云深不知处—— 2016企业上云安全策略指南
2016年1月
“云”深不知处—2016企业上云安全策略指南
2 / 73
“云”深不知处—2016企业上云安全策略指南
互联网实验室观点
价值与安全是企业做出上云决策的两个支点。面对上云决策，企业需要在价值需求与安全需求之间形成最适合于企业自身发展战略、业务特性的决策天平。
在对价值支点的判断上，云是大势所趋已经深入人心。企业可以通过对内部IT成本的核算和业务发展情况等内部信息对上云的价值做出有效评估。企业如果能将云的诸多优点引入生产、运营、服务环节之中，就能够在创造新的商业模式、持续创新、降低成本等方面释放巨大的价值潜能。例如：
有了云，用户不再需要购买、建立、安装并运行昂贵的计算机硬件，而通过无处不在的可用有线或无线网络，就可简便的获取计算机资源，正如获取其他公共资源一样；
云还具备弹性，用户可以快速并且经济的增加或者减少云服务；
云共享的计算机资源可以提供客观的经济效益，并且可以减少成本、加快创新； 云提供的服务已经存在，可以在需要时按需分配，按需扩容；
用户可以快速并且经济地计算自身云服务的吞吐量，并据此进行相应调整。
而在对安全支点的判断上，无法排解的安全忧虑导致企业上云迟疑甚至可能引发决策反复。企业在将转移IT解决方案到云计算的同时，由于企业客户基础设施和应用程序的外部化使得企业的完全控制权发生变化，安全保障的不透明性和不可控性使得上云企业对云服务有效存储和安全共享等方面存在一定的安全风险顾虑。在调研中我们发现，企业对于上云后的数据安全的担忧基本上覆盖了云端数据安全的整个生命链条：例如数据传输和存储是否安全；数据访问控制权限是否可控；数据是否会被入侵、被攻击；漏洞或系统不稳定是否造成企业用户的业务中断、数据被盗、被篡改？这些现实情况使得中国企业上云之路呈现出漫长
3 / 73
“云”深不知处—2016企业上云安全策略指南
曲折的形态。
以基于价值与安全感知的企业云决策象限来谋求破题之道。在项目初期，我们对有上云需求的企业进行初步接触时发现，企业或者无限期地延缓上云行动；或者在上云后出现决策反复；或者认为云有优点，但也有不确定风险，需要谨慎上云；甚至或者即使经在用云，仍对安全抱有较大不信任。因此，我们在报告当中以企业对云价值的释放是否清晰，企业对安全的感知、需求是否明确为维度描绘了如下企业云决策象限。
安全需求的模糊性会加重决策天平的不稳定性，企业所面临的难以权衡取舍的决策困境需要破解。面对安全问题，企业要基于对外部信息结合自身IT能力和需求进行判断，这无疑是难度更大的，尤其是难以形成量化结论。难以言喻的IT功能外部产生的失控感又大大加重了上云决策中安全需求的主观法码。
我们将基于区分企业对云的安全感知状态来拨开企业云安全感知迷雾。企业对云的安全感知状态大致可以区分为两类，无论是哪一种状态，都会成为企业做出客观、理性的云决策的阻碍因素。
第一，企业存在安全认知盲区会降低在做出决策时对云服务商安全能力的审视敏感性。
4 / 73
“云”深不知处—2016企业上云安全策略指南
企业是否具备了客观审视云的风险特征的足够信息支撑？企业是否有充足的云安全认知能够在成本考量的基础上最大程度防御安全风险，又能够在一旦安全事故发生后的如何最大化的降低损失？如果企业知晓的安全信息不够全面，就会降低对云服务商安全能力的审视敏感性，影响业务在云中的实际运行安全。
第二，控制权迁移引发的不安全感可能错估上云时机。多家研究机构的统计调研数据均证实企业对云服务安全的担忧是全球范围内面临的上云障碍。如果企业在带有不安全感的心理状态下来审视云服务商，有可能因为主观的不信任而影响了客观、理性的对上云之路，以及云合作伙伴基于安全视角的审视与决策，就会错估享受云效益的时机。
云安全问题的破题需要映射到云服务商的安全实践表现，我们建立云安全能力指标体系协助企业做出最佳决策。我们提出企业进行云安全审视的两条基本原则，第一，企业寻找领先的云，思考企业与云的最佳结合状态；第二，企业清晰地了解云服务商的安全机制与安全责任。依托于上述两个基本原则，本报告从泛安全的信任基础、物理资源基础设施的安全部署能力、内部人员的管理流程、应急响应能力、数据安全保护能力、合规性表现六个方面构建了19个细化指标的云安全能力指标体系，对云服务商的安全实践进行比较。
本报告通过云服务商安全能力指标体系的构建，帮助企业构建充足的关于云服务商安全能力的研判信息，通过对比云服务商来了解上云需关注的安全环节，即可对上云安全做到心中有数，应对有术。从而在上云决策中，提升基于安全视角的理性、客观性，优化的最佳决策。
5 / 73
“云”深不知处—2016企业上云安全策略指南
目录
互联网实验室观点 ................................................................................................................. 3 目录 ...................................................................................................................................... 6 研究方法：基于公开信息的比较研究 ...................................................................................... 8 一、构建云安全能力指标体系 ..............................................................................................10
1.1 拨开企业云安全感知迷雾 ......................................................................................................... 10 1.2 提出企业进行云安全审视的基本原则 .................................................................................... 11 1.3 云安全能力指标体系构建 ......................................................................................................... 12 二、泛安全的信任指标设计与对比 .......................................................................................15
2.1 市场表现补偿控制权丧失感，企业考察云服务商“家底” .............................................. 15 2.2 计算能力不可见，国内通用比较标准有待明确 ................................................................... 16 2.3 安全理念折射出安全能力，承诺与实践匹配方式尚不成熟 .............................................. 17 2.4 规制第三方合作安全伙伴的能力，提升多选择服务的安全性 .......................................... 17 2.5 对比结果 ...................................................................................................................................... 18 三、物理基础设施部署指标设计与对比 ................................................................................26
3.1企业云之旅从物理安全开始 ..................................................................................................... 26 3.2物理基础设施部署指标体系设计 ............................................................................................. 26 3.3对比结果....................................................................................................................................... 28 四、内部人员管理指标设计与对比 .......................................................................................30
4.1完善的人员管理流程能够将恶意人员风险最小化 ................................................................ 30 4.2内部人员管理指标体系设计 ..................................................................................................... 30
6 / 73
“云”深不知处—2016企业上云安全策略指南
4.3对比结果 ...................................................................................................................................... 32 五、事故响应指标设计与对比 ..............................................................................................34
5.1云服务商好比房地产的物业 ..................................................................................................... 34 5.2明确云给事故响应带来的特殊性，有助于业务更快的恢复 ............................................... 34 5.3事故响应指标体系设计.............................................................................................................. 34 5.3对比结果....................................................................................................................................... 37 六、数据安全保护指标设计与对比 .......................................................................................39
6.1所有权和控制权转移，促使客户依赖高标准安全控制手段 ............................................... 39 6.2对数据安全保障技术和能力的评估 ......................................................................................... 40 6.3对比结果....................................................................................................................................... 43 七、合规性表现指标设计与对比 ...........................................................................................45
7.1 云服务商的合规性认证是给客户企业安全保障的定心丸................................................... 45 7.2 合规性指标主要分为安全认证、透明审计和法律遵从 ....................................................... 45 7.3 国内外云服务行业合规性认证存在差异，国外优势明显................................................... 49 7.4 对比结果 ...................................................................................................................................... 50 结论 ....................................................................................................................................60 后记：共筑云安全更佳状态需要各方参与 .............................................................................63 常见问题 .............................................................................................................................65 云服务商信息来源说明 .........................................................................................................67 致谢 ....................................................................................................................................69
7 / 73
“云”深不知处—2016企业上云安全策略指南
研究方法：基于公开信息的比较研究
对信息的有效理解能够提升决策的自信。本次研究同样面临对信息的理解困境，研究设计是基于破解面临的多源、不一致和不对称等困境而形成的。我们认为本次项目首要目标是构建中国企业对云安全的评价认知和指标体系，在这问题下，我们需要解决——什么是安全？以及哪些信息能够支撑安全感受？并最终通过可以获得的信息建立一个解答模式。
首先，利用权威报告建立对云安全的基础认知和分析框架。
在研究中我们参考了权威机构发布的对云计算企业评估报告，已经针对云安全领域的比较体系。其中较为重要的包括：美国高技术市场研究公司Forrester云安全指标体系，技术咨询研究机构Gartner对云安全市场的分析报告，欧洲网络与信息安全局（ENISA）关于云计算的研究报告中对于云风险情景的描述等。
基于以上资料，我们初步建立了对云安全的基本概念和评价体系，以便于在后续研究中形成一个具有较强一致性的比较逻辑和对话平台。 其次，通过调查中国企业发现本土需求与经典理论之间的差异。
