【正文】 日志服務(wù)數(shù)據(jù)安全保護認證、訪問權(quán)限管理機制涉及數(shù)據(jù)所有權(quán)和處理權(quán)行為的數(shù)據(jù)保護機制外部網(wǎng)絡(luò)威脅防御能力合規(guī)性表現(xiàn)合規(guī)認證的覆蓋度云服務(wù)商標準審計透明度云服務(wù)商法律政策的遵從制圖：互聯(lián)網(wǎng)實驗室，2015年12月1. 泛安全的信任基礎(chǔ)。客戶可通過此洞察云服務(wù)商的領(lǐng)導力來獲取對云服務(wù)商的信任基礎(chǔ)，包括市場表現(xiàn)、計算資源供應(yīng)、對于安全生態(tài)系統(tǒng)的領(lǐng)導力、是否能夠通過安全理念便于客戶感知云服務(wù)商與客戶之間處于何種關(guān)系狀態(tài)。2. 物理基礎(chǔ)設(shè)施部署。云計算基礎(chǔ)設(shè)施遠離云用戶所在地，這是引發(fā)市場對云服務(wù)擔憂的重要原因之一。物理安全是保障云服務(wù)的第一道防線，客戶通過數(shù)據(jù)中心部署機制、數(shù)據(jù)中心建設(shè)遵從標準的了解，來獲取對云服務(wù)商保障業(yè)務(wù)連續(xù)性的信任。3. 內(nèi)部人員的管理。內(nèi)部惡意攻擊所造成的危害后果往往嚴重地多，云的架構(gòu)決定了這種高風險角色的存在，企業(yè)需要了解云服務(wù)商是如何管理內(nèi)部人員，防止內(nèi)部惡意攻擊或者操作不當?shù)葐栴}帶來的云風險。即使最周詳?shù)挠媱潯嵤┎?zhí)行了相關(guān)的預防性安全措施，也無法完全避免信息資產(chǎn)遭到攻擊。因此當企業(yè)轉(zhuǎn)向云以后，面臨一個核心問題就是：怎樣才能有效處理關(guān)于云的安全事故。5. 數(shù)據(jù)安全保護。數(shù)據(jù)資產(chǎn)的上云尤要引起關(guān)注，企業(yè)需要從數(shù)據(jù)生命周期與數(shù)據(jù)操作行為進行耦合關(guān)聯(lián)的角度考察云服務(wù)商對數(shù)據(jù)采取的保護措施。企業(yè)上云之后，由于一部分服務(wù)由云服務(wù)商來承擔，則企業(yè)需要確保能夠觀察到直接控制之外的合規(guī)性管理責任和工作，確保云服務(wù)商能夠滿足企業(yè)的安全性和操作需要。特別對于一定規(guī)模以下的組織而言，“云”還是治理和合規(guī)的輔助技術(shù)，可通過內(nèi)嵌合規(guī)認證的服務(wù)套件，使一定規(guī)模以下的組織可以與規(guī)模更大，資源優(yōu)勢更明顯的企業(yè)達成同等級別的合規(guī)。二、泛安全的信任指標設(shè)計與對比對云服務(wù)商是否可靠的考察——是上云歷程的關(guān)鍵基礎(chǔ)性步驟。通過調(diào)查，我們提出可用性是企業(yè)上云的前置性審核因素——用戶初步評估云服務(wù)商提供的服務(wù)能夠滿足企業(yè)業(yè)務(wù)的功能性需求，它往往并不是關(guān)注重點，因為通常僅有一個是或者否的結(jié)論就能夠迅速排除不符合的云服務(wù)商。同時很多客戶認為穩(wěn)定性是決策過程中需要詳細考察的環(huán)節(jié)?！胺€(wěn)定性是前提，穩(wěn)定性達不到傳統(tǒng)架構(gòu)不會考慮上云。”某塑機企業(yè)CIO。持續(xù)時間下的功能可獲得性是企業(yè)對IT部門的基本需求，而在上云背景下，這一需求被更加強化了。部分被調(diào)查的企業(yè)客戶甚至將功能的穩(wěn)定可靠視為云安全考察的重要內(nèi)容。作為外包合作模式，上云企業(yè)難以如對待內(nèi)部IT部門一樣進行詳細資源審查，這是不安全感的一個主要來源。