2016企业上云安全策略指南_61页_2mb

云深不知处：2016企业上云安全策略指南总结

核心内容

本报告分析了中国企业上云过程中面临的多种安全风险和决策难题，提出了构建云安全能力指标体系的解决方案，以帮助企业更理性地评估云服务商的安全能力。报告从六个维度（泛安全的信任基础、物理资源基础设施的安全部署能力、内部人员管理、事故响应、数据安全保护、合规性表现）构建了19个细化指标体系，对企业云安全决策提供了系统化的参考。

主要观点

1. 企业上云的安全困境：

   • 企业对云安全存在认知盲区，缺乏全面的安全信息，导致对云服务商安全能力的审视敏感性不足。
   • 企业因控制权迁移引发的不安全感，可能导致上云决策的延后或错误。

2. 企业云安全审视的基本原则：

   • 寻找领先的云服务商，思考企业与云的最佳结合状态。
   • 清晰了解云服务商如何分担上云后的安全职能，以实现更全面的安全保障。

3. 云安全能力指标体系构建：

   • 通过六个维度，涵盖泛安全的信任基础、物理基础设施部署、内部人员管理、事故响应、数据安全保护、合规性表现，构建了19个细化指标。
   • 该体系帮助企业全面审视云服务商的安全能力，从而做出更理性的决策。

关键信息

1. 泛安全的信任基础

• 市场表现：云服务商的市场表现有助于企业评估其稳定性，如亚马逊AWS在全球具有显著优势，阿里云在区域市场表现突出。
• 计算资源供应能力：云服务商需具备足够的计算、存储和网络资源供应能力，以保障业务的稳定运行。
• 安全理念：安全理念是云服务商与客户关系的重要体现，影响客户对云安全的信任。
• 第三方合作安全伙伴能力：云服务商需具备引入第三方安全合作伙伴的能力，以提升整体安全水平。

2. 物理基础设施部署

• 数据中心部署：数据中心的分布和可用区数量影响业务的延迟性和容灾能力，如亚马逊AWS的全球数据中心部署和阿里云的国内数据中心布局。
• 数据中心标准遵从：数据中心建设需符合ANSI-TIA-942-2005等标准，以确保基础设施的高可用性。如亚马逊AWS和微软Azure的数据中心建设均达到T4标准。

3. 内部人员管理

• 人员管理流程设计：云服务商需建立完善的人员管理流程，包括职责分离、最小特权访问等，以降低内部人员带来的安全风险。
• 招聘与培训：云服务商需对员工进行背景调查、保密协议、信息安全培训等，以防范恶意人员。
• 监控与备案手段：云服务商需通过视频监控、门禁系统、操作记录等方式，实现对内部人员行为的监控和备案。

4. 事故响应

• 事故处理团队：云服务商需具备全天候的技术支持团队，以快速响应和处理安全事件。
• 信息工具与方法：提供日志服务、监控工具、灾难恢复方案等，以帮助用户分析和解决事故。
• 事故赔偿机制：云服务商需明确服务可用性承诺和未达标的补偿机制，以降低企业风险。
• 日志服务：日志服务是事故响应的重要组成部分，帮助企业快速分析和排除故障。

5. 数据安全保护

• 数据全生命周期保护：数据在云端经历产生、存储、使用、分享、归档、销毁等环节，需在每个环节进行安全保障。
• 认证与访问控制：支持双因素认证、多因素认证、自定义权限管理，以提升数据访问安全性。
• 数据加密：提供静态和传输数据加密，如AES-256加密技术，确保数据安全。
• 密钥托管服务：云服务商需提供密钥管理服务，如基于硬件的密钥存储服务。
• 监控与日志记录：通过日志服务、监控工具，实现对数据安全的实时监控和追溯。
• 数据销毁：确保数据在不再需要时被彻底销毁，防止数据泄露。

6. 合规性表现

• 合规认证覆盖度：云服务商需提供广泛的合规认证，如ISO 27001、GDPR等，以增强企业对云服务的信任。
• 透明审计：云服务商需提供透明的审计流程，确保数据安全和合规性。
• 法律遵从：云服务商需符合相关法律法规，如《关于加强党政部门云计算服务网络安全管理的意见》。

对比结果总结

1. 市场表现

• 亚马逊AWS：具有全球市场优势，服务稳定性高。
• 阿里云：在国内市场表现突出，特别是在IaaS领域。
• 腾讯云：数据尚未完全单列，但有部分云收入。
• 天翼云：依托中国电信资源，具有本土优势。

2. 计算能力

• 亚马逊AWS：计算能力最强，覆盖客户广泛。
• 微软Azure：计算能力排名靠前，支持多种服务模式。
• 阿里云：在计算资源供应方面有较强能力。
• 腾讯云：计算能力稍弱，但有逐步提升的趋势。

3. 安全理念与责任模式

• 亚马逊AWS：采用安全责任共担模式，强调工具和操作保障“安全的云”。
• 微软Azure：同样采用责任共担模式，由世纪互联负责平台维护。
• 阿里云：提供托管服务，支持安全能力选择。
• 腾讯云：尚未明确责任模式，但有初步的合同划分。
• 天翼云：采用近似责任共担模式，提供一系列安全协议。

4. 第三方合作计划

• 亚马逊AWS：与趋势科技、山石网科等安全厂商合作，提供丰富的安全服务。
• 微软Azure：拥有大量合作伙伴，包括金牌和银牌合作伙伴。
• 阿里云：已上线安全市场，与安恒信息等安全厂商合作。
• 腾讯云：有初步的第三方合作计划，但信息有限。
• 天翼云：与安全狗合作，但第三方合作信息较少。

5. 事故响应能力

• 亚马逊AWS：提供快速响应和丰富的日志服务，支持多种灾难恢复方案。
• 微软Azure：有明确的事故响应机制，支持不同级别的服务响应。
• 阿里云：提供7×24小时技术支持，支持数据恢复和容灾演练。
• 腾讯云：支持快速恢复和日志分析，提供100倍的时间补偿。
• 天翼云：提供7×24小时技术支持和容灾服务，但日志服务信息较少。

6. 数据安全保护能力

• 亚马逊AWS：提供全面的认证、访问控制、加密、监控和日志服务，数据销毁措施完善。
• 微软Azure：支持多因素认证和加密，提供密钥托管和日志分析。
• 阿里云：支持双因素认证和加密，提供日志服务和数据销毁。
• 腾讯云：支持双因素认证和临时授权，但日志服务和密钥托管尚未成熟。
• 天翼云：提供基础的认证和数据销毁，但其他安全能力信息较少。

结论

本报告为企业上云安全决策提供了系统化的指标体系和对比分析，帮助企业更理性地评估云服务商的安全能力。通过构建涵盖六个核心维度的19个细化指标，报告旨在提升企业在云环境下的安全感知和决策能力，推动云产业的健康发展。