2022年已經步入4月，現實中的全球宏觀環境卻變得日益復雜，因為各種新興技術如雨后春筍般出現，互聯網所處的環境也是如此。
為了更好的應對各種互聯網中未知的情況，截至目前，全球已有132個國家與地區制定了數據保護和隱私相關的法律法規。最近幾年，中國也陸續出臺了《數據安全法》、《個人信息保護法》等各種法規。
同時，隨著企業加速上云，可以預見，企業放到云上的數據類型、數據的數量會持續增加。此外，現在越來越多的中國企業在拓展海外市場，這一切都會加劇企業面對安全合規的挑戰。
近日，亞馬遜云科技宣布將持續加大在中國區域對安全合規領域的投入，為客戶提供安全合規的基礎設施和云服務。
3月24日，在 以“云計算為業務賦能，安全為云計算賦能”為主題的亞馬遜云科技云上安全合規媒體溝通會上，亞馬遜云科技大中華區戰略業務發展部總經理顧凡為到場觀眾分享了亞馬遜云科技在安全合規方面的理念、策略、實踐。
顧凡表示，針對安全合規相關，客戶通常都會關注三點：一是從自己的數據中心把應用遷移到云上是否安全；二是亞馬遜云科技本身是否安全合規；三是把應用放到云上之后，亞馬遜云科技如何幫助客戶在云中安全合規。
自建數據中心是從0起步，選擇云廠商則是從50分開始
面對以上客戶經常遇到的疑慮，顧凡在會上進行了詳細的解釋。首先他表示，企業自建數據中心的時候也要構建安全，只不過需要自己構建一切，需要考慮到安全設備管理、合同簽訂、成本問題等。當應用上云之后，企業并不需要關心瑣碎的底層基礎設施安全，安全體驗能夠比自建數據中心再上一個臺階。
而云端“再上一個臺階”體現在如下幾個方面：
一是更加自動化。可以充分利用云端安全服務之間的超高集成度，更好地做到安全自動化。在本地的環境下，采用的是不同廠商的產品，安全數據整合非常復雜，而在云上，服務之間的深度集成，會讓數據整合變得更簡單。
二是更好的可見性。有了更好的數據整合，在云上也會更有機會用一個集中的平臺，實現安全的可視化管理。
三是更靈活的成本控制。云端安全是沒有前期投入成本的，而是按照使用付費。
四是更高效地做合規。自建數據中心做合規需要從零開始做起。如果選擇亞馬遜云科技，客戶可以繼承云廠商的合規。
正因如此，全球才有數百萬用戶選擇并且信賴亞馬遜云科技。例如，納斯達克交易所會分階段把全部業務遷移到亞馬遜云科技，日本最大的電信運營商NTT docomo會把PB級別的數據倉庫遷移上云。
“兩大支柱”確保亞馬遜云科技云上安全合規
為什么亞馬遜云科技會如此重視安全與合規？顧凡認為這與亞馬遜云科技安全合規的兩大支柱密不可分：
首先，亞馬遜云科技有一個“Job Zero 安全文化”，也就是先要確保自身的安全合規，這也貫穿在亞馬遜云科技整個企業當中，同時，其也在通過四個方面保證自身的安全合規：
1) 安全的基礎設施。亞馬遜云科技的數據中心和網絡架構以最高安全標準構建，全球所有數據中心或服務都會使用相同的構建標準和控制措施，所有客戶無論規模大小都可以受益于這樣具有高安全性的基礎設施。
2) 安全的云服務。亞馬遜云科技重視每一個服務的安全性，安全團隊從一開始就深入參與新服務和新功能開發，如果存在任何已知的安全問題，新服務將不會啟動。亞馬遜云科技還會通過深度集成的服務，實現安全自動化，減少人工配置錯誤，降低風險。
3) 堅持客戶擁有和控制數據的理念。亞馬遜云科技不接觸客戶數據，客戶始終擁有自己的數據，并且可以選擇任何方式加密自己的數據。所有數據流動在離開亞馬遜云科技的安全設施之前，都經過物理層自動加密。
4) 亞馬遜云科技獲得了眾多安全標準和合規性認證，幾乎滿足全球所有監管機構的合規認證。亞馬遜云科技獲得的安全標準及合規認證，用戶可以繼承。亞馬遜云科技已經把全球積累的安全保護經驗、安全合規能力實踐到中國區域。亞馬遜云科技會定期對數千個全球合規性要求進行第三方驗證。
其次，亞馬遜云科技確保云上安全合規的關鍵還在于洋蔥型的多層防護，為客戶打造五層防護體系：
第一層：威脅檢測與事件響應。威脅檢測就像“專業的天氣預報員”，需要能夠對安全威脅做到精準定位、快速反應、時刻監控，并且能夠分析原因。重點服務包括：1）Amazon GuardDuty為客戶提供了經濟高效的智能選項，可持續檢測在亞馬遜云科技中發生的威脅，具有豐富的情報源。Amazon GuardDuty 集成了機器學習的能力，實現威脅的精準定位，讓報警量減少了50%。2）Amazon Security Hub安全事件統一管理平臺，讓客戶針對威脅檢測7x24 小時全天候監控，及時響應，并自動執行合規性檢查。
