【正文】 原來在企業(yè)完全掌控的IT部署活動由云服務商承擔了一部分的職能。最佳安全保障體系需要既能夠在企業(yè)成本考量的基礎上最大程度防御安全風險，又能夠在一旦安全事故發(fā)生后如何最大化的降低損失。由于這種因人而異的安全感知的差異性，我們將本報告首先站在企業(yè)的角度來剖析幾種企業(yè)對云安全的感知狀態(tài)，再構建起云安全能力體系，對比主要云服務提供商（云服務商）安全實踐現(xiàn)狀的基礎上，將各家云服務商的關鍵安全能力解釋轉化為企業(yè)、公眾可理解的信息，以期幫助企業(yè)構建相對系統(tǒng)、全面的云安全知識體系。使用公開信息源主要考慮到本次研究行為建立一個能夠為上云企業(yè)提供參考的比較方法，因此在整體研究方法上都充分考慮了信息的可獲得性。專家基于所在專業(yè)領域，對中國云計算發(fā)展狀況及特殊性，企業(yè)上云安全的整體性困惑和解決方法等問題做出了解答。本次調查為了保證調查展現(xiàn)出的觀點的多樣性，樣本企業(yè)即包括互聯(lián)網(wǎng)金融、移動應用開發(fā)、IT系統(tǒng)開發(fā)等IT產業(yè)，也包括城市基礎設施建設運營、加工設備制造、電子儀器制造等傳統(tǒng)行業(yè)?；谝陨腺Y料，我們初步建立了對云安全的基本概念和評價體系，以便于在后續(xù)研究中形成一個具有較強一致性的比較邏輯和對話平臺。我們認為本次項目首要目標是構建中國企業(yè)對云安全的評價認知和指標體系，在這問題下，我們需要解決——什么是安全？以及哪些信息能夠支撐安全感受？并最終通過可以獲得的信息建立一個解答模式。本報告通過云服務商安全能力指標體系的構建，幫助企業(yè)構建充足的關于云服務商安全能力的研判信息，通過對比云服務商來了解上云需關注的安全環(huán)節(jié)，即可對上云安全做到心中有數(shù)，應對有術。如果企業(yè)在帶有不安全感的心理狀態(tài)下來審視云服務商，有可能因為主觀的不信任而影響了客觀、理性的對上云之路，以及云合作伙伴基于安全視角的審視與決策，就會錯估享受云效益的時機。第一，企業(yè)存在安全認知盲區(qū)會降低在做出決策時對云服務商安全能力的審視敏感性。面對安全問題，企業(yè)要基于對外部信息結合自身IT能力和需求進行判斷，這無疑是難度更大的，尤其是難以形成量化結論。以基于價值與安全感知的企業(yè)云決策象限來謀求破題之道。例如：有了云，用戶不再需要購買、建立、安裝并運行昂貴的計算機硬件，而通過無處不在的可用有線或無線網(wǎng)絡，就可簡便的獲取計算機資源，正如獲取其他公共資源一樣；云還具備彈性，用戶可以快速并且經濟的增加或者減少云服務；云共享的計算機資源可以提供客觀的經濟效益，并且可以減少成本、加快創(chuàng)新；云提供的服務已經存在，可以在需要時按需分配，按需擴容；用戶可以快速并且經濟地計算自身云服務的吞吐量，并據(jù)此進行相應調整。面對上云決策，企業(yè)需要在價值需求與安全需求之間形成最適合于企業(yè)自身發(fā)展戰(zhàn)略、業(yè)務特性的決策天平。在對價值支點的判斷上，云是大勢所趨已經深入人心。而在對安全支點的判斷上，無法排解的安全憂慮導致企業(yè)上云遲疑甚至可能引發(fā)決策反復。在項目初期，我們對有上云需求的企業(yè)進行初步接觸時發(fā)現(xiàn)，企業(yè)或者無限期地延緩上云行動；或者在上云后出現(xiàn)決策反復；或者認為云有優(yōu)點，但也有不確定風險，需要謹慎上云；甚至或者即使經在用云，仍對安全抱有較大不信任。難以言喻的IT功能外部產生的失控感又大大加重了上云決策中安全需求的主觀法碼。企業(yè)是否具備了客觀審視云的風險特征的足夠信息支撐？企業(yè)是否有充足的云安全認知能夠在成本考量的基礎上最大程度防御安全風險，又能夠在一旦安全事故發(fā)生后的如何最大化的降低損失？如果企業(yè)知曉的安全信息不夠全面，就會降低對云服務商安全能力的審視敏感性，影響業(yè)務在云中的實際運行安全。云安全問題的破題需要映射到云服務商的安全實踐表現(xiàn)，我們建立云安全能力指標體系協(xié)助企業(yè)做出最佳決策。