如今，云计算技术高速发展，云原生、无服务器等概念层出不穷，催生了很多新的云服务模式，各行各业开始大量采用云计算基础设施，构建基于云原生的服务。特别是金融行业，“云优先”和“只有云”已经成为企业构建新业务的策略。但新业务构建的同时，也面临诸多安全风险。

CSA大中华区在9月1日举办的2023TechWorld绿盟科技智慧安全大会正式发布白皮书《云环境下的金融服务现状》（中文版），绿盟科技与中国工商银行软件开发中心重点参与及支持报告的编写。

CSA大中华区研究院执行院长吕鹂啸（左）、绿盟科技集团首席创新官刘文懋（中）、工商银行软件开发中心信息安全团队资深经理张名伟（右）共同上台发布CSA白皮书。

《云环境下的金融服务现状》（以下简称报告），旨在评估金融行业现状，并与三年前行业初期CSA类似的调查结果进行比对，来证实金融服务业头部企业正在进一步利用云服务来发现的当前问题和新的机遇。报告通过对金融行业企业的安全相关负责人调查，给出了近年来的云环境下金融服务现状和机遇，以及 CSA 后续的行动计划，帮助组织机构更好地执行适合自身的云化策略和行动。

受访者表示利用云服务实现远程办公或快速更新云应用软件的前提是云服务能提供符合法规的一致安全策略，由此将推进金融机构进一步采用云服务实现业务部署和运行。

由于新冠疫情导致远程办公和访问需求的增长背景，金融行业云服务使用呈现日益增长的趋势，同时许多企业已经认识到CSP多样化的好处，例如可以降低供应商锁定的风险，确保云环境更具有灵活性和弹性，多云化已是当前云服务的使用现状。

受访者表示云服务进一步发展需要与CSP、金融服务业展示其符合法规、整体数据保护能力的同时也需要让企业可运营便捷。

在云中拥有大部分关键业务工作负载（50% 或以上）的企业数量在短短三年内几乎翻了一番。87%的金融组织已将其关键业务工作负载转移到云中。另有 15%（从 17% 增长到 32%）的企业正在将一半以上的关键业务工作负载转移到云中。

此外，预计在未来12个月内72% 的企业会将受监管的银行数据转移或存储在云端。（较2020年的63%有所增加），该报告显示未来金融服务业对云的信任和依赖程度有所提高。

金融服务机构仍然面临的一个普遍挑战是云安全技能缺口，即具备有效管理和保护云环境专业知识的专业人员短缺。为解决这一问题，企业正在竭力培训和聘用云安全专业人员，以弥补这一缺口，改善云安全状况。

68%的企业提供针对云的专门培训，其中针对云服务提供商的培训最为普遍。调查显示，尽管68%的企业为技术专业人员提供了云相关的培训，但只有9%的企业提供全面的云相关培训，还有32%的企业没有提供云相关的培训。

云安全联盟CSA 12年前推出的CCSK云计算安全知识认证，被誉为“云计算之母”。CSA和ISACA共同推出了CCAK云计算审计知识认证，填补了云IT审计技术教育市场的空白。CSA大中华区发布了全球首个CCPTP云渗透测试认证专家，弥补云渗透测试技能人才培养的空缺，为专业人员提供技能保证。未来即将发布以云原生安全为核心能力的ACSE高级云安全专家。通过技能型系统的高阶课程来加速云安全人才的培养，以满足产业的用人需求。

报告中结论部分提出诸如云安全社区可以通过进一步的行业合作来提供相应问题解决的方式，通过制定易于理解和落地的指导和应用访问控制标准流程，提供针对金融服务专业人员的安全使用培训，基于创新技术以研究保护金融数据的方案，并制定相应的金融行业云服务安全基线，以便金融机构无论使用哪种云服务，都可以达成监管以及自身高效使用的双重诉求。