亞馬遜云科技的云上安全合規(guī)策略

丁海驁

“我們出去見客戶的時候，針對安全合規(guī)，客戶經(jīng)常問到我們?nèi)齻€問題：一，我從自己的數(shù)據(jù)中心，把我的應用遷移到云上，安全嗎？二，亞馬遜云科技本身是不是安全合規(guī)？三，我現(xiàn)在想上云，我也愿意上云，我把應用放到云上之后，亞馬遜云科技如何幫助我在云中實現(xiàn)安全合規(guī)？”日前，在一場有關“云上安全合規(guī)”的會議上，亞馬遜云科技大中華區(qū)戰(zhàn)略業(yè)務發(fā)展部總經(jīng)理顧凡提出了目前企業(yè)用戶對于云上安全方面的幾大顧慮。

事實上，隨著整個社會數(shù)字化進程的加速，數(shù)據(jù)已經(jīng)成為能夠推動和控制物理世界的重要因素。甚至在很多數(shù)字化程度較高的領域和行業(yè)——如金融領域、工業(yè)領域、零售領域等——數(shù)據(jù)本身已經(jīng)能夠代替人工去驅動相應物理世界的運行。因此，數(shù)據(jù)本身的安全就已經(jīng)不再僅僅是一個IT層面需要考慮的數(shù)字資產(chǎn)的問題，而是一個可能會影響到現(xiàn)實、具體人類社會的重大議題。在過去一段時間，包括中國在內(nèi)的很多國家都頒布了與數(shù)據(jù)保護和隱私保護相關的法律法規(guī)，如中國就在最近推出了《數(shù)據(jù)安全法》、《個人信息保護法》等，從立法的角度，規(guī)范在數(shù)字化領域的安全邊界。

即便如此，對于具體的企業(yè)用戶而言，日益頻發(fā)的安全問題依然成為其深化數(shù)字化轉型的障礙：企業(yè)數(shù)字化程度越深，現(xiàn)實業(yè)務對于數(shù)據(jù)的依賴程度也就越深，那么數(shù)據(jù)安全的重要性也就越大。但是作為IT行業(yè)典型的“貓鼠游戲”中的雙方，相對于來自未知領域的安全威脅和隱患，自身已經(jīng)掌握的安全保障總是顯得并不充分。尤其是對于普遍被作為企業(yè)用戶數(shù)字化轉型基礎的云計算，企業(yè)如何充分掌握100%的控制權，是提升企業(yè)用戶安全感的重要因素。

在顧凡看來，把應用從客戶數(shù)據(jù)中心遷到云上不僅是安全的，而且還能夠幫助企業(yè)用戶在安全體驗再上一個臺階：“企業(yè)用戶在自建數(shù)據(jù)中心時，也要構建安全架構。只不過，那時需要企業(yè)自己來構建一切，需要考慮包括安全設備管理、合同簽訂、成本等一系列問題；當客戶把自己應用上云之后，企業(yè)并不需要關心瑣碎的底層基礎設施安全，而且它在云端的安全治理有機會再上一個臺階——以往來源于不同的產(chǎn)品做安全數(shù)據(jù)整合，會非常地復雜，但是在云上，服務之間都是彼此深度集成，因此會讓數(shù)據(jù)整合變得更簡單，數(shù)據(jù)整合后便于更好的做安全的可視化管理；作為云服務提供商，可以為企業(yè)用戶提供自動執(zhí)行合規(guī)任務，此外，企業(yè)還可以直接繼承云服務提供商的合規(guī)體系。”

至于企業(yè)針對云服務提供商本身提出的安全質疑，顧凡結合亞馬遜云科技自身的安全機制，談到了亞馬遜云科技首創(chuàng)的“安全責任共擔模型”：“亞馬遜云科技負責云自身的安全合規(guī)，這不僅代表我們要負責我們云基礎設施和云服務的安全，也代表著我們要為我們的云基礎設施和云服務拿到全球各種各樣的合規(guī)認證，讓客戶繼承這些合規(guī)認證；而用戶則需要是為自身的云業(yè)務安全負責，但是亞馬遜云科技會幫客戶建設云中的安全防護，這里面最核心的一個理念是：用戶是擁有完全的權利，包括選用哪個區(qū)域、使用哪種服務、訪問控制的授權、安全防護的手段等，客戶可以根據(jù)業(yè)務的實際情況和數(shù)據(jù)的重要性來采取適當?shù)陌踩弦?guī)措施。”

