在云计算安全方面，企业员工可能是组织最大的敌人，特别是当组织偏离最低权限访问模型时。
数据泄露最近一直是行业媒体关注的主题，通常归咎于云计算配置不当，并导致选民记录，Verizon公司客户数据，甚至是军方机密在云存储中对外泄露。
在以下的关于云计算安全的问答环节中，BetterCloud公司首席执行官兼创始人David Politis对为什么SaaS安全事件成为重大的新闻，以及企业如何控制这些云计算配置错误以保护数据进行了阐述和分析。
最近有很多关于云计算配置错误导致数据泄露的事件。您认为这是新出现的问题还是已经加剧的问题?
David Politis：自从人们开始采用SaaS应用程序以来，这个问题一直存在。但它直到现在才得到人们更多的关注，这是因为在很多情况下，错误配置直到为时已晚才被识别出来。在大多数情况下，业务配置在部署股票应用程序时就已到位，或者在多年前或六个月前更改设置时就已到位，并且直到一些泄露事件曝光发生时，组织才开始关注它。
例如我们与一些客户探讨的一个案例，三年前我们告诉他们将会遇到X、Y和Z问题，因为他们有太多的管理员，三年来这些问题一直处于休眠状态没有显现。但突然间，他们遇到了一个问题，这些公司的所有员工的联系方式泄露，而这是一家拥有10,000名员工的公司，这家公司的每位员工在此期间都可以访问每一个电子邮件分发列表。
此外，我们的另一家客户近日表示，“我们公司的一个超级管理员错误地删除了公司的三分之一的员工资料。”这家公司大约有3000名员工，而该公司三分之一的员工的个人资料当时只剩下电子邮件，而没有文件和日历等其他信息，这让他人认为这些人员被解雇了。
在此期间，这些员工认为他们被解雇了，因为他们无法获得任何信息和数据。他们不得不去恢复相关应用程序。1000名员工面对这15分钟的停机时间令人困惑。
我们已经看到了这些类型的事件的发生，这就是我们创办数据安全公司的原因。但直到现在，这些SaaS应用程序的采用越来越多，以至于这些问题大规模发生，导致媒体对此进行宣传报道。
您提到了云计算配置错误可能导致的不同SaaS安全问题。这些数据曝光事件是否掩盖了更大的问题?
Politis：更多的是无意中所犯的错误，这使得它如此具有挑战性。这不是一种恶意行为，虽然会遭遇恶意攻击，但很多这些情况都不是恶意的。这是错误的配置，或者仅仅是某人犯下的一般性错误。甚至删除用户只是管理员误操作的结果，这是因为管理员不了解如何配置应用程序以遵循最小权限模型。
我认为，即使这是一个无意所犯的错误，对外泄露的数据类型也可能是最敏感的数据，因为我们已经达到了SaaS应用程序使用方式的临界点。通常云计算被用作记录系统。如果回到五年前，通常人们不会将云端视为一个存储重要记录的系统。而是一个次要的措施，可以在云端存放一些东西，也许是一些设计文件，但现在很多企业却将人力资源等重要的文件存储在云端。
最近，我们对客户进行了安全评估，我们发现他们将所有的人力资源文件都存放在他们的云存储系统中的公共文件夹中。而且按照客户公司员工的说法，这种配置绝对不是恶意的，但这样做很糟糕。我们发现诸如公开可用文件的员工背景检查等文档。如果其他人知道如何找到它们，就可以获得这些资料。
我认为，这比企业员工资料被删除15分钟还要糟糕。而且是完全错误的。我们与客户进行了沟通，其人力资源负责人对这些基于云计算的系统并不十分熟悉。他们只是在文件夹级别错误配置了一些东西，然后他们添加到该文件夹的所有文件中，使其对外公开可用。但我们认为这样可能更危险，因为也许这种事情正在发生，并且正在日复一日地发生，我认为实际上很难捕捉到这样错误的行为。
是否所有企业都认为某处存在云计算配置错误?找到这些问题到底有多难?
Politis：根据我们的经验，我们调查中的10个企业云环境中有9个企业存在配置错误，并且与组织的规模无关，而在其环境中的某个地方存在重大的或严重的错误配置。在大多数情况下可以找到错误的配置，但这有点像在大海捞针。它需要花费大量时间，因为唯一的方法是在管理控制台中逐页进行操作;点击每个设置来查看每个组，查看每个频道并查看每个文件夹。因此，除非现在以编程方式进行，否则没有更好的方法可以做到这一点。
我们成立公司就是为了识别这些盲点。这是因为真的有需要。当我们查看这些环境并开始登录Salesforce、Slack、Dropbox和Google时，可能需要几个月的时间来完成一个拥有几百名员工的环境的检查，这需要检查所有配置和所有不同的区域，因为这样的环境，错误配置可能成为一个问题。
如今人们必须采用的方法是通过人工操作完成。这可能需要很长一段时间，而这取决于组织的规模，他们使用SaaS应用程序的时间，通常采用多少云平台，以及他们拥有的数据蔓延管理，更重要的是，将跨越所有SaaS的权利，配置设置，以及权限的蔓延。
我们看到其中很大一部分问题都不是IT团队的错。在许多情况下，其错误配置可能早于IT组织成立的时间，因为SaaS应用程序的存在时间通常比IT组织或IT领导者入职时间还要长。
在许多情况下，最终用户可能进行了错误配置，因为他们对这些应用程序有很多控制权。这可能是启动了影子IT，并且以某种方式由影子IT配置。当应用程序被IT组织接管时，很多配置的清理工作都没有完成，因此它不适合IT团队所拥有的相同策略。
我们也有很多客户，他们的管理员数量过多，这因为需要对销售业务负责，一般来说，让每个人都成为管理员并让他们自己做出改变更容易。但是，当IT团队公开接管Salesforce的安全性和管理时，找到所有错误配置所需的工作真的很难。这适用于Dropbox、Slack和任何与影子IT相关的东西，很多企业会遇到这些问题。
