企業(yè)上云安全策略指南(DOCX 73頁).docx

“云”深不知處2016企業(yè)上云安全策略指南云深不知處2016企業(yè)上云安全策略指南2016年1月互聯(lián)網(wǎng)實驗室觀點價值與安全是企業(yè)做出上云決策的兩個支點。面對上云決策，企業(yè)需要在價值需求與安全需求之間形成最適合于企業(yè)自身發(fā)展戰(zhàn)略、業(yè)務(wù)特性的決策天平。在對價值支點的判斷上，云是大勢所趨已經(jīng)深入人心。企業(yè)可以通過對內(nèi)部IT成本的核算和業(yè)務(wù)發(fā)展情況等內(nèi)部信息對上云的價值做出有效評估。企業(yè)如果能將云的諸多優(yōu)點引入生產(chǎn)、運營、服務(wù)環(huán)節(jié)之中，就能夠在創(chuàng)造新的商業(yè)模式、持續(xù)創(chuàng)新、降低成本等方面釋放巨大的價值潛能。例如：有了云，用戶不再需要購買、建立、安裝并運行昂貴的計算機硬件，而通過無處不在的可用有線或無線網(wǎng)絡(luò)，就可簡便的獲取計算機資源，正如獲取其他公共資源一樣；云還具備彈性，用戶可以快速并且經(jīng)濟的增加或者減少云服務(wù)；云共享的計算機資源可以提供客觀的經(jīng)濟效益，并且可以減少成本、加快創(chuàng)新；云提供的服務(wù)已經(jīng)存在，可以在需要時按需分配，按需擴容；用戶可以快速并且經(jīng)濟地計算自身云服務(wù)的吞吐量，并據(jù)此進行相應(yīng)調(diào)整。而在對安全支點的判斷上，無法排解的安全憂慮導(dǎo)致企業(yè)上云遲疑甚至可能引發(fā)決策反復(fù)。企業(yè)在將轉(zhuǎn)移IT解決方案到云計算的同時，由于企業(yè)客戶基礎(chǔ)設(shè)施和應(yīng)用程序的外部化使得企業(yè)的完全控制權(quán)發(fā)生變化，安全保障的不透明性和不可控性使得上云企業(yè)對云服務(wù)有效存儲和安全共享等方面存在一定的安全風(fēng)險顧慮。在調(diào)研中我們發(fā)現(xiàn)，企業(yè)對于上云后的數(shù)據(jù)安全的擔(dān)憂基本上覆蓋了云端數(shù)據(jù)安全的整個生命鏈條：例如數(shù)據(jù)傳輸和存儲是否安全；數(shù)據(jù)訪問控制權(quán)限是否可控；數(shù)據(jù)是否會被入侵、被攻擊；漏洞或系統(tǒng)不穩(wěn)定是否造成企業(yè)用戶的業(yè)務(wù)中斷、數(shù)據(jù)被盜、被篡改？這些現(xiàn)實情況使得中國企業(yè)上云之路呈現(xiàn)出漫長曲折的形態(tài)。以基于價值與安全感知的企業(yè)云決策象限來謀求破題之道。在項目初期，我們對有上云需求的企業(yè)進行初步接觸時發(fā)現(xiàn)，企業(yè)或者無限期地延緩上云行動；或者在上云后出現(xiàn)決策反復(fù)；或者認為云有優(yōu)點，但也有不確定風(fēng)險，需要謹慎上云；甚至或者即使經(jīng)在用云，仍對安全抱有較大不信任。因此，我們在報告當(dāng)中以企業(yè)對云價值的釋放是否清晰，企業(yè)對安全的感知、需求是否明確為維度描繪了如下企業(yè)云決策象限。安全需求的模糊性會加重決策天平的不穩(wěn)定性，企業(yè)所面臨的難以權(quán)衡取舍的決策困境需要破解。面對安全問題，企業(yè)要基于對外部信息結(jié)合自身IT能力和需求進行判斷，這無疑是難度更大的，尤其是難以形成量化結(jié)論。難以言喻的IT功能外部產(chǎn)生的失控感又大大加重了上云決策中安全需求的主觀法碼。我們將基于區(qū)分企業(yè)對云的安全感知狀態(tài)來撥開企業(yè)云安全感知迷霧。企業(yè)對云的安全感知狀態(tài)大致可以區(qū)分為兩類，無論是哪一種狀態(tài)，都會成為企業(yè)做出客觀、理性的云決策的阻礙因素。第一，企業(yè)存在安全認知盲區(qū)會降低在做出決策時對云服務(wù)商安全能力的審視敏感性。企業(yè)是否具備了客觀審視云的風(fēng)險特征的足夠信息支撐？企業(yè)是否有充足的云安全認知能夠在成本考量的基礎(chǔ)上最大程度防御安全風(fēng)險，又能夠在一旦安全事故發(fā)生后的如何最大化的降低損失？如果企業(yè)知曉的安全信息不夠全面，就會降低對云服務(wù)商安全能力的審視敏感性，影響業(yè)務(wù)在云中的實際運行安全。第二，控制權(quán)遷移引發(fā)的不安全感可能錯估上云時機。多家研究機構(gòu)的統(tǒng)計調(diào)研數(shù)據(jù)均證實企業(yè)對云服務(wù)安全的擔(dān)憂是全球范圍內(nèi)面臨的上云障礙。如果企業(yè)在帶有不安全感的心理狀態(tài)下來審視云服務(wù)商，有可能因為主觀的不信任而影響了客觀、理性的對上云之路，以及云合作伙伴基于安全視角的審視與決策，就會錯估享受云效益的時機。云安全問題的破題需要映射到云服務(wù)商的安全實踐表現(xiàn)，我們建立云安全能力指標體系協(xié)助企業(yè)做出最佳決策。我們提出企業(yè)進行云安全審視的兩條基本原則，第一，企業(yè)尋找領(lǐng)先的云，思考企業(yè)與云的最佳結(jié)合狀態(tài)；第二，企業(yè)清晰地了解云服務(wù)商的安全機制與安全責(zé)任。依托于上述兩個基本原則，本報告從泛安全的信任基礎(chǔ)、物理資源基礎(chǔ)設(shè)施的安全部署能力、內(nèi)部人員的管理流程、應(yīng)急響應(yīng)能力、數(shù)據(jù)安全保護能力、合規(guī)性表現(xiàn)六個方面構(gòu)建了19個細化指標的云安全能力指標體系，對云服務(wù)商的安全實踐進行比較。本報告通過云服務(wù)商安全能力指標體系的構(gòu)建，幫助企業(yè)構(gòu)建充足的關(guān)于云服務(wù)商安全能力的研判信息，通過對比云服務(wù)商來了解上云需關(guān)注的安全環(huán)節(jié)，即可對上云安全做到心中有數(shù)，應(yīng)對有術(shù)。從而在上云決策中，提升基于安全視角的理性、客觀性，優(yōu)化的最佳決策。