因此我們在細化穩(wěn)定涉及的感知指標的基礎(chǔ)上對國內(nèi)主流云服務(wù)商進行評估，包括市場表現(xiàn)、計算資源供應(yīng)、對于安全生態(tài)系統(tǒng)的領(lǐng)導力、是否能夠通過安全理念便于客戶感知云服務(wù)商與客戶之間處于何種關(guān)系狀態(tài)。 市場表現(xiàn)補償控制權(quán)喪失感，企業(yè)考察云服務(wù)商“家底”企業(yè)對云服務(wù)商穩(wěn)定性的考察首先是從“家底”而非技術(shù)層面展開。由于部分技術(shù)指標不可見和實施過程中的不確定性，國內(nèi)企業(yè)在考察云服務(wù)商的時候往往會從企業(yè)財務(wù)狀況因素入手。在對有上云意向的企業(yè)調(diào)查中，我們發(fā)現(xiàn)企業(yè)的考察具有一定的主觀性和不完整性，因此提取具有普遍性的指標，并通過公開的信息構(gòu)建一個對在中國市場提供服務(wù)的主流云服務(wù)商“家底”的比較維度。由于國內(nèi)外云計算市場發(fā)展狀況的存在巨大差異，我們將對部分指標進行分開比較。云市場規(guī)模是上云企業(yè)考察的重點指標。某互聯(lián)網(wǎng)金融平臺CIO認為“規(guī)模是第一要素，畢竟與穩(wěn)定服務(wù)相關(guān)。覆蓋行業(yè)、用戶數(shù)量、盈利能力會對選擇供應(yīng)商有影響?！盙artner認為，如果企業(yè)用戶選定了某家云計算服務(wù)商，最理想的狀態(tài)是：這家服務(wù)商能夠一直平穩(wěn)發(fā)展，而不會出現(xiàn)破產(chǎn)或被大型公司收購現(xiàn)象。其理由很簡單：如果云計算服務(wù)商破產(chǎn)或被他人收購，企業(yè)客戶既有服務(wù)將被中斷或變得不穩(wěn)定。并建議，在選擇云計算服務(wù)商之前，應(yīng)把長期發(fā)展風險因素考慮在內(nèi)。云計算企業(yè)的經(jīng)營不穩(wěn)定是一種現(xiàn)實風險。在2013年信貸資料服務(wù)機構(gòu)Graydon UK和市場研究公司Gartner都對云計算企業(yè)的經(jīng)營狀況發(fā)出了風險警告。Gartner稱，在未來兩年里，云服務(wù)的應(yīng)用者將面臨嚴重的風險，因為他們的服務(wù)提供商很可能被收購或者被迫退出這項業(yè)務(wù)。十分之一的云服務(wù)提供商將由于收購、破產(chǎn)等各種原因消失。目前市場上云服務(wù)商分化在逐步拉大，根據(jù)Synergy方面公布的結(jié)果，目前四大云服務(wù)商(包括微軟、IBM、谷歌與Amazon)總計收得54%營收比例。上云企業(yè)將云計算所在集團公司在其他領(lǐng)域的成功作為評估云計算“家底”主要指標是一個常見的誤解。目前主流云計算多為互聯(lián)網(wǎng)公司、電信運營商、設(shè)備廠商的新業(yè)務(wù)領(lǐng)域，公司在其他領(lǐng)域成功是云計算業(yè)務(wù)開展的初期優(yōu)勢，但這并不意味著其云計算業(yè)務(wù)的必然成功。例如，2015年惠普 2014年10月，惠普公司已經(jīng)發(fā)出公告，宣稱將于2015年1月15日正式關(guān)閉其webOS云服務(wù)。2015年10月，宣布明年1月開始關(guān)閉惠普Helion公有云服務(wù)，轉(zhuǎn)與微軟合作，向客戶提供微軟Azure公有云服務(wù)。和戴爾 2013年5月，戴爾宣布變更其云計算戰(zhàn)略，取消其曾經(jīng)推出的基于OpenStack開源平臺的公有云服務(wù)，并停止已經(jīng)推向市場的基于VMware的公有云。