亚马逊云科技顾凡：让安全合规成为空气和水 助云上业务自在生长

作者：亚马逊云科技大中华区战略业务发展部总经理 顾凡

当下，众多企业与机构向云端的“大迁徙”仍在持续，而安全合规也毫不意外地成为考量与选择云平台的重要关键因素之一。当我们将越来越多的重要、敏感数据迁移上云，对于数据泄露、信息窃取等安全威胁的警惕也必然与日俱增。

随着创新技术的发展，越来越多企业云计算安全理念开始从限制业务发展向赋能增长转变。以往，当人们看到那些头部企业纷纷加码网络安全团队建设，或是在数据安全及合规方面加大资金投入，可能会更加难以跳出这样一个误区——安全合规，意味着限制和负担。例如，不少企业会将“安全合规”视作与业务之间彼此区隔的独立工程，前者只是IT团队安全专家的职责，并且认为安全与合规大概率会带来对业务发展的限制，以及额外的成本支出。

无论这种思维是否有其合理性，但却不再适用于云计算环境。云平台及服务让企业无需再从零起步构建安全合规体系。那些基础而琐碎的基础设施安全合规问题，将成为云服务提供商的责任，不再需要企业为此投入前期成本。另一方面，服务于大量用户的云服务商利用规模化的安全服务带来更具可视化及自动化的服务，使用户以更少的成本和更精简的人力达成既定安全目标。概括来说，云上安全合规有望成为企业可即时拥有的常态。它对企业不再意味着负担和阻碍，而是推动业务发展的合作力量。

亚马逊云科技一直致力于让安全合规成为用户可自动获得并可有效支持业务开展的“空气和水”。虽然我们也拥有优秀的安全专家，但安全从不是某个团队特有的职责，或者是对某些威胁提供对策。从创立以来，亚马逊云科技就将安全作为最高优先级的工作（Job Zero），致力于形成人人有责、人人参与的安全文化理念。这使我们不仅能确保用户上云的安全合规，还能让用户在云上获得更好的安全服务体验。

安全是人人有责、全员参与的“Job Zero”

现任亚马逊总裁兼首席执行官的Andy Jassy先生在创立亚马逊云科技时就提出“安全是我们的‘Job Zero’。”其意思是安全比任何事情都要更重要，在所有工作中拥有最高优先级。在过去16年里，“Job Zero”始终是亚马逊云科技一直坚守的重要企业文化。

我们对“Job Zero”的贯彻远不止推出某些技术或产品，更是使其成为一种机制和处事方式。包括亚马逊云科技CEO在内的管理层，每周都会召开专门的安全会议，安全团队也能够通畅地向CEO等管理层进行汇报。我们要确保任何一项战略或战术决策，都能在充分考虑到安全需求的前提下做出正确的选择。

“Job Zero”安全理念也自下而上地将公司每一个人囊括其中。不仅是公司高层、安全团队，还包括每一个主管、经理、工程师和开发人员……人人都肩负安全责任。亚马逊云科技所提供的每项服务都不会将功能性和安全性分别考虑。事实上，这些服务从诞生之初，就被置于安全与合规的“底座”之上，这也使安全合规成为云服务所天然具有的基因。当然，亚马逊云科技的安全团队也会随时与业务部门开展合作，事实上，很多服务研发团队都有自己的安全官，来确保开发过程始终保持在安全框架之内。

让安全合规成为云上的“空气和水”

“Job Zero”不仅是亚马逊云科技推动安全与业务相辅相成的文化，也让我们能够不断为用户带来可充分保障业务开展的安全云计算环境。当用户将数据与计算迁移至亚马逊云科技，我们希望让用户感受到安全合规就如同“空气和水”一样的存在——既随手可得，又有助于业务成长。

这也是为什么亚马逊云科技不会给安全合规服务设定业绩目标。安全合规之于业务就如同空气和水一样重要且必须，我们有责任帮助用户获得足以免于威胁与担忧的安全云上环境，并不必为“空气和水”去负担过多额外成本。