顧凡強調，基于這樣一套“安全責任共擔模型”，亞馬遜云科技從基礎設施、服務、客戶擁有和控制數(shù)據(jù)的原則、全球安全合規(guī)認證等四個方面，來保證其自身的安全合規(guī)。“打鐵還需自身硬。目前，亞馬遜云科技已經(jīng)把全球積累的保護經(jīng)驗、安全合規(guī)的能力實踐到中國區(qū)域。目前，亞馬遜云科技中國的北京區(qū)域和寧夏區(qū)域都通過了獨立的第三方機構的驗證，也都完成了網(wǎng)絡安全等級保護三級的測評，還獲得了中國信息通信研究院的可信云的服務評估。同時我們在國內(nèi)也獲得了通行的ISO一系列的信息安全質量管理認證，和像PCI-DSS、SOC等這些行業(yè)方面的信息安全認證。”顧凡說。

而對于三個問題中最難回答的“企業(yè)用戶應該如何構建自己的云中安全合規(guī)體系”，顧凡提出了亞馬遜云科技的三條理念：第一，企業(yè)需要利用云上的事件驅動型架構去構建自動化防護欄，而非設立關卡；第二，安全建設應該未雨綢繆，應用企業(yè)應該根據(jù)業(yè)務的情況和系統(tǒng)的特點，主動從技術和管理的層面去落實，而不僅是被動響應；第三，云中安全必須是一個洋蔥型的多層防護。

“云中安全必須是一個洋蔥型的多層防護，而不是一個雞蛋。”顧凡說：“雞蛋雖然給人感覺外殼比洋蔥更堅硬，但實際上它是單層防護，而云上安全一定像洋蔥一樣層層遞進的防護機制。”

在亞馬遜云科技的洋蔥模型中，為企業(yè)用戶提供了五個層次的安全服務：第一層是威脅檢測與事件響應；第二層是身份認證與訪問控制；第三層是網(wǎng)絡與基礎設施安全；第四層是數(shù)據(jù)保護與隱私；第五層是風險管控及合規(guī)。“亞馬遜云科技中國區(qū)域始終在加強這方面安全服務的建設，努力把這些領先的安全服務快速的引入中國：截止到2021年，亞馬遜云科技在中國區(qū)域已經(jīng)推出了50多項安全和合規(guī)服務、功能。中國大陸的兩個區(qū)域提供的云服務和其他亞馬遜云科技區(qū)域提供的云服務，從功能上來說都是一樣的。但是很重要的是，它又跟亞馬遜云科技其他區(qū)域是物理隔離的——亞馬遜云科技中國（北京）區(qū)域和亞馬遜云科技中國（寧夏）區(qū)域通過獨立的第三方機構驗證其標準符合能力，已經(jīng)完成了網(wǎng)絡安全等級保護三級測評等。”顧凡說。

事實上對于最終的應用企業(yè)而言，雖然之前提出的三個問題都得到了答案，但是，要想將這些基于技術體系構建的IT邏輯落實到應用層面，依然難度不小。

在2021年，亞馬遜云科技與其核心級咨詢合作伙伴德勤中國合作，共同成立了一個云上安全實驗室：基于亞馬遜云科技的平臺提供的托管安全服務、安全合規(guī)服務、基礎設施安全服務、應用安全服務，德勤為企業(yè)用戶提供包括安全咨詢、系統(tǒng)部署、安全運營整體服務在內(nèi)的全程端到端服務。到了2022年，雙方的合作得到了升級：共同推出了基于亞馬遜云科技的德勤安全運營中心服務。

無論是“實驗室”還是“安全運營中心”，實際上都是為了能讓技術以盡可能低的門檻，在企業(yè)當中得到更廣泛的應用。“今年推出的安全運營中心，是因為我們看到了安全運營在企業(yè)內(nèi)部安全管理是最核心的內(nèi)容——跨國企業(yè)使用非常普遍。”德勤中國風險咨詢部網(wǎng)絡安全及戰(zhàn)略風險事業(yè)群主管合伙人薛梓源在接受采訪時強調，對于企業(yè)級的安全運營中心而言，由于構成的組件非常多，所以如果是企業(yè)要自建，“它可能不是簡單地投入一些硬件、一些軟件那么簡單，這個投入是海量的。而且，其對于安全分析人員的技能要求也是很高的。”

薛梓源強調，安全運營中心能夠提供給企業(yè)用戶的價值，第一是增強企業(yè)信息安全管理能力，助力企業(yè)快速平穩(wěn)發(fā)展，規(guī)避網(wǎng)絡攻擊帶來的額外成本；第二是提供全程的安全分析，提高網(wǎng)絡安全的韌性，減少網(wǎng)絡安全的風險。

寫在最后

數(shù)字化帶來的安全隱患和合規(guī)風險，是以往企業(yè)所沒有經(jīng)歷過的，是一個新課題。要解決這一問題，實際上依然需要云服務提供商和企業(yè)用戶雙方面的共同努力——企業(yè)應用上云的主動性是其中的決定性因素。