從而在上云決策中，提升基于安全視角的理性、客觀性，優(yōu)化的最佳決策。首先，利用權威報告建立對云安全的基礎認知和分析框架。其次，通過調查中國企業(yè)發(fā)現(xiàn)本土需求與經典理論之間的差異。在上云情況上，這些企業(yè)或已經上云，或明確表現(xiàn)出上云的意愿，訪問對象主要為企業(yè)CTO、CIO或技術總監(jiān)等相關職位。最后，使用公開信息進行以安全為核心的比較實踐。一、構建云安全能力指標體系上云路途的一個阻礙是企業(yè)對云安全的擔憂，與企業(yè)的近距離地交流訪談中，我們發(fā)現(xiàn)這種擔憂因人而異，對企業(yè)邁入云端的影響程度也不一樣，存在不同的安全感知狀態(tài)。 撥開企業(yè)云安全感知迷霧企業(yè)對云的安全感知狀態(tài)大致可以區(qū)分為兩類，存在安全感知盲區(qū)和由于控制權的遷移引發(fā)的不安全感，無論是哪一種狀態(tài)，都會成為企業(yè)做出客觀、理性的云決策的阻礙因素。企業(yè)的云安全狀態(tài)不能完全寄托于云服務提供商，如果企業(yè)不能夠充分了解云服務商在數(shù)據(jù)安全、服務可靠性、內部人員管理、訪問控制與授權等一系列方面的安全能力部署信息，將會影響在成本考量之下的安全保障體系部署，一旦安全事故發(fā)生后，企業(yè)自身也不能依據(jù)充分的信息快速調撥云服務商的安全解決方案做出及時預案。例如基礎設施和應用程序的外部化，會給企業(yè)自身帶來的控制權轉移而引發(fā)的風險擔憂。 提出企業(yè)進行云安全審視的基本原則第一，尋找領先的云，思考企業(yè)與云的最佳關系狀態(tài)。 云安全能力指標體系構建依托于上述兩個基本原則，參考CSA發(fā)布的《云計算關鍵領域安全指南》、歐洲網(wǎng)絡與信息安全局（ENISA）發(fā)布的云服務保障標準研究等一系列云安全標準文件，結合企業(yè)上云擔憂，以便于企業(yè)在第一時間全局性地審視云服務商的安全能力，本報告從泛安全的信任基礎、物理基礎設施部署、內部人員管理、應急響應、數(shù)據(jù)安全保護、合規(guī)性表現(xiàn)六個方面構建了19個細化指標體系。本次研究對象的選擇在考慮市場表現(xiàn)的之外，希望覆蓋不同企業(yè)類型、業(yè)務形態(tài)的云服務商的云安全實踐展現(xiàn)。2. 物理基礎設施部署。內部惡意攻擊所造成的危害后果往往嚴重地多，云的架構決定了這種高風險角色的存在，企業(yè)需要了解云服務商是如何管理內部人員，防止內部惡意攻擊或者操作不當?shù)葐栴}帶來的云風險。5. 數(shù)據(jù)安全保護。特別對于一定規(guī)模以下的組織而言，“云”還是治理和合規(guī)的輔助技術，可通過內嵌合規(guī)認證的服務套件，使一定規(guī)模以下的組織可以與規(guī)模更大，資源優(yōu)勢更明顯的企業(yè)達成同等級別的合規(guī)?！胺€(wěn)定性是前提，穩(wěn)定性達不到傳統(tǒng)架構不會考慮上云。作為外包合作模式，上云企業(yè)難以如對待內部IT部門一樣進行詳細資源審查，這是不安全感的一個主要來源。在對有上云意向的企業(yè)調查中，我們發(fā)現(xiàn)企業(yè)的考察具有一定的主觀性和不完整性，因此提取具有普遍性的指標，并通過公開的信息構建一個對在中國市場提供服務的主流云服務商“家底”的比較維度。覆蓋行業(yè)、用戶數(shù)量、盈利能力會對選擇供應商有影響。云計算企業(yè)的經營不穩(wěn)定是一種現(xiàn)實風險。目前市場上云服務商分化在逐步拉大，根據(jù)Synergy方面公布的結果，目前四大云服務商(包括微軟、IBM、谷歌與Amazon)總計收得54%營收比例。2015年10月，宣布明年1月開始關閉惠普Helion公有云服務，轉與微軟合作，向客戶提供微軟Azure公有云服務。我們建議上云企業(yè)在評估“家底”時盡量針對集團企業(yè)的云業(yè)務板塊進行獨立評估。有針對性的考察云計算企業(yè)的財務狀況有助于企業(yè)做出科學性的決策。