【正文】 騰訊云官網(wǎng)對象存儲服務(wù) 支持服務(wù)器端加密。如，MySQL Database on Azure微軟Azure采取重復(fù)使用前覆蓋存儲資源的手段，并物理銷毀已廢棄的硬件 微軟Azure官網(wǎng)Windows Azure 數(shù)據(jù)安全 阿里云采用ssl加密、程序加密以及采用VPN或?qū)＞€加密方式 阿里云產(chǎn)品博客，“云計算安全感——政務(wù)云安全實踐介紹”。數(shù)據(jù)安全的技術(shù)保障依賴加密密鑰管理、數(shù)據(jù)加密（靜態(tài)和傳輸）、監(jiān)控和日志記錄、數(shù)據(jù)銷毀環(huán)節(jié)來保障。為彌補控制權(quán)的丟失，客戶會傾向于采用更高級別的軟件控制，例如應(yīng)用程序安全和用戶訪問控制。當前市場上國內(nèi)外云服務(wù)商在以上三大維度上的優(yōu)勢也不盡相同,通過查閱截止到2015年12月五大云服務(wù)商的官方網(wǎng)站信息、所發(fā)布的最新安全白皮書，如阿里云2014年所發(fā)布的《阿里云安全白皮書》、以及各類專業(yè)新聞資訊網(wǎng)站，通過非技術(shù)測評方式對比幾家云服務(wù)商的數(shù)據(jù)安全保障的關(guān)鍵能力技術(shù)，意在功能有無、技術(shù)支撐等方面告知企業(yè)用戶云服務(wù)商安全功能的實力水平，來引導(dǎo)公眾對于云安全的認知?？刂茢?shù)據(jù)安全全生命周期的安全風(fēng)險點，可激發(fā)云服務(wù)帶來的價值。眾多企業(yè)不選擇上云，更多的是因為企業(yè)客戶因失控感而引起的對數(shù)據(jù)安全的恐慌和顧慮。究其原因：首先，大規(guī)模的數(shù)據(jù)資源聚集云端，對于黑客和網(wǎng)絡(luò)非法組織而言，其具有巨大的經(jīng)濟價值。如，他們擔(dān)心數(shù)據(jù)傳輸和存儲不安全，數(shù)據(jù)在傳輸過程或存儲狀態(tài)下被劫持、篡改和惡意攻擊；數(shù)據(jù)訪問和權(quán)限管理技術(shù)體系不成熟，企業(yè)用戶無法授權(quán)并限制操作權(quán)限，從而引發(fā)密鑰泄露和內(nèi)部人員對技術(shù)的誤操作問題；數(shù)據(jù)安全防護方案不完善，企業(yè)用戶數(shù)據(jù)被入侵、被攻擊；云服務(wù)商自身的業(yè)務(wù)漏洞或系統(tǒng)不穩(wěn)定造成企業(yè)用戶的數(shù)據(jù)被盜、被篡改等問題。六、數(shù)據(jù)安全保護指標設(shè)計與對比，促使客戶依賴高標準安全控制手段數(shù)據(jù)資產(chǎn)外部化使得企業(yè)面臨安全風(fēng)險的擔(dān)憂，盡管數(shù)據(jù)上云后企業(yè)可以更好的、更有效的從數(shù)據(jù)中獲得價值釋放。3. 亞馬遜AWS和微軟Azure提供日志服務(wù)，阿里云、騰訊云正在跟進。 該方面阿里云和騰訊云的補償力度最高，都提供100倍的時間補償。此案例只用來表明云服務(wù)經(jīng)過一定事件發(fā)展，一些云服務(wù)商已經(jīng)能夠保障其服務(wù)趨于持久可靠。阿里云和騰訊云還可將數(shù)據(jù)恢復(fù)到數(shù)天之前。%以上。 騰訊云官網(wǎng)服務(wù)等級協(xié)議（SLA） 大數(shù)據(jù)處理套件TBDS（即將上線）, 對多組件日志提供統(tǒng)一的日志中心。 阿里云官網(wǎng)服務(wù)等級協(xié)議（SLA） 日志服務(wù)（Log Service，簡稱LOG）正在公測，該服務(wù)能快速完成日志收集、分發(fā)、投遞與查詢， 適用于日志中轉(zhuǎn)、監(jiān)控、性能診斷、日志分析、審計等場景。 “使用Azure HDInsight大數(shù)據(jù)技術(shù)來進行Azure WebSites網(wǎng)站及其他日志文件分析”阿里云售后工程師團隊提供7*24小時技術(shù)服務(wù)，并有旺旺群，釘釘群提供支持；淘寶及1688賬號可登錄反饋。微軟Azure Site Recovery（站點恢復(fù)）服務(wù)通過協(xié)調(diào)和自動執(zhí)行到 Azure 或輔助本地數(shù)據(jù)中心的復(fù)制和故障轉(zhuǎn)移來保護本地物理服務(wù)器和虛擬機。亞馬遜AWS承諾 Amazon EC2和Amazon % 亞馬遜AWS官網(wǎng)Amazon EC2 服務(wù)水平協(xié)議 。4. 日志服務(wù)云服務(wù)的資源池化環(huán)境，使得多家的數(shù)據(jù)、計算在一個高動態(tài)和共有的環(huán)境之中，這引發(fā)了企業(yè)用戶擔(dān)憂云服務(wù)商能否快速提供用以分析事故的日志。2. 提供的信息工具、相關(guān)標準和方法企業(yè)可考察云服務(wù)商提供事故解決的工具、方法、標準情況，評估云服務(wù)商提供典型事故場景及解決流程的能力。云服務(wù)商的經(jīng)驗?zāi)芙o出較多的場景預(yù)測，確定對應(yīng)沖突解決流程。 ，有助于業(yè)務(wù)更快的恢復(fù)對于企業(yè)來說，云計算不需要一個新的事故響應(yīng)概念框架，只需將原有的事故響應(yīng)程序、處理機制和工具與云計算新特點對應(yīng)起來，與云服務(wù)商如何對接聯(lián)手處理。五、事故響應(yīng)指標設(shè)計與對比 事故響應(yīng)( IR）是信息安全管理的基石之一，即使最周詳?shù)挠媱潯嵤┎?zhí)行了相關(guān)的預(yù)防性安全措施，也無法完全避免信息資產(chǎn)遭到攻擊。、阿里云、騰訊云等使用一系列措施降低人員風(fēng)險阿里云、騰訊云等采用背景調(diào)查、保密協(xié)議以及業(yè)務(wù)培訓(xùn)，價值觀考核等一系列人力資源管理措施，從防范惡意人員入職到入職后培訓(xùn)考核，都對惡意人員的風(fēng)險起到一定消減作用，不過上云企業(yè)用戶還需考察這些措施是否有效實施。對新員工進行法律允許的資格和背景調(diào)查；新入職的員工都參加信息安全的培訓(xùn)，并要求通過考試；對重要職位的員工，騰訊云要求必須簽署保密協(xié)議。所有批準的審計記錄均記錄于工作流平臺。—運營方世紀互聯(lián)數(shù)據(jù)中心采用門禁系統(tǒng)，對數(shù)據(jù)中心的重要出入口進行授權(quán)控制，實行724出入 檢查登記；還設(shè)有BMS系統(tǒng)、CCTV監(jiān)控系統(tǒng)，嵌入式系統(tǒng)、錄像保存一個月。微軟Azure不授予長期使用的權(quán)限：默認情況下，拒絕運營和支持人員訪問客戶數(shù)據(jù)。主動降低有能力訪問信息的人員數(shù)量，以將人員帶來的意外要素降到最低。2. 招聘與培訓(xùn) 從員工進入公司第一天的背景調(diào)查、保密協(xié)議，人員培訓(xùn)，到定期的價值觀培訓(xùn)與審計，離職時權(quán)限的徹底消除，除了這些方面的落實，企業(yè)用戶還可要求查看相關(guān)的書面資料，以更好的明確云服務(wù)商在人力資源管理上是否做到盡職盡責(zé)。一個能夠接觸到控制臺的有經(jīng)驗的入侵者，能夠通過重啟系統(tǒng)或者訪問當前已經(jīng)是 root 或者管理員權(quán)限的系統(tǒng)繞過大多數(shù)邏輯保護措施，導(dǎo)致重要數(shù)據(jù)丟失或大范圍宕機。四、內(nèi)部人員管理指標設(shè)計與對比 企業(yè)將業(yè)務(wù)搬遷到云以后，可以大幅削減自身信息系統(tǒng)的運維人員，而這時就需要一個周詳?shù)姆桨溉ピu估云服務(wù)商的內(nèi)部人員風(fēng)險。而同一區(qū)域多可用區(qū)，可實現(xiàn)數(shù)據(jù)的相互備份容災(zāi)及事故時數(shù)據(jù)中心間的切換。