2022年已經步入4月，現(xiàn)實中的全球宏觀環(huán)境卻變得日益復雜，因為各種新興技術如雨后春筍般出現(xiàn)，互聯(lián)網所處的環(huán)境也是如此。
為了更好的應對各種互聯(lián)網中未知的情況，截至目前，全球已有132個國家與地區(qū)制定了數(shù)據(jù)保護和隱私相關的法律法規(guī)。最近幾年，中國也陸續(xù)出臺了《數(shù)據(jù)安全法》、《個人信息保護法》等各種法規(guī)。
同時，隨著企業(yè)加速上云，可以預見，企業(yè)放到云上的數(shù)據(jù)類型、數(shù)據(jù)的數(shù)量會持續(xù)增加。此外，現(xiàn)在越來越多的中國企業(yè)在拓展海外市場，這一切都會加劇企業(yè)面對安全合規(guī)的挑戰(zhàn)。
近日，亞馬遜云科技宣布將持續(xù)加大在中國區(qū)域對安全合規(guī)領域的投入，為客戶提供安全合規(guī)的基礎設施和云服務。
3月24日，在 以“云計算為業(yè)務賦能，安全為云計算賦能”為主題的亞馬遜云科技云上安全合規(guī)媒體溝通會上，亞馬遜云科技大中華區(qū)戰(zhàn)略業(yè)務發(fā)展部總經理顧凡為到場觀眾分享了亞馬遜云科技在安全合規(guī)方面的理念、策略、實踐。
顧凡表示，針對安全合規(guī)相關，客戶通常都會關注三點：一是從自己的數(shù)據(jù)中心把應用遷移到云上是否安全；二是亞馬遜云科技本身是否安全合規(guī)；三是把應用放到云上之后，亞馬遜云科技如何幫助客戶在云中安全合規(guī)。
自建數(shù)據(jù)中心是從0起步，選擇云廠商則是從50分開始
面對以上客戶經常遇到的疑慮，顧凡在會上進行了詳細的解釋。首先他表示，企業(yè)自建數(shù)據(jù)中心的時候也要構建安全，只不過需要自己構建一切，需要考慮到安全設備管理、合同簽訂、成本問題等。當應用上云之后，企業(yè)并不需要關心瑣碎的底層基礎設施安全，安全體驗能夠比自建數(shù)據(jù)中心再上一個臺階。
而云端“再上一個臺階”體現(xiàn)在如下幾個方面：
一是更加自動化?？梢猿浞掷迷贫税踩罩g的超高集成度，更好地做到安全自動化。在本地的環(huán)境下，采用的是不同廠商的產品，安全數(shù)據(jù)整合非常復雜，而在云上，服務之間的深度集成，會讓數(shù)據(jù)整合變得更簡單。
二是更好的可見性。有了更好的數(shù)據(jù)整合，在云上也會更有機會用一個集中的平臺，實現(xiàn)安全的可視化管理。
三是更靈活的成本控制。云端安全是沒有前期投入成本的，而是按照使用付費。
四是更高效地做合規(guī)。自建數(shù)據(jù)中心做合規(guī)需要從零開始做起。如果選擇亞馬遜云科技，客戶可以繼承云廠商的合規(guī)。
正因如此，全球才有數(shù)百萬用戶選擇并且信賴亞馬遜云科技。例如，納斯達克交易所會分階段把全部業(yè)務遷移到亞馬遜云科技，日本最大的電信運營商NTT docomo會把PB級別的數(shù)據(jù)倉庫遷移上云。
“兩大支柱”確保亞馬遜云科技云上安全合規(guī)
為什么亞馬遜云科技會如此重視安全與合規(guī)？顧凡認為這與亞馬遜云科技安全合規(guī)的兩大支柱密不可分：
首先，亞馬遜云科技有一個“Job Zero 安全文化”，也就是先要確保自身的安全合規(guī)，這也貫穿在亞馬遜云科技整個企業(yè)當中，同時，其也在通過四個方面保證自身的安全合規(guī)：