轉(zhuǎn)而重點銷售運行在其硬件和軟件上的使用OpenStack的私有云。相繼放棄了其部分云計算項目，顯示了在云計算這一新興商業(yè)領(lǐng)域?qū)Α俺晒Α逼髽I(yè)仍然是一個挑戰(zhàn)，因此對云服務(wù)商實力的評估應(yīng)該更有針對性。我們建議上云企業(yè)在評估“家底”時盡量針對集團企業(yè)的云業(yè)務(wù)板塊進行獨立評估。對于上云企業(yè)來說，選擇云市場排名在前的公司也是一種非常重要的安全策略。市場表現(xiàn)主要體現(xiàn)在云市場上的規(guī)模、盈利能力等因素。云計算企業(yè)的經(jīng)營穩(wěn)定性是上云企業(yè)面臨的現(xiàn)實風險。有針對性的考察云計算企業(yè)的財務(wù)狀況有助于企業(yè)做出科學性的決策。市場規(guī)模和盈利能力不僅僅意味著企業(yè)能夠長期穩(wěn)定的提供服務(wù)，同是也意味著云服務(wù)商在該業(yè)務(wù)中積累案例不斷完善。 計算能力不可見，國內(nèi)通用比較標準有待明確云計算技術(shù)本身具有很高的穩(wěn)定性。對于上云企業(yè)來說，云應(yīng)該是一個可靠無間斷的平臺。一般云服務(wù)商都具備計算資源的動態(tài)延展性，也不會由于計算能力不足造成崩潰。這是由云計算的技術(shù)特征本身決定的，有時與云服務(wù)商關(guān)系不大。而在進一步評估云服務(wù)商的計算資源供應(yīng)能力——計算資源、存儲資源、網(wǎng)絡(luò)資源的供應(yīng)能力的時候則面臨信息的不透明性。由于這是涉及對外部公司資質(zhì)的考察，因此我們需要引入一些間接的指標來進行評估。計算資源供應(yīng)受多種因素制約，其中一些指標是上云企業(yè)無法直觀感受到的。國外咨詢機構(gòu)使用“市場計算資源使用量”這一概念進行橫向比較，被認為是比較直觀和有效的指標。目前本土云服務(wù)商尚未被納入到這一指標體系中，因此國內(nèi)上云企業(yè)往往尋求行業(yè)性成功個案進行參考決策。此外網(wǎng)絡(luò)環(huán)境也是影響云服務(wù)商服務(wù)穩(wěn)定性的重要因素。 安全理念折射出安全能力，承諾與實踐匹配方式尚不成熟云計算放大了IT的挑戰(zhàn)，云服務(wù)商與用戶之間的安全權(quán)責關(guān)系更加重要。目前，以國外主流云服務(wù)商為代表的安全責任共擔模式和國內(nèi)主流云服務(wù)商為代表的托管模式是我國市場上的兩種主要的權(quán)責模式。模式應(yīng)該對安全負責。業(yè)界一直存在對這兩種模式的討論，不同的用戶也對這兩種模式有各異的理解。無論是哪一種模式，在當前云服務(wù)的發(fā)展階段，只要能夠滿足云安全的需求，存在即合理。云服務(wù)商和用戶之間的權(quán)責劃分和責任分配是否存在一個最優(yōu)的結(jié)合點，也是所有云服務(wù)商正在積極探索的方向。但是，從長期發(fā)展的趨勢和業(yè)內(nèi)專業(yè)人士的評判，可以認為安全責任共擔模式更符合云服務(wù)未來的發(fā)展。云服務(wù)商的安全理念形成了不同的協(xié)議規(guī)則。整體來看，國內(nèi)云服務(wù)商的安全原則仍處于建立過程中，客戶與云服務(wù)商之間的最佳關(guān)系可能是需要多方博弈形成。 規(guī)制第三方合作安全伙伴的能力，提升多選擇服務(wù)的安全性云計算的合作伙伴能力——云服務(wù)商接納并整合基于云服務(wù)的中間商從而發(fā)展成為具有一致標準的伙伴關(guān)系——也是亞馬遜AWS率先提出并被行業(yè)普遍接納的概念。在Gartner的一項研究顯示，在完全接受公共云計算服務(wù)的企業(yè)中，亞馬遜AWS能滿足其中71%企業(yè)的需求。