敏感信息需要保护：客户数据、关键任务应用程序、生产信息。在许多情况下，上述信息需要得到充分的安全控制保护。“当你移动到基于云的模型，有一些事情你可以相信你的云提供商，但关键业务数据和控制监管信息，仅仅是少量的基础设施保护绝对是不够的。”佩斯卡托本周在一个由Gartner主办的网络研讨会上说。
安全问题仍然是企业在部署云战略时最为关心的问题，但佩斯卡托表示，其实有诸多的办法来减轻企业的这一恐惧。他说，关键是有一个专门保护云的应用程序、数据或工作负载，而这个专门的应用程序是依据相关安全规定设计的。一个典型的例子是信用卡信息。支付卡行业(PCI)的认证要求任何客户的信用卡数据存储电子加密。一些云服务供应商将对其云存储产品提供加密服务。但是，客户也可以购买第三方应用程序，提供加密服务，分布式拒绝服务(DDoS)的保护，特别是专为云部署的访问控制措施。其中有许多是以云的格式交付。
市场上有各种云安全产品提供各种各样的功能。诸如Zscaler、Websense或思科的ScanSafe这样的供应商。提供“网关”产品，在用户和云提供商之间提供在云中的数据监测服务，以确保恶意的数据或应用程序不渗透到用户的系统。如果云被用来托管一个网站，也有网站保护服务服务，如 Imperva、CloudFlare，甚至Akamai在这方面也有提供服务。
佩斯卡托说，总体来说，云安全已经开始在一个基本水平上了。大多数企业开始他们的云部署的旅程是从私人云服务、内部云开始，这也很方便进行安全控制。首先在私有云领域确保安全第一，然后逐步进入混合云服务和公共云。他建议：保护外界对于企业虚拟环境中的进程的攻击是非常重要的。他说。这包括确保业务流程的架构和新帐户、域和虚拟机的配置。
企业通常是从部署私有云开始，然后迁移到一些公共云服务。虽然很多时候企业都是将非关键任务应用程序迁移到公共云服务，如测试、开发或爆破容量。所以，并不需要将一切应用程序都要获得最高的安全级别。“保护敏感信息，将不敏感数据以本地形式放在云中。”他指的是过程中的符号化。
佩斯卡托说，云安全的重点应该是保护云的进程。创建云安全政策，然后确保他们在整个云部署的过程中实施，并坚持下去。他说，有些漏洞是由于创建时政策不一致或没有实施安全控制造成的。“我们真的还没有看到新的重大攻击试图攻击云基础设施或虚拟化层。”他说。“当今的现实是，黑客很容易攻击使用云服务的公司。”
好消息是客户有多种选择。对于低级别的安全要求，云服务供应商，无论是在基础设施和软件服务端方面，通常都有自己的安全功能。亚马逊网络服务是兼容 FISMA标准的;另一家云服务供应商FireHost的服务兼容PCI。佩斯卡托说，至少，用户应该确保他们的供应商达到了ISO27001、SOC2 或SOC3认证。除此之外，尤其是对敏感信息，也有第三方安全产品提供各种需求的服务。
