近日，由國(guó)際最佳實(shí)踐管理聯(lián)盟主辦的以“云計(jì)算大數(shù)據(jù)時(shí)代IT管理的機(jī)遇和挑戰(zhàn)”為主題的第二屆國(guó)際最佳實(shí)踐管理聯(lián)盟中國(guó)年會(huì)(以下簡(jiǎn)稱年會(huì))于2015年5月28日在北京新世紀(jì)日航酒店隆重召開(kāi)。此次年會(huì)是繼2014年首屆國(guó)際最佳實(shí)踐管理聯(lián)盟中國(guó)年會(huì)成功召開(kāi)后的又一次頂級(jí)盛會(huì)。年會(huì)吸引了各行業(yè)企業(yè)CIO，合作伙伴以及國(guó)際最佳實(shí)踐管理聯(lián)盟會(huì)員的積極參與，共同探討在云計(jì)算、大數(shù)據(jù)時(shí)代所面臨的機(jī)遇和挑戰(zhàn)以及最佳實(shí)踐。在年會(huì)現(xiàn)場(chǎng)來(lái)自阿里巴巴集團(tuán)云安全專家沈錫鏞就云計(jì)算的安全之路作了主題分享。

　　▲阿里巴巴集團(tuán)云安全專家沈錫鏞

他指出，最近支付寶出現(xiàn)癱瘓的確是因?yàn)楣饫|被破壞，支付寶在整個(gè)過(guò)程當(dāng)中最核心的特點(diǎn)是沒(méi)有選擇實(shí)時(shí)去切換兩地三中心。通過(guò)這件事情，使得我們意識(shí)到對(duì)于企業(yè)風(fēng)險(xiǎn)管理及業(yè)務(wù)連續(xù)性管理而言，不管采用什么樣的新技術(shù)、新應(yīng)用，作為IT主管都應(yīng)該考慮安全性。其次，要更加關(guān)注安全性。

沈錫鏞指出，阿里云安全團(tuán)隊(duì)是在2005年成立，成立初期主要是保護(hù)阿里集團(tuán)的安全，保護(hù)淘寶、保護(hù)支付寶的技術(shù)安全。在2012年當(dāng)阿里云上線以后第一次出現(xiàn)安全“分水嶺”，阿里云安全開(kāi)始陸續(xù)通過(guò)各種認(rèn)證，開(kāi)通各種各樣的服務(wù)，逐步向各個(gè)行業(yè)開(kāi)放、共享。面對(duì)當(dāng)下的互聯(lián)網(wǎng)+、工業(yè)4.0，如果想要擁抱這些，安全是第一考慮要素之一。 第二個(gè)，云計(jì)算是基礎(chǔ)設(shè)施，它可以實(shí)現(xiàn)不停機(jī)，能夠?qū)τ跇I(yè)務(wù)運(yùn)行帶來(lái)巨大的好處。

在架構(gòu)層面，現(xiàn)在云計(jì)算CCM3.0，方法論里面明確提到了云計(jì)算的安全架構(gòu)，在架構(gòu)這方面，阿里云安全的體會(huì)是，需要有非常清晰的界面和用戶說(shuō)清楚，哪些是是我們管，哪些是我們不管的。當(dāng)責(zé)任界定清晰以后，當(dāng)進(jìn)入到每個(gè)行業(yè)，每個(gè)行業(yè)都有細(xì)分的安全要求都是安全廠商需要關(guān)注的。

第二，合規(guī)后，用戶會(huì)進(jìn)一步有問(wèn)題，看似符合的規(guī)定，可能只是最低的底線，作為IT人要知道產(chǎn)品和服務(wù)到底安不安全，這個(gè)過(guò)程當(dāng)中其實(shí)是否能夠貫穿一個(gè)比較好的安全開(kāi)發(fā)的要求。

在運(yùn)維方面，用戶最擔(dān)心的訪問(wèn)控制，在云上某種程度來(lái)講不光是有用，而且應(yīng)該得到進(jìn)一步的增強(qiáng)，尤其對(duì)工程師的控制。云平臺(tái)訪問(wèn)入侵，今天在這個(gè)場(chǎng)合講可能是一個(gè)非常技術(shù)化的問(wèn)題分為幾方面：

第一，自己構(gòu)建開(kāi)源云計(jì)算平臺(tái)，安全是非常重要的，所有安全管理體系里面漏洞的快速響應(yīng)在云計(jì)算環(huán)境下比傳統(tǒng)更加重要。

第二，如果有技術(shù)能力盡可能的對(duì)底層的Linux做核心架構(gòu)。

在云上從安全管理角度來(lái)講比較有效的技術(shù)或者產(chǎn)品是資源訪問(wèn)控制，在云上一樣要實(shí)現(xiàn)，大家做企業(yè)可能知道，像ESSO，在云上這一點(diǎn)變得尤為重要，可能很多的部門(mén)，不同的IT人員需要知道你每個(gè)操作做到哪個(gè)程度，選擇云計(jì)算的時(shí)候是不是具備資源訪問(wèn)的產(chǎn)品和服務(wù)是比較重要的能夠?qū)崿F(xiàn)三權(quán)分立的考慮。

反思這么多年，我們建了十幾年的“護(hù)城河”，以安全邊界為核心的防御，事實(shí)證明是完全失敗，其實(shí)失敗關(guān)鍵核心就是被動(dòng)防御永遠(yuǎn)趕不上主動(dòng)變化?；诨ヂ?lián)網(wǎng)很多危險(xiǎn)的數(shù)據(jù)以及情報(bào)，怎么樣能夠幫助企業(yè)快速提升安全防護(hù)能力。在云計(jì)算的環(huán)境下，拋開(kāi)技術(shù)單獨(dú)談管理，最關(guān)鍵的把管理理念、方法和流程能夠很好和企業(yè)的技術(shù)、產(chǎn)品緊緊切合在一起，原來(lái)完全基于人管的方式，云計(jì)算的環(huán)境下不太適應(yīng)的，如何把流程固化自動(dòng)化的去運(yùn)行，不斷的完全迭代，不光給自己一個(gè)空間也是給未來(lái)IT安全人員的一個(gè)空間。