一般云服務商都具備計算資源的動態(tài)延展性，也不會由于計算能力不足造成崩潰。計算資源供應受多種因素制約，其中一些指標是上云企業(yè)無法直觀感受到的。 安全理念折射出安全能力，承諾與實踐匹配方式尚不成熟云計算放大了IT的挑戰(zhàn)，云服務商與用戶之間的安全權責關系更加重要。無論是哪一種模式，在當前云服務的發(fā)展階段，只要能夠滿足云安全的需求，存在即合理。整體來看，國內云服務商的安全原則仍處于建立過程中，客戶與云服務商之間的最佳關系可能是需要多方博弈形成。如何在使用第三方合作伙伴豐富服務的同時保障安全也是需要考量的重要問題。在對上云企業(yè)的泛安全感知提前出指標并進行賦值時，我們發(fā)現(xiàn)當前國內主流云服務商很難在一個維度上進行比較。而這種方式難免會形成數(shù)據(jù)口徑的不一致的問題，為此我們盡量充分界定數(shù)據(jù)的意義。根據(jù)Synergy研究集團（Synergy Research Group）于2015年 2 月份公布的數(shù)據(jù)，亞馬遜AWS 在公有云基礎性服務方面的表現(xiàn)創(chuàng)下了 5 年新高，在 2014 年 Q4 中，其全球市場份額增長了 30%，營收的年同比增長也達到了 51%。微軟 Azure 和 亞馬遜AWS 則分別位居第四和第五位。2015年 一季度凈收入 億美元， 億美元。此前的財報顯示，、。由于國內云計算市場尚不成熟，國內上云企業(yè)對云計算服務的認知仍處于初級階段，因此企業(yè)對云服務商“家底”的評估中并未形成統(tǒng)一的價值標準。2. 科技咨詢公司評估計算能力模型顯示亞馬遜AWS最強一種評估方式為通過云服務商服務的客戶來評估其服務的計算能力。而在同一比較維度下，微軟Azure的計算能力是另外13大競爭對手（不包括亞馬遜）總和的2倍。同期評估中阿里巴巴、微軟、和亞馬遜則被評為“企業(yè)級公有云平臺領導者（Leaders）”。云計算的基礎技術——虛擬化技術、分布式計算、效用計算等，需要通過網(wǎng)絡進行即時性連接，從而實現(xiàn)服務的隨時隨地可獲得。這甚至成為中國企業(yè)選擇云服務商的時候必須考慮的運營商本身資質之外的因素。圖表 3 國內主流云服務商權責模式比較云服務商責任模式權責模式表現(xiàn)或影響亞馬遜AWS責任共擔型評估云計算安全，客戶理解和辨別責任共擔是非常重要的：亞馬遜AWS提供的云安全服務措施是通過工具和操作保障“安全的云”；客戶通過操作亞馬遜AWS提供的安全內容和應用程序實現(xiàn)“云中安全”。阿里云可選托管型阿里云保障平臺安全，并通過為客戶提供三類安全能力：1）云產品的安全功能、2）云盾安全服務以及3）安全生態(tài)里的第三方安全廠商產品，來滿足客戶保護云端業(yè)務及數(shù)據(jù)安全的需求。根據(jù)咨詢騰訊云客服反饋，相關內容寫到與客戶簽訂的合同中。此外，2015年7月中央網(wǎng)信辦牽頭出臺了《關于加強黨政部門云計算服務網(wǎng)絡安全管理的意見》，該文件確定了黨政部門在采購使用云計算服務過程中應遵守的4項大的原則規(guī)定：安全管理責任不變，數(shù)據(jù)歸屬關系不變，安全管理標準不變，敏感信息不出境 中國政府采購網(wǎng) 《云安全審查來臨 云服務商如何解讀》。把應用和數(shù)據(jù)遷移到云中不等于IT經理因此便可卸掉自己的責任。目前網(wǎng)絡安全事故中取證、責任認定和賠付等尚無明確法律和判例，造成部分企業(yè)出現(xiàn)“無論如何云無法在整體不安全的環(huán)境下保證安全”的消極情緒，從而導致輕視審查云服務商的安全措施甚至放棄上云等極端選擇。4. 亞馬遜AWS明確要求第三方遵循與自身一樣的安全認證標準當前合作伙伴模式已經成為云服務商普遍采用的一項業(yè)務戰(zhàn)略。亞馬遜AWS選擇與細分領域內的領先者進行合作，如在安全領域亞馬遜AWS的最高等級且合作最成熟的技術合作伙伴（Advanced Technology Partner）之一的趨勢科技就是在全球云計算安全市場上排名第一位的安全廠商。