目錄互聯(lián)網(wǎng)實驗室觀點2目錄5研究方法：基于公開信息的比較研究7一、構(gòu)建云安全能力指標體系91.1 撥開企業(yè)云安全感知迷霧91.2 提出企業(yè)進行云安全審視的基本原則101.3 云安全能力指標體系構(gòu)建11二、泛安全的信任指標設(shè)計與對比142.1 市場表現(xiàn)補償控制權(quán)喪失感，企業(yè)考察云服務(wù)商“家底”142.2 計算能力不可見，國內(nèi)通用比較標準有待明確162.3 安全理念折射出安全能力，承諾與實踐匹配方式尚不成熟162.4 規(guī)制第三方合作安全伙伴的能力，提升多選擇服務(wù)的安全性162.5 對比結(jié)果17三、物理基礎(chǔ)設(shè)施部署指標設(shè)計與對比253.1企業(yè)云之旅從物理安全開始253.2物理基礎(chǔ)設(shè)施部署指標體系設(shè)計253.3對比結(jié)果28四、內(nèi)部人員管理指標設(shè)計與對比304.1完善的人員管理流程能夠?qū)阂馊藛T風(fēng)險最小化304.2內(nèi)部人員管理指標體系設(shè)計304.3對比結(jié)果32五、事故響應(yīng)指標設(shè)計與對比345.1云服務(wù)商好比房地產(chǎn)的物業(yè)345.2明確云給事故響應(yīng)帶來的特殊性，有助于業(yè)務(wù)更快的恢復(fù)345.3事故響應(yīng)指標體系設(shè)計345.3對比結(jié)果37六、數(shù)據(jù)安全保護指標設(shè)計與對比396.1所有權(quán)和控制權(quán)轉(zhuǎn)移，促使客戶依賴高標準安全控制手段396.2對數(shù)據(jù)安全保障技術(shù)和能力的評估406.3對比結(jié)果43七、合規(guī)性表現(xiàn)指標設(shè)計與對比457.1 云服務(wù)商的合規(guī)性認證是給客戶企業(yè)安全保障的定心丸457.2 合規(guī)性指標主要分為安全認證、透明審計和法律遵從457.3 國內(nèi)外云服務(wù)行業(yè)合規(guī)性認證存在差異，國外優(yōu)勢明顯497.4 對比結(jié)果50結(jié)論60后記：共筑云安全更佳狀態(tài)需要各方參與63常見問題65云服務(wù)商信息來源說明67致謝69研究方法：基于公開信息的比較研究對信息的有效理解能夠提升決策的自信。本次研究同樣面臨對信息的理解困境，研究設(shè)計是基于破解面臨的多源、不一致和不對稱等困境而形成的。我們認為本次項目首要目標是構(gòu)建中國企業(yè)對云安全的評價認知和指標體系，在這問題下，我們需要解決什么是安全？以及哪些信息能夠支撐安全感受？并最終通過可以獲得的信息建立一個解答模式。首先，利用權(quán)威報告建立對云安全的基礎(chǔ)認知和分析框架。在研究中我們參考了權(quán)威機構(gòu)發(fā)布的對云計算企業(yè)評估報告，已經(jīng)針對云安全領(lǐng)域的比較體系。其中較為重要的包括：美國高技術(shù)市場研究公司Forrester云安全指標體系，技術(shù)咨詢研究機構(gòu)Gartner對云安全市場的分析報告，歐洲網(wǎng)絡(luò)與信息安全局（ENISA）關(guān)于云計算的研究報告中對于云風(fēng)險情景的描述等。基于以上資料，我們初步建立了對云安全的基本概念和評價體系，以便于在后續(xù)研究中形成一個具有較強一致性的比較邏輯和對話平臺。其次，通過調(diào)查中國企業(yè)發(fā)現(xiàn)本土需求與經(jīng)典理論之間的差異。我們希望通過對中國企業(yè)IT部門高管、技術(shù)負責(zé)人調(diào)查，了解中國企業(yè)對上云決策理解，對云安全的態(tài)度。在獲得這些信息之外，我們還了解到部分企業(yè)存在與常見云理論不同的感性認知，在此基礎(chǔ)上我們對初期比較框架做了調(diào)整和細化。本次調(diào)查為了保證調(diào)查展現(xiàn)出的觀點的多樣性，樣本企業(yè)即包括互聯(lián)網(wǎng)金融、移動應(yīng)用開發(fā)、IT系統(tǒng)開發(fā)等IT產(chǎn)業(yè)，也包括城市基礎(chǔ)設(shè)施建設(shè)運營、加工設(shè)備制造、電子儀器制造等傳統(tǒng)行業(yè)。在上云情況上，這些企業(yè)或已經(jīng)上云，或明確表現(xiàn)出上云的意愿，訪問對象主要為企業(yè)CTO、CIO或技術(shù)總監(jiān)等相關(guān)職位。再次，通過訪問中國云安全專家修正和提升比較框架。就資料和調(diào)查中存在的問題，我們對國內(nèi)高校、研究機構(gòu)中信息化、信息安全、云計算等領(lǐng)域?qū)＜?，以及其他在該領(lǐng)域長期從事一線工作的專業(yè)人士該進行了專題訪問。專家基于所在專業(yè)領(lǐng)域，對中國云計算發(fā)展?fàn)顩r及特殊性，企業(yè)上云安全的整體性困惑和解決方法等問題做出了解答。最后，使用公開信息進行以安全為核心的比較實踐。針對最終形成的指標體系，研究團隊通過公開渠道獲取具有統(tǒng)一標準的信息進行比較操作。這些信息渠道包括：1. 云服務(wù)商企業(yè)自行發(fā)布的白皮書；2. 云服務(wù)商企業(yè)自身對外公開的業(yè)務(wù)動態(tài)新聞；3. 權(quán)威機構(gòu)發(fā)布的研究報告；4. 對部分不明確信息，我們通過企業(yè)公開的客服電話進行了詢問確認。使用公開信息源主要考慮到本次研究行為建立一個能夠為上云企業(yè)提供參考的比較方法，因此在整體研究方法上都充分考慮了信息的可獲得性。一、構(gòu)建云安全能力指標體系上云路途的一個阻礙是企業(yè)對云安全的擔(dān)憂，與企業(yè)的近距離地交流訪談中，我們發(fā)現(xiàn)這種擔(dān)憂因人而異，對企業(yè)邁入云端的影響程度也不一樣，存在不同的安全感知狀態(tài)。有的企業(yè)認為：云有優(yōu)點，但也有不確定風(fēng)險，謹慎上云；有的企業(yè)認為云很好，云即代表安全；也有企業(yè)認為云的安全沒有切實可行的效果衡量。無論是哪種狀態(tài)，拋開企業(yè)的行業(yè)類型、組織規(guī)模、技術(shù)實力這些客觀事實，企業(yè)對云安全的感知狀態(tài)可以按照描述為以下幾點：企業(yè)對云安全有偏差的認知；不知何解的疑問；由于對云的認識還不夠全面存在沒有想到的安全問題等。由于這種因人而異的安全感知的差異性，我們將本報告首先站在企業(yè)的角度來剖析幾種企業(yè)對云安全的感知狀態(tài)，再構(gòu)建起云安全能力體系，對比主要云服務(wù)提供商（云服務(wù)商）安全實踐現(xiàn)狀的基礎(chǔ)上，將各家云服務(wù)商的關(guān)鍵安全能力解釋轉(zhuǎn)化為企業(yè)、公眾可理解的信息，以期幫助企業(yè)構(gòu)建相對系統(tǒng)、全面的云安全知識體系。1.1 撥開企業(yè)云安全感知迷霧企業(yè)對云的安全感知狀態(tài)大致可以區(qū)分為兩類，存在安全感知盲區(qū)和由于控制權(quán)的遷移引發(fā)的不安全感，無論是哪一種狀態(tài)，都會成為企業(yè)做出客觀、理性的云決策的阻礙因素。1.1.1 安全感知盲區(qū)會降低在決策時對云服務(wù)商安全能力的審視敏感性第一種情況，由于云自身的資源池化等特征會釋放出相對于傳統(tǒng)IT部署活動的新風(fēng)險，例如云規(guī)?；馁Y源集中在產(chǎn)生效益的同時，也會因目標更大而遭受黑客的攻擊，從而給企業(yè)自身帶來風(fēng)險。企業(yè)是否具備了客觀審視云的風(fēng)險特征的足夠信息支撐？第二種情況，由于沒有絕對的安全狀態(tài)，安全風(fēng)險不能百分百杜絕，企業(yè)在部署安全防護時，還需要同時考慮成本這一現(xiàn)實問題。最佳安全保障體系需要既能夠在企業(yè)成本考量的基礎(chǔ)上最大程度防御安全風(fēng)險，又能夠在一旦安全事故發(fā)生后如何最大化的降低損失。