我们希望安全合规是云上的空气和水，但并不代表亚马逊云科技所要管理的范围没有边界。边界在哪里？在于用户对其置于云上的数据、应用、访问权限等要素的拥有权及完全控制权。我们提出了“安全责任共担模型”，进行了责权划分：亚马逊云科技对云自身安全负责，用户对云中安全负责，但我们会帮客户在云中构建安全防护。

具体来说，亚马逊云科技对于云环境的安全合规建设包括以下几个方面：基础设施、服务、用户拥有和控制数据的原则以及全球安全合规认证。

首先，云安全始于基础设施。亚马逊云科技提供极具扩展性和高度可靠的基础设施，并采用多种冗余和分层控制的数据中心，大量使用自动化确保底层基础设施7×24小时的监控和保护，以及对业务连续性和灾难恢复的响应和应对。并且，基础设施的安全性对于每一个使用亚马逊云服务的客户来说，是完全“一视同仁”的。无论是超大规模企业，还是小微企业，在云上所获得的基础设施安全性完全相同。因此基础设施安全也可视作云计算最显著的优越性之一，让用户从此告别传统数据中心的巨大安全成本支出。

第二，云安全不止安全服务。我们不仅要看有多少安全服务，同时也要考虑所有云服务自身的安全。这也是前面所说的“Job Zero”的重要目的，即每个服务在研发时就要优先解决安全问题，如果服务存在安全隐患，那么就不会被推出。另外，我们通过服务间的深度集成实现自动化并降低风险。亚马逊云科技有一套完整的安全运维流程、制度和最佳实践，来保证云自身的安全。我们可以应对风险，但更好的选择是规避风险。

第三，坚持用户拥有和控制数据的理念。我们始终坚持用户拥有自己的数据，并能够对数据进行自主操作。但我们并不会因为用户拥有和控制数据，而对数据的安全“免责”。亚马逊云科技的数据加密无处不在，数据的流动与进出基础设施，都会伴随物理层自动加密。我们还会为用户提供所需的控制权和可见性，帮助客户证明数据符合本区域和本地数据隐私法律法规，我们遍布全球的基础设施也可以帮助客户实现数据本地化的要求。

最后，在合规方面，亚马逊云科技在全球已经获得了98项安全标准和合规认证，并且定期对数千个全球合规性进行第三方验证，亚马逊云科技的用户可直接继承。在中国（光环新网运营北京区域、西云数据运营宁夏区域），西云数据和光环新网都通过了独立的第三方机构验证，也都完成了网络安全等级保护三级的测评，还获得了中国信息通信研究院的可信云的服务评估。另外我们也获得了通行的一系列安全性和合规性要求，例如ISO信息安全质量管理认证、PCI-DSS、SOC等。

除了确保云环境自身安全之外，亚马逊云科技同样为用户带来多层防护服务，进一步帮助用户提升上云后的安全合规。为了实现无限趋近于100%的云计算安全，我们同时也与全球丰富的亚马逊云科技合作伙伴网络成员构建1+1>2的安全合作。亚马逊云科技APN合作伙伴网络里面提供了数百种领先的安全合规解决方案，还包括专注于数据保护合规的咨询服务。目前我们正不断将亚马逊云科技在全球的合作伙伴网络成员引入中国，并加大与中国本土合作伙伴网络成员的合作，给客户提供更多的解决方案以更好满足中国用户在国内、国际业务中的安全合规需求。

尽管云计算已经走过了十几年的发展历程，但仍处在十分早期的阶段。无论是在全球还是在中国，IT支出总量中用于公有云的比例到现在还只是个位数。从长远角度看，我们认为云计算安全合规不仅仅是解决眼前的威胁或是提升技术能力，也同样考验着云服务提供商与云计算用户关于安全的思维演进和机制建立。相比于解决独立问题，思维和理念的变化才会让我们更好地适应云环境的安全与合规需求，并将其转化为数字化转型和业务发展的新动力。