微軟 Azure2014年微軟Azure與世紀互聯(lián)合作推動云計算業(yè)務落地，同時啟動了中國區(qū)合作伙伴項目，目前在中國總共有 13000 多家云合作伙伴，分為金牌合作伙伴和銀牌合作伙伴。10月阿里云安全市場上線阿里云天翼云其網(wǎng)站顯示在合作伙伴方面也區(qū)分為金銀銅牌，但分類側重合作內容，而不是技術或安全標準。在調查中，上云企業(yè)對第三方能夠提供的補充性功能比較期待，同時也希望云服務商能夠對承擔管理職責。由于缺乏直觀的和一致性的比較數(shù)據(jù)，國內上云企業(yè)對云服務商穩(wěn)定性的評估更多的來自于感性認知。三、物理基礎設施部署指標設計與對比 云服務商的規(guī)模效應能夠提供前所未有的存儲與計算能力，相隔成百上千公里的數(shù)據(jù)中心能夠實現(xiàn)數(shù)據(jù)的容災備份。企業(yè)上云之后，自家服務所依賴的物理層級的設施完全脫離視線所引發(fā)的隱憂，是一切不安全感的由來，所有權的喪失感阻礙了企業(yè)上云的進度。正確的信息安全方案一般是采取多層安全機制來達到其安全目標，也就是通常所說的多層安全或深度防御。企業(yè)應該掌握一套評估云服務商的成熟度、風險、脆弱性及對過程和流程的經常審查和測試方案，選擇一家值得信賴的云服務商，使其物理安全可隨著業(yè)務擴展，在企業(yè)內部可持續(xù)和站得住腳，整個過程能夠在一個經常性的基礎上進行持續(xù)改進，并且經濟有效。云服務商通過同一標準更高等級的評估能夠說明其數(shù)據(jù)中心建設更加科學合理。 GB50174的機房設計規(guī)范把機房劃分成A到C分成三級。亞馬遜AWS能夠實現(xiàn)可用區(qū)間的互相備份，并要求可用區(qū)域之間的延遲低于2毫秒。用戶數(shù)據(jù)在一個數(shù)據(jù)中心的多個系統(tǒng)內部進行復制存放,并在某些情況進行多個數(shù)據(jù)中心進行復制存放?！煲碓啤?+2+X” 數(shù)據(jù)中心布局： 8是指東北、華北、華東、東南、華南、西南、西北和華中8個區(qū)域中心；2是指內蒙古、貴州兩大綠色云數(shù)據(jù)中心；X則指根據(jù)客戶實際需求按需布點，自家掌握豐富互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC）、內容分發(fā)網(wǎng)絡（CDN）資源。1. 亞馬遜是數(shù)據(jù)中心部署科學性的典范。保存在中國區(qū)域的數(shù)據(jù)或信息只會保留在北京區(qū)域，除非是客戶將其轉移到其他位置。綜合對比，我們認為作為開創(chuàng)云先河，在190多個國家有云運營經驗的亞馬遜AWS，及微軟Azure二者在全球數(shù)據(jù)中心部署方面具有較大優(yōu)勢，而阿里云、騰訊云數(shù)據(jù)中心數(shù)量在國內暫時具有本土優(yōu)勢。3. 各家供應商的數(shù)據(jù)中心建設向最高等級靠齊。人員風險是IT企業(yè)由來已久的問題，不是云帶來的新問題，傳統(tǒng)IT企業(yè)除了可參照本讀本建議做好評估，還可將自身人員管理經驗傳遞給為其提供服務的云服務商。企業(yè)用戶可從流程、審計、技術等全面考察云服務商的人員管理，職責分離和最小特權訪問是支持云服務商達成保護和影響企業(yè)用戶信息資產目標的原則，企業(yè)用戶可要求云供應商將管理、運營責任落實到具體的人員之上，通過人員的入職審查、操作的詳細備案、特殊訪問的人工審批、視頻監(jiān)控、賬號終止等一系列手段最小化人員風險。3. 監(jiān)控與備案手段避免利益沖突對于保護云計算用戶是必要的，云服務廠商應通過建立監(jiān)控和備案手段防范風險。每一周都需要削減能夠訪問客戶信息的內部員工數(shù)量，將重復性較多的工作納入自動化流程。授予他們權限時，管理和記錄其訪問情況。根據(jù)客戶需求可定制其他安全防范系統(tǒng)。背景調查；所有的員工必須簽署保密協(xié)議；針對崗位的安全課程培訓；價值觀考核。根據(jù)騰訊集團的《離職員工管理