对着家里的智能电视说一句“我要出去了”，电视关联的空音和灯相继关闭，然后电视屏幕熄灭；来到车上，唤醒语音助手导航目的地，顺便提醒一整天的待办事项；办公室里，设定好时间的咖啡机启动；在“人机协作”的互联网工厂里，生产工作即将开始...
随着“数字化生存”的浪潮，日常生活和生产呈现出新的面貌。在这背后，无数企业已经或正在思考加速上云，寻求提升计算能力、扩展存储、拓展应用和服务。在时代的洪流中，泥沙俱下的情况不可避免，尤其是信息和数据的安全性和合规性。这是处于数字化智能转型中的企业相当关注的问题，也是云服务解决方案提供商在推出一系列数字化工具提升效率和体验的同时，着力解决的关键问题。
在全球范围内，亚马逊云技术一直保持着行业领先地位，约占全球市场份额的30%。前段时间，亚马逊云技术大中华区战略业务发展部总经理顾凡分享了客户常提到的三个问题，并给出了答案:上云安全吗？亚马逊云技术本身安全合规吗？亚马逊技术如何帮助企业在云端安全合规？
优先考虑效果，兼顾成本，上云可以更安全。
企业自建数据中心，安全设施和处理机制也不可或缺，要综合考虑安全设备管理、合同签订、成本等因素。顾凡说，“当客户将自己应用到云上时，企业不需要关心琐碎的底层基础设施安全，它在云中的安全治理有机会达到更高的水平。”总体来说，可能表现在体验、效率、成本上，具体体现在四个方面:
一个是自动化。可以充分利用云安全服务之间的超高集成度，更好地实现本地环境下的安全自动化和安全管理。更多不同厂商的产品将被采用，安全数据的集成将变得复杂。云上服务之间的深度集成将使数据集成变得更加容易。
第二是可视化。当有更好的数据集成时，将有更好的机会在云中使用集中式平台进行安全的可视化管理。
第三，成本弹性。云安全没有前期投资成本，客户按使用付费，客户有更灵活的成本投入。
第四，合规高效。自建数据中心从零开始做合规。投入是一方面，效果是一方面，效率也是一个重要方面。顾凡举例说，“如果你选择亚马逊云技术，客户可以继承云厂商的合规性，那么客户可能从50分开始，因为其他50分的云厂商已经帮着做好了，可以直接继承”。
根据顾凡的介绍，全球已有数百万用户选择并信任亚马逊云技术，几乎覆盖了所有行业，包括金融、电信等许多受到强监管的行业。这些行业的客户在强监管下，不仅会加快自身的数字化转型，还会不断提高亚马逊云技术云的安全性和合规性标准。
从这里，一方面，亚马逊云技术获得了大量客户的信任；另一方面，对大量客户的服务使亚马逊云技术积累了经验，提高了技术，这代表了其技术体系的良好增长。这些可以看作是回答后两个问题的伏笔。
安全合规从亚马逊云技术本身开始。
亚马逊自身的安全合规从四个方面构建:基础设施、服务、客户拥有和控制数据的原则、全球安全合规认证。
第一，亚马逊云技术的安全从自己的核心基础设施开始。一方面，它将提供高度可扩展和可靠的基础设施，同时，基础设施数据中心也采用了大量的冗余和分层控制，并广泛使用自动化来确保底层基础设施的7×24小时监控和保护。亚马逊的数据中心和网络都是按照最高安全标准建设的，包括对数据中心物理访问的管理，都会做到极致。
此外，所有客户，无论规模大小，都可以获得一致的基于云的安全性，同时，他们不必像传统数据中心那样花费大量的资本支出和运营费用。
第二，云安全服务不仅仅是安全服务。顾凡说，一方面，云自身的安全不能只看亚马逊云技术有多少种安全服务，还要考虑亚马逊云技术服务的安全性，比如数据库分析等服务。当这些服务从一开始开发时，亚马逊云技术就会有一个安全团队参与其中。解决服务开发过程中的安全问题，有任何安全问题，服务都无法发布；另一方面，通过深度整合的服务，实现自动化，降低风险。亚马逊云技术有一套完整的安全运维流程、体系和最佳实践来保证云本身的安全。
