数据至上采用云平台虽然可以带来可扩展性和成本节约等诸多益处，但也会让客户承担安全责任。在将工作负载迁移或部署到公共云时，企业在很多层面上最关注的一个首要问题就是安全性。企业希望确信数据受到保护。若能有效保护数据，云安全可以满足甚至超越传统环境标准。Amazon Web Services（AWS）具有IT操作更易执行的优势，但也存在不足，一旦出现问题，错误可能会像滚雪球般不断扩大。例如，数据存储配置错误可能会暴露个人身份信息（PII）、支付卡行业（PCI）数据或受保护的健康信息（PHI）等敏感信息。
最近，一家营销分析公司由于未在AWS环境中对Amazon Simple Storage Service（Amazon S3）存储桶部署适当的控制措施，导致1.23亿户美国家庭的住址、职业、房贷等信息遭到泄露。保证云环境安全性，可以保护数据，降低这类安全事件发生的可能性。纵深防御安全解决方案可以覆盖端到端云基础设施。德勤的安全加固、预警及监控和响应及恢复（Secure.Vigilant.Resilient.TM）框架与原生AWS服务相结合，可以提供广泛的解决方案。数据保护保护云端数据安全加固——拥有优先处理风险的控制措施以抵御已知和新兴威胁；预警及监控——掌握威胁情报并具备态势感知能力以识别有害行为；响应及恢复——能够从网络事件中恢复并减轻相应影响。
保护数据与传统的本地实施不同，在公共云应用中，由于云服务提供商和企业共同承担责任，需要采用不同的思维模式进行数据保护。在传统模式中，企业可以完全控制从基础设施到操作系统和数据、再到应用程序的整个生态系统。而在AWS中，基础设施由AWS实施、保护和控制，客户操作系统、数据、应用程序等虚拟基础设施服务则由企业负责。
此外，在基础设施即服务（IaaS）模式中，许多以前部署在企业数据中心的产品和服务现在都可通过公共应用程序编程接口（API）接入。这些API可从公共互联网访问，极大地改变了威胁向量和风险状况。由于存在这些产品和服务不再处于企业网络边界内的感知风险，这些差异可能会带来些许不安。德勤利用原生AWS服务和第三方服务开发安全加固、监控及预警、响应及恢复框架，并基于该框架开发了端到端的数据保护方案。通过分层部署功能，提供预防性、探测性和纠错性控制措施，从而实现纵深防御。采用这种数据保护方法，可通过特定的数据保护措施确保企业产品和数据安全，从而保证企业的云安全。
保护AWS环境保护数据应从基础着手。在AWS环境中标记资源可使企业有效识别资源所有者并确定其中所存储数据的重要性。标记是一种经济有效的预防措施，可通过实现自动化来支持其他安全控制措施。AWS有许多不同的存储类型，例如Amazon Elastic Block Store（EBS）、Amazon Relational Database Service（RDS）、Amazon DynamoDB和Amazon S3。每种类型都提供不同的加密选项，以保护数据免受未经授权的有意或无意访问和篡改。运用AWS原生加密功能是数据保护的核心要素；若结合强大的可操作密钥管理策略，则可作为一种有效的安全控制措施。
AWS生态系统中主要提供两种密钥管理服务——AWS Key Management Service（KMS）和AWS Cloud HSM（HSM），它们可以根据需求和用例独立运行或共同运行。CloudHSM为企业提供专用的物理HSM设备，该设备托管在AWS中，可由企业进行逻辑访问和管理。这样虽然增强了对加密密钥管理的控制，但CloudHSM并未直接集成其他AWS服务。而AWS KMS可使企业管理在多租户AWS HSA（Hardened Security Appliance）中生成并存储为不可导出格式的加密密钥，然后在许多AWS服务（例如，AWS CloudTrail、Amazon EBS、Amazon RDS、Amazon S3）中用于直接加密。