我们希望通过对中国企业IT部门高管、技术负责人调查，了解中国企业对上云决策理解，对云安全的态度。在获得这些信息之外，我们还了解到部分企业存在与常见云理论不同的感性认知，在此基础上我们对初期比较框架做了调整和细化。
本次调查为了保证调查展现出的观点的多样性，样本企业即包括互联网金融、移动应用开发、IT系统开发等IT产业，也包括城市基础设施建设运营、加工设备制造、电子仪器制造等传统行业。在上云情况上，这些企业或已经上云，或明确表现出上云的意愿，访问对象主要为企业CTO、CIO或技术总监等相关职位。
再次，通过访问中国云安全专家修正和提升比较框架。
就资料和调查中存在的问题，我们对国内高校、研究机构中信息化、信息安全、云计算等领域专家，以及其他在该领域长期从事一线工作的专业人士该进行了专题访问。专家基于所在专业领域，对中国云计算发展状况及特殊性，企业上云安全的整体性困惑和解决方法等
8 / 73
“云”深不知处—2016企业上云安全策略指南
问题做出了解答。
最后，使用公开信息进行以安全为核心的比较实践。
针对最终形成的指标体系，研究团队通过公开渠道获取具有统一标准的信息进行比较操作。这些信息渠道包括：
1. 云服务商企业自行发布的白皮书；
2. 云服务商企业自身对外公开的业务动态新闻； 3. 权威机构发布的研究报告；
4. 对部分不明确信息，我们通过企业公开的客服电话进行了询问确认。 使用公开信息源主要考虑到本次研究行为建立一个能够为上云企业提供参考的比较方法，因此在整体研究方法上都充分考虑了信息的可获得性。
9 / 73
“云”深不知处—2016企业上云安全策略指南
一、构建云安全能力指标体系
上云路途的一个阻碍是企业对云安全的担忧，与企业的近距离地交流访谈中，我们发现这种担忧因人而异，对企业迈入云端的影响程度也不一样，存在不同的安全感知状态。有的企业认为：云有优点，但也有不确定风险，谨慎上云；有的企业认为云很好，云即代表安全；也有企业认为云的安全没有切实可行的效果衡量。
无论是哪种状态，抛开企业的行业类型、组织规模、技术实力这些客观事实，企业对云安全的感知状态可以按照描述为以下几点：企业对云安全有偏差的认知；不知何解的疑问；由于对云的认识还不够全面存在没有想到的安全问题等。
由于这种因人而异的安全感知的差异性，我们将本报告首先站在企业的角度来剖析几种企业对云安全的感知状态，再构建起云安全能力体系，对比主要云服务提供商（云服务商）安全实践现状的基础上，将各家云服务商的关键安全能力解释转化为企业、公众可理解的信息，以期帮助企业构建相对系统、全面的云安全知识体系。
1.1 拨开企业云安全感知迷雾 企业对云的安全感知状态大致可以区分为两类，存在安全感知盲区和由于控制权的迁移引发的不安全感，无论是哪一种状态，都会成为企业做出客观、理性的云决策的阻碍因素。
1.1.1 安全感知盲区会降低在决策时对云服务商安全能力的审视敏感性
第一种情况，由于云自身的资源池化等特征会释放出相对于传统IT部署活动的新风险，例如云规模化的资源集中在产生效益的同时，也会因目标更大而遭受黑客的攻击，从而给企业自身带来风险。企业是否具备了客观审视云的风险特征的足够信息支撑？
第二种情况，由于没有绝对的安全状态，安全风险不能百分百杜绝，企业在部署安全防护时，还需要同时考虑成本这一现实问题。最佳安全保障体系需要既能够在企业成本考量的基础上最大程度防御安全风险，又能够在一旦安全事故发生后如何最大化的降低损失。
企业的云安全状态不能完全寄托于云服务提供商，如果企业不能够充分了解云服务商在
10 / 73
“云”深不知处—2016企业上云安全策略指南
数据安全、服务可靠性、内部人员管理、访问控制与授权等一系列方面的安全能力部署信息，将会影响在成本考量之下的安全保障体系部署，一旦安全事故发生后，企业自身也不能依据充分的信息快速调拨云服务商的安全解决方案做出及时预案。如果企业知晓的安全信息不够全面，就会降低对云服务商安全能力的审视敏感性，影响业务在云中的实际运行安全。
1.1.2 控制权迁移引发的不安全感可能错估上云时机
组织不愿意采用云服务，缺乏安全感是其中的一个，甚至对某些企业来说安全甚至是上云的头号障碍。随着开发验证测试，数据存储备份容灾，关键业务应用，数据中心等一系列的企业IT活动阶段性地上云，原来在企业完全掌控的IT部署活动由云服务商承担了一部分的职能。例如基础设施和应用程序的外部化，会给企业自身带来的控制权转移而引发的风险担忧。企业对云服务商提供的安全保障能力本身，以及是否在合规性、数据保护、控制内外部恶意攻击等方面具备足够透明性的顾虑也会油然而生。 我们要承认的是，不安全感本身是一种带有主观性的心理活动。如果企业在带有不安全感的心理状态下来审视云服务商，有可能因为主观的不信任而影响了客观、理性的对上云之路，以及云合作伙伴基于安全视角的审视与决策，就会错估享受云效益的时机。
1.2 提出企业进行云安全审视的基本原则
第一，寻找领先的云，思考企业与云的最佳关系状态。在简单地剖析了企业上云之路的安全心理状态之后，我们认为，面对企业的不安全感的心理，如果要突破这个心理防线，企业需要理解没有绝对的安全状态，企业应通过充分了解领先的云的工作机理与先进的工作机制，了解云的计算能力与市场实力，梳理企业自身与云服务商之间以何种最佳关系状态而相处，例如什么可以依托给云，云服务商以什么安全理念为企业而服务？ 无此，则安全无从谈起。
第二，清晰地了解云服务商如何分担上云后的安全职能。如同了解地震的规律，人类就能在更安全地在地球表面居住；了解气候变暖的威胁，人类就能预防两极冰山融化带来的灾难，企业对于云服务商能够对冲安全风险的安全服务、工具、技术和保障机制的认知越全面
11 / 73
“云”深不知处—2016企业上云安全策略指南
越强大，就能够更好地帮助企业构筑安全防线，因为这是防御安全风险/及时响应安全事故的最直接战场。
1.3 云安全能力指标体系构建
依托于上述两个基本原则，参考CSA发布的《云计算关键领域安全指南》、欧洲网络与信息安全局（ENISA）发布的云服务保障标准研究等一系列云安全标准文件，结合企业上云担忧，以便于企业在第一时间全局性地审视云服务商的安全能力，本报告从泛安全的信任基础、物理基础设施部署、内部人员管理、应急响应、数据安全保护、合规性表现六个方面构建了19个细化指标体系。
本报告通过搭建云安全能力指标体系，重点依托各云服务商公开披露的安全实践信息，对比各厂商在各个指标层面的表现。我们希望通过本报告为企业云决策者、云实施部署者构建安全知识体系，增强从安全维度上审视未来要选定的云服务商合作伙伴的判断力。
目前国内云计算市场参与逐鹿的企业属性呈现多元化特点，不仅有传统的IT公司、电信运营商、还有大型互联网平台企业、创业公司，且提供云产品的理念与形态也仍处于演变进化的过程中。本次研究对象的选择在考虑市场表现的之外，希望覆盖不同企业类型、业务形态的云服务商的云安全实践展现。本次研究对象选取国内五家提供公有云服务的国内外厂商——亚马逊AWS、微软Azure、阿里云、腾讯云、天翼云。
12 / 73
“云”深不知处—2016企业上云安全策略指南
图表 1云服务商安全能力指标体系
云服务商安全能力对比一级指标 云服务商安全能力对比二级指标 市场表现 泛安全的信任基础 计算资源供应能力 安全理念 搭建第三方合作安全伙伴的能力 物理基础设施部署 数据中心部署 数据中心标准遵从 人员管理流程设计 内部人员管理 招聘与培训 监控备案、终止手段 事故处理团队 事故响应 提供的信息工具、相关标准和方法 事故赔偿机制 日志服务 认证、访问权限管理机制 数据安全保护 涉及数据所有权和处理权行为的数据保护机制 外部网络威胁防御能力 合规认证的覆盖度 合规性表现 云服务商标准审计透明度 云服务商法律政策的遵从 制图：互联网实验室，2015年12月
1. 泛安全的信任基础。客户可通过此洞察云服务商的领导力来获取对云服务商的信任基础，包括市场表现、计算资源供应、对于安全生态系统的领导力、是否能够通过安全理念便于客户感知云服务商与客户之间处于何种关系状态。 2. 物理基础设施部署。云计算基础设施远离云用户所在地，这是引发市场对云服务担忧的重要原因之一。物理安全是保障云服务的第一道防线，客户通过数据中心部署机制、数据中心建设遵从标准的了解，来获取对云服务商保障业务连续性的信任。 3. 内部人员的管理。内部恶意攻击所造成的危害后果往往严重地多，云的架构决定了这种高风险角色的存在，企业需要了解云服务商是如何管理内部人员，防止内部恶意攻击或者操作不当等问题带来的云风险。
4.事故响应。即使最周详的计划、实施并执行了相关的预防性安全措施，也无法完全避
13 / 73
“云”深不知处—2016企业上云安全策略指南
免信息资产遭到攻击。因此当企业转向云以后，面临一个核心问题就是：怎样才能有效处理关于云的安全事故。
5. 数据安全保护。数据资产的上云尤要引起关注，企业需要从数据生命周期与数据操作行为进行耦合关联的角度考察云服务商对数据采取的保护措施。
6.合规性表现。企业上云之后，由于一部分服务由云服务商来承担，则企业需要确保能够观察到直接控制之外的合规性管理责任和工作，确保云服务商能够满足企业的安全性和操作需要。特别对于一定规模以下的组织而言，“云”还是治理和合规的辅助技术，可通过内嵌合规认证的服务套件，使一定规模以下的组织可以与规模更大，资源优势更明显的企业达成同等级别的合规。
14 / 73
“云”深不知处—2016企业上云安全策略指南
二、泛安全的信任指标设计与对比
对云服务商是否可靠的考察——是上云历程的关键基础性步骤。通过调查，我们提出可用性是企业上云的前置性审核因素——用户初步评估云服务商提供的服务能够满足企业业务的功能性需求，它往往并不是关注重点，因为通常仅有一个是或者否的结论就能够迅速排除不符合的云服务商。同时很多客户认为稳定性是决策过程中需要详细考察的环节。“稳定性是前提，稳定性达不到传统架构不会考虑上云。”某塑机企业CIO。 持续时间下的功能可获得性是企业对IT部门的基本需求，而在上云背景下，这一需求被更加强化了。部分被调查的企业客户甚至将功能的稳定可靠视为云安全考察的重要内容。作为外包合作模式，上云企业难以如对待内部IT部门一样进行详细资源审查，这是不安全感的一个主要来源。因此我们在细化稳定涉及的感知指标的基础上对国内主流云服务商进行评估，包括市场表现、计算资源供应、对于安全生态系统的领导力、是否能够通过安全理念便于客户感知云服务商与客户之间处于何种关系状态。 2.1 市场表现补偿控制权丧失感，企业考察云服务商“家底”
企业对云服务商稳定性的考察首先是从“家底”而非技术层面展开。由于部分技术指标不可见和实施过程中的不确定性，国内企业在考察云服务商的时候往往会从企业财务状况因素入手。在对有上云意向的企业调查中，我们发现企业的考察具有一定的主观性和不完整性，因此提取具有普遍性的指标，并通过公开的信息构建一个对在中国市场提供服务的主流云服务商“家底”的比较维度。由于国内外云计算市场发展状况的存在巨大差异，我们将对部分指标进行分开比较。
云市场规模是上云企业考察的重点指标。某互联网金融平台CIO认为“规模是第一要素，毕竟与稳定服务相关。覆盖行业、用户数量、盈利能力会对选择供应商有影响。”Gartner认为，如果企业用户选定了某家云计算服务商，最理想的状态是：这家服务商能够一直平稳发展，而不会出现破产或被大型公司收购现象。其理由很简单：如果云计算服务商破产或被他人收购，企业客户既有服务将被中断或变得不稳定。并建议，在选择云计算服务商之前，
15 / 73
“云”深不知处—2016企业上云安全策略指南
应把长期发展风险因素考虑在内。
云计算企业的经营不稳定是一种现实风险。在2013年信贷资料服务机构Graydon UK和市场研究公司Gartner都对云计算企业的经营状况发出了风险警告。Gartner称，在未来两年里，云服务的应用者将面临严重的风险，因为他们的服务提供商很可能被收购或者被迫退出这项业务。十分之一的云服务提供商将由于收购、破产等各种原因消失。目前市场上云服务商分化在逐步拉大，根据Synergy方面公布的结果，目前四大云服务商(包括微软、IBM、谷歌与Amazon)总计收得54%营收比例。
上云企业将云计算所在集团公司在其他领域的成功作为评估云计算“家底”主要指标是一个常见的误解。目前主流云计算多为互联网公司、电信运营商、设备厂商的新业务领域，公司在其他领域成功是云计算业务开展的初期优势，但这并不意味着其云计算业务的必然成功。例如，2015年惠普1和戴尔2相继放弃了其部分云计算项目，显示了在云计算这一新兴商业领域对“成功”企业仍然是一个挑战，因此对云服务商实力的评估应该更有针对性。我们建议上云企业在评估“家底”时尽量针对集团企业的云业务板块进行独立评估。对于上云企业来说，选择云市场排名在前的公司也是一种非常重要的安全策略。
市场表现主要体现在云市场上的规模、盈利能力等因素。云计算企业的经营稳定性是上云企业面临的现实风险。有针对性的考察云计算企业的财务状况有助于企业做出科学性的决策。市场规模和盈利能力不仅仅意味着企业能够长期稳定的提供服务，同是也意味着云服务商在该业务中积累案例不断完善。
2.2 计算能力不可见，国内通用比较标准有待明确
云计算技术本身具有很高的稳定性。对于上云企业来说，云应该是一个可靠无间断的平 1 2014
年10月，惠普公司已经发出公告，宣称将于2015年1月15日正式关闭其webOS云服务。2015
年10月，宣布明年1月开始关闭惠普Helion公有云服务，转与微软合作，向客户提供微软Azure公有云服务。
2 2013
年5月，戴尔宣布变更其云计算战略，取消其曾经推出的基于OpenStack开源平台的公有云服务，
并停止已经推向市场的基于VMware的公有云。转而重点销售运行在其硬件和软件上的使用OpenStack的私有云。
16 / 73
“云”深不知处—2016企业上云安全策略指南
台。一般云服务商都具备计算资源的动态延展性，也不会由于计算能力不足造成崩溃。这是由云计算的技术特征本身决定的，有时与云服务商关系不大。而在进一步评估云服务商的计算资源供应能力——计算资源、存储资源、网络资源的供应能力的时候则面临信息的不透明性。由于这是涉及对外部公司资质的考察，因此我们需要引入一些间接的指标来进行评估。
计算资源供应受多种因素制约，其中一些指标是上云企业无法直观感受到的。国外咨询机构使用“市场计算资源使用量”这一概念进行横向比较，被认为是比较直观和有效的指标。目前本土云服务商尚未被纳入到这一指标体系中，因此国内上云企业往往寻求行业性成功个案进行参考决策。此外网络环境也是影响云服务商服务稳定性的重要因素。 2.3 安全理念折射出安全能力，承诺与实践匹配方式尚不成熟
云计算放大了IT的挑战，云服务商与用户之间的安全权责关系更加重要。目前，以国外主流云服务商为代表的安全责任共担模式和国内主流云服务商为代表的托管模式是我国市场上的两种主要的权责模式。
模式应该对安全负责。业界一直存在对这两种模式的讨论，不同的用户也对这两种模式有各异的理解。无论是哪一种模式，在当前云服务的发展阶段，只要能够满足云安全的需求，存在即合理。云服务商和用户之间的权责划分和责任分配是否存在一个最优的结合点，也是所有云服务商正在积极探索的方向。但是，从长期发展的趋势和业内专业人士的评判，可以认为安全责任共担模式更符合云服务未来的发展。
云服务商的安全理念形成了不同的协议规则。整体来看，国内云服务商的安全原则仍处于建立过程中，客户与云服务商之间的最佳关系可能是需要多方博弈形成。
2.4 规制第三方合作安全伙伴的能力，提升多选择服务的安全性
云计算的合作伙伴能力——云服务商接纳并整合基于云服务的中间商从而发展成为具有一致标准的伙伴关系——也是亚马逊AWS率先提出并被行业普遍接纳的概念。在Gartner的一项研究显示，在完全接受公共云计算服务的企业中，亚马逊AWS能满足其中71%企业的需求。这在很大程度是依靠合作伙伴完成的。
17 / 73
“云”深不知处—2016企业上云安全策略指南
如何在使用第三方合作伙伴丰富服务的同时保障安全也是需要考量的重要问题。云服务商无法提供面面俱到的服务，而涉及到具体业务，上云客户又存在各种定制型服务的需求。第三方合作伙伴模式是当前云服务商普遍采用的业务模式，云计算环境下三方的关系无疑更加紧密了，这也增加了一些不确定因素。云服务商如何选择和管理第三方也成为上云企业需要关注的一个重要考察因素。