這在很大程度是依靠合作伙伴完成的。如何在使用第三方合作伙伴豐富服務(wù)的同時保障安全也是需要考量的重要問題。云服務(wù)商無法提供面面俱到的服務(wù)，而涉及到具體業(yè)務(wù)，上云客戶又存在各種定制型服務(wù)的需求。第三方合作伙伴模式是當前云服務(wù)商普遍采用的業(yè)務(wù)模式，云計算環(huán)境下三方的關(guān)系無疑更加緊密了，這也增加了一些不確定因素。云服務(wù)商如何選擇和管理第三方也成為上云企業(yè)需要關(guān)注的一個重要考察因素。在對上云企業(yè)的泛安全感知提前出指標并進行賦值時，我們發(fā)現(xiàn)當前國內(nèi)主流云服務(wù)商很難在一個維度上進行比較。這是由于國內(nèi)提供成熟云計算服務(wù)的廠商，在云業(yè)務(wù)整體實力方面本土云服務(wù)商與國際云服務(wù)商存在量級上的差距，且國際云服務(wù)商在成功案例量和服務(wù)規(guī)則成熟度等方面也具有顯著優(yōu)勢。國際云服務(wù)商在將成熟業(yè)務(wù)模式和合同規(guī)則引入中國的過程中面臨特殊本地化需求的挑戰(zhàn)，而扎根于中國市場成長起來的本土云服務(wù)商則獲得了相對優(yōu)勢。在這一比較過程中，我們盡量選擇公開的信息資料，包括上市公司財報、服務(wù)白皮書等，此外使用國際咨詢機構(gòu)評估結(jié)論提供參考信息。而這種方式難免會形成數(shù)據(jù)口徑的不一致的問題，為此我們盡量充分界定數(shù)據(jù)的意義。使用這一研究方式主要是考慮到上云企業(yè)在這部分指標上的信息可獲得性。 對比結(jié)果1. 市場表現(xiàn)上亞馬遜AWS具有全球市場優(yōu)勢，阿里云具有區(qū)域優(yōu)勢據(jù)Cartner 2015年初發(fā)布的技術(shù)發(fā)展趨勢報告顯示，2014 年全球云計算服務(wù)市場規(guī)模達1528 億美元，%，其中公有云開支將達700億美元。作為laaS（基礎(chǔ)設(shè)施即服務(wù)）的提出者，亞馬遜在這一市場具有領(lǐng)跑優(yōu)勢。根據(jù)Synergy研究集團（Synergy Research Group）于2015年 2 月份公布的數(shù)據(jù)，亞馬遜AWS 在公有云基礎(chǔ)性服務(wù)方面的表現(xiàn)創(chuàng)下了 5 年新高，在 2014 年 Q4 中，其全球市場份額增長了 30%，營收的年同比增長也達到了 51%。市場份額排名 2～4 名的微軟、IBM 及 Google 也在營收方面增長明顯，年同比增幅分別達到 96%，48% 和 81%。圖表 2 2014年內(nèi)第4季度云基礎(chǔ)設(shè)施服務(wù)市場份額和增長率2015年10月，F(xiàn)orrester 發(fā)布了中國區(qū)2015年第三季度的企業(yè)公有云服務(wù)Wave報告——中國公有云市場正在加速發(fā)展，今年的中國公有云市場規(guī)模預計為18億美元，到2020年中國公有云市場規(guī)模預計將達到38億美元。根據(jù) IDC 的數(shù)據(jù)，阿里云在2014年上半年的全國 IaaS 領(lǐng)域市場份額為 %，位居首位。微軟 Azure 和 亞馬遜AWS 則分別位居第四和第五位。 由于存在巨大的客觀差異性，中國本土云計算企業(yè)并不適合在絕對數(shù)字上與進入中國的全球性云計算企業(yè)進行比較。亞馬遜AWS在全球范圍內(nèi)具有云計算行業(yè)領(lǐng)導者優(yōu)勢，而在國內(nèi)阿里云則依靠本土化需求的差異性獲得了相對優(yōu)勢。