企業(yè)的云安全狀態(tài)不能完全寄托于云服務(wù)提供商，如果企業(yè)不能夠充分了解云服務(wù)商在數(shù)據(jù)安全、服務(wù)可靠性、內(nèi)部人員管理、訪問控制與授權(quán)等一系列方面的安全能力部署信息，將會影響在成本考量之下的安全保障體系部署，一旦安全事故發(fā)生后，企業(yè)自身也不能依據(jù)充分的信息快速調(diào)撥云服務(wù)商的安全解決方案做出及時預(yù)案。如果企業(yè)知曉的安全信息不夠全面，就會降低對云服務(wù)商安全能力的審視敏感性，影響業(yè)務(wù)在云中的實際運行安全。1.1.2 控制權(quán)遷移引發(fā)的不安全感可能錯估上云時機組織不愿意采用云服務(wù)，缺乏安全感是其中的一個，甚至對某些企業(yè)來說安全甚至是上云的頭號障礙。隨著開發(fā)驗證測試，數(shù)據(jù)存儲備份容災(zāi)，關(guān)鍵業(yè)務(wù)應(yīng)用，數(shù)據(jù)中心等一系列的企業(yè)IT活動階段性地上云，原來在企業(yè)完全掌控的IT部署活動由云服務(wù)商承擔(dān)了一部分的職能。例如基礎(chǔ)設(shè)施和應(yīng)用程序的外部化，會給企業(yè)自身帶來的控制權(quán)轉(zhuǎn)移而引發(fā)的風(fēng)險擔(dān)憂。企業(yè)對云服務(wù)商提供的安全保障能力本身，以及是否在合規(guī)性、數(shù)據(jù)保護、控制內(nèi)外部惡意攻擊等方面具備足夠透明性的顧慮也會油然而生。我們要承認的是，不安全感本身是一種帶有主觀性的心理活動。如果企業(yè)在帶有不安全感的心理狀態(tài)下來審視云服務(wù)商，有可能因為主觀的不信任而影響了客觀、理性的對上云之路，以及云合作伙伴基于安全視角的審視與決策，就會錯估享受云效益的時機。1.2 提出企業(yè)進行云安全審視的基本原則第一，尋找領(lǐng)先的云，思考企業(yè)與云的最佳關(guān)系狀態(tài)。在簡單地剖析了企業(yè)上云之路的安全心理狀態(tài)之后，我們認為，面對企業(yè)的不安全感的心理，如果要突破這個心理防線，企業(yè)需要理解沒有絕對的安全狀態(tài)，企業(yè)應(yīng)通過充分了解領(lǐng)先的云的工作機理與先進的工作機制，了解云的計算能力與市場實力，梳理企業(yè)自身與云服務(wù)商之間以何種最佳關(guān)系狀態(tài)而相處，例如什么可以依托給云，云服務(wù)商以什么安全理念為企業(yè)而服務(wù)？ 無此，則安全無從談起。第二，清晰地了解云服務(wù)商如何分擔(dān)上云后的安全職能。如同了解地震的規(guī)律，人類就能在更安全地在地球表面居??；了解氣候變暖的威脅，人類就能預(yù)防兩極冰山融化帶來的災(zāi)難，企業(yè)對于云服務(wù)商能夠?qū)_安全風(fēng)險的安全服務(wù)、工具、技術(shù)和保障機制的認知越全面越強大，就能夠更好地幫助企業(yè)構(gòu)筑安全防線，因為這是防御安全風(fēng)險/及時響應(yīng)安全事故的最直接戰(zhàn)場。1.3 云安全能力指標體系構(gòu)建依托于上述兩個基本原則，參考CSA發(fā)布的云計算關(guān)鍵領(lǐng)域安全指南、歐洲網(wǎng)絡(luò)與信息安全局（ENISA）發(fā)布的云服務(wù)保障標準研究等一系列云安全標準文件，結(jié)合企業(yè)上云擔(dān)憂，以便于企業(yè)在第一時間全局性地審視云服務(wù)商的安全能力，本報告從泛安全的信任基礎(chǔ)、物理基礎(chǔ)設(shè)施部署、內(nèi)部人員管理、應(yīng)急響應(yīng)、數(shù)據(jù)安全保護、合規(guī)性表現(xiàn)六個方面構(gòu)建了19個細化指標體系。本報告通過搭建云安全能力指標體系，重點依托各云服務(wù)商公開披露的安全實踐信息，對比各廠商在各個指標層面的表現(xiàn)。我們希望通過本報告為企業(yè)云決策者、云實施部署者構(gòu)建安全知識體系，增強從安全維度上審視未來要選定的云服務(wù)商合作伙伴的判斷力。目前國內(nèi)云計算市場參與逐鹿的企業(yè)屬性呈現(xiàn)多元化特點，不僅有傳統(tǒng)的IT公司、電信運營商、還有大型互聯(lián)網(wǎng)平臺企業(yè)、創(chuàng)業(yè)公司，且提供云產(chǎn)品的理念與形態(tài)也仍處于演變進化的過程中。本次研究對象的選擇在考慮市場表現(xiàn)的之外，希望覆蓋不同企業(yè)類型、業(yè)務(wù)形態(tài)的云服務(wù)商的云安全實踐展現(xiàn)。本次研究對象選取國內(nèi)五家提供公有云服務(wù)的國內(nèi)外廠商亞馬遜AWS、微軟Azure、阿里云、騰訊云、天翼云。圖表 1云服務(wù)商安全能力指標體系云服務(wù)商安全能力對比一級指標云服務(wù)商安全能力對比二級指標泛安全的信任基礎(chǔ)市場表現(xiàn)計算資源供應(yīng)能力安全理念搭建第三方合作安全伙伴的能力物理基礎(chǔ)設(shè)施部署數(shù)據(jù)中心部署數(shù)據(jù)中心標準遵從內(nèi)部人員管理人員管理流程設(shè)計招聘與培訓(xùn)監(jiān)控備案、終止手段事故響應(yīng)事故處理團隊提供的信息工具、相關(guān)標準和方法事故賠償機制日志服務(wù)數(shù)據(jù)安全保護認證、訪問權(quán)限管理機制涉及數(shù)據(jù)所有權(quán)和處理權(quán)行為的數(shù)據(jù)保護機制外部網(wǎng)絡(luò)威脅防御能力合規(guī)性表現(xiàn)合規(guī)認證的覆蓋度云服務(wù)商標準審計透明度云服務(wù)商法律政策的遵從制圖：互聯(lián)網(wǎng)實驗室，2015年12月1. 泛安全的信任基礎(chǔ)?？蛻艨赏ㄟ^此洞察云服務(wù)商的領(lǐng)導(dǎo)力來獲取對云服務(wù)商的信任基礎(chǔ)，包括市場表現(xiàn)、計算資源供應(yīng)、對于安全生態(tài)系統(tǒng)的領(lǐng)導(dǎo)力、是否能夠通過安全理念便于客戶感知云服務(wù)商與客戶之間處于何種關(guān)系狀態(tài)。2. 物理基礎(chǔ)設(shè)施部署。云計算基礎(chǔ)設(shè)施遠離云用戶所在地，這是引發(fā)市場對云服務(wù)擔(dān)憂的重要原因之一。物理安全是保障云服務(wù)的第一道防線，客戶通過數(shù)據(jù)中心部署機制、數(shù)據(jù)中心建設(shè)遵從標準的了解，來獲取對云服務(wù)商保障業(yè)務(wù)連續(xù)性的信任。3. 內(nèi)部人員的管理。內(nèi)部惡意攻擊所造成的危害后果往往嚴重地多，云的架構(gòu)決定了這種高風(fēng)險角色的存在，企業(yè)需要了解云服務(wù)商是如何管理內(nèi)部人員，防止內(nèi)部惡意攻擊或者操作不當(dāng)?shù)葐栴}帶來的云風(fēng)險。4.事故響應(yīng)。即使最周詳?shù)挠媱潯嵤┎?zhí)行了相關(guān)的預(yù)防性安全措施，也無法完全避免信息資產(chǎn)遭到攻擊。因此當(dāng)企業(yè)轉(zhuǎn)向云以后，面臨一個核心問題就是：怎樣才能有效處理關(guān)于云的安全事故。