微軟在全球19個地區(qū)設(shè)有數(shù)據(jù)中心，其北京、上海數(shù)據(jù)中心由世紀互聯(lián)提供服務(wù)；阿里云和騰訊云在本土耕耘數(shù)年，國內(nèi)數(shù)據(jù)中心分布較廣，二者最近兩年開始在海外部署數(shù)據(jù)中心，開始全球云之路；天翼云得益于中國電信在網(wǎng)絡(luò)和自有IDC牌照方面的優(yōu)勢，在國內(nèi)有廣泛的數(shù)據(jù)中心分布。亞馬遜AWS 中國北京區(qū)域服務(wù)的用戶需要創(chuàng)建一個 亞馬遜AWS (中國)賬戶，這個賬戶不同于其他全球 亞馬遜AWS 賬戶而且獨立存在，只有擁有 亞馬遜AWS (中國)賬戶的客戶才能夠使用 亞馬遜AWS 中國（北京）區(qū)域的服務(wù)資源。” T2T4（其最大的內(nèi)蒙古數(shù)據(jù)中心依據(jù)標準） 百度百家，《內(nèi)蒙古資源池全面升級天翼云實力》；自有IDC牌照制圖：互聯(lián)網(wǎng)實驗室，2015年12月（表格“—”處為截止到制表時公開渠道未查知）*互聯(lián)網(wǎng)實驗室根據(jù)云服務(wù)商與其供應(yīng)商公開資料查詢數(shù)據(jù)中心的標準遵循，并未評估其真實性，我們以最大的努力查找，但不能保證信息的全面性。中國大陸以外有香港數(shù)據(jù)中心和北美數(shù)據(jù)中心。 微軟Azure官網(wǎng)備份T4 世紀互聯(lián)官網(wǎng)，“首家獲五項可信云服務(wù)認證：世紀互聯(lián)云服務(wù)可信之選” （國內(nèi)由世紀互聯(lián)運營）阿里云在杭州、北京、硅谷等9個地域設(shè)有數(shù)據(jù)中心(Region)，未來還將在日本、歐洲、中東等地設(shè)立新的數(shù)據(jù)中心 網(wǎng)易財經(jīng)，《阿里云擴建香港數(shù)據(jù)中心 滿足亞太資源需求》；目前從用戶界面可以看到16個可用區(qū)可選。圖表 5 物理資源基礎(chǔ)設(shè)施安全部署能力對比云服務(wù)商數(shù)據(jù)中心部署數(shù)據(jù)中心標準遵從亞馬遜AWS11 區(qū)域 (Regions)，30 可用區(qū) (AZ)，53 邊緣站點 （Edge Points） 亞馬遜AWS官網(wǎng)全球基礎(chǔ)設(shè)施 ；北京區(qū)由光環(huán)新網(wǎng)提供互聯(lián)網(wǎng)數(shù)據(jù)中心服務(wù)，網(wǎng)宿科技提供CDN服務(wù)，位于寧夏的第二個中國Region正在建設(shè)。ANSITIA9422005將數(shù)據(jù)中心劃分為Tier 1 — Tier 4四個等級（Tier 4為最高等級），以下簡稱為T1T4。2. 數(shù)據(jù)中心標準遵從數(shù)據(jù)中心建設(shè)的常見標準，大多從機房位置及設(shè)備布置、環(huán)境要求、建筑與結(jié)構(gòu)、地板承重、冷卻裝備、電氣、機房布線、消防等全方位要求機房的設(shè)計建設(shè)，數(shù)據(jù)中心建設(shè)遵守相關(guān)的標準規(guī)定，能夠更加確保電子信息系統(tǒng)設(shè)備安全、穩(wěn)定、可靠地運行。 CSA,《云計算關(guān)鍵領(lǐng)域安全指南 》, D7: 傳統(tǒng)安全、業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)；D9: 事故響應(yīng) 對物理設(shè)施的失控感，不應(yīng)該成為企業(yè)用戶上云的阻礙。我們期望通過下文的論述，解答企業(yè)該方面的疑慮。每個企業(yè)的云之旅都是從物理安全開始。而本土云服務(wù)商則在建立業(yè)務(wù)模式探索過程中，在跟隨策略的同時也提出了針對本土化需求的特殊調(diào)整，但是這種實用性調(diào)整的實際效果仍有待時間檢驗。