在对上云企业的泛安全感知提前出指标并进行赋值时，我们发现当前国内主流云服务商很难在一个维度上进行比较。这是由于国内提供成熟云计算服务的厂商，在云业务整体实力方面本土云服务商与国际云服务商存在量级上的差距，且国际云服务商在成功案例量和服务规则成熟度等方面也具有显著优势。国际云服务商在将成熟业务模式和合同规则引入中国的过程中面临特殊本地化需求的挑战，而扎根于中国市场成长起来的本土云服务商则获得了相对优势。在这一比较过程中，我们尽量选择公开的信息资料，包括上市公司财报、服务白皮书等，此外使用国际咨询机构评估结论提供参考信息。而这种方式难免会形成数据口径的不一致的问题，为此我们尽量充分界定数据的意义。使用这一研究方式主要是考虑到上云企业在这部分指标上的信息可获得性。 2.5 对比结果 1. 市场表现上亚马逊AWS具有全球市场优势，阿里云具有区域优势
据Cartner 2015年初发布的技术发展趋势报告显示，2014 年全球云计算服务市场规模达1528 亿美元，增长率达17.9%，其中公有云开支将达700亿美元。作为laaS（基础设施即服务）的提出者，亚马逊在这一市场具有领跑优势。根据Synergy研究集团（Synergy Research Group）于2015年 2 月份公布的数据，亚马逊AWS 在公有云基础性服务方面的表现创下了 5 年新高，在 2014 年 Q4 中，其全球市场份额增长了 30%，营收的年同比增长也达到了 51%。市场份额排名 2～4 名的微软、IBM 及 Google 也在营收方面增长明显，年同比增幅分别达到 96%，48% 和 81%。
18 / 73
“云”深不知处—2016企业上云安全策略指南
图表 2 2014年内第4季度云基础设施服务市场份额和增长率
2015年10月，Forrester 发布了中国区2015年第三季度的企业公有云服务Wave报告——中国公有云市场正在加速发展，今年的中国公有云市场规模预计为18亿美元，到2020年中国公有云市场规模预计将达到38亿美元。根据 IDC 的数据，阿里云在2014年上半年的全国 IaaS 领域市场份额为 22.8%，位居首位。微软 Azure 和 亚马逊AWS 则分别位居第四和第五位。 由于存在巨大的客观差异性，中国本土云计算企业并不适合在绝对数字上与进入中国的全球性云计算企业进行比较。亚马逊AWS在全球范围内具有云计算行业领导者优势，而在国内阿里云则依靠本土化需求的差异性获得了相对优势。
亚马逊AWS：2015年亚马逊首次披露了 亚马逊AWS（Amazon Web Service，亚马逊云服务）的部分财务状况：2014年 净收入 46.4 亿美元，较 2013年 上涨 49%。2015年 一季度净收入 15.7 亿美元，二季度收入18.2 亿美元。CEO Bezos 在一份声明中表示，“亚马逊AWS 是一个 50 亿美元的业务，并且依然在加速增长中，亚马逊AWS 的营收最终会超过其零售业务”。
19 / 73
“云”深不知处—2016企业上云安全策略指南
微软Azure：2014年，在 Office 365，Azure和Dynamics CRM 的持续推动下，企业级云服务收入增长114%，实现55亿美元的年收入。
阿里云：2015年10月，阿里巴巴集团发布2015年第三季度财报，阿里巴巴旗下云计算业务阿里云营收6.49亿元。此前的财报显示，2015年前两个季度阿里云营收分别为3.88亿元、4.85亿元。
腾讯云：目前腾讯财报尚未将云计算作为单列收入项目，而含云收入的“其他服务”类收入在2015年上半年达到19.7亿元。由于本部分涵盖“电子商务交易、提供商标授权、软件开发服务、软件销售及其他服务”，此数据仅做参考，无法据此评估腾讯云的具体营收情况。
天翼云：根据电信公布的2015年上半年业绩，电信云计算（天翼云）产品实现收入人民币4.7亿元。
由于国内云计算市场尚不成熟，国内上云企业对云计算服务的认知仍处于初级阶段，因此企业对云服务商“家底”的评估中并未形成统一的价值标准。企业对云计算产业内的全球性统计结果感知度不高，在此背景下本土优势企业形成了较强的影响力。但是我们认为整体性业务规模对企业选择有重要意义。作为对整体云商业能力的判断的时候，规模不仅仅意味着企业财务的稳定性，还能够带来服务规则的较高成熟度和案例积累的最佳方案。
2. 科技咨询公司评估计算能力模型显示亚马逊AWS最强
一种评估方式为通过云服务商服务的客户来评估其服务的计算能力。在2015年Gartner发布的IaaS魔力象限指标体系中，对具有全球性服务能力的云供应商进行了考察，并做出排名，其中亚马逊AWS拥有多元化的客户基础和最广泛的使用案例，包括企业和关键任务应用。亚马逊AWS客户使用的云计算能力超过其他14个云服务商3总和的10倍。而在同一比较维度下，微软Azure的计算能力是另外13大竞争对手（不包括亚马逊）总和
3 这份报告评估的
IaaS 企业，除亚马逊AWS外，其余14家为：Microsoft、Google、CenturyLink、
VMware、IBM（SoftLayer）、Rackspace、Virtustream、CSC、Interoute、Fujitsu、Verizon、NTT Communications、Joyent、Dimension Data。
20 / 73
“云”深不知处—2016企业上云安全策略指南
的2倍。
目前已经有咨询机构开始针对中国云计算市场进行调研，但数据仍然缺乏整体参考性。Forrester Research发布独立报告——《Forrester Wave：2015年第三季度中国企业级公有云平台4》，在中国企业云平台市场甄选了主要的云平台服务商并对其进行全方位的评估，其中对微软Azure 和阿里云5的服务能力打分为4.00和3.75 。同期评估中阿里巴巴、微软、和亚马逊则被评为“企业级公有云平台领导者（Leaders）”。
本土云服务商未进入国际统一比较体系无法获得整体性数据，上云企业不得不使用一些个案性的信息辅助进行决策。例如，上云企业会参考本行业内使用云的案例进行选择，但是他们仍然希望能够借助第三方机构提供综合性比较结论。
在中国，网络环境是制约云服务商计算资源供应的重要因素。云计算的基础技术——虚拟化技术、分布式计算、效用计算等，需要通过网络进行即时性连接，从而实现服务的随时随地可获得。因此除了云服务商 本身计算、存储资源的规模外，网络环境成为影响云计算产业功能稳定性的重要变量。当前中国三大运营商之间的网络互联困难是当前制约云计算服务稳定性重要制约因素。在解决这个问题上，无论是选择分运营商部署、多线多IP、静态BGP或动态BGP，都将增加企业上云的成本。这甚至成为中国企业选择云服务商的时候必须考虑的运营商本身资质之外的因素。
3. 亚马逊AWS和微软Azure都在中国引入其具有全球一致性的权责模式
对比五家云服务商的权责模式，较为常见的是亚马逊AWS和微软Azure采取的明确安全责任共担的模式；腾讯云和电信云没有明确的宣称实现某种模式，但从合同、承诺书等公开文件来看，在实际项目中也划分了责任边界；阿里云则基于中国市场现实需求提出了托管服务，而近期阿里云将安全托管设置为付费可选服务，开始出现划分责任的趋势。亚马逊AWS倡导其为用户提供安全的云，用户在云中安全运行，权责清晰、绝不僭越。微软Azure
4 原文名：The Forrester Wave: Enterprise Public Cloud Platforms In China, Q3 2015：The 11
Providers That Matter Most And How They Stack Up
5 该报告未对亚马逊
AWS和腾讯云在此类上的表现打分。
21 / 73
“云”深不知处—2016企业上云安全策略指南
由世纪互联提供和维护云平台，用户在平台中负责维护自身的安全环境。
图表 3 国内主流云服务商权责模式比较
云服务商 责任模式 权责模式表现或影响 评估云计算安全，客户理解和辨别责任共担是非常重要的：亚马逊AWS提供的云安全服务措施是通过工具和操作保障“安全的云”；客户通过操作亚马逊AWS提供的安全内容和应用程序实现“云中安全”。 云平台要求客户与服务提供商共担责任。世纪互联负责维护平台，并亚马逊AWS 责任共担型 微软Azure/世纪互联 责任共担型 提供可满足客户的安全性、隐私和合规性需求的云服务。在配置服务之后，客户负责维护其环境，包括其应用程序、数据内容、虚拟机、访问凭据以及遵守适用于其特定行业和区域的法规。 阿里云保障平台安全，并通过为客户提供三类安全能力：1）云产品的安全功能、2）云盾安全服务以及3）安全生态里的第三方安全厂商产品，来满足客户保护云端业务及数据安全的需求。客户自主选择阿里云提供的安全能力保护自己的业务系统。 当用户采购云盾“服务器安全托管”服务时，可以为用户提供保姆式托管服务，按照SLA提供服务。 阿里云 可选托管型 腾讯云 近似责任共担型 近似责任共担型 在其网站公开信息中未明确说明权责模式划分。根据咨询腾讯云客服反馈，相关内容写到与客户签订的合同中。 与用户签订了系列安全协议书，包括《云业务服务使用责任书》、《网络信息安全承诺书》、《中国电信天翼云主机服务等级协议》、《中国电信天翼对象存储系统服务等级协议》。在安全协议书中明确各自的权利与责任。 制图：互联网实验室，2015年12月
天翼云 通过访谈多家国内云用户企业技术负责人和云服务领域专业人士获知：一般小型企业倾向于阿里云的保姆式安全托管服务，尽管他们也承认权责共担更有利于保护自有数据的安全，但是保姆式服务可以缓解他们自建IT安全团队的资金压力；大中型企业和专业人士则更倾向于责任共担模式，因为对他们而言安全是首位，资金压力相对不是重要的考虑因素。
此外，2015年7月中央网信办牵头出台了《关于加强党政部门云计算服务网络安全管理的意见》，该文件确定了党政部门在采购使用云计算服务过程中应遵守的4项大的原则规定：安全管理责任不变，数据归属关系不变，安全管理标准不变，敏感信息不出境i。其中“安全管理责任不变”强调了政府用户在使用中的安全责任。虽然文件针对政府使用云计算服务，但是该文件出台也将对云服务市场产生影响。
22 / 73
“云”深不知处—2016企业上云安全策略指南
企业上云需要明白，云最佳实践就是要接受云内容其实跟IT经理的日常所负责的工作很相像，存储在云中的东西和之前存储在企业内部服务器上的东西是一样的。把应用和数据迁移到云中不等于IT经理因此便可卸掉自己的责任。这么做只是改变了工作责任的性质，将其转变成了一种要与云提供商共同承担的责任而已。因为，属于企业的数据资产只应该由企业掌管，云服务商只是托管的平台和工具，而不应该成为可以窥视用户资产的守门人。
此外，需要关注的是，由于国内互联网产业环境仍不成熟，也可能影响企业对云计算产业和具体云服务商做出安全性的客观评价。目前网络安全事故中取证、责任认定和赔付等尚无明确法律和判例，造成部分企业出现“无论如何云无法在整体不安全的环境下保证安全”的消极情绪，从而导致轻视审查云服务商的安全措施甚至放弃上云等极端选择。这种消极观点不利于企业在创新技术环境中做出正确决策。对云服务商来说，需要采取积极的措施推动云产业供需双方建立产业环境的信任感，因为放任这种情绪将最终影响整体产业的健康发展。对上云企业来说，正视安全风险并在透明性方面提出明确要求更具有积极意义。
4. 亚马逊AWS明确要求第三方遵循与自身一样的安全认证标准
当前合作伙伴模式已经成为云服务商普遍采用的一项业务战略。国际云计算领先企业进入中国后迅速复制了这一成熟的业务模式，亚马逊AWS和微软Azure在中国云落地的同时开始布局中国合作伙伴战略。 在安全方面，云服务商通过合作伙伴将专业安全厂商引入到服务体系中，在为用户构建更加安全可靠地云应用方面提供了更多的选择，从而有可能形成强强联合的效果。目前在这些合作中，各云服务商有不同的选择。亚马逊AWS选择与细分领域内的领先者进行合作，如在安全领域亚马逊AWS的最高等级且合作最成熟的技术合作伙伴（Advanced Technology Partner）之一的趋势科技就是在全球云计算安全市场上排名第一位的安全厂商。在中国，亚马逊AWS在合作伙伴的选择上也依照这一标准。此外一些云服务商选择建立创业扶植项目，以大量引入创新团队的办法开发依托于自己平台的功能。
图表 4 国内主流云服务商第三方合作计划比较
23 / 73
“云”深不知处—2016企业上云安全策略指南
云服务商 亚马逊AWS 微软 Azure 阿里云 第三方合作计划 2014年推出中国合作伙伴计划，目前亚马逊AWS中国区合作伙伴计划的安全成员包括趋势科技、山石网科、奇虎360等ii。 2014年微软Azure与世纪互联合作推动云计算业务落地，同时启动了中国区合作伙伴项目，目前在中国总共有 13000 多家云合作伙伴，分为金牌合作伙伴和银牌合作伙伴。在安全方面的合作伙伴包括伊登软件、深信通、东方飞鸿祥瑞软件、汉金科技等。 2015年6月9日，宣布启动全球合作伙伴计划(Marketplace Alliance Program，简称MAP计划)。9月与信息安全企业安恒信息达成战略合作伙伴关系。10月阿里云安全市场上线iii。目前已经有山石、安恒、array、深信服、东软、奕锐、铱迅、安华金和、驻云、云安宝等30多家安全厂商的产品。 腾讯云 天翼云 2015年6月中旬发布“云+计划”，目前公开信息中安全方面的合作伙伴为厦门服云、深圳安盾椒图、英方软件等9家信息科技公司。。 其网站显示在合作伙伴方面也区分为金银铜牌，但分类侧重合作内容，而不是技术或安全标准。网站显示在安全方面与安全狗形成了合作。 制图：互联网实验室，2015年12月
虽然合作伙伴模式增加了云服务商的功能扩展，但是引入第三方无疑增加了整体安全不确定风险。这就要求云服务商不仅要管控自身的风险也要能对第三方建立有效的风控措施。在调查中，上云企业对第三方能够提供的补充性功能比较期待，同时也希望云服务商能够对承担管理职责。“通过第三方合作伙伴能够提供更丰富的云服务和功能，但服务质量是否能够得到保障依靠服务商的管理能力”某互联网金融企业CIO。 目前从公开的信息看国内提供第三方合作伙伴接入服务的云服务商中，仅有亚马逊AWS对此有明确的要求——合作等级与资格认证挂钩。在此基础上亚马逊AWS能够要求合作伙伴执行与自身相同的标准。 由于缺乏直观的和一致性的比较数据，国内上云企业对云服务商稳定性的评估更多的来自于感性认知。行业成功案例往往成为企业决策的重要参考信息，因此这种比较结论往往存在较大偏差。在我们尽力搭建的统一比较平台上，以亚马逊AWS为代表的国际云服务商在技术能力和规则成熟方面具有领先优势，他们致力于将全球性的成功模式复制到国内市场，因此其业务开展的初期就已经在整体业务流程和标准化上达到了较高的成熟度。而本土云服务商则在建立业务模式探索过程中，在跟随策略的同时也提出了针对本土化需求的特殊调整，但是这种实用性调整的实际效果仍有待时间检验。
24 / 73
“云”深不知处—2016企业上云安全策略指南
25 / 73
“云”深不知处—2016企业上云安全策略指南
三、物理基础设施部署指标设计与对比 3.1企业云之旅从物理安全开始
云服务商的规模效应能够提供前所未有的存储与计算能力，相隔成百上千公里的数据中心能够实现数据的容灾备份。云服务商分布广泛的数据节点能帮助上云企业的业务实现更低延迟性和更高吞吐量。另外，云服务商能够配备更高级别的安防系统，聘用行业最顶尖的技术专家为基础设施部署提供方案与意见，这是一般传统IT企业所不具备的能力。
每个企业的云之旅都是从物理安全开始。企业上云之后，自家服务所依赖的物理层级的设施完全脱离视线所引发的隐忧，是一切不安全感的由来，所有权的丧失感阻碍了企业上云的进度。我们在调研中发现，很多企业关注云服务商能否提供可靠的物理基础设施来保障其业务的连续性。企业用户往往会担心云服务商数据中心的部署是否科学，保障基础设施正常运行的条件是否安全可靠，数据中心躲避灾害是否有保障，能不能做到对数据容灾的异地备份，技术和应用组件跨越多个数据中心之间的延迟能否忽略。我们期望通过下文的论述，解答企业该方面的疑虑。
正确的信息安全方案一般是采取多层安全机制来达到其安全目标，也就是通常所说的多层安全或深度防御。物理保护是多层安全防御战略中的一个最初步骤。但如果针对云计算的物理保护不存在、没有被正确实施、保护力度弱、安全执行不一致，则其他安全将无从谈起，
iv 对物理设施的失控感，甚至可能导致安全防护整体失败。不应该成为企业用户上云的阻碍。
企业应该掌握一套评估云服务商的成熟度、风险、脆弱性及对过程和流程的经常审查和测试方案，选择一家值得信赖的云服务商，使其物理安全可随着业务扩展，在企业内部可持续和站得住脚，整个过程能够在一个经常性的基础上进行持续改进，并且经济有效。
3.2物理基础设施部署指标体系设计
本指标体系重点从数据中心部署和标准遵从两方面帮助企业确认和验证云服务商基础设施部署及所采取控制手段的科学性，建议企业深入云服务商数据中心现场进行评估。
1.