5. 數(shù)據(jù)安全保護。數(shù)據(jù)資產(chǎn)的上云尤要引起關(guān)注，企業(yè)需要從數(shù)據(jù)生命周期與數(shù)據(jù)操作行為進行耦合關(guān)聯(lián)的角度考察云服務(wù)商對數(shù)據(jù)采取的保護措施。6.合規(guī)性表現(xiàn)。企業(yè)上云之后，由于一部分服務(wù)由云服務(wù)商來承擔(dān)，則企業(yè)需要確保能夠觀察到直接控制之外的合規(guī)性管理責(zé)任和工作，確保云服務(wù)商能夠滿足企業(yè)的安全性和操作需要。特別對于一定規(guī)模以下的組織而言，“云”還是治理和合規(guī)的輔助技術(shù)，可通過內(nèi)嵌合規(guī)認證的服務(wù)套件，使一定規(guī)模以下的組織可以與規(guī)模更大，資源優(yōu)勢更明顯的企業(yè)達成同等級別的合規(guī)。二、泛安全的信任指標設(shè)計與對比對云服務(wù)商是否可靠的考察是上云歷程的關(guān)鍵基礎(chǔ)性步驟。通過調(diào)查，我們提出可用性是企業(yè)上云的前置性審核因素用戶初步評估云服務(wù)商提供的服務(wù)能夠滿足企業(yè)業(yè)務(wù)的功能性需求，它往往并不是關(guān)注重點，因為通常僅有一個是或者否的結(jié)論就能夠迅速排除不符合的云服務(wù)商。同時很多客戶認為穩(wěn)定性是決策過程中需要詳細考察的環(huán)節(jié)。“穩(wěn)定性是前提，穩(wěn)定性達不到傳統(tǒng)架構(gòu)不會考慮上云?！蹦乘軝C企業(yè)CIO。持續(xù)時間下的功能可獲得性是企業(yè)對IT部門的基本需求，而在上云背景下，這一需求被更加強化了。部分被調(diào)查的企業(yè)客戶甚至將功能的穩(wěn)定可靠視為云安全考察的重要內(nèi)容。作為外包合作模式，上云企業(yè)難以如對待內(nèi)部IT部門一樣進行詳細資源審查，這是不安全感的一個主要來源。因此我們在細化穩(wěn)定涉及的感知指標的基礎(chǔ)上對國內(nèi)主流云服務(wù)商進行評估，包括市場表現(xiàn)、計算資源供應(yīng)、對于安全生態(tài)系統(tǒng)的領(lǐng)導(dǎo)力、是否能夠通過安全理念便于客戶感知云服務(wù)商與客戶之間處于何種關(guān)系狀態(tài)。2.1 市場表現(xiàn)補償控制權(quán)喪失感，企業(yè)考察云服務(wù)商“家底”企業(yè)對云服務(wù)商穩(wěn)定性的考察首先是從“家底”而非技術(shù)層面展開。由于部分技術(shù)指標不可見和實施過程中的不確定性，國內(nèi)企業(yè)在考察云服務(wù)商的時候往往會從企業(yè)財務(wù)狀況因素入手。在對有上云意向的企業(yè)調(diào)查中，我們發(fā)現(xiàn)企業(yè)的考察具有一定的主觀性和不完整性，因此提取具有普遍性的指標，并通過公開的信息構(gòu)建一個對在中國市場提供服務(wù)的主流云服務(wù)商“家底”的比較維度。由于國內(nèi)外云計算市場發(fā)展?fàn)顩r的存在巨大差異，我們將對部分指標進行分開比較。云市場規(guī)模是上云企業(yè)考察的重點指標。某互聯(lián)網(wǎng)金融平臺CIO認為“規(guī)模是第一要素，畢竟與穩(wěn)定服務(wù)相關(guān)。覆蓋行業(yè)、用戶數(shù)量、盈利能力會對選擇供應(yīng)商有影響?！盙artner認為，如果企業(yè)用戶選定了某家云計算服務(wù)商，最理想的狀態(tài)是：這家服務(wù)商能夠一直平穩(wěn)發(fā)展，而不會出現(xiàn)破產(chǎn)或被大型公司收購現(xiàn)象。其理由很簡單：如果云計算服務(wù)商破產(chǎn)或被他人收購，企業(yè)客戶既有服務(wù)將被中斷或變得不穩(wěn)定。并建議，在選擇云計算服務(wù)商之前，應(yīng)把長期發(fā)展風(fēng)險因素考慮在內(nèi)。云計算企業(yè)的經(jīng)營不穩(wěn)定是一種現(xiàn)實風(fēng)險。在2013年信貸資料服務(wù)機構(gòu)Graydon UK和市場研究公司Gartner都對云計算企業(yè)的經(jīng)營狀況發(fā)出了風(fēng)險警告。Gartner稱，在未來兩年里，云服務(wù)的應(yīng)用者將面臨嚴重的風(fēng)險，因為他們的服務(wù)提供商很可能被收購或者被迫退出這項業(yè)務(wù)。十分之一的云服務(wù)提供商將由于收購、破產(chǎn)等各種原因消失。目前市場上云服務(wù)商分化在逐步拉大，根據(jù)Synergy方面公布的結(jié)果，目前四大云服務(wù)商(包括微軟、IBM、谷歌與Amazon)總計收得54%營收比例。上云企業(yè)將云計算所在集團公司在其他領(lǐng)域的成功作為評估云計算“家底”主要指標是一個常見的誤解。目前主流云計算多為互聯(lián)網(wǎng)公司、電信運營商、設(shè)備廠商的新業(yè)務(wù)領(lǐng)域，公司在其他領(lǐng)域成功是云計算業(yè)務(wù)開展的初期優(yōu)勢，但這并不意味著其云計算業(yè)務(wù)的必然成功。例如，2015年惠普 2014年10月，惠普公司已經(jīng)發(fā)出公告，宣稱將于2015年1月15日正式關(guān)閉其webOS云服務(wù)。2015年10月，宣布明年1月開始關(guān)閉惠普Helion公有云服務(wù)，轉(zhuǎn)與微軟合作，向客戶提供微軟Azure公有云服務(wù)。和戴爾 2013年5月，戴爾宣布變更其云計算戰(zhàn)略，取消其曾經(jīng)推出的基于OpenStack開源平臺的公有云服務(wù)，并停止已經(jīng)推向市場的基于VMware的公有云。轉(zhuǎn)而重點銷售運行在其硬件和軟件上的使用OpenStack的私有云。相繼放棄了其部分云計算項目，顯示了在云計算這一新興商業(yè)領(lǐng)域?qū)Α俺晒Α逼髽I(yè)仍然是一個挑戰(zhàn)，因此對云服務(wù)商實力的評估應(yīng)該更有針對性。我們建議上云企業(yè)在評估“家底”時盡量針對集團企業(yè)的云業(yè)務(wù)板塊進行獨立評估。對于上云企業(yè)來說，選擇云市場排名在前的公司也是一種非常重要的安全策略。市場表現(xiàn)主要體現(xiàn)在云市場上的規(guī)模、盈利能力等因素。云計算企業(yè)的經(jīng)營穩(wěn)定性是上云企業(yè)面臨的現(xiàn)實風(fēng)險。有針對性的考察云計算企業(yè)的財務(wù)狀況有助于企業(yè)做出科學(xué)性的決策。市場規(guī)模和盈利能力不僅僅意味著企業(yè)能夠長期穩(wěn)定的提供服務(wù)，同是也意味著云服務(wù)商在該業(yè)務(wù)中積累案例不斷完善。2.2 計算能力不可見，國內(nèi)通用比較標準有待明確云計算技術(shù)本身具有很高的穩(wěn)定性。對于上云企業(yè)來說，云應(yīng)該是一個可靠無間斷的平臺。