第三，坚持客户拥有和控制数据的理念。这是支撑亚马逊云技术云自身安全的重要核心理念。只有当客户始终拥有自己的数据，并能自主操作数据时，他们才会大胆地将应用程序放在云上。亚马逊自己的数据加密无处不在。当数据流入或流出基础设施时，必须由物理层自动加密。虚拟私有云之间的流量也将被加密，服务之间将有许多传输层安全连接。
就客户而言，亚马逊云技术提供了所需的控制和可见性概念，可以帮助客户证明符合当地和当地的数据隐私法律法规。亚马逊云技术遍布全球的区域可以帮助客户满足数据本地化的要求。
第四，支持多种安全标准和合规认证，几乎满足全球所有监管机构的合规认证。亚马逊技术获得了全球98项安全标准和合规认证，用户可以直接继承。
顾凡还重点介绍了在中国市场的实践:亚马逊云技术将全球积累的防护经验和安全合规能力在中国市场付诸实践。亚马逊云技术中国北京和宁夏地区均通过了独立第三方机构的验证，也完成了网络安全防护三级评估，还获得了中国信息通信研究院可信云的服务评估。同时，他们还获得了中国SOC等一系列ISO信息安全质量管理认证和行业信息安全认证。
继续投资帮助企业在云中实现安全性和合规性。
当然，随着标准的变化，安全环境的变化等。，对于亚马逊云技术和客户企业来说，安全合规性实际上是一个动态的过程，而不是某种恒定的结果。在提到在云上帮助企业安全合规之前，顾凡首先明确表示，在确保安全合规方面，亚马逊云技术在全球范围内并没有放慢脚步，并持续在全球安全合规方面进行投入以保持领先，比如定期更新和迭代第三方数千个全球合规验证。
具体来说，亚马逊云技术坚持三个理念，即事件驱动、主动设计和多层保护:
首先，使用云上的事件驱动架构来构建自动化围栏，而不是设置检查点。如果能够实现事件驱动架构，就有机会建立一套从威胁检测到事件响应、原因分析和恢复的自动防护。只有自动化才能让企业的开发团队花更多的时间在业务创新上。
第二，云安全是主动设计的，而不仅仅是被动响应。安全不是一个独立的存在，它与业务融为一体。企业出海的安全合规性已成为业务发展的首要条件。安全合规必须基于设计，而不是事后对安全合规事件的反应。安全建设必须未雨绸缪，从规划预防、检测、应对、修复四个方面主动设计。
第三，云安全必须是“洋葱状”的多层防护，不能像鸡蛋一样。虽然给人的感觉是“壳”很硬，但实际上只是单层防护，云上的安全需要渐进式的防护机制。
亚马逊的“洋葱”多层保护可以概括为五个部分:威胁检测和事件响应、身份认证和访问控制、网络和基础设施安全、数据保护和隐私、风险管理和合规。具体的措施和工具就在其中，组成了这个被紧紧包裹的“洋葱”。
比如威胁检测和事件响应，通过精准定位、快速响应、持续监控和原因分析，可以解决用户担心的检测服务影响业务正常运营、信息来源是否全面、事故原因能否精准定位、启动和运维是否复杂等问题。而这只是《洋葱》细节的一角。
整体而言，亚马逊云技术在安全合规方面进行了相当繁重的设计和实践，意在形成这样的比较优势:高可见性和可控性、深度集成的自动化、最高的安全和隐私保护标准、安全合规的全面传承、合作伙伴的强大联盟。持续的投入和细致的系统建设，正如顾凡所说，都体现了这样一个原则，“帮助客户更简单地解决安全问题——持续加大安全投入，让安全服务像水空气一样提供给用户”。
除了策略、系统和工具，亚马逊云技术还将安全视为一种“文化”，为企业提供云安全的最佳实践和培训，帮助客户构建云安全文化和策略，这是一种全方位的系统设计。
吉视资讯首席分析师任伟伟在评论亚马逊云技术时表示:“根据吉视资讯的研究，在云安全的实际技术应用中，目前的身份与访问控制、监控与检测、基础设施保护、数据保护、事件响应、合规性审计等。是云安全的热点领域。亚马逊的云技术基础设施和云服务都是按照数据安全和隐私保护的最高标准构建的，并且在中国推出了重量级的安全产品，这些都可以确保客户在前往和使用云的各个环节都能获得高效的安全服务。”