在此基礎(chǔ)上亞馬遜AWS能夠要求合作伙伴執(zhí)行與自身相同的標準。這就要求云服務(wù)商不僅要管控自身的風(fēng)險也要能對第三方建立有效的風(fēng)控措施。騰訊云2015年6月中旬發(fā)布“云+計劃”，目前公開信息中安全方面的合作伙伴為廈門服云、深圳安盾椒圖、英方軟件等9家信息科技公司。9月與信息安全企業(yè)安恒信息達成戰(zhàn)略合作伙伴關(guān)系。圖表 4 國內(nèi)主流云服務(wù)商第三方合作計劃比較云服務(wù)商第三方合作計劃亞馬遜AWS2014年推出中國合作伙伴計劃，目前亞馬遜AWS中國區(qū)合作伙伴計劃的安全成員包括趨勢科技、山石網(wǎng)科、奇虎360等 天極網(wǎng)，《亞馬遜AWS發(fā)布AWS中國區(qū)合作伙伴計劃》。目前在這些合作中，各云服務(wù)商有不同的選擇。對上云企業(yè)來說，正視安全風(fēng)險并在透明性方面提出明確要求更具有積極意義。此外，需要關(guān)注的是，由于國內(nèi)互聯(lián)網(wǎng)產(chǎn)業(yè)環(huán)境仍不成熟，也可能影響企業(yè)對云計算產(chǎn)業(yè)和具體云服務(wù)商做出安全性的客觀評價。企業(yè)上云需要明白，云最佳實踐就是要接受云內(nèi)容其實跟IT經(jīng)理的日常所負責(zé)的工作很相像，存儲在云中的東西和之前存儲在企業(yè)內(nèi)部服務(wù)器上的東西是一樣的。制圖：互聯(lián)網(wǎng)實驗室，2015年12月通過訪談多家國內(nèi)云用戶企業(yè)技術(shù)負責(zé)人和云服務(wù)領(lǐng)域?qū)I(yè)人士獲知：一般小型企業(yè)傾向于阿里云的保姆式安全托管服務(wù)，盡管他們也承認權(quán)責(zé)共擔(dān)更有利于保護自有數(shù)據(jù)的安全，但是保姆式服務(wù)可以緩解他們自建IT安全團隊的資金壓力；大中型企業(yè)和專業(yè)人士則更傾向于責(zé)任共擔(dān)模式，因為對他們而言安全是首位，資金壓力相對不是重要的考慮因素。騰訊云近似責(zé)任共擔(dān)型在其網(wǎng)站公開信息中未明確說明權(quán)責(zé)模式劃分。在配置服務(wù)之后，客戶負責(zé)維護其環(huán)境，包括其應(yīng)用程序、數(shù)據(jù)內(nèi)容、虛擬機、訪問憑據(jù)以及遵守適用于其特定行業(yè)和區(qū)域的法規(guī)。微軟Azure由世紀互聯(lián)提供和維護云平臺，用戶在平臺中負責(zé)維護自身的安全環(huán)境。在解決這個問題上，無論是選擇分運營商部署、多線多IP、靜態(tài)BGP或動態(tài)BGP，都將增加企業(yè)上云的成本。在中國，網(wǎng)絡(luò)環(huán)境是制約云服務(wù)商計算資源供應(yīng)的重要因素。 。總和的10倍。作為對整體云商業(yè)能力的判斷的時候，規(guī)模不僅僅意味著企業(yè)財務(wù)的穩(wěn)定性，還能夠帶來服務(wù)規(guī)則的較高成熟度和案例積累的最佳方案。天翼云：根據(jù)電信公布的2015年上半年業(yè)績，電信云計算（天翼云）。阿里云：2015年10月，阿里巴巴集團發(fā)布2015年第三季度財報。亞馬遜AWS：2015年亞馬遜首次披露了 亞馬遜AWS（Amazon Web Service，亞馬遜云服務(wù)）的部分財務(wù)狀況：2014年 凈收入 億美元，較 2013年 上漲 49%。根據(jù) IDC 的數(shù)據(jù)，阿里云在2014年上半年的全國 IaaS 領(lǐng)域市場份額為 %，位居首位。作為laaS（基礎(chǔ)設(shè)施即服務(wù)）的提出者，亞馬遜在這一市場具有領(lǐng)跑優(yōu)勢。在這一比較過程中，我們盡量選擇公開的信息資料，包括上市公司財報、服務(wù)白皮書等，此外使用國際咨詢機構(gòu)評估結(jié)論提供參考信息。