一般云服務(wù)商都具備計算資源的動態(tài)延展性，也不會由于計算能力不足造成崩潰。這是由云計算的技術(shù)特征本身決定的，有時與云服務(wù)商關(guān)系不大。而在進一步評估云服務(wù)商的計算資源供應(yīng)能力計算資源、存儲資源、網(wǎng)絡(luò)資源的供應(yīng)能力的時候則面臨信息的不透明性。由于這是涉及對外部公司資質(zhì)的考察，因此我們需要引入一些間接的指標來進行評估。計算資源供應(yīng)受多種因素制約，其中一些指標是上云企業(yè)無法直觀感受到的。國外咨詢機構(gòu)使用“市場計算資源使用量”這一概念進行橫向比較，被認為是比較直觀和有效的指標。目前本土云服務(wù)商尚未被納入到這一指標體系中，因此國內(nèi)上云企業(yè)往往尋求行業(yè)性成功個案進行參考決策。此外網(wǎng)絡(luò)環(huán)境也是影響云服務(wù)商服務(wù)穩(wěn)定性的重要因素。2.3 安全理念折射出安全能力，承諾與實踐匹配方式尚不成熟云計算放大了IT的挑戰(zhàn)，云服務(wù)商與用戶之間的安全權(quán)責(zé)關(guān)系更加重要。目前，以國外主流云服務(wù)商為代表的安全責(zé)任共擔(dān)模式和國內(nèi)主流云服務(wù)商為代表的托管模式是我國市場上的兩種主要的權(quán)責(zé)模式。模式應(yīng)該對安全負責(zé)。業(yè)界一直存在對這兩種模式的討論，不同的用戶也對這兩種模式有各異的理解。無論是哪一種模式，在當(dāng)前云服務(wù)的發(fā)展階段，只要能夠滿足云安全的需求，存在即合理。云服務(wù)商和用戶之間的權(quán)責(zé)劃分和責(zé)任分配是否存在一個最優(yōu)的結(jié)合點，也是所有云服務(wù)商正在積極探索的方向。但是，從長期發(fā)展的趨勢和業(yè)內(nèi)專業(yè)人士的評判，可以認為安全責(zé)任共擔(dān)模式更符合云服務(wù)未來的發(fā)展。云服務(wù)商的安全理念形成了不同的協(xié)議規(guī)則。整體來看，國內(nèi)云服務(wù)商的安全原則仍處于建立過程中，客戶與云服務(wù)商之間的最佳關(guān)系可能是需要多方博弈形成。2.4 規(guī)制第三方合作安全伙伴的能力，提升多選擇服務(wù)的安全性云計算的合作伙伴能力云服務(wù)商接納并整合基于云服務(wù)的中間商從而發(fā)展成為具有一致標準的伙伴關(guān)系也是亞馬遜AWS率先提出并被行業(yè)普遍接納的概念。在Gartner的一項研究顯示，在完全接受公共云計算服務(wù)的企業(yè)中，亞馬遜AWS能滿足其中71%企業(yè)的需求。這在很大程度是依靠合作伙伴完成的。如何在使用第三方合作伙伴豐富服務(wù)的同時保障安全也是需要考量的重要問題。云服務(wù)商無法提供面面俱到的服務(wù)，而涉及到具體業(yè)務(wù)，上云客戶又存在各種定制型服務(wù)的需求。第三方合作伙伴模式是當(dāng)前云服務(wù)商普遍采用的業(yè)務(wù)模式，云計算環(huán)境下三方的關(guān)系無疑更加緊密了，這也增加了一些不確定因素。云服務(wù)商如何選擇和管理第三方也成為上云企業(yè)需要關(guān)注的一個重要考察因素。在對上云企業(yè)的泛安全感知提前出指標并進行賦值時，我們發(fā)現(xiàn)當(dāng)前國內(nèi)主流云服務(wù)商很難在一個維度上進行比較。這是由于國內(nèi)提供成熟云計算服務(wù)的廠商，在云業(yè)務(wù)整體實力方面本土云服務(wù)商與國際云服務(wù)商存在量級上的差距，且國際云服務(wù)商在成功案例量和服務(wù)規(guī)則成熟度等方面也具有顯著優(yōu)勢。國際云服務(wù)商在將成熟業(yè)務(wù)模式和合同規(guī)則引入中國的過程中面臨特殊本地化需求的挑戰(zhàn)，而扎根于中國市場成長起來的本土云服務(wù)商則獲得了相對優(yōu)勢。在這一比較過程中，我們盡量選擇公開的信息資料，包括上市公司財報、服務(wù)白皮書等，此外使用國際咨詢機構(gòu)評估結(jié)論提供參考信息。而這種方式難免會形成數(shù)據(jù)口徑的不一致的問題，為此我們盡量充分界定數(shù)據(jù)的意義。使用這一研究方式主要是考慮到上云企業(yè)在這部分指標上的信息可獲得性。2.5 對比結(jié)果1. 市場表現(xiàn)上亞馬遜AWS具有全球市場優(yōu)勢，阿里云具有區(qū)域優(yōu)勢據(jù)Cartner 2015年初發(fā)布的技術(shù)發(fā)展趨勢報告顯示，2014 年全球云計算服務(wù)市場規(guī)模達1528 億美元，增長率達17.9%，其中公有云開支將達700億美元。作為laaS（基礎(chǔ)設(shè)施即服務(wù)）的提出者，亞馬遜在這一市場具有領(lǐng)跑優(yōu)勢。根據(jù)Synergy研究集團（Synergy Research Group）于2015年 2 月份公布的數(shù)據(jù)，亞馬遜AWS 在公有云基礎(chǔ)性服務(wù)方面的表現(xiàn)創(chuàng)下了 5 年新高，在 2014 年 Q4 中，其全球市場份額增長了 30%，營收的年同比增長也達到了 51%。市場份額排名 24 名的微軟、IBM 及 Google 也在營收方面增長明顯，年同比增幅分別達到 96%，48% 和 81%。圖表 2 2014年內(nèi)第4季度云基礎(chǔ)設(shè)施服務(wù)市場份額和增長率2015年10月，F(xiàn)orrester 發(fā)布了中國區(qū)2015年第三季度的企業(yè)公有云服務(wù)Wave報告中國公有云市場正在加速發(fā)展，今年的中國公有云市場規(guī)模預(yù)計為18億美元，到2020年中國公有云市場規(guī)模預(yù)計將達到38億美元。根據(jù) IDC 的數(shù)據(jù)，阿里云在2014年上半年的全國 IaaS 領(lǐng)域市場份額為 22.8%，位居首位。微軟 Azure 和 亞馬遜AWS 則分別位居第四和第五位。 由于存在巨大的客觀差異性，中國本土云計算企業(yè)并不適合在絕對數(shù)字上與進入中國的全球性云計算企業(yè)進行比較。亞馬遜AWS在全球范圍內(nèi)具有云計算行業(yè)領(lǐng)導(dǎo)者優(yōu)勢，而在國內(nèi)阿里云則依靠本土化需求的差異性獲得了相對優(yōu)勢。亞馬遜AWS：2015年亞馬遜首次披露了 亞馬遜AWS（Amazon Web Service，亞馬遜云服務(wù)）的部分財務(wù)狀況：2014年 凈收入 46.4 億美元，較 2013年 上漲 49%。2015年 一季度凈收入 15.7 億美元，二季度收入18.2 億美元。CEO Bezos 在一份聲明中表示，“亞馬遜AWS 是一個 50 億美元的業(yè)務(wù)，并且依然在加速增長中，亞馬遜AWS 的營收最終會超過其零售業(yè)務(wù)”。微軟Azure：2014年，在 Office 365，Azure和Dynamics CRM 的持續(xù)推動下，企業(yè)級云服務(wù)收入增長114%，實現(xiàn)55億美元的年收入。