【TechWeb】3月28日消息，随着数字经济深入到社会生活的更多领域，数据的安全性越来越受到重视。目前，全球已有132个国家和地区制定了与数据保护和隐私相关的法律法规，中国也颁布了数据安全法、个人信息保护法等相关法律法规。
能否有效、稳定、持续地保障企业数据的安全，成为企业在选择合作云厂商时格外关注的考量指标。作为全球最大的云计算服务提供商，亚马逊云技术已经经历了15年的发展。云安全合规方面有哪些先进的理念和成功的实践？
近日，亚马逊云技术大中华区战略业务发展部总经理顾凡详细介绍了保障云上安全合规的两大支柱:一是亚马逊云技术自身的安全合规，二是亚马逊云技术为客户构建的洋葱状多层防护体系。
保证亚马逊云技术自身的安全合规性，一方面，在理念上，亚马逊云技术提出了“作业零安全文化”，将安全作为亚马逊云技术的最高优先级；同时，它是第一个共享安全责任的模型。亚马逊云技术负责底层云基础设施和提供的云服务的安全，客户负责自己云服务的安全。双方共同推进安全合规建设。
另一方面，在实践中，亚马逊云技术通过四个方面保障自身的安全合规性:一是采用高安全性基础设施，数据中心和网络架构以最高安全标准建设；第二，关注每一个云服务的安全性，尽可能实现安全自动化，减少人工配置错误，降低风险；第三是坚持让客户拥有和控制数据。所有的数据流在离开亚马逊云技术的安全设施之前，都会被物理层自动加密；第四，亚马逊云技术获得了满足全球几乎所有监管机构的合规认证。这些合规认证客户可以直接继承。
在保证客户数据安全方面，亚马逊云技术打造了五层保护体系。顾凡强调:“云安全一定是洋葱状的多层防护，而不是鸡蛋。”
在亚马逊云技术的五层洋葱防护模型中，第一层是威胁检测和事件响应。
根据顾凡的说法，威胁探测就像一个“专业的天气预报员”。它需要能够准确定位、快速响应、监控和分析安全威胁的原因。
针对威胁检测和事件响应，目前亚马逊GuardDuty可以持续检测发生在亚马逊云技术上的威胁，拥有丰富的信息源。同时，亚马逊守卫岗集成了机器学习的能力，实现威胁的精准定位，报警量降低50%。此外，Amazon Security Hub的统一安全事件管理平台允许客户每周7天、每天24小时监控和响应威胁，并自动执行合规性检查。
洋葱模型的第二层:认证和访问控制。
“身份认证和访问就像一座坚固城堡的大门。在某一点上身份认证的漏洞可能会带来意想不到的严重后果。没有良好身份验证的访问策略就像建造一座坚固的城堡，但却向未知的访问者敞开了大门。”顾凡形象地说。
据悉，亚马逊云技术在身份认证方面有两点经验和三点技术建议。经验之一就是保持最小授权原则。应确认每项授权是否必要或是否与业务/职责相关。第二个经验是定期审计最低授权原则，没有永久授权，所有授权都必须有时效。三点技术建议:一是尽可能细化接入的粒度，按照时间、地点、服务设置接入条件；二是结合多因素认证技术加强身份认证；三是减少长期凭证的使用。目前，亚马逊身份和访问管理是身份认证和访问控制的核心服务，可以提供覆盖亚马逊云技术所有服务和资源的精细访问控制。亚马逊组织(Amazon Organizations)是一种高效的身份认证和访问控制服务，可以集中管理一个组织的多个账户，建立权限保护机制和数据边界。
洋葱模型的第三层:网络和基础设施安全。
顾凡介绍，防御DDoS攻击是这层防护的重点。DDoS防御应该是全年自始至终，不像应急。如果DDoS攻击在得到处理之前就被发现，业务的稳定性和连续性就会受到影响。目前，亚马逊ShieldAdvanced可以为客户提供全天候的保护。网络访问规则是所有防御的基础。Web应用防火墙服务Amazon WAF提供了丰富的规则库，包括Amazon安全团队开发的所有托管规则。客户也可以自定义规则。
洋葱模型的第四层:数据保护和隐私。
亚马逊技术提供数据全生命周期的加密服务，对数据的保护涵盖数据存储、传输、使用的各个环节。亚马逊KMS密钥管理服务在存储期间实现加密。它集成了亚马逊云技术的140项服务，可以加密存储在这些服务中的数据。对于数据保密性要求较高的客户，亚马逊CloudHSM在云上提供了安全简单的专用加密机。亚马逊Nitro Enclaves在云中提供了一个机密的计算环境。通过它，客户可以创建一个隔离的环境来处理敏感数据，而无需向自己的系统管理员、开发人员和应用程序提供访问权限，从而减少处理敏感数据过程中的攻击面。
洋葱模型的第五层:风险管理和合规。
顾凡介绍:“亚马逊云技术从三个方面帮助用户遵守法规。第一，保证亚马逊云技术服务本身的合规性；二是合规计划落地；第三是自动化审计。”
Amazon Audit Manager简化了审计管理和合规性评估。Audit Manager可以自动扫描和收集证据。还提供了各种合规认证的模板，可以简化合规审计的取证。此外，亚马逊云技术还提供亚马逊可信顾问定制云计算专家、亚马逊安全公告、亚马逊安全文档云服务配置建议等各种在线工具。，并为客户提供他们所有的安全合规性体验。
在顾凡看来，亚马逊云技术在安全合规方面有五大优势，包括卓越的可见性和可控性，深度集成实现自动化，以最高的安全和隐私保护标准构建，客户可以继承亚马逊云技术全面的安全和合规控制，以及丰富的安全和合规合作伙伴。
截至目前，亚马逊云技术已经在中国推出了超过50项符合安全要求的服务和功能，包括Web应用防火墙Amazon WAF、威胁检测服务Amazon GuardDuty和统一安全事件管理平台Amazon Security Hub。顾凡表示，未来，亚马逊云技术将继续把全球安全合作伙伴引入中国，也将继续加强与本土合作伙伴的合作，更好地满足客户的国内安全合规需求。