第二層：身份認證與訪問控制。身份認證和訪問如一座堅固城堡的大門。某一點的身份認證被攻破，有可能會帶來意想不到的嚴重后果。沒有好的身份認證的訪問策略，就好像建了一座堅固的城堡，卻把門打開給未知訪客。關于身份認證，亞馬遜云科技有兩個經驗和三個技術建議。經驗之一是保持最小授權原則，每一次授權都要確認是否必須，是否與業務/職責相關。經驗之二是要對最小授權原則定期進行審計，不要有永久授權，所有的授權都必須有時效性。三個技術建議：一是盡可能細化訪問的顆粒度，可以根據時間，地點和服務來設置訪問條件；二是結合多因素鑒證（MFA）技術加強身份認證；三是減少長期憑證的使用。Amazon Identity and Access Management (IAM) 是身份認證與訪問控制的核心服務，它可以提供涵蓋整個亞馬遜云科技所有服務和資源的精細訪問控制。Amazon Organizations是一個高效的身份認證與訪問控制服務，可以對一個組織的多賬號進行集中管理和治理，建立權限防護機制和數據邊界。
第三層：網絡與基礎設施安全。防御DDoS（分布式拒絕服務攻擊）是這一層防護的重點。DDoS防御應全年從始至終，而不能像急診。如果等發現DDoS攻擊之后再處理，業務的穩定性和持續性已經受到影響了。Amazon ShieldAdvanced就可以為客戶提供全天候的保護。網絡訪問規則是一切防御的基礎，Web應用防火墻服務Amazon WAF 提供了豐富的規則庫，有亞馬遜安全團隊自研的全托管規則，客戶也可以自定義規則，還國際一線安全廠商的托管規則。
第四層：數據保護與隱私。亞馬遜云科技提供了數據全生命周期的加密服務，對數據的保護涵蓋了數據的存儲、傳輸以及使用的各個環節。Amazon KMS密鑰管理服務實現存儲過程中的加密，它與亞馬遜云科技140個服務集成，可以對存儲在這些服務中的數據加密。高集成度減少了人工操作，降低了出錯的概率。針對數據保密性要求更高的客戶，Amazon CloudHSM提供了安全、簡單的云上專屬加密機。Amazon Nitro Enclaves提供了一個云端的機密計算環境，通過它，客戶可以創建一個隔離的環境來處理敏感數據，而無需向他們自己的系統管理員、開發人員和應用程序提供訪問權限，從而減少敏感數據處理過程中的攻擊面。
第五層：風險管控及合規。亞馬遜云科技從三個方面幫助用戶合規。一是確保亞馬遜云科技服務本身的合規性；二是合規方案落地；三是自動化審計。亞馬遜云科技的合規認證不僅在基礎設施區域，還會深入到每一項云服務，客戶部署亞馬遜云服務，其合規性能夠得到認證機構的認可。通過Amazon Audit Manager 簡化審計管理和合規性評估，Audit Manager可能自動掃描、搜集證據，還提供了各種合規認證的模板，可以簡化合規審計的證據收集工作。此外，亞馬遜云科技還提供了Amazon Trusted Advisor定制云計算專家、Amazon Security Bulletins安全公告、Amazon Security Documentation云服務配置建議等各種在線工具，將所有的安全合規經驗都對客戶傾囊相授。
目前，亞馬遜云科技已經提供了280多項安全、合規服務及功能，在五大領域為客戶提供全方位的安全服務。
德勤中國風險咨詢部網絡安全及戰略風險事業群主管合伙人薛梓源表示，作為亞馬遜云科技全球核心級咨詢合作伙伴，雙方攜手創建了云上安全實驗室，為客戶提供網絡安全事件管理解決方案，并發布了一系列企業安全白皮書，為企業解讀不同國家和地區關于數據安全和保護的法律法規。
在會議現場，亞馬遜云科技進一步升級與德勤中國的合作，由德勤中國推出安全運營中心服務。薛梓源表示，“合規是紅線，安全是底線。基于亞馬遜云科技的德勤安全運營中心，將為企業提供7×24小時的安全檢測和反應能力，提高網絡安全的韌性，減少網絡安全的風險，助力企業企業平穩快速發展?！?/p>
未來，德勤將繼續深化與亞馬遜云科技的合作，而亞馬遜云科技作為業界翹楚的云服務廠商，也將為更多中國企業出海的安全合規、跨國企業進入中國的安全合規服務，保駕護航。