1) 安全的基礎設施。亞馬遜云科技的數(shù)據(jù)中心和網絡架構以最高安全標準構建，全球所有數(shù)據(jù)中心或服務都會使用相同的構建標準和控制措施，所有客戶無論規(guī)模大小都可以受益于這樣具有高安全性的基礎設施。
2) 安全的云服務。亞馬遜云科技重視每一個服務的安全性，安全團隊從一開始就深入?yún)⑴c新服務和新功能開發(fā)，如果存在任何已知的安全問題，新服務將不會啟動。亞馬遜云科技還會通過深度集成的服務，實現(xiàn)安全自動化，減少人工配置錯誤，降低風險。
3) 堅持客戶擁有和控制數(shù)據(jù)的理念。亞馬遜云科技不接觸客戶數(shù)據(jù)，客戶始終擁有自己的數(shù)據(jù)，并且可以選擇任何方式加密自己的數(shù)據(jù)。所有數(shù)據(jù)流動在離開亞馬遜云科技的安全設施之前，都經過物理層自動加密。
4) 亞馬遜云科技獲得了眾多安全標準和合規(guī)性認證，幾乎滿足全球所有監(jiān)管機構的合規(guī)認證。亞馬遜云科技獲得的安全標準及合規(guī)認證，用戶可以繼承。亞馬遜云科技已經把全球積累的安全保護經驗、安全合規(guī)能力實踐到中國區(qū)域。亞馬遜云科技會定期對數(shù)千個全球合規(guī)性要求進行第三方驗證。
其次，亞馬遜云科技確保云上安全合規(guī)的關鍵還在于洋蔥型的多層防護，為客戶打造五層防護體系：
第一層：威脅檢測與事件響應。威脅檢測就像“專業(yè)的天氣預報員”，需要能夠對安全威脅做到精準定位、快速反應、時刻監(jiān)控，并且能夠分析原因。重點服務包括：1）Amazon GuardDuty為客戶提供了經濟高效的智能選項，可持續(xù)檢測在亞馬遜云科技中發(fā)生的威脅，具有豐富的情報源。Amazon GuardDuty 集成了機器學習的能力，實現(xiàn)威脅的精準定位，讓報警量減少了50%。2）Amazon Security Hub安全事件統(tǒng)一管理平臺，讓客戶針對威脅檢測7x24 小時全天候監(jiān)控，及時響應，并自動執(zhí)行合規(guī)性檢查。
第二層：身份認證與訪問控制。身份認證和訪問如一座堅固城堡的大門。某一點的身份認證被攻破，有可能會帶來意想不到的嚴重后果。沒有好的身份認證的訪問策略，就好像建了一座堅固的城堡，卻把門打開給未知訪客。關于身份認證，亞馬遜云科技有兩個經驗和三個技術建議。經驗之一是保持最小授權原則，每一次授權都要確認是否必須，是否與業(yè)務/職責相關。經驗之二是要對最小授權原則定期進行審計，不要有永久授權，所有的授權都必須有時效性。三個技術建議：一是盡可能細化訪問的顆粒度，可以根據(jù)時間，地點和服務來設置訪問條件；二是結合多因素鑒證（MFA）技術加強身份認證；三是減少長期憑證的使用。Amazon Identity and Access Management (IAM) 是身份認證與訪問控制的核心服務，它可以提供涵蓋整個亞馬遜云科技所有服務和資源的精細訪問控制。Amazon Organizations是一個高效的身份認證與訪問控制服務，可以對一個組織的多賬號進行集中管理和治理，建立權限防護機制和數(shù)據(jù)邊界。