数据中心部署
云服务商在各地区部署的数据中心，使得企业用户更易于遵从当地数据存储方面的政策法规，同一区域多可用区，可实现数据的相互容灾备份；更多的数据节点分布拉近了与服务使用者的距离，能帮助企业实现更低的延迟性和更高的吞吐量。
26 / 73
“云”深不知处—2016企业上云安全策略指南
2. 数据中心标准遵从
数据中心建设的常见标准，大多从机房位置及设备布置、环境要求、建筑与结构、地板承重、冷却装备、电气、机房布线、消防等全方位要求机房的设计建设，数据中心建设遵守相关的标准规定，能够更加确保电子信息系统设备安全、稳定、可靠地运行。云服务商通过同一标准更高等级的评估能够说明其数据中心建设更加科学合理。
中国电子工程设计院编写的GB 50174-2008《电子信息系统机房设计规范》和美国国家标准学会（ANSI）颁布的ANSI-TIA-942-2005《数据中心电信基础设施标准》是数据中心建设参照最多的标准，我们选用了评估更为严格的ANSI-TIA-942-2005标准，作为企业用户评估云服务商基础设施安全性的参照依据。 美国国家标准学会（ANSI）批准颁布的《数据中心电信基础设施标准》，是当今数据中心建设过程中通用的遵循标准之一。ANSI-TIA-942-2005将数据中心划分为Tier 1 — Tier 4四个等级（Tier 4为最高等级），以下简称为T1-T4。6 更高的等级代表数据中心建设依据更高的可用性标准。 图表 5 物理资源基础设施安全部署能力对比 云服务商 数据中心部署 数据中心标准遵从 11 区域 (Regions)，30 可用区 (AZ)，53 边缘站点 （Edge Points）亚马逊AWS v；北京区由光环新网提供互联网数据中心服务，网宿科技提供CDN服T4（国内IDC提供商光环新网的北京酒仙桥数据中心，建设依据T4标准） 务，位于宁夏的第二个中国Region正在建设。亚马逊AWS能够实现可用区间的互相备份，并要求可用区域之间的延迟低于2毫秒。 在19个地区vi 设有数据中心，还计划再纳入5个区域；中国有上海和微软Azure 北京两处数据中心，由世纪互联运营;微软 Azure 数据中心将云用户的数据存储为 3 个副本，即在北京和上海两个距离 1000 公里以上数据中心可共存储数据的 6 个副本。vii T4viii（国内由世纪互联运营） 6 GB50174
的机房设计规范把机房划分成A到C分成三级。ABC和1234这两个本来就不对应，国
际的T4级是最高等级，国家的A级是最高等级，而T4级比A级的标准稍微严格一些，T3级又比A级标准低一下，所以A级标准是处于T3和T4之间的。
27 / 73
“云”深不知处—2016企业上云安全策略指南
在杭州、北京、硅谷等9个地域设有数据中心(Region)，未来还将在日本、欧洲、中东等地设立新的数据中心ix；目前从用户界面可以看到16T3+（硅谷与香港xi数据中心xii）xiii；；T3（迪拜数据中心） 阿里云 个可用区可选。 用户数据在一个数据中心的多个系统内部进行复制存放,并在某些情况进行多个数据中心进行复制存放。x 自有IDC牌照 腾讯云 天津、上海、深圳四个全国大型云计算数据中心。中国大陆以外有香港数据中心和北美数据中心。 — “8+2+X” 数据中心布局： 8是指东北、华北、华东、东南、华南、西南、西北和华中8个区域中心；2是指内蒙古、贵州两大绿色云数据T2-T4（其最大的内蒙古数据中心依据标准）xiv； 自有IDC牌照 天翼云 中心；X则指根据客户实际需求按需布点，自家掌握丰富互联网数据中心（IDC）、内容分发网络（CDN）资源。最终实现任何一个终端网络访问延迟不超过20ms。7 制图：互联网实验室，2015年12月 （表格“—”处为截止到制表时公开渠道未查知） *互联网实验室根据云服务商与其供应商公开资料查询数据中心的标准遵循，并未评估其真实性，我们以最大的努力查找，但不能保证信息的全面性。 3.3对比结果 1. 亚马逊是数据中心部署科学性的典范。 从5家云服务商公开披露的信息来看，我们认为亚马逊AWS的数据中心部署模式具有代表性，亚马逊AWS目前在全球范围有11个区域（Region），每个区域最少分布两个可用区（AZ），每个区域有众多的边缘站点分布。全球化的基础设施部署可根据当地法律或用户要求让数据仅驻留在指定的区域，每个区域2个以上的可用区保证了数据的容灾备份，
7聪慧
IT网，《解读天翼云“8+2+X”新资源布局：为客户需求而生》，“据中国电信云计算公司副
总经理徐守峰介绍……利用全国丰富的CDN分发节点最终实现任何一个终端网络访问延迟不超过20ms。” http://info.it.hc360.com/2015/05/051008813395.shtml
28 / 73
“云”深不知处—2016企业上云安全策略指南
而边缘节点根据业务的负载需求分散在每一区域，可帮助降低延迟，改善终端用户性能。
亚马逊AWS 中国北京区域服务的用户需要创建一个 亚马逊AWS (中国)账户，这个账户不同于其他全球 亚马逊AWS 账户而且独立存在，只有拥有 亚马逊AWS (中国)账户的客户才能够使用 亚马逊AWS 中国（北京）区域的服务资源。保存在中国区域的数据或信息只会保留在北京区域，除非是客户将其转移到其他位置。云服务商在数据本地化方面的努力有助于其在该地区业务的拓展。
亚马逊北京区由光环新网提供数据中心，有两个可用区。微软在全球19个地区设有数据中心，其北京、上海数据中心由世纪互联提供服务；阿里云和腾讯云在本土耕耘数年，国内数据中心分布较广，二者最近两年开始在海外部署数据中心，开始全球云之路；天翼云得益于中国电信在网络和自有IDC牌照方面的优势，在国内有广泛的数据中心分布。综合对比，我们认为作为开创云先河，在190多个国家有云运营经验的亚马逊AWS，及微软Azure二者在全球数据中心部署方面具有较大优势，而阿里云、腾讯云数据中心数量在国内暂时具有本土优势。
2. 多数据中心部署能实现更低的延迟性与吞吐量。
多国的数据中心部署帮助各地业务实现更低延迟性和更高的吞吐量，这对于那些跨国企业来说，全球范围内拥有广泛数据中心分布的云服务商提供的服务有助于其将所有业务纳入一个云平台管理并保持当地业务的最快响应。而同一区域多可用区，可实现数据的相互备份容灾及事故时数据中心间的切换。
3. 各家供应商的数据中心建设向最高等级靠齐。
ANSI将数据中心分为四个等级，由“T1”没有冗余部件组成的系统，到“T4”有冗余部件（能够故障容错）和实现不间断维修的系统，四个不同的等级包含了对建筑结构、安全性、电气、制冷、接地、防火等不同的要求，依次提供99.671%、99.671%、99.982%、99.995%的可用性。xv 5家云服务商的数据中心建设都往ANSI最高标准T4靠齐，以期能保证数据中心的更高可用性。
29 / 73
“云”深不知处—2016企业上云安全策略指南
四、内部人员管理指标设计与对比
4.1完善的人员管理流程能够将恶意人员风险最小化
企业将业务搬迁到云以后，可以大幅削减自身信息系统的运维人员，而这时就需要一个周详的方案去评估云服务商的内部人员风险。人员风险是IT企业由来已久的问题，不是云带来的新问题，传统IT企业除了可参照本读本建议做好评估，还可将自身人员管理经验传递给为其提供服务的云服务商。
2013年云安全联盟（CSA）将“恶意的内部人员”列为“云计算的九大威胁”之一xvi，恶意的内部人员风险是每个上云企业必须考虑的方面。这种情况不一定出现，但一旦发生，造成的伤害就很大。一个能够接触到控制台的有经验的入侵者，能够通过重启系统或者访问当前已经是 root 或者管理员权限的系统绕过大多数逻辑保护措施，导致重要数据丢失或大范围宕机。
企业用户可从流程、审计、技术等全面考察云服务商的人员管理，职责分离和最小特权访问是支持云服务商达成保护和影响企业用户信息资产目标的原则，企业用户可要求云供应商将管理、运营责任落实到具体的人员之上，通过人员的入职审查、操作的详细备案、特殊访问的人工审批、视频监控、账号终止等一系列手段最小化人员风险。
4.2内部人员管理指标体系设计
根据以上原则，我们试图帮助企业通过人员管理流程设计、招聘与培训、监控与备案者三方面去评估云服务商内部人员管理实践：
1.
人员管理流程设计
云服务商需要有一套全方位的人员管理流程保障上云企业用户数据安全，职责分离和最小特权访问原则有无贯彻，人员授权系统是否完善，高风险区有无如人工审批等，都可作为评估云服务商人员管控的主要评判原则。职责分离，是尽可能保持不相容职能（如业务授权、执行、保管和记录)的分离，通过消除高风险组合来实现更高的安全。
2.
招聘与培训
从员工进入公司第一天的背景调查、保密协议，人员培训，到定期的价值观培训与审计，离职时权限的彻底消除，除了这些方面的落实，企业用户还可要求查看相关的书面资料，以
30 / 73
“云”深不知处—2016企业上云安全策略指南
更好的明确云服务商在人力资源管理上是否做到尽职尽责。
3.
监控与备案手段
避免利益冲突对于保护云计算用户是必要的，云服务厂商应通过建立监控和备案手段防范风险。监控和备案是防范和事故后追溯的重要手段，对数据中心的重要出入口进行授权控制，24小时出入检查登记，重要区域全覆盖的视频监控，严格的进入、操作的备案不仅可以做到有据可查，还可做到警示作用。 图表 6 内部人员管理对比 云服务商 人员管理流程设计 招聘与培训 监控与备案手段 致力于通过一整套自动化流程与工具削减能够访问客户信息的内部员工数量。主动降低有能力法律许可内的犯罪背景调查；定期的信息安全培训，定期的信息安全培训和定期以验证员工理解并遵守既定政策的审核；任何违反标准或协议的员工会接受调查，并有对行为（如预警，绩效计划，暂令停职或开除）。xviii 员工必须通过双因素认证来通过数据中心；员工所有对数据中心的物理访问都要记录和定期审计；当员工离职时访问权限会被自动撤销；当员工的工作职责发生变化时，继续访问资源的权力必须获得明确批准，否则会被自动取消。 运营方世纪互联数据中心采用门禁亚马逊AWS 访问信息的人员数量，以将人员带来的意外要素降到最低。每一周都需要削减能够访问客户信息的内部员工数量，将重复性较多的工作纳入自动化流程。xvii 不授予长期使用的权限：默认情况下，拒绝运营系统，对数据中心的重要出入口进行授权控制，实行7×24出入 检查登— 记；还设有BMS系统、CCTV监控系统，嵌入式系统、录像保存一个月。根据客户需求可定制其他安全防范系统。 微软Azure 和支持人员访问客户数据。授予他们权限时，管理和记录其访问情况。数据中心对存储客户数据系统的访问通过锁箱流程进行控制。中国大陆由世纪互联运营人员进行管理和监控。 员工访问公司的资源只授予有限的默认权限。员背景调查；所有的员工必须签署保密协议；针对岗位的安全课程阿里云 工被授予权限访问某些额外的资源需要申请批离职后， 人力资源部将通过系统禁止离职人员账号访问阿里云网络。x 准。所有批准的审计记录均记录于工作流平台。 培训；价值观考核。 31 / 73
“云”深不知处—2016企业上云安全策略指南
对新员工进行法律允许的资格和背景调查；新入职的员工都参加信息安全的培训，并要求通过考试；对重要职位的员工，腾讯云要求必须签署保密协议。 根据腾讯集团的《离职员工管理办法》，腾讯云离职员工所拥有的系统权限全部撤销，相应的帐号和密码回收或者修改；同时离职的员工仍然需要遵守与公司签订的保密协议。 xix 腾讯云 腾讯在雇佣前、雇佣中、雇佣后都采取了一系列的措施来管理和避免员工可能的不当行为。 天翼云 — — — 制图：互联网实验室，2015年12月 （表格“—”处为截止到制表时公开渠道未查知） 4.3对比结果 1.亚马逊致力于通过自动化工具减少人员风险 与其他云服务商通过权限控制确保人员安全不同，亚马逊强调以自动化方式削减能够访问客户信息的内部员工数量，重复较多的事件都会被纳入自动化流程，针对性地建立一套能够自动完成任务的工具。这样做的优势在于自动化工具可减少人员可能带来的多种意外结果，从而能够提高可用性。 2.亚马逊AWS、阿里云、腾讯云等使用一系列措施降低人员风险 阿里云、腾讯云等采用背景调查、保密协议以及业务培训，价值观考核等一系列人力资源管理措施，从防范恶意人员入职到入职后培训考核，都对恶意人员的风险起到一定消减作用，不过上云企业用户还需考察这些措施是否有效实施。 3.监控备案、终止手段在各环节规避人员风险 亚马逊AWS、微软Azure的数据中心在关键入口都采用严格的门禁系统验证人员进入。亚马逊AWS、阿里云、腾讯云的人力资源流程规定员工离职时对其访问权限消除。云服务商可通过采用允许单人进入设备、特殊门等硬件设备减少有意使用一个门禁卡让多人进入的风险，虹膜解锁等生物识别方式能够更好的保障非内部人员进入，企业用户也可考虑要求云服务商在关键进入口配备该类装置。
32 / 73
“云”深不知处—2016企业上云安全策略指南
33 / 73
“云”深不知处—2016企业上云安全策略指南
五、事故响应指标设计与对比 5.1云服务商好比房地产的物业
事故响应( IR）是信息安全管理的基石之一，即使最周详的计划、实施并执行了相关的预防性安全措施，也无法完全避免信息资产遭到攻击。因此当企业转向云以后，面临的核心问题之一就是：怎样才能有效处理云的安全事故。绝大部分云服务事故都需依赖云服务商才能解决，云服务商就好比房地产买房子后的物业，物业不好，房子质量再好，住进去体验也会很糟糕。
云服务一旦由于电力供给、恶意攻击导致基础设施大面积故障停用，部分情况下少数机器的连锁效应瞬间扩展到大范围基础设施，从而致使依助于该云服务商的多家企业用户的业务无法响应，这时云服务商较短时间内解决大面积故障的机制需要考验。
5.2明确云给事故响应带来的特殊性，有助于业务更快的恢复
对于企业来说，云计算不需要一个新的事故响应概念框架，只需将原有的事故响应程序、处理机制和工具与云计算新特点对应起来，与云服务商如何对接联手处理。一方面对企业内 IR 功能的控制进行差距分析；另一方面，明确云计算及变化的部署和服务方式给事故处理带来了什么特殊性。
企业需明确云计算的“合租”场景给事故处理造成怎样的难度？云服务商能否给出分离的用户日志，用以分析事故；业务在数据中心间切换切回有无延迟; 针对不同服务模式提供典型问题解决方案矩阵。 云服务商的经验能给出较多的场景预测，确定对应冲突解决流程。企业用户可要求云服务商提供用以辅助操作和事件响应流程的信息工具、相关标准和方法。
5.3事故响应指标体系设计
事故响应直接关系着企业用户业务连续性，为了使服务中断最小化和做到高效恢复，需要云服务商密切配合，可以从以下几个方面评估云服务商的事故响应机制： 1. 事故处理团队
云的外包特性决定了大多的云事故中，云服务商有责任协助企业解决或提供相关的技术、方法或工具援助。云服务商需全天候配备能够覆盖大多常见事故的技术人员，随时帮助
34 / 73
“云”深不知处—2016企业上云安全策略指南