亞馬遜AWS：2015年亞馬遜首次披露了 亞馬遜AWS（Amazon Web Service，亞馬遜云服務(wù)）的部分財務(wù)狀況：2014年 凈收入 億美元，較 2013年 上漲 49%。2015年 一季度凈收入 億美元， 億美元。CEO Bezos 在一份聲明中表示，“亞馬遜AWS 是一個 50 億美元的業(yè)務(wù)，并且依然在加速增長中，亞馬遜AWS 的營收最終會超過其零售業(yè)務(wù)”。微軟Azure：2014年，在 Office 365，Azure和Dynamics CRM 的持續(xù)推動下，企業(yè)級云服務(wù)收入增長114%，實現(xiàn)55億美元的年收入。阿里云：2015年10月，阿里巴巴集團發(fā)布2015年第三季度財報。此前的財報顯示，、。騰訊云：目前騰訊財報尚未將云計算作為單列收入項目，而含云收入的“其他服務(wù)”。由于本部分涵蓋“電子商務(wù)交易、提供商標授權(quán)、軟件開發(fā)服務(wù)、軟件銷售及其他服務(wù)”，此數(shù)據(jù)僅做參考，無法據(jù)此評估騰訊云的具體營收情況。天翼云：根據(jù)電信公布的2015年上半年業(yè)績，電信云計算（天翼云）。由于國內(nèi)云計算市場尚不成熟，國內(nèi)上云企業(yè)對云計算服務(wù)的認知仍處于初級階段，因此企業(yè)對云服務(wù)商“家底”的評估中并未形成統(tǒng)一的價值標準。企業(yè)對云計算產(chǎn)業(yè)內(nèi)的全球性統(tǒng)計結(jié)果感知度不高，在此背景下本土優(yōu)勢企業(yè)形成了較強的影響力。但是我們認為整體性業(yè)務(wù)規(guī)模對企業(yè)選擇有重要意義。作為對整體云商業(yè)能力的判斷的時候，規(guī)模不僅僅意味著企業(yè)財務(wù)的穩(wěn)定性，還能夠帶來服務(wù)規(guī)則的較高成熟度和案例積累的最佳方案。2. 科技咨詢公司評估計算能力模型顯示亞馬遜AWS最強一種評估方式為通過云服務(wù)商服務(wù)的客戶來評估其服務(wù)的計算能力。在2015年Gartner發(fā)布的IaaS魔力象限指標體系中，對具有全球性服務(wù)能力的云供應(yīng)商進行了考察，并做出排名，其中亞馬遜AWS擁有多元化的客戶基礎(chǔ)和最廣泛的使用案例，包括企業(yè)和關(guān)鍵任務(wù)應(yīng)用。亞馬遜AWS客戶使用的云計算能力超過其他14個云服務(wù)商 這份報告評估的IaaS 企業(yè)，除亞馬遜AWS外，其余14家為：Microsoft、Google、CenturyLink、VMware、IBM（SoftLayer）、Rackspace、Virtustream、CSC、Interoute、Fujitsu、Verizon、NTT Communications、Joyent、Dimension Data?？偤偷?0倍。而在同一比較維度下，微軟Azure的計算能力是另外13大競爭對手（不包括亞馬遜）總和的2倍。目前已經(jīng)有咨詢機構(gòu)開始針對中國云計算市場進行調(diào)研，但數(shù)據(jù)仍然缺乏整體參考性。Forrester Research發(fā)布獨立報告——《Forrester Wave：2015年第三季度中國企業(yè)級公有云平臺 原文名：The Forrester Wave: Enterprise Public Cloud Platforms In China, Q3 2015：The 11 Providers That Matter Most And How They Stack Up》，在中國企業(yè)云平臺市場甄選了主要的云平臺服務(wù)商并對其進行全方位的評估，其中對微軟Azure 和阿里云 該報告未對亞馬遜AWS和騰訊