亚马逊周一宣布，AWS云计算服务提供AWS Secret Region服务，专门满足美国情报机构的计算需求。新的AWS Secret区域可以运行机密作业。
这并不是亚马逊AWS在政务云的新产品。在此之前，2013年和2016年，亚马逊AWS的AWS GovCloud和AWS GovCloud高域也通过了美国政府的安全认证，并在政府部门投入使用。
从公布的产品来看，随着亚马逊AWS Secret Region的推出，AWS可以说是面向政务云市场的产品布局，可以满足各类政务工作量服务，包括非机密、敏感、机密、绝密数据分类。
本来这个新闻并不是特别重要，但是伴随着这个新闻，10点科技对美国政务云的安全认证进行了深入的了解，发现政务云在安全认证上的思路是非常超前和系统的。
政府云采购指南FedRAMP
美国的政务云可以说是走在了整个行业的前列。2011年12月8日，美国预算管理办公室发布了“云计算环境下信息系统的安全授权”，这是联邦风险和授权管理项目的备忘录，期望提出一种所谓“低成本、基于风险的管理”的云计算安全认证方法。
需要注意的是，FedRAMP认证仅限于联邦政府采购，在美国商业市场没有包括市场准入在内的强制性政府主导的认证措施。而且云计算作为信息技术业务，并不属于监管力度相对较强的电信市场。
但是，政府在购买云计算服务时，仍然会查看类似的认证。毕竟政府部门需要担负起数据安全的责任。
纵观fedramp.gov官网，已经有91家认证服务，涉及Iaas、Paas、Saas服务商，但SaaS厂商占绝大多数。
在安全级别最高的产品认证中，只列出了三家厂商的产品或服务:微软Azure gov gov Cloud High和美国CSRA ARC-P Cloud，其他产品的安全级别为中等。
完善的安全认证系统
FedRAMP项目集中存储和管理所有经过认证的云计算服务提供商及其解决方案，包括许可协议和相关的安全包，并形成一个现成的应用市场。
计划购买云计算服务的政府部门可以选择从应用市场购买云计算服务，而无需再次经历认证过程，从而提高效率。
所有利益相关方的代表都参与了FedRAMP认证过程，包括以国防部、国土安全部和商务部为代表的政府机构，以及云计算服务提供商和技术提供商等行业代表。
FedRAMP认证的流程也非常灵活。在公私合作的模式下，充分利用市场化的第三方认证机构参与技术工作。
只要认证机构符合ISO/IEC 17020标准的要求，并得到美国实验室认可协会的认可，就可以参与认证工作。第三方机构的参与在一定程度上提高了FedRAMP的效率。
此外，安全认证是动态的。云计算的安全能力不是一次认证就终身的，而是需要持续的监管，确保安全承诺能够持续得到满足。同时，安全性的评估标准会随着技术的进步而发展，认证机制也会随之演进。
总体来看，美国政府云的FedRAMP认证实现了各方利益的平衡，引入了多个第三方机构来提高认证效率，从机制上保证了认证的动态演进。可以说是一个完整的安全认证体系。
中国能从中学到什么？
目前政务云市场也在快速发展，已经成为云计算的主要购买者之一。但是目前很多政府机关购买公有云的并不多，还是以私有云为主。
但长期来看，推动政府机构购买阿里云、腾讯云等专业公有云厂商的服务仍是一个大方向。毕竟成本可以大幅降低。
但如果政府部门有大面积的公有云，一套类似于FedRAMP的安全认证机制显然是必要的。
目前国内有官方背景的机构都在推行可信云服务认证。这种认证只是证明服务协议标准、数据存储可靠性、用户数据隐私性、业务可用性、功能完备性、运维体系完善性等诸多方面达到了国内顶级云服务评测体系的认证标准，可能不会特别涉及政府部门的安全机制。
因此，国内云计算行业和政府部门可以在政务云中推广安全认证机制，让政府部门未来可以在一个应用商店中选择合适安全级别的解决方案。