企业用户解决使用中的大小事故及提供咨询方案。 2. 提供的信息工具、相关标准和方法
企业可考察云服务商提供事故解决的工具、方法、标准情况，评估云服务商提供典型事故场景及解决流程的能力。特别是云服务商提供的容灾备份、切换、恢复服务可重点考察，因为该方面的服务可实现异地冗余备份，并能在极短的时间保证用户的数据在异地可访问可恢复，保证业务的连续性。 3. 事故赔偿机制 和任何信息系统一样，云服务无法做到绝对可靠，云服务商一般会做出服务可用性承诺和未达标的补偿机制，将可能抵消企业的一部分事故损失，事故补偿的力度也能为企业选择云厂商作为参考依据之一。因为承诺不达标，补偿更多的云服务商面临更高的潜在成本，但这也反映云服务商保障云服务的决心。 4. 日志服务 云服务的资源池化环境，使得多家的数据、计算在一个高动态和共有的环境之中，这引发了企业用户担忧云服务商能否快速提供用以分析事故的日志。iv 云服务商提供的日志服务，能帮助企业更快速进行事故分析与故障排除 。 图表 7 事故响应能力对比 云服务事故处理团队 商 亚马逊AWS Support 是一对一的快速响应渠提供的信息工具、相关标事故赔偿机制 准和方法 使用 亚马逊AWS Storage Gateway服务，可将数据从一个位置备份到另一个，方便日后快速恢复；亚马逊AWS 云支持许多常见的灾难恢复架构，从收到通知即可扩展的“指示灯”环境到支持快速故障转亚马逊AWS承诺 Amazon EC2和Amazon EBS的可用性不低于99.95%xx。如果不符合服务承诺，将获得服务费积分冲抵未来应支付的该服务费。 通过 Amazon CloudWatch，可以获取精确到上一分钟的统计信息，还可以查看图表并为指标数据设置警报，帮助排除故障、发现趋势并根据云环境的状态采取自动日志服务 亚马逊AWS 道，技术支持工程师和有经验的客户服务专业人员全天候提供服务；中国（北京）区域目前处于预览阶段，受邀请 35 / 73
“云”深不知处—2016企业上云安全策略指南
的客户拥有对该区域的访问权。 移的“热待机”环境，均可支持。 化的操作。xxi 全天候事件响应团队；世纪互联根据客户情形，将事故划分了A、B、Windows Azure 公有云服务承诺，可用性不低于 99.95%。可用性低于99.95有10%服务信用减免；低于99%，是25%信用减免。xxii 微软Azure Site Recovery（站点恢复）服务通过协调和自动执行到 Azure 或辅助本地数据中心的复制和故障转移来保护本地物理服务器和虚拟机。 微软Azure C三个严重性，对应有2、4、8小时或更短时间响应， A 支持仅提供给签署了世纪互联在线服务高级协议的客户。 利用Azure HDInsight大数据技术建立日志文件分析。xxiii 售后工程师团队提供7*24小时技术服务，并通过自动备份文件及日志文件，可将实例数据恢复至7天内的任意时刻；定期对灾难恢复计划进行测试，测试结果将被识别和记录用来持续改进灾难恢复计划。 阿里承诺服务可用性：阿里云的云服务器可用性不低于99.95%。阿里存储服务承诺不低于99.9%；100倍的故障时间赔偿。xxiv 日志服务（Log Service，简称LOG）正在公测，该服务能快速完成日志收集、分发、投递与查询， 适用于日志中转、监控、性能诊断、日志分析、审计等场景。xxv 阿里云 有旺旺群，钉钉群提供支持；淘宝及1688账号可登录反馈。 提供 7*24 在线服务支持，通过自家工具建立QQ 群、微信公众账号、腾讯云数据库承诺双机热备，3日内无损恢复；定期巡检；灾难恢复演练等。 99.95%的业务可用性；100倍的故障持续时间补偿。xxvi 大数据处理套件TBDS（即将上线）, 对多组件日志提供统一的日志中心。xxvii 腾讯云 微信群等服务支持；对于特殊需求，腾讯云还成立了阿尔法特别行动小组。 36 / 73
“云”深不知处—2016企业上云安全策略指南
云安备可以将用户重要的数据自动备份。一旦发生用户本地数据丢失或是环境灾害，云安7x24 小时技术团队在备都能在事后数据恢复； 推出天翼混合云容灾服务， 用户根据自身需求最多可设置24个还原点，在容灾切换时可以自服务地选择数据恢复点；并提供容灾演练。 天翼云承诺提供的主机业务的可用性在99.95%以上。可用性在99%和99.95%之间，可获得的服务补偿时间长24小时；小于99%甲方可获得的服务补偿时长为720小时。 制图：互联网实验室，2015年12月 天翼云 线支持，帮助客户解决遇到的专业问题。 — （表格“—”处为截止到制表时公开渠道未查知） 5.3对比结果 1. 云服务商几乎都提供自动化备份服务。 备份和恢复服务是保障企业用户数据安全性的重要手段，纳入对比的5家云服务商几乎都提供自动化备份服务，并且能够做到快速恢复，这对企业用户的数据安全和业务连续性起到重要作用。阿里云和腾讯云还可将数据恢复到数天之前。 2. 五家云服务商均提供国际水准的服务等级协议，阿里云和腾讯云承诺的补偿最高。 2014年，网站追踪公司CloudHarmony监测了48家云服务商的宕机故障频率，亚马逊AWS和谷歌云平台（Google Cloud Platform）的公有云正在接近被部分人认为是可用性的终极目标——五个9（即99.999%），尤其是亚马逊AWS的正常运行时间最长。 亚马逊的弹性计算云（EC2）在2014年共发生20次宕机故障，累计宕机时长为2.41小时，这意味着亚马逊云服务的正常运行时间百分率达到了99.9974%。此案例只用来表明云服务经过一定事件发展，一些云服务商已经能够保障其服务趋于持久可靠。但该监测中，国内云服务商未纳入评估。
五家云服务商均对其主要服务承诺提供国际水准的 99.95% 服务等级协议，通过上面
37 / 73
“云”深不知处—2016企业上云安全策略指南
的案例我们也看到2014年像亚马逊AWS的可用性已经超过这个标准。服务等级协议以月为服务周期计算，在不达标时云服务商以不同方式提供补偿。 该方面阿里云和腾讯云的补偿力度最高，都提供100倍的时间补偿。
值得上云企业注意的是，大多云服务商针对不同的服务类型提供不同的可用性承诺，并且每家的分类不尽相同。99.95%的可用性一般只针对其主要业务，并且大多SLA考虑的比较宽泛，适合于大众客户而可能不覆盖企业用户的特定业务。企业用户可根据自身业务特点，与云服务商商谈就具体服务达成一定的规则，使云服务商的服务能更保障自身的业务需求。
3. 亚马逊AWS和微软Azure提供日志服务，阿里云、腾讯云正在跟进。
亚马逊AWS和微软Azure提供的日志服务，可帮助企业用户分析网页运行的健康度、访问者行为，发现趋势。亚马逊AWS的相关服务能精确到上一分钟的统计信息，并可自动化操作帮助排除故障。阿里云、腾讯云的日志服务也即将上市。
38 / 73
“云”深不知处—2016企业上云安全策略指南
六、数据安全保护指标设计与对比
6.1所有权和控制权转移，促使客户依赖高标准安全控制手段
数据资产外部化使得企业面临安全风险的担忧，尽管数据上云后企业可以更好的、更有效的从数据中获得价值释放。技术的发展和商业模式的升级使企业数据信息越来越资产化，数据所蕴含着巨大的商业价值，使其成为企业提高竞争力、抢占市场先机的关键。数据资产是企业发展的命脉，企业的数据资产上云，意味着企业的数据资产交托给云服务商来进行管理，由于企业客户基础设施和应用程序的外部化使得企业对数据的完全控制权发生变化，安全保障的不透明性和不可控性引发上云企业对云服务有效存储和安全共享等方面产生一定的安全风险顾虑。
经过调研，我们发现企业云客户对数据上云安全性方面的担忧基本上覆盖了云端数据安全的整个生命链条。如，他们担心数据传输和存储不安全，数据在传输过程或存储状态下被劫持、篡改和恶意攻击；数据访问和权限管理技术体系不成熟，企业用户无法授权并限制操作权限，从而引发密钥泄露和内部人员对技术的误操作问题；数据安全防护方案不完善，企业用户数据被入侵、被攻击；云服务商自身的业务漏洞或系统不稳定造成企业用户的数据被盗、被篡改等问题。对于企业而言，一旦发生以上任何一种问题，企业就可能因为数据安全问题而终止所发展的业务。 从云本身的属性来看，企业客户需要认识到云不是完全安全的，云服务提供商只是其内部IT部门的延伸，所有云服务可能面临的内外部数据安全风险也作用于企业本地化的IT系统，云所带来的安全和风险是同时存在的。
一方面，云汇集了具有经济价值的大规模客户数据资源，云服务正在成为超级黑客、网络非法组织和APT攻击的“标靶”。究其原因：首先，大规模的数据资源聚集云端，对于黑客和网络非法组织而言，其具有巨大的经济价值。其次，威胁成本和收益的不对称，黑客组织可通过低成本的技术手段窃取用户数据信息，通过各种变现手段获得高额收益回报。最后，数据安全威胁动态多元化，数据在云端经历产生、存储、使用、归档和销毁一整套流动
39 / 73
“云”深不知处—2016企业上云安全策略指南
过程，这一系列环节形成整个数据的流转链条，在数据流转的过程中，数据安全威胁动态、多维度和全过程交叉影响，一旦数据流动和承载的软硬件设施中的薄弱环节被黑客或网络非法组织攻破，用户的数据资源就会被盗取或者篡改。
但另一方面，云计算改变了企业利用IT资源的方式，规模经济使得云企业用户降低成本，将企业内部用于保障裸机安全的资源解放出来，享用云计算厂商凭借规模化运营、大数据资源及与专业客户合作所形成的安全保障经验、能力和最佳实践。
众多企业不选择上云，更多的是因为企业客户因失控感而引起的对数据安全的恐慌和顾虑。因此，一旦数据上云，他们更依赖云服务商所提供的更高标准的安全保障手段和技术来补足“已知的未知”中所丢失的安全感。对于云服务商来说，企业数据资源上云的同时，也将部分安全责任分担给了云服务商。云服务商应该提供与安全风险对冲的高标准安全服务、工具、技术和保障机制来打消企业客户的安全顾虑。 6.2对数据安全保障技术和能力的评估 控制数据安全全生命周期的安全风险点，可激发云服务带来的价值。保障云端数据安全是一项庞大的工程，上云的数据在安全性方面有一个全生命周期，涵盖数据的产生、存储、使用、分享、归档、销毁六个环节，因此数据的安全保障必须要覆盖数据安全的全生命周期。操作主体的操作行为涉及访问、处理和存储，操作行为与数据安全的全生命周期相互耦合。保障数据安全的节点就突出表现在认证、访问和权限管理、加密和网络防护措施这三个维度上。 当前市场上国内外云服务商在以上三大维度上的优势也不尽相同,通过查阅截止到2015年12月五大云服务商的官方网站信息、所发布的最新安全白皮书，如阿里云2014年所发布的《阿里云安全白皮书》、以及各类专业新闻资讯网站，通过非技术测评方式对比几家云服务商的数据安全保障的关键能力技术，意在功能有无、技术支撑等方面告知企业用户云服务商安全功能的实力水平，来引导公众对于云安全的认知。针对各家云服务商安全保障的技术强弱、数据有无在合同结束后被彻底销毁等问题，云用户可结合法律监管和专业的
40 / 73
“云”深不知处—2016企业上云安全策略指南
第三方测评机构的评估结果进行判断。
首先，认证、访问权限管理方面。采用云计算服务以后，机构的信任边界将变成动态的，并且迁移到IT控制范围之外。为弥补控制权的丢失，客户会倾向于采用更高级别的软件控制，例如应用程序安全和用户访问控制。这些控制表现为多重因素认证、基于角色或声明的授权、准确属性的可靠来源、身份联合、用户行为监测以及审计等等。
图表 8五家云服务商认证、访问和权限管理上安全能力表现 云服务商 安全认证 支持双因素认证(2FA)亚马逊AWS 和多因素认证，包括基于所选择的基于硬件的身份验证器xxviii 支持用户多因素身份微软 Azure 验证，包括基于所选择的基于硬件的身份验证器xxx 通过数据证书结合动阿里云 态令牌实现双因素认证，也支持多因素验证xxxii 访问控制 允许客户自定义个人用户账户权限，支持添加特定条件如时间、来源 IP 地址、是否使用 SSL等xxviii 允许客户自定义个人用户账户权限，支持添加特定条件如时间、来源 IP 地址、是否使用 SSL等xxxi 访问控制产品在公测，产品介绍上看，支持自定义用户账户权限xxxii 集成公司业务目录 可集成和联合企业活动目录，实现高级标示、安全性及应用程序访问方面的管理，帮助企业开发人员快捷的在应用程序中部署标识管理策略xxix 可集成和联合企业活动目录，实现高级标示、安全性及应用程序访问方面的管理，帮助企业开发人员快捷的在应用程序中部署标识管理策略xxxi 暂无xxxiii 通过云账号和密码验腾讯云 证身份xxxiv；支持双因素验证xxxv 通过云账号和密码验天翼云 证身份,推出短信和手势验证xxxvi 支持自定义个人用户账户权限xxxiv，支持添加特定条件，如支暂无xxxiv 持根据时间、IP地址的临时授权 不支持自定义个人用户账户权限xxxvii 暂无xxxvii 制图：互联网实验室，2015年12月
其次，数据安全方面。企业上云，安全设备和安全措施的部署位置有所不同，安全责任的主体发生了变化，用户数据上云，服务商不但要对用户数据提供安全保护承诺，而且要保证这些数据不被泄露。数据安全的技术保障依赖加密密钥管理、数据加密（静态和传输）、监控和日志记录、数据销毁环节来保障。
图表 9五家云服务商数据安全方面的安全能力表现
41 / 73
“云”深不知处—2016企业上云安全策略指南
云服务商 传输安全 数据加密 在碎片化存储基使用TLS/SSL加密技术、VPNxxxviii加密方亚马逊式。另外，亚马逊AWS推出数据传输产品Snowballxxxix使用端到端AES-256加密技术xl 使用 SSL/TLS加密技术、加密企业VPN网关和Azure之间的微软 Azure 通信等xliv密钥托管服务 基于硬件的密钥存储：亚马逊AWS Cloud HSM服务xlii和密钥托管服务亚马逊AWS Key Servicexl 监控和日志记录 数据销毁 础之上提供包括AES-256在内的多种加密功能，如S3xli等存储类产品均采用AES-256加密服务，以及权限管理服务等xl 在碎片化存储基础之上提供包括 AES-256 在内的各种加密功能，如：NET 加密服务、(AD RMS) 等服务xlvi xlvii 提供监控和日志类产品，如CloudWatchxxi、CloudTrail等，实现监测、查询、分析和及时告警等服xl 彻底删除数据，在重复使用前覆盖存储资源的手段，并物理销毁已废弃的硬件。xliii AWS Management 务借助集中式的监提供基于硬件安全模块(HSM)的密钥保管库xlviii 视、相关性和分析系统来监视安全性，并提供及时警报xlix。如，MySQL Database on Azure 提供监控和日志类与江南天安合作，提供基于硬件安全模块（HSM）密钥管理服务lii 微软Azure采取重复使用前覆盖存储资源的手段，并物理销毁已废弃的硬件l ,微软Azure推出导入导出服务，依托硬盘传输数据，支持BitLocker磁碟加密技术xlv 采用碎片化自动切片，分布式离采用ssl加密、程序阿里云 加密以及采用VPN或专线加密方式li。 散存储技术存储用户的结构化和非结构化数据li。具有服务器端加密 采用自动切片，腾讯云 通过VPN专线加密，保障传输加密lv。 分布式存储结构化和非结构化数lvi支持服务器据。产品，如：simple 高级清零，彻底Log Service 、Cloud Monitor，提供监视、分析、查询、及时告警等服务liii 提供相关产品,如Cloud Monitor，删除数据，重复使用前覆盖存储资源，报废磁盘消磁lviii 删除用户数据，对物理磁盘消磁，消磁过程全程视频监控liv 暂无xxxiv 支持分析、监控、及时告警阈值等服务lvii 端加密。 采用自动切片、采用SSL加密传输技天翼云 云盘通提供文件传输加密技术lix。 分布保存、每片数据；云盘通提供安全加密技术lix 术、VPN加密方式、签名等技术存储天翼云的主机中有暂无xxxvii 系统资源监控功能lix销毁用户数据，不可复原。磁盘报废时将进行消磁处理。lx 制图：互联网实验室，2015年12月 最后，安全防护能力方面。云服务不可避免的会遇到外部攻击问题，安全责任共担的情境下，云服务商承担着保护平台及软件层面的安全平台配置和维护责任，云服务商通过构建