第三層：網絡與基礎設施安全。防御DDoS（分布式拒絕服務攻擊）是這一層防護的重點。DDoS防御應全年從始至終，而不能像急診。如果等發(fā)現(xiàn)DDoS攻擊之后再處理，業(yè)務的穩(wěn)定性和持續(xù)性已經受到影響了。Amazon ShieldAdvanced就可以為客戶提供全天候的保護。網絡訪問規(guī)則是一切防御的基礎，Web應用防火墻服務Amazon WAF 提供了豐富的規(guī)則庫，有亞馬遜安全團隊自研的全托管規(guī)則，客戶也可以自定義規(guī)則，還國際一線安全廠商的托管規(guī)則。
第四層：數(shù)據(jù)保護與隱私。亞馬遜云科技提供了數(shù)據(jù)全生命周期的加密服務，對數(shù)據(jù)的保護涵蓋了數(shù)據(jù)的存儲、傳輸以及使用的各個環(huán)節(jié)。Amazon KMS密鑰管理服務實現(xiàn)存儲過程中的加密，它與亞馬遜云科技140個服務集成，可以對存儲在這些服務中的數(shù)據(jù)加密。高集成度減少了人工操作，降低了出錯的概率。針對數(shù)據(jù)保密性要求更高的客戶，Amazon CloudHSM提供了安全、簡單的云上專屬加密機。Amazon Nitro Enclaves提供了一個云端的機密計算環(huán)境，通過它，客戶可以創(chuàng)建一個隔離的環(huán)境來處理敏感數(shù)據(jù)，而無需向他們自己的系統(tǒng)管理員、開發(fā)人員和應用程序提供訪問權限，從而減少敏感數(shù)據(jù)處理過程中的攻擊面。
第五層：風險管控及合規(guī)。亞馬遜云科技從三個方面幫助用戶合規(guī)。一是確保亞馬遜云科技服務本身的合規(guī)性；二是合規(guī)方案落地；三是自動化審計。亞馬遜云科技的合規(guī)認證不僅在基礎設施區(qū)域，還會深入到每一項云服務，客戶部署亞馬遜云服務，其合規(guī)性能夠得到認證機構的認可。通過Amazon Audit Manager 簡化審計管理和合規(guī)性評估，Audit Manager可能自動掃描、搜集證據(jù)，還提供了各種合規(guī)認證的模板，可以簡化合規(guī)審計的證據(jù)收集工作。此外，亞馬遜云科技還提供了Amazon Trusted Advisor定制云計算專家、Amazon Security Bulletins安全公告、Amazon Security Documentation云服務配置建議等各種在線工具，將所有的安全合規(guī)經驗都對客戶傾囊相授。
目前，亞馬遜云科技已經提供了280多項安全、合規(guī)服務及功能，在五大領域為客戶提供全方位的安全服務。
德勤中國風險咨詢部網絡安全及戰(zhàn)略風險事業(yè)群主管合伙人薛梓源表示，作為亞馬遜云科技全球核心級咨詢合作伙伴，雙方攜手創(chuàng)建了云上安全實驗室，為客戶提供網絡安全事件管理解決方案，并發(fā)布了一系列企業(yè)安全白皮書，為企業(yè)解讀不同國家和地區(qū)關于數(shù)據(jù)安全和保護的法律法規(guī)。
在會議現(xiàn)場，亞馬遜云科技進一步升級與德勤中國的合作，由德勤中國推出安全運營中心服務。薛梓源表示，“合規(guī)是紅線，安全是底線?；趤嗰R遜云科技的德勤安全運營中心，將為企業(yè)提供7×24小時的安全檢測和反應能力，提高網絡安全的韌性，減少網絡安全的風險，助力企業(yè)企業(yè)平穩(wěn)快速發(fā)展?！?/p>
未來，德勤將繼續(xù)深化與亞馬遜云科技的合作，而亞馬遜云科技作為業(yè)界翹楚的云服務廠商，也將為更多中國企業(yè)出海的安全合規(guī)、跨國企業(yè)進入中國的安全合規(guī)服務，保駕護航。
