《云深不知处—XXXX企业上云安全策略指南》

云深不知处——2016企业上云安全策略指南2016年1月“云”深不知处—2016企业上云安全策略指南2/73“云”深不知处—2016企业上云安全策略指南3/73互联网实验室观点价值与安全是企业做出上云决策的两个支点。面对上云决策，企业需要在价值需求与安全需求之间形成最适合于企业自身发展战略、业务特性的决策天平。在对价值支点的判断上，云是大势所趋已经深入人心。企业可以通过对内部IT成本的核算和业务发展情况等内部信息对上云的价值做出有效评估。企业如果能将云的诸多优点引入生产、运营、服务环节之中，就能够在创造新的商业模式、持续创新、降低成本等方面释放巨大的价值潜能。例如：有了云，用户不再需要购买、建立、安装并运行昂贵的计算机硬件，而通过无处不在的可用有线或无线网络，就可简便的获取计算机资源，正如获取其他公共资源一样；云还具备弹性，用户可以快速并且经济的增加或者减少云服务；云共享的计算机资源可以提供客观的经济效益，并且可以减少成本、加快创新；云提供的服务已经存在，可以在需要时按需分配，按需扩容；用户可以快速并且经济地计算自身云服务的吞吐量，并据此进行相应调整。而在对安全支点的判断上，无法排解的安全忧虑导致企业上云迟疑甚至可能引发决策反复。企业在将转移IT解决方案到云计算的同时，由于企业客户基础设施和应用程序的外部化使得企业的完全控制权发生变化，安全保障的不透明性和不可控性使得上云企业对云服务有效存储和安全共享等方面存在一定的安全风险顾虑。在调研中我们发现，企业对于上云后的数据安全的担忧基本上覆盖了云端数据安全的整个生命链条：例如数据传输和存储是否安全；数据访问控制权限是否可控；数据是否会被入侵、被攻击；漏洞或系统不稳定是否造成企业用户的业务中断、数据被盗、被篡改？这些现实情况使得中国企业上云之路呈现出漫长“云”深不知处—2016企业上云安全策略指南4/73曲折的形态。以基于价值与安全感知的企业云决策象限来谋求破题之道。在项目初期，我们对有上云需求的企业进行初步接触时发现，企业或者无限期地延缓上云行动；或者在上云后出现决策反复；或者认为云有优点，但也有不确定风险，需要谨慎上云；甚至或者即使经在用云，仍对安全抱有较大不信任。因此，我们在报告当中以企业对云价值的释放是否清晰，企业对安全的感知、需求是否明确为维度描绘了如下企业云决策象限。安全需求的模糊性会加重决策天平的不稳定性，企业所面临的难以权衡取舍的决策困境需要破解。面对安全问题，企业要基于对外部信息结合自身IT能力和需求进行判断，这无疑是难度更大的，尤其是难以形成量化结论。难以言喻的IT功能外部产生的失控感又大大加重了上云决策中安全需求的主观法码。我们将基于区分企业对云的安全感知状态来拨开企业云安全感知迷雾。企业对云的安全感知状态大致可以区分为两类，无论是哪一种状态，都会成为企业做出客观、理性的云决策的阻碍因素。第一，企业存在安全认知盲区会降低在做出决策时对云服务商安全能力的审视敏感性。“云”深不知处—2016企业上云安全策略指南5/73企业是否具备了客观审视云的风险特征的足够信息支撑？企业是否有充足的云安全认知能够在成本考量的基础上最大程度防御安全风险，又能够在一旦安全事故发生后的如何最大化的降低损失？如果企业知晓的安全信息不够全面，就会降低对云服务商安全能力的审视敏感性，影响业务在云中的实际运行安全。第二，控制权迁移引发的不安全感可能错估上云时机。多家研究机构的统计调研数据均证实企业对云服务安全的担忧是全球范围内面临的上云障碍。如果企业在带有不安全感的心理状态下来审视云服务商，有可能因为主观的不信任而影响了客观、理性的对上云之路，以及云合作伙伴基于安全视角的审视与决策，就会错估享受云效益的时机。云安全问题的破题需要映射到云服务商的安全实践表现，我们建立云安全能力指标体系协助企业做出最佳决策。我们提出企业进行云安全审视的两条基本原则，第一，企业寻找领先的云，思考企业与云的最佳结合状态；第二，企业清晰地了解云服务商的安全机制与安全责任。依托于上述两个基本原则，本报告从泛安全的信任基础、物理资源基础设施的安全部署能力、内部人员的管理流程、应急响应能力、数据安全保护能力、合规性表现六个方面构建了19个细化指标的云安全能力指标体系，对云服务商的安全实践进行比较。本报告通过云服务商安全能力指标体系的构建，帮助企业构建充足的关于云服务商安全能力的研判信息，通过对比云服务商来了解上云需关注的安全环节，即可对上云安全做到心中有数，应对有术。从而在上云决策中，提升基于安全视角的理性、客观性，优化的最佳决策。“云”深不知处—2016企业上云安全策略指南6/73目录互联网实验室观点.................................................................................................................3目录......................................................................................................................................6研究方法：基于公开信息的比较研究......................................................................................8一、构建云安全能力指标体系..............................................................................................101.1拨开企业云安全感知迷雾.........................................................................................................101.2提出企业进行云安全审视的基本原则....................................................................................111.3云安全能力指标体系构建.........................................................................................................12二、泛安全的信任指标设计与对比.......................................................................................152.1市场表现补偿控制权丧失感，企业考察云服务商“家底”..............................................152.2计算能力不可见，国内通用比较标准有待明确...................................................................162.3安全理念折射出安全能力，承诺与实践匹配方式尚不成熟..............................................172.4规制第三方合作安全伙伴的能力，提升多选择服务的安全性..........................................172.5对比结果......................................................................................................................................18三、物理基础设施部署指标设计与对比................................................................................263.1企业云之旅从物理安全开始.....................................................................................................263.2物理基础设施部署指标体系设计.............................................................................................263.3对比结果.......................................................................................................................................28四、内部人员管理指标设计与对比.......................................................................................304.1完善的人员管理流程能够将恶意人员风险最小化................................................................304.2内部人员管理指标体系设计.....................................................................................................30“云”深不知处—2016企业上云安全策略指南7/734.3对比结果......................................................................................................................................32五、事故响应指标设计与对比..............................................................................................345.1云服务商好比房地产的物业.....................................................................................................345.2明确云给事故响应带来的特殊性，有助于业务更快的恢复...............................................345.3事故响应指标体系设计..............................................................................................................345.3对比结果.......................................................................................................................................37六、数据安全保护指标设计与对比.......................................................................................396.1所有权和控制权转移，促使客户依赖高标准安全控制手段..............................