42 / 73
“云”深不知处—2016企业上云安全策略指南
自身安全防护能力或者与第三方安全厂商合作等形式，实现入侵检测、建立防火墙、防恶意软件攻击等安全防护目标。
图表 10五大安全厂商在安全防护能力方面的表现
云服务商 安全防护能力 第三方合作 国外：如趋势科技lxii，提供入侵检测、防火墙、预防漏洞、日志审计、完整性监控、应用程序扫描等服务； 国内：安全狗lxiii等合作 国内合作伙伴：深信通、伊登软件、东方飞鸿祥瑞软件、汉金科技。覆盖网络构建及安全、运维服务、数据库、存储安全等方面lxv 国内合作伙伴：江南天安、安恒信息lxvi、Array Networks、深信服、山石在内30家国内外知名安全服务商iii，提供Web安全、日志审的服务 国内合作伙伴：厦门服云、深圳安盾椒图、英方软件等9家信息科技公司。提供安全系统环境搭建和系统加固服务lxviii 国内合作伙伴：安全狗和奇虎360等lxx。覆盖安全系统环境搭建、系统加固、安全监测和安全防护等 制图：互联网实验室，2015年12月 亚马逊AWS 提供Web应用程序防火墙lxi、网络防火墙内置亚马逊VPC中、部署DDOS防御技术、隔离、监控及相关加密措施等xl 提供入侵检测、防DDOS攻击、设置防火墙、隔离、监控、加密服务等措施lxiv 云盾系统，覆盖基础防护和高级防护技术。 基础防护：阿里绿网、安骑士、DDOS基础防微软 Azure 阿里云 护； 网络安全托管等xxxii 基础防护：DDoS防护、WAF防护和云主机防护； 高级防护：DDoS高防、大禹系统、天御系统、乐固及定制专家服务lxvii 高级防护DDOS：高防IP、网络安全专家服务、计、数据库安全、防火墙、密钥管理等方面腾讯云 天翼云 具有五星级骨干核心机房，具备数据清洗和防DDOS攻击等能力lxix 6.3对比结果 1. 亚马逊AWS和微软Azure提供更有力的IAM，国内阿里云在跟进 亚马逊云和微软Azure所提供的认证、访问授权控制功能比较完善，除了支持多因素验证、用户自定义访问权限实现精细化访问控制之外，还可集成企业活动目录，降低成本，将企业客户和云服务商融合在一起。此方面二者已经形成专业的服务能力。国内阿里云在完善这方面的功能，而腾讯云和天翼云缺乏对用户和管理员的访问管理，安全风险稍高。
43 / 73
“云”深不知处—2016企业上云安全策略指南
2. 云服务商均提供数据传输加密，亚马逊AWS和微软Azure提供更完善的加密传输产品
阿里云、天翼云在传输加密上有保障措施，腾讯云稍逊色。亚马逊AWS和微软Azure在基本的传输加密技术功能之外，提供基于硬盘的数据导入导出服务，支持对硬盘上的数据实施加密，可实现更加完善的云环境安全控制功能。整体而言，国内云服务商的传输安全解决方案需要进步发展。
3. 国外云服务商提供数据加密，国内此方面能力有待完善
国外云服务商在实施碎片化存储的基础之上，提供高标准的加密服务，如AES-256位对称密钥和其他加密服务，并提供密钥托管服务保障数据安全。国内更多的是利用存储技术保障安全性，加密技术和密钥托管服务有待完善。 4. 各家具备监控和日志记录功能，天翼云较薄弱 云服务商基本上提供较为全面和完善的监控和日志记录，有助于保障用户的数据安全。天翼云在这方面还有待补足。 5. 供应商专业的服务支持因供应商而异
云服务商基本上都与第三方合作伙伴合作，强化云服务安全。整体来看，微软Azure和亚马逊AWS有最强的安全服务合作伙伴生态系统，如亚马逊AWS与趋势科技等知名安全服务企业合作，后者为其提供了应对威胁、支持安全的最佳实践的功能。国内云服务商和第三方合作伙伴合作刚刚起步，阿里云领先于国内其他云服务商。国内云服务商的安全保障主要依托自己开发的安全防护系统，以阿里云和腾讯云最为突出，如阿里云的云盾系统和腾讯云的天御系统。而天翼云安全防护能力与其他供应商相比，能力相对弱小。
44 / 73
“云”深不知处—2016企业上云安全策略指南
七、合规性表现指标设计与对比
7.1 云服务商的合规性认证是给客户企业安全保障的定心丸
尽管虚拟化的云服务使企业工作部署变得简单起来,但却面临着安全合规性问题。目前云计算的发展处于虚拟化与企业业务深入融合所带来的全新变革阶段，解决企业对云服务商提供虚拟服务的合规性担忧，安全认证、透明审计和法律遵从是建立双方信任的桥梁。客观的理解安全合规性，可以解决企业CIOs和CEOs在上云过程中对如何遵守云规则和避免自身资产、声誉受损的困扰。
从理论上看云计算似乎很简单，云部署和许可才是最吸引人的资产。但是，当行动起来问题也接踵而来。企业上云之后，由于一部分服务由云服务商来承担，企业为获取认证资质所进行的投资（例如行业标准或规定要求），可能会因转向使用云计算而冒有一定风险：云服务商不能提供符合相关规定的证据或者云服务商不同意接受云客户的审计。在某些情况下这也意味着，企业使用公共的云基础设施可能存在一些条款和规定无法得到遵守。
托管效益和安全控制似乎是一对矛盾，企业需要确保能够观察到直接控制之外的合规性管理责任和工作，确保云服务商能够满足企业的安全性和操作需要。解决这一矛盾的关键是云服务商通过一系列权威性认证向企业用户展示自身合规性的事实价值和对企业的安全意义。所以，云服务商的合规性认证是给客户安全保障的定心丸，让客户了解基于技术能力形成的可视化安全能力证明。
7.2 合规性指标主要分为安全认证、透明审计和法律遵从
国内外市场对云服务商的合规性认证要求和标准各有不同，且云服务商对合规性表现的理解也不尽相同。所以，我们综合国际国内云服务行业的各类合规性认证，根据其合规内容属性进行分类，分为安全认证、透明审计和法律遵从三大类。
7.2.1 安全认证类
安全认证类合规行为主要是针对云服务商的服务安全进行认证，依据认证行为主体的不
45 / 73
“云”深不知处—2016企业上云安全策略指南
同，可以分为政府类安全认证和行业类安全认证两类。客户可以通过政府和行业对云服务商的安全认证，满足自身对云安全认证的直观认知。
第一，政府类安全认证
政府类安全认证主要是从国家信息安全的角度对云服务商提供的产品服务进行认证。认证主体主要是承担保护国家信息安全职责的政府部门或委托单位。由于这些部门代表的是国家身份，所以其颁发的认证具有客观的权威性和较高的可信度。 图表 11常见云服务政府类安全认证项目 政府类安全认证项目 中国公安部系统等级保护测评（DJCP） 美联邦信息处理标准（FIPS140-2） 美联邦风险与授权管理计划（FedRAMP） 美国防部信息保障认证与认可过程（DIACAP） 美国防部云安全模型评估（DodCSM） 认证内容 信息安全等级保护测评共分为五级，通常认为三级系统即拥有较为丰富的资源应对威胁或恶意攻击，不会对社会秩序和公共利益造成严重损害，或者不会对国家安全造成损害。 该标准被应用在安全系统之中保护敏感数据，禁止在联邦系统中使用敏感或者重要数据的密码保护未经验证的密码系统，通过该标准意味着在数据加密方面的高可靠性。 FedRAMP是政府机构的一个强制性计划,对于在政府机构部署相关的云产品要求进行云产品和服务的安全评估、授权和监控认证。 DIACAP是美国防部的一项认证程序，用于帮助公司和组织管理信息系统的风险，按照信息敏感程度划分不同的等级标准。 云服务提供商根据所获得国防部认证的2/4/5/6四个等级安全要求提供服务。通过的等级越高，意味着云服务商在数据的机密性、完整性和可用性访方面的标准更高。 问题确立的协议性文件。 CESG的任务是保障英国政府工作信息的安全，政府采购的信息类产品必须通过该认证，其安全标准比BSI更严苛。 由独立认证机构TÜVTRUSTIT基于德国信息安全联邦办公室构建的信息安全程序进行的IT基线保护式安全认证。 由澳大利亚信号局认证，表明企业服务有足够的能力传输机密敏感数据。 数据安全港协议（EU Safe 欧盟与美国签订的数据安全港协议，就双方之间的数据跨境流动和数据安全Harbor） 英国云安全认证（CESG） 德国IT-Grundschutz标准 澳大利亚政府信息安全评估（IRAP） GCIO） 新加坡多层云安全管理标准（MTCS） 新西兰政府总监认证（NZ 新西兰政府资讯科技总监发布了105个问题的框架，这些问题主要集中在云服务的安全和隐私方面，基本与数据主权相关。 由新加坡信息技术标准委员会制定，涵盖数据保留和主权等领域。3级标准专用于对HBI数据具有最严格安全要求的监管组织。 制图：互联网实验室，2015年12月
第二，行业类安全认证
46 / 73
“云”深不知处—2016企业上云安全策略指南
行业类安全认证主要是从企业或个人信息安全的角度对云服务商的产品服务进行认证。行业类认证机构比较多样化，一般以其在国际或国内的权威性和独立性为依据，参考其在安全认证方面的价值和展示给客户企业的意义。
图表 12常见云服务行业类安全认证项目
行业类安全认证项目 认证内容 可信云是国内行业组织数据中心联盟组织联合工信部电信研究院推中国数据中心联盟可信云认证 出的针对云服务的认证体系。通过认证意味着从服务协议(SLA)标准性、数据存储可靠性、用户数据私密性、业务可用性、功能完备性、运维系统完善性等多方面达到国内云服务评测系统认证标准。 支持使用云计算服务的信息安全管理实施指南。采用该标准可使云服务用户和提供商通过云计算服务的风险管理选择适当的控制措施和实施指南来满足信息安全管理的基线。 ISO/IEC 27018标准是国际标准化协会新颁布的一项国际标准，旨在为云个人身份信息处理者提供一套实务守则，以保护公共云中的个人身份信息（PII）不受侵犯。 ISO 27001是以信息资产及业务风险管理为核心的管理体系，对企业建立、实施和文件化信息安全管理提出了要求。新版ISO 27001:2013将加密控制从一个控制目标项上升为一个控制域；新增供应链关系管理，关注供应链关系中的信息安全，服务商交付过程的信息安全；完善了系统开发的全生命周期的信息安全管理要求。 STAR云安全评估是一个全新而独特的服务，旨在应对与云安全相关的特定问题，是ISO/IEC 27001的增强版本。CSA和BSI通力合作，基于云控制矩阵（CCM）开发出全新的STAR云安全评估，根据控制云计算服务信息安全管理实施指南ISO27017标准认证 个人信息安全保护ISO27018标准认证 ISO 27001:2013国际信息安全认证 云安全国际认证（CSA-STAR） 措施为客户提供认证，云安全评估评级分为金牌、银牌或铜牌的STAR等级，取决于体系与公司的融合度。其中金银铜牌三个等级均需要第三方认证而获得，STAR级别则是通过自我评估和声明的方式表示满足。 PCI DSS对于所有涉及信用卡信息机构的安全方面作出标准的要求，支付卡行业数据安全性标准（PCIDSS） 其中包括安全管理、策略、过程、网络体系结构、软件设计的要求的列表等，全面保障交易安全。作为金融特殊行业的一般性要求，对维护用户金融信息安全具有强制作用。 内容交付与安全关联（CDSA） 欧洲网络和信息安全机构信息保障框架（ENISA IAF） （FISC） 为符合管理数字媒体的反盗版程序提供了内容保护和安全标准。通过认证可实现安全的内容开发和分发工作流。 标准旨在帮助组织评估采用云服务的风险和获得保证云服务商保护客户的信息。 进对金融机构的信息系统采取安全措施。 制图：互联网实验室，2015年12月
47 / 73
日本的金融行业信息系统中心 日本金融行业信息系统中心与其成员协作，建立了一套指南，用于推“云”深不知处—2016企业上云安全策略指南
7.2.2 透明审计类
透明审计是云服务商以自愿为前提，参加政府或行业内的自我审计认证，包括财务安全、管理流程、合同规范等多个层面。客户通过透明审计，可以了解云服务商内部运作的结构和整体实力，综合反映出云服务商对客户安全的一种责任态度。
图表 13常见云服务透明审计类项目
透明审计项目 审计内容 SOC1取代了原来的SAS70认证，该认证是关于服务商的内部控制和SOC1 财务相关的证明，可以满足美国和国际审计机构的各种审计要求和保证在法律法规以及风险管理方面符合企业对于云计算安全的考虑。 SOC2报告是一份鉴证报告，在评估控制方面与SOC1类似，它扩充了控制评估的标准，依据是美国注册会计师协会（AICPA）信托服务原则。这些原则为亚马逊AWS等服务组织定义了与之相适应的安全性、可用性、处理完整性、机密性和隐私性相关的领先控制措施。 SOC3报告包括外部审计员对控制操作的看法，基于SOC2报告中包SOC2 SOC3 含的AICPA安全受信原则、企业管理对于控制有效性的声明以及企业基础设施和服务概述。 云安全联盟推出了一项在云提供商中鼓励安全实践透明性的行动STAR。CSA安全、信任和保证注册表是公众可访问的免费注册项目，CSA安全实践透明行动 记录了各种云计算产品服务的安全控制，从而帮助用户评估他们目前使用或有意接洽的云提供商的安全性。与图表12中的CSA-STAR同属于一个体系，此处的透明行动为STAR级别。 欧盟标准条款 欧盟标准合同条款，这些条款在个人数据传输方面提供合同保证。 制图：互联网实验室，2015年12月
7.2.3 法律遵从类 法律遵从是云服务商对遵守服务所在地及全球共性法律政策方面的表现，是检验云服务商服务合规性法律层面遵守情况的重要验证。客户可以通过云服务商法律遵从告知评估云服务商的法律态度。
48 / 73
“云”深不知处—2016企业上云安全策略指南
图表 14常见云服务法律遵从类政策法律
