2016企业上云安全策略指南-互联网实验室-63页-3mb

云深不知处：2016企业上云安全策略指南总结

核心内容

本报告分析了企业在上云过程中所面临的价值与安全两方面的考量，旨在帮助企业构建一个科学的云决策体系。企业上云不仅能够降低成本、提高效率，还能实现持续创新和业务扩展。然而，企业对云安全的担忧，尤其是数据传输、存储、访问控制、业务中断和合规性等方面，成为影响上云决策的重要因素。

主要观点

1. 云的价值：

   • 云服务具有弹性，企业可按需获取资源，降低成本。
   • 云服务可支持数据的快速扩容和计算能力的提升。
   • 云可帮助企业实现业务的全球化部署，提升响应速度。

2. 云的安全挑战：

   • 云的外部化使得企业对数据控制权下降，引发安全忧虑。
   • 安全感知盲区和对控制权迁移的不安全感是企业上云迟疑的主要原因。
   • 安全风险无法完全杜绝，需在成本和安全性之间权衡。

3. 云安全决策象限：

   • 企业云决策象限由云价值的清晰度和安全感知的明确性构成。
   • 企业需结合自身需求，理性评估云服务商的安全能力和责任划分。

4. 云安全能力指标体系：

   • 本报告构建了包含泛安全的信任基础、物理基础设施部署、内部人员管理、事故响应、数据安全保护、合规性表现六个方面的19项细化指标体系。
   • 通过这些指标，企业可对云服务商的安全能力进行系统性评估。

关键信息

一、企业云决策象限

二、云安全能力指标体系

三、云服务商对比

1. 市场表现与“家底”

• 亚马逊AWS：全球市场领先，2014年全球云计算市场规模达1528亿美元，AWS占主导地位。
• 阿里云：中国公有云市场占有率第一，具有区域优势。
• 微软Azure：全球市场表现优秀，中国区由世纪互联运营。
• 腾讯云：尚未将云计算作为单独收入项目，但具有一定的市场影响力。
• 天翼云：依托中国电信资源，具备广泛的本地数据中心布局。

2. 计算能力与权责模式

• 亚马逊AWS和微软Azure采用安全责任共担模式，强调客户与服务商的共同责任。
• 阿里云采用可选托管模式，提供安全托管服务。
• 腾讯云和天翼云也采用类似的权责模式，但具体细节不透明。

3. 数据中心部署与标准遵从

• 亚马逊AWS：11个区域，30个可用区，T4标准。
• 微软Azure：19个区域，T4标准。
• 阿里云：9个地域，T3+标准。
• 腾讯云：4个数据中心，部分T4标准。
• 天翼云：8+2+X布局，T2-T4标准。

4. 内部人员管理

• 亚马逊AWS：通过自动化流程减少内部人员访问权限，加强权限控制。
• 微软Azure：采用严格的门禁系统和视频监控。
• 阿里云：限制员工默认权限，离职后权限自动撤销。
• 腾讯云：有背景调查、保密协议和培训机制。
• 天翼云：信息不详，但有相关安全协议。

5. 事故响应能力

• 亚马逊AWS：提供快速响应支持，支持多种灾难恢复架构。
• 微软Azure：有明确的事故响应等级，提供服务信用减免。
• 阿里云：提供7*24小时技术支持，有100倍的故障时间赔偿。
• 腾讯云：提供7*24小时支持，有100倍的故障时间赔偿。
• 天翼云：提供7*24小时技术团队支持，有数据恢复点和容灾演练。

6. 数据安全保护

• 亚马逊AWS和微软Azure：支持双因素认证，有详细权限管理。
• 阿里云：支持双因素认证，正在完善访问控制。
• 腾讯云：支持双因素认证，但权限管理不完全。
• 天翼云：支持云账号和密码验证，但权限管理不明确。

四、合规性表现

• 亚马逊AWS：全球合规认证广泛，有较高的透明度。
• 微软Azure：由世纪互联运营，有明确的合规协议。
• 阿里云：提供合规认证服务，满足不同行业和区域的合规需求。
• 腾讯云：有合规性相关措施，但未明确说明。
• 天翼云：依托中国电信资源，有相关合规协议。

结论

企业上云的决策需要在价值与安全之间进行权衡。云服务虽然能带来巨大的经济价值和运营优势，但其外部化特性也带来了安全风险。通过构建云安全能力指标体系，企业可以更全面地评估云服务商的安全能力，从而做出更加理性和科学的上云决策。在选择云服务商时，应重点关注其市场表现、数据中心部署、人员管理、事故响应、数据安全和合规性表现等方面，确保云上业务的安全与稳定。