云服務(wù)商如何選擇和管理第三方也成為上云企業(yè)需要關(guān)注的一個重要考察因素。這在很大程度是依靠合作伙伴完成的。云服務(wù)商的安全理念形成了不同的協(xié)議規(guī)則。業(yè)界一直存在對這兩種模式的討論，不同的用戶也對這兩種模式有各異的理解。此外網(wǎng)絡(luò)環(huán)境也是影響云服務(wù)商服務(wù)穩(wěn)定性的重要因素。由于這是涉及對外部公司資質(zhì)的考察，因此我們需要引入一些間接的指標來進行評估。對于上云企業(yè)來說，云應(yīng)該是一個可靠無間斷的平臺。云計算企業(yè)的經(jīng)營穩(wěn)定性是上云企業(yè)面臨的現(xiàn)實風(fēng)險。相繼放棄了其部分云計算項目，顯示了在云計算這一新興商業(yè)領(lǐng)域?qū)Α俺晒Α逼髽I(yè)仍然是一個挑戰(zhàn)，因此對云服務(wù)商實力的評估應(yīng)該更有針對性。例如，2015年惠普 2014年10月，惠普公司已經(jīng)發(fā)出公告，宣稱將于2015年1月15日正式關(guān)閉其webOS云服務(wù)。十分之一的云服務(wù)提供商將由于收購、破產(chǎn)等各種原因消失。并建議，在選擇云計算服務(wù)商之前，應(yīng)把長期發(fā)展風(fēng)險因素考慮在內(nèi)。某互聯(lián)網(wǎng)金融平臺CIO認為“規(guī)模是第一要素，畢竟與穩(wěn)定服務(wù)相關(guān)。由于部分技術(shù)指標不可見和實施過程中的不確定性，國內(nèi)企業(yè)在考察云服務(wù)商的時候往往會從企業(yè)財務(wù)狀況因素入手。部分被調(diào)查的企業(yè)客戶甚至將功能的穩(wěn)定可靠視為云安全考察的重要內(nèi)容。同時很多客戶認為穩(wěn)定性是決策過程中需要詳細考察的環(huán)節(jié)。企業(yè)上云之后，由于一部分服務(wù)由云服務(wù)商來承擔(dān)，則企業(yè)需要確保能夠觀察到直接控制之外的合規(guī)性管理責(zé)任和工作，確保云服務(wù)商能夠滿足企業(yè)的安全性和操作需要。因此當企業(yè)轉(zhuǎn)向云以后，面臨一個核心問題就是：怎樣才能有效處理關(guān)于云的安全事故。3. 內(nèi)部人員的管理?？蛻艨赏ㄟ^此洞察云服務(wù)商的領(lǐng)導(dǎo)力來獲取對云服務(wù)商的信任基礎(chǔ)，包括市場表現(xiàn)、計算資源供應(yīng)、對于安全生態(tài)系統(tǒng)的領(lǐng)導(dǎo)力、是否能夠通過安全理念便于客戶感知云服務(wù)商與客戶之間處于何種關(guān)系狀態(tài)。目前國內(nèi)云計算市場參與逐鹿的企業(yè)屬性呈現(xiàn)多元化特點，不僅有傳統(tǒng)的IT公司、電信運營商、還有大型互聯(lián)網(wǎng)平臺企業(yè)、創(chuàng)業(yè)公司，且提供云產(chǎn)品的理念與形態(tài)也仍處于演變進化的過程中。如同了解地震的規(guī)律，人類就能在更安全地在地球表面居??；了解氣候變暖的威脅，人類就能預(yù)防兩極冰山融化帶來的災(zāi)難，企業(yè)對于云服務(wù)商能夠?qū)_安全風(fēng)險的安全服務(wù)、工具、技術(shù)和保障機制的認知越全面越強大，就能夠更好地幫助企業(yè)構(gòu)筑安全防線，因為這是防御安全風(fēng)險/及時響應(yīng)安全事故的最直接戰(zhàn)場。如果企業(yè)在帶有不安全感的心理狀態(tài)下來審視云服務(wù)商，有可能因為主觀的不信任而影響了客觀、理性的對上云之路，以及云合作伙伴基于安全視角的審視與決策，就會錯估享受云效益的時機。隨著開發(fā)驗證測試，數(shù)據(jù)存儲備份容災(zāi)，關(guān)鍵業(yè)務(wù)應(yīng)用，數(shù)據(jù)中心等一系列的企業(yè)IT活動階段性地上云，