公有云与托管安全服务托管商 (MSSP) 之间的共生关系

伴随着互联网的兴起，MSS (Managed Security Service) 这个名词开始在20世纪90年代中期迅速发展起来。从21世纪初传入中国后，国内对 MSS 的翻译不一，有的叫 “可管理安全服务”，也有的叫 “安全管理服务”，或者 “安全管理外包服务”、“安全托管服务”。而从事 MSS 的服务商称作 MSSP，即 MSS Provider。

令很多人惊讶的一个事实是，公有云似乎在复兴托管安全服务提供商 (MSSP) 应用和发展方面起到了强大的助力作用。

多年来，主流公有云提供商已经开始定期推出新的安全功能，并将其添加到自己的工作负载管理工具中。例如，添加新的检测和警报功能，旨在通过更好的描述来帮助用户清理不断扩大的误报规模，这些误报可能会暴露机密信息或导致攻击者滥用宝贵的资源并窃取知识产权等。在我看来，这种嵌入式安全功能的逐步推出可能是迁移到云端最具价值的优势。

在公有云提供商推出的这些安全功能中，许多都是非常简单且非侵入性的。例如，有些安全功能可以提醒订阅用户他们刚刚创建了一个使用不良管理员密码的可公开访问的数据存储设备，或者他们即将启动一个已经 9 个月未进行修补或更新的虚拟机 (VM)。除了警报之外，云安全工具还可以建议（或强制要求）用户使用更强的密码，并启用多因素身份认证，或是针对过时的虚拟机设备，自动启动操作系统修补程序，并在映像上安装更新的安全套件。

正确地完成这些安全基础工作，并在数百万订阅用户和数千万工作负载中应用这些安全基础已经证明，在公有云中运营的企业要比那些仅在本地部署的企业更为安全。将云的安全优势与 MSSP 解决方案结合可以实现更大的价值，其中最常见的价值包括：

对于中小型企业 (SMB) 来说，在迁移至云端之前，能够拥有一些IT支持人员负责管理 3-4 种安全技术（例如防病毒、防火墙、VPN 和反网络钓鱼网关）就已经是极其幸运的事情；而在迁移至云端之后，IT 团队将获得 20 多项默认运行的安全服务支持，并可以通过单次点击获取另外 50 多个安全产品选项，成功地将他们从庞大的数据处理量和管理任务中解放出来，专注于更为重要的战略性任务。

不过，迁移至云端并不是简单的一个转换动作，还是一段漫长的过程。公司的内部安全团队必须在继续支持传统的本地 (on-premises) 安全技术的同时，学习和掌握更多基于云的安全选项和技术。如今，这些团队面临的安全任务量已然十分庞大，甚至出现了心有余而力不足的现象，更别说腾出时间为 “云迁移” 任务进行重新训练了。

拥抱 DevOps 的企业正致力于优化价值并加快云计算创新步伐。实施 DevOps 文化通常要求企业重新定位其内部安全团队并让他们掌握 SecDevOps。由于机构内部 (in-house) 的安全专业人员主要侧重于 SecDevOps，因此日常安全操作任务和事件响应还需要额外的人力资源。

但是，定位、雇佣和留住安全人才正变得越来越困难，特别是对于中小型企业而言。迁移至云端的企业通常会雇佣新的安全专家将组织迁入云中，或是重新针对最聪明、最有价值的内部安全人才进行培训，以试图填补这些 “遗留” 的安全角色。

一般来说，MSSP 的价值主要体现在它们管理自身销售并安装到客户环境中的安全产品组合的能力。为了确保服务质量和知识深度，最成功的 MSSP 将提供极高的灵活选择性，并尽可能优化他们可以支持的安全产品组合。

随着他们的客户逐渐将工作负载迁移到公有云中，更大型的 MSSP 正在使用来自顶级公有云提供商的云原生 (cloud-native) 安全产品来重新培训他们的技术团队。同时，MSSP 也正在更新其内部开发的安全运营中心 (SOC）、网络运营中心 (NOC) 和事件处理工具，以囊括默认的公有云提供商的 API 和安全产品。

与此同时，在招聘和保留安全专业人才方面，MSSP似乎表现得也要比中小型企业更好一些。因为他们不仅能够支付更高的薪资，而且更重要的是，他们还能够通过分散在多个客户环境中的各种安全挑战，为求职者提供中小型企业无法提供的职业发展道路和前景。

默认公有云安全功能和 MSSP 采用率的并行增长，为入门级信息安全人员的缺失和获取经验丰富的事件响应者提供了解决方案。将云计算的高效与 MSSP 交付相结合，可以创建超出本地单一防御所能实现的高级功能。

聪明的 MSSP 们正在接受云运营，以实现自身的优化和服务交付。他们中的许多人正在利用内置的 AI 和弹性计算功能，在无需扩充人类安全专家的情况下，为客户提供更先进和个性化的安全服务。通过这种方式，企业可以在利用公有云效率的同时，有效地解决安全专业人士短缺的困境。

如今，安全从业人员数量日益紧缺，训练有素的安全专家更是少之又少，但是，随着企业逐步迁移至云端并拥抱 MSSP，它们所提供的高级功能将可以帮助企业弥补入门级安全要求。如此一来，现有的安全防御者就有足够的时间和精力去处理更高级别的问题，帮助公司业务更上一层楼。