阿里云：2015年10月，阿里巴巴集團發(fā)布2015年第三季度財報，阿里巴巴旗下云計算業(yè)務(wù)阿里云營收6.49億元。此前的財報顯示，2015年前兩個季度阿里云營收分別為3.88億元、4.85億元。騰訊云：目前騰訊財報尚未將云計算作為單列收入項目，而含云收入的“其他服務(wù)”類收入在2015年上半年達到19.7億元。由于本部分涵蓋“電子商務(wù)交易、提供商標授權(quán)、軟件開發(fā)服務(wù)、軟件銷售及其他服務(wù)”，此數(shù)據(jù)僅做參考，無法據(jù)此評估騰訊云的具體營收情況。天翼云：根據(jù)電信公布的2015年上半年業(yè)績，電信云計算（天翼云）產(chǎn)品實現(xiàn)收入人民幣4.7億元。由于國內(nèi)云計算市場尚不成熟，國內(nèi)上云企業(yè)對云計算服務(wù)的認知仍處于初級階段，因此企業(yè)對云服務(wù)商“家底”的評估中并未形成統(tǒng)一的價值標準。企業(yè)對云計算產(chǎn)業(yè)內(nèi)的全球性統(tǒng)計結(jié)果感知度不高，在此背景下本土優(yōu)勢企業(yè)形成了較強的影響力。但是我們認為整體性業(yè)務(wù)規(guī)模對企業(yè)選擇有重要意義。作為對整體云商業(yè)能力的判斷的時候，規(guī)模不僅僅意味著企業(yè)財務(wù)的穩(wěn)定性，還能夠帶來服務(wù)規(guī)則的較高成熟度和案例積累的最佳方案。2. 科技咨詢公司評估計算能力模型顯示亞馬遜AWS最強一種評估方式為通過云服務(wù)商服務(wù)的客戶來評估其服務(wù)的計算能力。在2015年Gartner發(fā)布的IaaS魔力象限指標體系中，對具有全球性服務(wù)能力的云供應(yīng)商進行了考察，并做出排名，其中亞馬遜AWS擁有多元化的客戶基礎(chǔ)和最廣泛的使用案例，包括企業(yè)和關(guān)鍵任務(wù)應(yīng)用。亞馬遜AWS客戶使用的云計算能力超過其他14個云服務(wù)商 這份報告評估的IaaS 企業(yè)，除亞馬遜AWS外，其余14家為：Microsoft、Google、CenturyLink、VMware、IBM（SoftLayer）、Rackspace、Virtustream、CSC、Interoute、Fujitsu、Verizon、NTT Communications、Joyent、Dimension Data?？偤偷?0倍。而在同一比較維度下，微軟Azure的計算能力是另外13大競爭對手（不包括亞馬遜）總和的2倍。目前已經(jīng)有咨詢機構(gòu)開始針對中國云計算市場進行調(diào)研，但數(shù)據(jù)仍然缺乏整體參考性。Forrester Research發(fā)布獨立報告Forrester Wave：2015年第三季度中國企業(yè)級公有云平臺 原文名：The Forrester Wave: Enterprise Public Cloud Platforms In China, Q3 2015：The 11 Providers That Matter Most And How They Stack Up，在中國企業(yè)云平臺市場甄選了主要的云平臺服務(wù)商并對其進行全方位的評估，其中對微軟Azure 和阿里云 該報告未對亞馬遜AWS和騰訊云在此類上的表現(xiàn)打分。的服務(wù)能力打分為4.00和3.75 。同期評估中阿里巴巴、微軟、和亞馬遜則被評為“企業(yè)級公有云平臺領(lǐng)導(dǎo)者（Leaders）”。本土云服務(wù)商未進入國際統(tǒng)一比較體系無法獲得整體性數(shù)據(jù)，上云企業(yè)不得不使用一些個案性的信息輔助進行決策。例如，上云企業(yè)會參考本行業(yè)內(nèi)使用云的案例進行選擇，但是他們?nèi)匀幌Ｍ軌蚪柚谌綑C構(gòu)提供綜合性比較結(jié)論。在中國，網(wǎng)絡(luò)環(huán)境是制約云服務(wù)商計算資源供應(yīng)的重要因素。云計算的基礎(chǔ)技術(shù)虛擬化技術(shù)、分布式計算、效用計算等，需要通過網(wǎng)絡(luò)進行即時性連接，從而實現(xiàn)服務(wù)的隨時隨地可獲得。因此除了云服務(wù)商 本身計算、存儲資源的規(guī)模外，網(wǎng)絡(luò)環(huán)境成為影響云計算產(chǎn)業(yè)功能穩(wěn)定性的重要變量。當(dāng)前中國三大運營商之間的網(wǎng)絡(luò)互聯(lián)困難是當(dāng)前制約云計算服務(wù)穩(wěn)定性重要制約因素。在解決這個問題上，無論是選擇分運營商部署、多線多IP、靜態(tài)BGP或動態(tài)BGP，都將增加企業(yè)上云的成本。這甚至成為中國企業(yè)選擇云服務(wù)商的時候必須考慮的運營商本身資質(zhì)之外的因素。3. 亞馬遜AWS和微軟Azure都在中國引入其具有全球一致性的權(quán)責(zé)模式對比五家云服務(wù)商的權(quán)責(zé)模式，較為常見的是亞馬遜AWS和微軟Azure采取的明確安全責(zé)任共擔(dān)的模式；騰訊云和電信云沒有明確的宣稱實現(xiàn)某種模式，但從合同、承諾書等公開文件來看，在實際項目中也劃分了責(zé)任邊界；阿里云則基于中國市場現(xiàn)實需求提出了托管服務(wù)，而近期阿里云將安全托管設(shè)置為付費可選服務(wù)，開始出現(xiàn)劃分責(zé)任的趨勢。亞馬遜AWS倡導(dǎo)其為用戶提供安全的云，用戶在云中安全運行，權(quán)責(zé)清晰、絕不僭越。微軟Azure由世紀互聯(lián)提供和維護云平臺，用戶在平臺中負責(zé)維護自身的安全環(huán)境。圖表 3 國內(nèi)主流云服務(wù)商權(quán)責(zé)模式比較云服務(wù)商責(zé)任模式權(quán)責(zé)模式表現(xiàn)或影響亞馬遜AWS責(zé)任共擔(dān)型評估云計算安全，客戶理解和辨別責(zé)任共擔(dān)是非常重要的：亞馬遜AWS提供的云安全服務(wù)措施是通過工具和操作保障“安全的云”；客戶通過操作亞馬遜AWS提供的安全內(nèi)容和應(yīng)用程序?qū)崿F(xiàn)“云中安全”。微軟Azure/世紀互聯(lián)責(zé)任共擔(dān)型云平臺要求客戶與服務(wù)提供商共擔(dān)責(zé)任。世紀互聯(lián)負責(zé)維護平臺，并提供可滿足客戶的安全性、隱私和合規(guī)性需求的云服務(wù)。在配置服務(wù)之后，客戶負責(zé)維護其環(huán)境，包括其應(yīng)用程序、數(shù)據(jù)內(nèi)容、虛擬機、訪問憑據(jù)以及遵守適用于其特定行業(yè)和區(qū)域的法規(guī)。阿里云可選托管型阿里云保障平臺安全，并通過為客戶提供三類安全能力：1）云產(chǎn)品的安全功能、2）云盾安全服務(wù)以及3）安全生態(tài)里的第三方安全廠商產(chǎn)品，來滿足客戶保護云端業(yè)務(wù)及數(shù)據(jù)安全的需求?？蛻糇灾鬟x擇阿里云提供的安全能力保護自己的業(yè)務(wù)系統(tǒng)。當(dāng)用戶采購云盾“服務(wù)器安全托管”服務(wù)時，可以為用戶提供保姆式托管服務(wù)，按照SLA提供服務(wù)。