政策法律 各国信息安全相关法律 联邦信息安全管理法案(FISMA) 美国健康保险流通与责任法案（HIPAA） 家庭教育权和隐私权法案（FERPA） 美国食品药品监督管理局联邦法规（FDA CFR） 遵从行为 遵守服务所在国和地区的普遍性法律法规。 依据由美国国家标准技术研究院制定的准则，保护联邦机构内的信息系统。不要求每个机构定义和实现自身的信息安全计划，而是为所有参与方提供一致的评估，借此简化云解决方案的授权过程。 确保应用实体及其业务关联对象可以利用安全的环境来处理、维护和存储受保护的医疗信息。 确保应用实体及其业务关联对象可以利用安全的环境来处理、维护和存储受保护的教育信息。 美国食品药品监督管理局联邦法规第21篇第11部分列出了对销售在美国生产或使用的食品和药品的公司的电子记录安全的要求。 作为管理全面ITAR合规性项目的一部分，受ITAR出口条例规范的美国国际武器贸易条例（ITAR） 公司必须掌控防止意外出口，方法是限制美国公民对受保护数据的访问，以及限制该数据在美国境内的实际位置。 美国国税局出版物指南（IRS 1075） 美国联邦调查局刑事司法信息服务部安全策略（CJIS） 残疾人保障法案（Section 508法案） 美国国税局提供了一个指南，用于确保接收方所采用的政策、惯例、管控条例和安全条例充分保护美国联邦税务信息和相关财政纳税申报单数据的机密性。 通过基于云的解决方案访问美国联邦调查局刑事司法信息服务部数据库的任何美国州立或地方机构均需要使用遵守CJIS安全策略的云提供程序。 自行论证产品或Web服务遵循了Section 508规则，建立自发性产品协助工具范本，以此信息工具它准确地描述产品或服务是否遵循了Section 508标准。 制图：互联网实验室，2015年12月
7.3 国内外云服务行业合规性认证存在差异，国外优势明显 纵观以上云服务行业的合规性认证指标，可以发现国内外对云服务商的认证维度和体系等都存在差异，国内依然处于云服务认证体系建设的初级阶段。 第一，合规认证的数量差异，说明国内认证基础薄弱。云安全是用户上云过程中最关心的因素之一，丰富的认证项目和内容可以让客户最直接的了解云服务商在安全合规性层面所达到的能力水准。虽然安全合规性认证不代表绝对的安全，但是认证维度的丰富可以成为客户从多个角度去认知和选择符合自己选择意向的指引。
分析国内和国外的系列认证，美国的认证标准明显多于国内。从政府和行业的安全认证
49 / 73
“云”深不知处—2016企业上云安全策略指南
数量看，国内仅有公安部的等保认证和行业内的可信云认证，而美国从多个政府机构到多个国际性第三方组织，都具有明显数量优势。国内认证标准数量的缺失，致使用户无法客观对国内云服务商的安全能力形成认知，缺乏公正权威的证明。而国外云服务商受益于这些认证，可以及时让新技术和安全功能被社会认知，，让安全的基石越来越厚重。
第二，合规认证的体系差异，显出国内认证标准稍逊。数量上比较，国内认证没有优势，体系上比较，国内认证依然有很多工作可做。体系不完善，容易形成“木桶效应”，尤其在云服务环境下更容易让制度的短板成为安全事故的暗流。
以安全认证为例，国内公安部等保认证是部委级别的标准，但认证权力却下放到地方公安机关。而美国除了国防部这一更重要级别的部门，还有联邦标准。从透明审计和法律遵从看，国内几乎没有明确的透明审计制度和定期公开声明行为。而美国、欧盟和国际第三方组织的审计则给予了国外云服务商与用户建立透明关系的机会。无法与用户建立透明合作关系的云服务商只能是市场发展初期的投机者，更长远的合作需要建立公开透明的行为准则。
综上，从合规性认证的价值对用户的意义角度去看：客观的认证环境是否完善会对用户的云服务安全认知产生影响。单个非体系化的安全认证可能只是合规性的表现形式，而非合规性认证真正给用户带来的信任体验。国际国外的多维度、丰富性认证符合用户对云服务商安全识别的需求便于建立用户对云服务商的安全信任，国内云服务认证体系与国际接轨仍需要政府和行业的努力。
7.4 对比结果 1. 合规性对比意义
第一，建立双方交流基础。由于不同规模、类型的企业所面临的标准认证、审计要求是不尽相同的，本部分仅从云服务商所覆盖的安全认证覆盖度、审计行动的规模与法律遵从的表现形成对比矩阵，以方便企业考察与自身所需的合规性认证相匹配的内容，从而就这些问题与云服务商进行更好地交流。
第二，明确内外对比意义。以认证项目区分，主要涉及企业管理体系标准、信息安全管
50 / 73
“云”深不知处—2016企业上云安全策略指南
理制度、数据隐私保护等级等层面。云服务商合规性认证即要满足这些标准所达到的要求。尽管有些认证并非完全适合中国市场，但作为一些全球性和行业性的最高认证也通常会被国内行业认可，并会被部分修改适应本土化后转化为中国的认证标准。所以，我们抛开标准范围问题，仅从标准合规的内容层面去帮助企业认知云服务商合规性的价值意义。
第三，帮助企业提供支持。经比较后，我们会选择几项具有典型代表意义的认证指标，对这些指标进行意义解释，强调这些标准对于云服务商的合规性认证价值并实现对企业用户云服务安全感知的普及教育。通过对比五家云服务商所获得的认证，让企业建立起对云服务商合规认证的知识体系，指导企业用户进行云决策。
2. 合规性对比方式
第一，云服务商安全认证覆盖度。合规认证是用来展现云服务商的安全级别和成熟度评估非常好的价值证明。通过认证来展现云服务商的全球最优操作规范方面的努力和符合程度，进而向客户、合作伙伴和利益相关方证明产品和服务的可靠性。本部分的合规性认证矩阵将从颁布认证的主体性质、规定的安全领域（如数据隐私、信息安全管理）来展示云服务商获取认证的覆盖度。合规覆盖度以能够满足大部分认证标准、行业信息安全规定、涵盖政府法律要求以及一些特殊领域的法规认证等为最佳。
第二，云服务商标准审计透明度。企业理解云服务商更大透明度的审计能降低对云安全不可见的恐慌。企业可从云服务商基于重要的审计标准而发布的审计认证报告、参与行业组织发起的相关安全透明性行动来获取此部分的信息。展示云服务商审计透明度对比，是合规性内容中自我安全能力展示的重要补充。
第三，云服务商法律政策的遵从。云服务可能导致数据跨越地理区域和法律管辖边界，对这种状况，特别是具有跨国业务的企业，需要有此方面的明确知识。网络空间时代和大数据的发展，使数据跨境问题成为必然趋势，云服务商在数据层面的法律遵从对企业未来业务的选择十分重要。
51 / 73
“云”深不知处—2016企业上云安全策略指南
3. 合规性对比结果
第一，安全类认证对比
政府类安全认证结果对比。对比五家云服务商获得的政府安全类认证，企业可以从中感知各云服务商在安全合规层面的展现出的安全保障能力，获知他们的实力是否能够满足安全合规的评测。企业应相信专业部门对云服务商的评测是检验其安全合规性的重要指南。
图表 15五家云服务商政府类安全认证对比 政府类安全认证 云服务商 DJCP FIPS 140-2 Fed RAMP 中等授三级 AWSlxxi 微软Azurelxxii 阿里云三级 lxxiii DIA CAP 安全授权 安全授权 Dod CSM 评估授权 EU Safe Harbor CESG IT-G IRAP NZ GCIO 满足要求 满足要求 MTCS 亚马逊认证 加入协议 安全认证 安全认证 认证 安全评估 安全评估 三级认证 三级认证 权 中等授二级 认证 权 — 加入协议 — — — — — — — — — — — 腾讯云三级 lxxiv — — — — — — — — — — 天翼云 以上认证均未获取，获有中国信息安全测评中心管理系统EAL3测评lxxv 制图：互联网实验室，2015年12月 （表格“—”处为截止到制表时公开渠道未查知） 政府类安全认证中，包括中国公安部等级保护测试、美国国防部授权和英国的政府云认证等在各自本土区域都具有较大的影响力。
（1）亚马逊AWS以及阿里云、腾讯云均已获得公安部信息安全等级保护三级认证。等保认证是目前国内最具权威的官方安全认证，除电信天翼云外其他四家云服务商均获得该认证。而同为国外云服务商的微软Azure仅获得二级认证。
（2）亚马逊AWS成为美国第一家获得国防部授权允许处理政府高安全级别信息权力
52 / 73
“云”深不知处—2016企业上云安全策略指南
的商业云服务商。美国防部的临时授权允许亚马逊云可在满足等级2的标准上提供服务，即允许亚马逊AWS处理美国联邦政府的“敏感”数据工作。
（3）亚马逊AWS加入欧美数据安全港协议认可，并通过欧盟29条数据保护工作小组认可。欧盟和美国签订的数据安全港协议一直被认为是双方之间保护用户隐私的指导文件，但在2015年10月欧盟法院对数据安全港协议提出质疑后，亚马逊AWS发表了声明，其在2015年3月获得的欧盟第29条工作组认可，证明其向客户保证的符合欧盟高标准数据保护法有效。
（4）公开资料未找到中国本土三家云服务商进行的国外政府类安全认证。可能受云计算技术发展程度的限制，国内三家云服务商在国际市场的活跃度不如在国内市场。
虽然亚马逊和微软所满足的国外政府机构的安全标准，在我国来说并不具有强制性，但是亚马逊对获得包括我国新版等保在内的各类政府云安全认证努力表明了其为满足在敏感加密、信息保护和多种评测方面的极致追求。 行业类安全认证结果对比。由于云计算安全和传统信息安全在安全目标本质方面具有延续性，但标准更高，即保护信息资产的保密性、完整性；业务可用性、连续性；数据中心运维可靠性、时效性等具有更严格的要求。所以，信息安全风险管理等依然是上云后企业需要达到的核心安全要求。 国际第三方组织颁布了一系列的认证标准，用以规范云信息系统、数据隐私保护，由于获得相关的认证标准即意味着云服务商在这些领域所能达到的安全承诺，因此企业可以直观地通过云服务商所获得的行业组织的认证标准，来考量云服务商在信息安全管理上是否具备建立科学有效的管理体系的能力，是否做好了为企业提供可靠、安全服务的准备。云服务商是否获得以下几个认证基本上反映了当下其在行业内安全合规认证的层次水平。
53 / 73
“云”深不知处—2016企业上云安全策略指南
图表 16五家云服务商行业类安全认证对比
云服务商 亚马逊AWSlxxi 微软Azurelxxii 阿里云lxxiii 行业类安全认证 可信云认证 — 有 有 有 有lxxvi ISO 27017 有 — — — — ISO 27018 有，包含中国 有，未含中国 — — — ISO27001 ：2013 有 CSA-STAR PCIDSS 自我评估 一级验证 一级验证 — — — CDSA 符合标准 符合标准 — — — ENISA IAF — 符合认证 — — — FISC — 评估满足 — — — 有 2005版 有 2005版8 自我评估 金牌 — — 腾讯云lxxiv 天翼云 制图：互联网实验室，2015年12月 （表格“—”处为截止到制表时公开渠道未查知） 行业类安全认证中，最具权威性的是ISO系列和CSA金牌认证，尤其27017和27018，分别针对信息安全管理和个人云端隐私保护提出了最新的标准。有些行业认证的形式意义大于实际意义。 （1）可信云认证是目前中国云服务市场行业内的唯一认证，但是并非国家标准。由于该标准执行中遵从了工信部对IDC牌照认证的要求，所以对外资云服务商具有严格限制。但这并不代表外资云服务商的安全合规标准达不到其要求。 （2）ISO27017是最新的针对云服务信息安全管理方面的标准，目前五家云服务商中只有亚马逊AWS获得了该认证。亚马逊AWS获得ISO27017认证代表了其在信息安全管理方面达到了国际先进水平，表明用户使用亚马逊AWS云服务时通过云计算服务的风险管理选择适当的控制措施和实施指南可满足信息安全管理的基线。 （3）ISO 27018是首个国际化云端隐私数据保护标准，旨在保证客户的数据隐私和安全。对客户而言最大的意义是云服务商不得使用其接收到的个人信息来打广告或做营销，除非客户有明确指示，且客户拥有知晓他们的信息是如何被使用的权利。
8 未能找到明确的认证版本，仅通过公开资料获知其早期通过
ISO27001认证，故以2005版对比
54 / 73
“云”深不知处—2016企业上云安全策略指南
亚马逊AWS与微软Azure均获得了ISO27018认证，但亚马逊AWS包含中国地区。这表明国内特殊企业在选择云服务商时如果更加注重对客户个人数据信息和隐私保护的话，亚马逊AWS在满足企业需求时更具有权威性。
第二，标准审计透明度比较结果
在引入云计算的起步阶段，更多的透明度可能是增加利益相关者舒适度的最佳选择，而公开审计行为是提供保证的方法之一。目前我们发现国内的云服务商主要通过：以公开的方式表述有审计行为的存在；依据相关审计标准而出具的审计报告；参与云行业组织鼓励云服务商公开安全实践透明性的行动；公开政府索取数据情况的公告。企业依托于云服务商公开提供的审计行为声明，来针对性地检验与自身所需审计要求如何进行匹配。
55 / 73
“云”深不知处—2016企业上云安全策略指南
图表 17五家云服务商透明审计情况
透明审计表现 云服务商 SOC1 SOC2 SOC3 CSA透明行动 欧盟标准条款 其他 亚马逊AWSlxxi 有 有 有 自我评估声明 完善的内部审计，负责从安全技术到有 法律合规的全流程审计，包括对客户的合规性审计。 定期发布《执法要求报告》，揭露收到的政府要求的范围和数量。 拥有内部安全审计团队，维护多个国际、国内安全体系及标准的有效性，通过审核和审计以满足合规性要求，包括对客户的合规性审计。 拥有内部安全审计团队，对各项合规微软Azurelxxii 有 有 — 自我评估声明 有 阿里云lxxvii — — — — — 腾讯云lxxiv — — — — — 性内容进行审计，包括对客户的合规性审计。 基于对国有企业的一些合规审计，包括对客户的合规性审计。 制图：互联网实验室，2015年12月
天翼云lxxviii — — — — — （表格“—”处为截止到制表时公开渠道未查知）
透明审计中SOC系列和CSA倡导的透明行动都是重要的行为准则，欧盟标准条款在欧盟区域内也是一项通行的办法。 （1）亚马逊AWS和微软Azure均通过了SOC系列的SOC1和SOC2重要审计准则认证。亚马逊AWS的SOC审计优于微软Azure一个SOC3，其是公开提供的亚马逊AWSSOC2报告摘要。该报告包括外部审计员对控制操作的看法、亚马逊AWS管理对于控制有效性的声明以及亚马逊AWS基础设施和服务概述。这一极佳资源让客户不用申请查阅SOC2报告即可验证亚马逊AWS已获外部审计保证。
56 / 73
“云”深不知处—2016企业上云安全策略指南
（2）亚马逊AWS和微软Azure都参与了CSA的透明性活动。通过查阅加盟企业此前提交给云安全联盟“安全信任与保证注册项目的报告，企业的潜在客户可以便于评估产品和服务是否满足其安全需要。亚马逊AWS已经完成了CSA的一致性评估问卷，提供参考和记载亚马逊AWS的IAAS产品中存在了哪些安全控制体系的方法。问卷包括了云客户和云审计师可能希望向云服务商提问的140多个问题。
（3）微软Azure提出会定期公开《执法要求报告》，揭露他们收到的政府要求的范围和数量。相比较而言，亚马逊AWS既非“棱镜门”事件中曝光的美国八大金刚企业，也没有向政府提交用户数据，足以说明在保护企业用户数据安全方面具有足够的实际行动能力。
