动，以鼓励企业之间的公开对话。

云计算扩展中的远程工作

在疫情蔓延期间，对敏捷、远程工作的需求加速了Jefferson Health公司向云优先模式的转变。他说，“我们已经在努力为员工提供更多的远程办公时间，因此实际上向远程工作模式的过渡非常顺利。”他补充说，他对遇到的安全挑战如此之少感到惊讶。

虽然Odom认识到新冠疫情对Jefferson Health公司构成的威胁，例如针对其疫苗研发工作的网络攻击激增，但随着研发团队在更多时间在家远程工作，网络安全方面的显著优势很快就显现出来。他说，“在安全运营中心的帮助下，大多数员工专注自己的工作和业务。当我们远离企业办公室时，许多事件响应活动变得更加有效，因为我们的员工在家里远程工作已经有了完整的安全设置。而网络攻击者喜欢在周五晚上或周六早上在员工不在办公室工作的时候发动网络攻击。”

Odom表示，通过开展远程工作，响应时间减少了25%，团队整体生产力提高了20%。他说，“我们确实从远程工作中获益，而且已经能够将额外的生产力应用于疫情带来的其他挑战。”

然而Odom表示，需要解决控制、政策和教育问题，以确保远程工作不会妨碍Jefferson Health公司更广泛的日常运营的安全性。他说，“基于网络的安全工具已经转向端点控制，考虑云优先策略是一个正确的发展方向。如果真正的目标是云计算模型，那么就不会关注网络级别的控制——其控制或者必须在应用程序级别，或者必须在端点级别。”

Odom指出，随着企业提供的IT设备取代在家远程工作的员工的个人IT设备，可接受的使用政策也得到了加强。

他说，“随着时间的推移，我们认为员工采用企业设备和个人设备的界限有些模糊，因此我们需要阻止许多未经授权的工作站点，例如Google Drive。”

他补充说，并非所有工作和基本服务都受到疫情的影响，但他和他的团队需要务实地工作，以评估那些最有可能受到疫情影响的服务。他说，“对于最终用户群体来说，这显然并不总是令人满意，但需要回到他们获得、理解和适应的文化中。毫无疑问，其中的一个因素是更加关注网络安全意识培训，以应对新的远程工作风险。作为对远离企业办公室的员工的直接反应，我们将安全意识培训的次数增加了一倍。”

通过云优先的方法增强风险管理

考虑到云计算转型和引入更流畅的远程工作模式如何影响Jefferson Health公司的网络安全地位，Odom指出需要采用风险管理的多元化方法。他说，“通过采用云优先的远程工作方式，我们已经消除了很多风险，因为它迫使企业对运行环境进行细分。”

Odom说，“云计算的风险指标已经被证明是风险管理新方法的关键。如果想要获得良好的结果，必须进行衡量。然而衡量结果的劳动会降低整体价值，需要花费更多时间提供补救措施。Zscaler公司为我们提供了从一开始就获得自动化指标和衡量的机会，因此不会花费质量信息安全专业人员的时间来衡量结果。”

通过改进指标，Odom已经能够从年度数据泄露损失的角度来量化风险的变化，例如关于勒索软件的威胁。他说，“当我们在内部部署数据中心运行业务时，勒索软件攻击发生的可能性为2%到3%。随着我们更多地将业务迁移到云端，其成本曲线显著降低，因为勒索软件攻击不会影响整个运营环境，在某些情况下，它可能只会影响单个服务线。这意味着可能只有400万到500万美元的损失。虽然我们处理这些事件的周期性比率较高，但影响较小。”

对于寻求采用以云计算为中心、不依赖网络的安全方法的其他首席信息安全官来说，Odom主张尽早采取措施。他说，“过去很多人说云计算不安全，但这根本不是一个准确的说法。使用云计算技术，我们不会继承内部部署数据中心的一些遗留实践，只需要适当的规划，它让我们的业务更安全，我们需要与一些不良的安全习惯作斗争，而企业越早实施安全措施就会越安全。”