騰訊云近似責(zé)任共擔(dān)型在其網(wǎng)站公開信息中未明確說明權(quán)責(zé)模式劃分。根據(jù)咨詢騰訊云客服反饋，相關(guān)內(nèi)容寫到與客戶簽訂的合同中。天翼云近似責(zé)任共擔(dān)型與用戶簽訂了系列安全協(xié)議書，包括云業(yè)務(wù)服務(wù)使用責(zé)任書、網(wǎng)絡(luò)信息安全承諾書、中國電信天翼云主機服務(wù)等級協(xié)議、中國電信天翼對象存儲系統(tǒng)服務(wù)等級協(xié)議。在安全協(xié)議書中明確各自的權(quán)利與責(zé)任。制圖：互聯(lián)網(wǎng)實驗室，2015年12月通過訪談多家國內(nèi)云用戶企業(yè)技術(shù)負責(zé)人和云服務(wù)領(lǐng)域?qū)I(yè)人士獲知：一般小型企業(yè)傾向于阿里云的保姆式安全托管服務(wù)，盡管他們也承認權(quán)責(zé)共擔(dān)更有利于保護自有數(shù)據(jù)的安全，但是保姆式服務(wù)可以緩解他們自建IT安全團隊的資金壓力；大中型企業(yè)和專業(yè)人士則更傾向于責(zé)任共擔(dān)模式，因為對他們而言安全是首位，資金壓力相對不是重要的考慮因素。此外，2015年7月中央網(wǎng)信辦牽頭出臺了關(guān)于加強黨政部門云計算服務(wù)網(wǎng)絡(luò)安全管理的意見，該文件確定了黨政部門在采購使用云計算服務(wù)過程中應(yīng)遵守的4項大的原則規(guī)定：安全管理責(zé)任不變，數(shù)據(jù)歸屬關(guān)系不變，安全管理標準不變，敏感信息不出境 中國政府采購網(wǎng) 云安全審查來臨 云服務(wù)商如何解讀/qycp/fuwu/qydt/201507/t20150706_5514689.htm。其中“安全管理責(zé)任不變”強調(diào)了政府用戶在使用中的安全責(zé)任。雖然文件針對政府使用云計算服務(wù)，但是該文件出臺也將對云服務(wù)市場產(chǎn)生影響。企業(yè)上云需要明白，云最佳實踐就是要接受云內(nèi)容其實跟IT經(jīng)理的日常所負責(zé)的工作很相像，存儲在云中的東西和之前存儲在企業(yè)內(nèi)部服務(wù)器上的東西是一樣的。把應(yīng)用和數(shù)據(jù)遷移到云中不等于IT經(jīng)理因此便可卸掉自己的責(zé)任。這么做只是改變了工作責(zé)任的性質(zhì)，將其轉(zhuǎn)變成了一種要與云提供商共同承擔(dān)的責(zé)任而已。因為，屬于企業(yè)的數(shù)據(jù)資產(chǎn)只應(yīng)該由企業(yè)掌管，云服務(wù)商只是托管的平臺和工具，而不應(yīng)該成為可以窺視用戶資產(chǎn)的守門人。此外，需要關(guān)注的是，由于國內(nèi)互聯(lián)網(wǎng)產(chǎn)業(yè)環(huán)境仍不成熟，也可能影響企業(yè)對云計算產(chǎn)業(yè)和具體云服務(wù)商做出安全性的客觀評價。目前網(wǎng)絡(luò)安全事故中取證、責(zé)任認定和賠付等尚無明確法律和判例，造成部分企業(yè)出現(xiàn)“無論如何云無法在整體不安全的環(huán)境下保證安全”的消極情緒，從而導(dǎo)致輕視審查云服務(wù)商的安全措施甚至放棄上云等極端選擇。這種消極觀點不利于企業(yè)在創(chuàng)新技術(shù)環(huán)境中做出正確決策。對云服務(wù)商來說，需要采取積極的措施推動云產(chǎn)業(yè)供需雙方建立產(chǎn)業(yè)環(huán)境的信任感，因為放任這種情緒將最終影響整體產(chǎn)業(yè)的健康發(fā)展。對上云企業(yè)來說，正視安全風(fēng)險并在透明性方面提出明確要求更具有積極意義。4. 亞馬遜AWS明確要求第三方遵循與自身一樣的安全認證標準當(dāng)前合作伙伴模式已經(jīng)成為云服務(wù)商普遍采用的一項業(yè)務(wù)戰(zhàn)略。國際云計算領(lǐng)先企業(yè)進入中國后迅速復(fù)制了這一成熟的業(yè)務(wù)模式，亞馬遜AWS和微軟Azure在中國云落地的同時開始布局中國合作伙伴戰(zhàn)略。在安全方面，云服務(wù)商通過合作伙伴將專業(yè)安全廠商引入到服務(wù)體系中，在為用戶構(gòu)建更加安全可靠地云應(yīng)用方面提供了更多的選擇，從而有可能形成強強聯(lián)合的效果。目前在這些合作中，各云服務(wù)商有不同的選擇。亞馬遜AWS選擇與細分領(lǐng)域內(nèi)的領(lǐng)先者進行合作，如在安全領(lǐng)域亞馬遜AWS的最高等級且合作最成熟的技術(shù)合作伙伴（Advanced Technology Partner）之一的趨勢科技就是在全球云計算安全市場上排名第一位的安全廠商。在中國，亞馬遜AWS在合作伙伴的選擇上也依照這一標準。此外一些云服務(wù)商選擇建立創(chuàng)業(yè)扶植項目，以大量引入創(chuàng)新團隊的辦法開發(fā)依托于自己平臺的功能。圖表 4 國內(nèi)主流云服務(wù)商第三方合作計劃比較云服務(wù)商第三方合作計劃亞馬遜AWS2014年推出中國合作伙伴計劃，目前亞馬遜AWS中國區(qū)合作伙伴計劃的安全成員包括趨勢科技、山石網(wǎng)科、奇虎360等 天極網(wǎng)，亞馬遜AWS發(fā)布AWS中國區(qū)合作伙伴計劃/316/42177316.shtml。微軟 Azure2014年微軟Azure與世紀互聯(lián)合作推動云計算業(yè)務(wù)落地，同時啟動了中國區(qū)合作伙伴項目，目前在中國總共有 13000 多家云合作伙伴，分為金牌合作伙伴和銀牌合作伙伴。在安全方面的合作伙伴包括伊登軟件、深信通、東方飛鴻祥瑞軟件、漢金科技等。阿里云2015年6月9日，宣布啟動全球合作伙伴計劃(Marketplace Alliance Program，簡稱MAP計劃)。9月與信息安全企業(yè)安恒信息達成戰(zhàn)略合作伙伴關(guān)系。10月阿里云安全市場上線阿里云云市場 /security?spm=5176.7369765.201.154.sQr095。目前已經(jīng)有山石、安恒、array、深信服、東軟、奕銳、銥迅、安華金和、駐云、云安寶等30多家安全廠商的產(chǎn)品。騰訊云2015年6月中旬發(fā)布“云+計劃”，目前公開信息中安全方面的合作伙伴為廈門服云、深圳安盾椒圖、英方軟件等9家信息科技公司。天翼云其網(wǎng)站顯示在合作伙伴方面也區(qū)分為金銀銅牌，但分類側(cè)重合作內(nèi)容，而不是技術(shù)或安全標準。網(wǎng)站顯示在安全方面與安全狗形成了合作。制圖：互聯(lián)網(wǎng)實驗室，2015年12月雖然合作伙伴模式增加了云服務(wù)商的功能擴展，但是引入第三方無疑增加了整體安全不確定風(fēng)險。這就要求云服務(wù)商不僅要管控自身的風(fēng)險也要能對第三方建立有效的風(fēng)控措施。在調(diào)查中，上云企業(yè)對第三方能夠提供的補充性功能比較期待，同時也希望云服務(wù)商能夠?qū)Τ袚?dān)管理職責(zé)?！巴ㄟ^第三方合作伙伴能夠提供更豐富的云服務(wù)和功能，但服務(wù)質(zhì)量是否能夠得到保障依靠服務(wù)商的管理能力”某互聯(lián)網(wǎng)金融企業(yè)CIO。目前從公開的信息看國內(nèi)提供第三方合作伙伴接入服務(wù)的云服務(wù)商中，僅有亞馬遜AWS對此有明確的要求合作等級與資格認證掛鉤。在此基礎(chǔ)上亞馬遜AWS能夠要求合作伙伴執(zhí)行與自身相同的標準。由于缺乏直觀的和一致性的比較數(shù)據(jù)，國內(nèi)上云企業(yè)對云服務(wù)商穩(wěn)定性的評估更多的來自于感性認知。行業(yè)成功案例往往成為企業(yè)決策的重要參考信息，因此這種比較結(jié)論往往存在較大偏差。在我們盡力搭建的統(tǒng)一比較平臺上，以亞馬遜AWS為代表的國際云服務(wù)商在技術(shù)能力和規(guī)則成熟方面具有領(lǐng)先優(yōu)勢，他們致力于將全球性的成功模式復(fù)制到國內(nèi)市場，因此其業(yè)務(wù)開展的初期就已經(jīng)在整體業(yè)務(wù)流程和標準化上達到了較高的成熟度。而本土云服務(wù)商則在建立業(yè)務(wù)模式探索過程中，在跟隨策略的同時也提出了針對本土化需求的特殊調(diào)整，但是這種實用性調(diào)整的實際效果仍有待時間檢驗。三、物理基礎(chǔ)設(shè)施部署指標設(shè)計與對比 3.1企業(yè)云之旅從物理安全開始 云服務(wù)商的規(guī)模效應(yīng)能夠提供前所未有的存儲與計算能力，相隔成百上千公里的數(shù)據(jù)中心能夠?qū)崿F(xiàn)數(shù)據(jù)的容災(zāi)備份。云服務(wù)商分布廣泛的數(shù)據(jù)節(jié)點能幫助上云企業(yè)的業(yè)務(wù)實現(xiàn)更低延遲性和更高吞吐量。另外，云服務(wù)商能夠配備更高級別的安防系統(tǒng)，聘用行業(yè)最頂尖的技術(shù)專家為基礎(chǔ)設(shè)施部署提供方案與意見，這是一般傳統(tǒng)IT企業(yè)所不具備的能力。每個企業(yè)的云之旅都是從物理安全開始。企業(yè)上云之后，自家服務(wù)所依賴的物理層級的設(shè)施完全脫離視線所引發(fā)的隱憂，是一切不安全感的由來，所有權(quán)的喪失感阻礙了企業(yè)上云的進度。我們在調(diào)研中發(fā)現(xiàn)，很多企業(yè)關(guān)注云服務(wù)商能否提供可靠的物理基礎(chǔ)設(shè)施來保障其業(yè)務(wù)的連續(xù)性。企業(yè)用戶往往會擔(dān)心云服務(wù)商數(shù)據(jù)中心的部署是否科學(xué)，保障基礎(chǔ)設(shè)施正常運行的條件是否安全可靠，數(shù)據(jù)中心躲避災(zāi)害是否有保障，能不能做到對數(shù)據(jù)容災(zāi)的異地備份，技術(shù)和應(yīng)用組件跨越多個數(shù)據(jù)中心之間的延遲能否忽略。我們期望通過下文的論述，解答企業(yè)該方面的疑慮。正確的信息安全方案一般是采取多層安全機制來達到其安全目標，也就是通常所說的多層安全或深度防御。物理保護是多層安全防御戰(zhàn)略中的一個最初步驟。但如果針對云計算的物理保護不存在、沒有被正確實施、保護力度弱、安全執(zhí)行不一致，則其他安全將無從談起，甚至可能導(dǎo)致安全防護整體失敗。 CSA,云計算關(guān)鍵領(lǐng)域安全指南 V3.0, D7: 傳統(tǒng)安全、業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)；D9: 事故響應(yīng) 對物理設(shè)施的失控感，不應(yīng)該成為企業(yè)用戶上云的阻礙。企業(yè)應(yīng)該掌握一套評估云服務(wù)商的成熟度、風(fēng)險、脆弱性及對過程和流程的經(jīng)常審查和測試方案，選擇一家值得信賴的云服務(wù)商，使其物理安全可隨著業(yè)務(wù)擴展，在企業(yè)內(nèi)部可持續(xù)和站得住腳，整個過程能夠在一個經(jīng)常性的基礎(chǔ)上進行持續(xù)改進，并且經(jīng)濟有效。3.2物理基礎(chǔ)設(shè)施部署指標體系設(shè)計 本指標體系重點從數(shù)據(jù)中心部署和標準遵從兩方面幫助企業(yè)確認和驗證云服務(wù)商基礎(chǔ)設(shè)施部署及所采取控制手段的科學(xué)性，建議企業(yè)深入云服務(wù)商數(shù)據(jù)中心現(xiàn)場進行評估。1. 數(shù)據(jù)中心部署云服務(wù)商在各地區(qū)部署的數(shù)據(jù)中心，使得企業(yè)用戶更易于遵從當(dāng)?shù)財?shù)據(jù)存儲方面的政策法規(guī)，同一區(qū)域多可用區(qū)，可實現(xiàn)數(shù)據(jù)的相互容災(zāi)備份；更多的數(shù)據(jù)節(jié)點分布拉近了與服務(wù)使用者的距離，能幫助企業(yè)實現(xiàn)更低的延遲性和更高的吞吐量。2. 數(shù)據(jù)中心標準遵從數(shù)據(jù)中心建設(shè)的常見標準，大多從機房位置及設(shè)備布置、環(huán)境要求、建筑與結(jié)構(gòu)、地板承重、冷卻裝備、電氣、機房布線、消防等全方位要求機房的設(shè)計建設(shè)，數(shù)據(jù)中心建設(shè)遵守相關(guān)的標準規(guī)定，能夠更加確保電子信息系統(tǒng)設(shè)備安全、穩(wěn)定、可靠地運行。云服務(wù)商通過同一標準更高等級的評估能夠說明其數(shù)據(jù)中心建設(shè)更加科學(xué)合理。中國電子工程設(shè)計院編寫的GB 50174-2008電子信息系統(tǒng)機房設(shè)計規(guī)范和美國國家標準學(xué)會（ANSI）頒布的ANSI-TIA-942-2005數(shù)據(jù)中心電信基礎(chǔ)設(shè)施標準是數(shù)據(jù)中心建設(shè)參照最多的標準，我們選用了評估更為嚴格的ANSI-TIA-942-2005標準，作為企業(yè)用戶評估云服務(wù)商基礎(chǔ)設(shè)施安全性的參照依據(jù)。美國國家標準學(xué)會（ANSI）批準頒布的數(shù)據(jù)中心電信基礎(chǔ)設(shè)施標準，是當(dāng)今數(shù)據(jù)中心建設(shè)過程中通用的遵循標準之一。ANSI-TIA-942-2005將數(shù)據(jù)中心劃分為Tier 1 Tier 4四個等級（Tier 4為最高等級），以下簡稱為T1-T4。 GB50174的機房設(shè)計規(guī)范把機房劃分成A到C分成三級。ABC和1234這兩個本來就不對應(yīng)，國際的T4級是最高等級，國家的A級是最高等級，而T4級比A級的標準稍微嚴格一些，T3級又比A級標準低一下，所以A級標準是處于T3和T4之間的。 更高的等級代表數(shù)據(jù)中心建設(shè)依據(jù)更高的可用性標準。圖表 5 物理資源基礎(chǔ)設(shè)施安全部署能力對比云服務(wù)商數(shù)據(jù)中心部署數(shù)據(jù)中心標準遵從亞馬遜AWS