（4）从国内企业公开的信息看，其面向大众的、普遍的关于审计行为的存在表述也反映出了国内云服务市场仍不成熟。由于云计算发展十分迅速，且云计算安全不同于传统的信息安全，例如：网络边界模糊等，给自我审计造成了一些列的困难。同时，缺乏类似美国的透明审计标准，让云服务商自我管理无障可循，而设计符合自己的管理模式需要一个过程，导致国内云服务商面临着有心无力的现状。
对国内企业而言，虽然国外云服务商的一系列透明度审计比较陌生，但是这些审计形成的制度规则和可视性结果足以让企业在识别云服务商安全合规性方面产生可信任的依据，满足企业对安全合规认知的诉求。
第三，云服务商法律政策的遵从比较结果
云服务商法律遵从主要是解决身份和业务合规性问题，具有严肃的法律责任。第一，服务商需要遵从服务所在国家或地区的法律法规，依照其规定确立自身合法的身份问题。如企业需要按规定办理注册登记等业务。第二，服务商需要遵从关于服务业务方面的法律法规，确保提供服务的合法性要求。如涉及到公共组织和私营机构要保护个人数据的隐私性、信息和计算机系统的安全性。其中最为特殊的是数据跨境流动问题带来的法律管辖权变化，这是网络时代和云服务自身特殊性所决定的。企业用户需要对数据跨境流动问题有足够了解，以此可以在选择符合自身业务需求的云服务商时规避法律风险。
图表 18五家云服务商在法律遵从方面的公开信息
57 / 73
“云”深不知处—2016企业上云安全策略指南
法律遵从情况 云服务商 当地法律 亚马逊AWSlxxi 微软Azurelxxii 阿里云lxxvii FISMA HIPAA FERPA FDA CFR ITAR IRS 1075 CJIS Section 508 表明遵从 表明遵从 表明遵从 表明遵从 表明遵从 遵守 遵守 遵守 满足监管 遵守 — 遵守程序 符合条款 遵守 遵守 遵守 满足监管 — 符合要求 遵守程序 符合条款 — — — — — — — — 腾讯云lxxiv — — — — — — — — 天翼云 — — — — — — — — 制图：互联网实验室，2015年12月
（表格“—”处为截止到制表时公开渠道未查知）
法律遵从方面，医疗、教育、金融等特殊行业的法律遵从更具有典型意义。 （1）国内云服务商偏向简单表述法律遵从，淡化了法律遵从对客户的意义。三家云服务商在法律遵从方面的声明比较概要，没有针对特殊行业的精细化内容，不利于企业用户直观理解一些他们所关心的内容。这也许是中国市场的特殊环境所决定，但这种模式不符合成熟市场对云服务商的理解。 （2）国外云服务商尤其明确遵从教育和医疗行业对数据传输限制的法律。亚马逊AWS和微软Azure都遵守家庭教育权和隐私权法案和美国健康保险流通与责任法案的要求，明确云服务处理环境维护学生和医疗方面的信息，限制传输相关的数据。亚马逊AWS创建符合HIPAA的医疗数据应用程序白皮书概述了公司如何使用亚马逊AWS来处理促进HIPAA和HITECH合规性的系统。
（3）亚马逊AWS严格遵从特殊敏感领域对数据跨境流动安全的限制条例。武器出口
58 / 73
“云”深不知处—2016企业上云安全策略指南
项目对信息的保护极其严格，必须要求掌握防止意外出口。亚马逊AWS能成为美国国际武器贸易条例的遵从方，在保护和限制数据访问方面完全遵守该条例。说明亚马逊AWS的信息安全管理技术和能力获得了特殊行业部门的认可。
虽然亚马逊AWS等国外云服务商遵从的法律并不完全适用于中国市场，但是在网络空间和全球一体化的大背景下，数据流动和保护是必须要面临的问题。他们在数据跨境法律遵从方面的有益实践可以让国内用户企业感受到作为一个负责任的云服务商切实遵从法律的义务和合规要求。
59 / 73
“云”深不知处—2016企业上云安全策略指南
结论
企业上云是大势所趋，对于上云企业而言，针对是否要将业务等转移到云端，企业必须仔细考虑风险问题，考虑云计算如何能够加强他们的业务价值，实现他们的IT目标，尽量降低可能面临的风险。因此，企业需要对云服务的安全功能有更加具体的认知。我们通过非技术测评角度对国内外五大云服务商在涉及到云安全的六大方面，通过19个细化指标进行能力对比与论证，旨在通过此种方式将云服务商的安全实践转化为云用户的云安全认知结构，使企业用户在建立起云安全认知体系的基础之上考量自身业务如何与云服务完美嫁接。
以下是以每个云服务商为主体，对云服务所涉及到的泛安全的信任基础、物理基础设施的部署、内部人员管理、事故响应、数据安全保护和合规性表现六大安全板块进行的安全能力水平归纳总结，便于企业用户系统了解云服务安全性，参考进行云决策。
亚马逊AWS已经呈现出全球领先的云安全保障能力。在美国完善的安全政策、法律和市场环境下，身为云计算服务鼻祖的亚马逊AWS，多年的发展经验使其在市场规模及计算能力等泛安全的信任基础、物理基础设施的部署、数据安全保护、内部人员管理和合规性表现等方面发展形成了领先的安全保障能力。其与趋势科技等国际领先安全服务类公司强强联合，不断完善安全保障的生态系统，其安全市场领先地位也进一步被夯实。
60 / 73
“云”深不知处—2016企业上云安全策略指南
微软Azure通过合作方式，加快在中国的产业落地。微软Azure天然的安全保障能力也得益于美国完善的政策、法律和市场环境，其拥有亚马逊AWS未获得的FISC等认证，但是缺少国内针对中国云市场的ISO27017和ISO27018认证。另外，在计算能力和商业价值方面略逊色于亚马逊AWS。
阿里云安全市场布局速度加快。阿里云在中国获得了本地化的相对优势，并在深入理解国内用户需求的基础上提出了“安全托管”服务。数据安全保护方面，阿里云规模性的、迅速的与第三方开展合作，不断完善数据安全保障能力。虽比国外云服务商获得的认证标准少，但与国内云服务商相比，其获得的相关认证数量处于领先地位。
61 / 73
“云”深不知处—2016企业上云安全策略指南
腾讯云安全市场不容小觑。腾讯云也在不断与安全服务商开展合作，其凭借多年积累的安全保障经验也覆盖了一定规模的云服务市场。合规性方面，也基本满足国内常见的云安全服务认证。但在细分维度下腾讯云还存在一定的安全保障缺口。
天翼云仍需补足多方面的安全能力。基于运营商的身份背景，天翼云在数据中心的部署上已经形成了明晰的层次，但是在内部人员管理、数据安全技术和第三方认证的获取上面依然与国内外的其他服务商存在差距，需要完善。
62 / 73
“云”深不知处—2016企业上云安全策略指南
后记：共筑云安全更佳状态需要各方参与
时间走到2015年，已经很少有人怀疑云计算的趋势和能量，但安全因素依旧阻碍着组织上云的步伐。安全必然是一个持久问题，需要云服务商与双方增强沟通，划清职责，需要制度的参与共同保障安全的云环境。
政策层面上，云安全标准制度、物理设施标准、安全法律责任、安全运维管理等方面的标准建设比较滞后，政府层面应该大力加快完善。该方面应该充分借鉴云普及率高的地区的信息安全管理经验和相关标准，制订符合本国国情的信息安全标准。大力促进这一能够全面提升生产效率的新型服务模式。
对于云服务商来说，其一， 云服务商需要提高自身安全服务能力，也有责任和义务为客户提供优质的信息安全生态环境。云服务商为了提升客户的安全感，可不断地构建云安全生态环境，让有能力的信息安全厂商或符合客户要求的产品公平竞争，提供客户择优选择。其二，云服务商需要引导客户提高安全认知与安全意识，公开分享一些云服务的最佳实践是重要的举措，这对企业上云有较好的促进作用。
实践层面上，企业的云之旅很难脱离自身业务单独去谈安全。国内云服务处于起步阶段，有相当一部分传统IT企业技术能力较为薄弱，部分企业也存在责任失衡的错误认知，企业也许能在本读本中获得上云的参考，明确自身与云服务商之间怎样保持最佳关系。首先，企业需要走进云服务商，加快对云计算的认识从概念走向实践，并能够在其建设云计算平台过程中给出指导意见。与云服务商的广泛交流以及内部分享学习的强化，协助企业上云的咨询机构进行交流，有助于企业内部关于云服务采购和管理方面技能和知识的进步。其次，企业需要在自我加强关于数据全周期管理能力，明晰自身需要做出的安全防护职能。最后，企业
63 / 73
“云”深不知处—2016企业上云安全策略指南
需根据自身的业务特点针对性的去评估云服务商的安全能力。
企业还可以不断地尝试触及云，压缩云从概念到落地转化之间的时间差。企业对云计算当中蕴藏的巨大价值还没有充分的进行挖掘，导致云从概念到落地的转化存在一个时间差。由于企业不需要浪费购买计算硬件而带来的资源闲置，上云就意味着节省成本的印象已被众多的企业所接受。但是我们却不得不说，这不足以成为撬动企业充分上云的唯一优势支点。以生产型企业为例，云计算结合物联网、大数据技术、机器人，能为生产智能化创造技术条件。设备与产品的生产运行过程数据化，数据通过网络连接上传到云端，行业大数据的积累与分析可以找到生产过程中系统运行、参数设置等方面的最佳状态，通过数据的实时比对，可以发现生产过程存在的问题，及时加以解决，使整个生产过程高效化、精准化，从而提升生产效率，创造更大的利润价值。因此，企业也需要不断地触及云，将云视为一种粘合剂，使这种新的IT供应模式、计算模式与企业自身环境结合在一起，将对云的IT投资视为在新的领域创造新的生产能力的价值释放理念纳入到上云决策之中。
64 / 73
“云”深不知处—2016企业上云安全策略指南
常见问题
1.互联网实验室希望读者如何阅读本报告？
我们将本报告定位为企业在进行上云决策和调整过程中的最佳云安全读本，即在报告的逻辑框架上我们时刻注意与企业就安全这一话题进行交流。本报告仅为云服务商在安全部署方面的表现展示，并给予了一定的比较结论。这并不代表企业可以以本报告的结果作为进行云决策的唯一参考依据，企业还需要结合企业自身的环境与业务，在综合考量云服务商的其他能力要素的基础上做出最佳的决策。
2.如何理解本报告将五家云服务商纳入对比？
目前国内云计算市场参与逐鹿的企业属性呈现多元化的特点，不仅有传统的IT公司、电信运营商、还有大型互联网平台企业、创业公司，且提供云产品的理念与形态也仍处于演变进化的过程中。本次研究对象的选择在考虑市场表现的之外，希望覆盖不同企业类型、业务形态的云服务商的云安全实践展现。没有纳入本次对比的云服务商并不代表其在云安全能力部署上处于弱势，今后随着本项目的深入拓展，我们希望能够尽可能地为读者纳入更多的云服务商在安全实践方面的优秀行动。
3.本报告所搭建的安全能力评价体系与国内外发布的云安全标准、云安全指南之间是什么关系？ 在搭建云安全能力框架时，我们重点参考了CSA的《云安全指南》中涉及到的14个云安全关键域，欧洲网络与信息安全局（ENISA）颁布的《Cloud Computing Benefits Risks and Recommendations for Information Security》中所提及云计算存在的35个风险。
上述提及的云安全指南与报告在阐述云安全的各项风险域已经达到了非常细致的程度，但是由于云安全所涉及的知识领域相对复杂，涉及到法律风险、技术风险、以及对于非云特有的风险，无论对于企业决策者还是负责相关职能的IT从业人员，均很难对上述领域的知识做到完全覆盖。我们希望在参考上述云安全指南和报告的基础之上，将云关键安全能力解
65 / 73
“云”深不知处—2016企业上云安全策略指南
释转化为企业、公众可理解的信息，以期帮助企业构建相对系统、全面的云安全知识体系。如需了解更为详细的标准，我们也列举了以下文档，以供参考。
CSA——
《Security Guidance for Critical Areas of Focus in Cloud Computing3.0》； 《Cloud Security Guide for SMEs——Cloud computing security risks and opportunities for SMEs》
ENISA——
《Cloud Computing Benefits Risks and Recommendations for Information Security》
4.本报告所搭建的安全能力评价指标与对比结果是否可作为技术测评结果？
由于本报告强调基于公开信息来帮助企业构建充足的关于云服务商安全能力的研判信息，通过对比云服务商来了解上云需关注的安全环节，即可对上云安全做到心中有数，应对有术，从而在上云决策中，提升基于安全视角的理性、客观性，优化的最佳决策。本报告旨在通过非技术测评方式向传达用户辅以上云决策之路的安全知识体系，在实践当中，如果企业用户需要对云服务商的相关指标获取技术测评，企业用户可依托于本报告提及的信息，寻求专业测评机构的测评结果，作为辅助云决策的另一方面的客观信息。
5. 当企业已经面临进行IaaS、PaaS、SaaS等不同的云服务模式选择时，在本报告所展示的信息基础上还需要考量哪些内容？
由于本报告对云安全问题的破题映射到云服务商的安全实践表现，以云服务商主体作为安全实践对比的一级维度，由于IaaS、PaaS、SaaS服务模式的不同，所需要的安全需求与安全问题也会不尽相同。例如，不同云服务模式不同的云服务模式理想中合规性责任分担是不同的。以企业向IaaS转移为例，IaaS的合规性责任分担合理模型是：公司控制数据和应
66 / 73
“云”深不知处—2016企业上云安全策略指南
用程序；公司共享控制虚拟服务器；云服务商控制物理服务器、存储和网络。希望读者在通过本报告对云安全实践有基本的认知之后，能够更加深入的结合自身的业务模式，结合自己需要选择的云服务模式后继续思考云安全问题。
6.在报告中提及了与企业进行的交流访谈，如何看待提及的企业调研结果的意义？ 我们在项目周期内与小规模的不同类型的企业进行了电话或者面对面交流，但是报告中提及的企业的交流想法均不具备统计学意义。通过小范围的调研，我们也发现了不同企业对上云、对上云安全的不同认知，在今后的立项中希望展开具有统计意义的大范围调研，来解答目前解答不了的问题。
云服务商信息来源说明
亚马逊AWS：以亚马逊AWS截止到2015年11月的官方网站公开内容和网站上可供下载的各类安全白皮书为主要参考资料，并辅以各类专业新闻资讯类网站信息，包括国外相关网站。
微软Azure：以Azure官方网站公开更新时间为2015年5月的内容和世纪互联网站截止到2015年11月的公开内容为主要参考材料，并辅以国内外各类专业新闻资讯类网站信息。
阿里云：以2014年1月发布的《阿里云安全白皮书》中文版和截止到2015年11月阿里云官方网站公开的内容为主要参考资料，并辅以各类专业新闻资讯类网站信息。
腾讯云：以2015年10月发布的《腾讯云安全白皮书》和截止到2015年11月腾讯云官方网站公开的内容为主要参考资料，并辅以各类专业新闻资讯类网站信息。
天翼云：以截止到2015年11月天翼云官方网站公开的内容为主要参考资料，并辅以各类专业新闻资讯类网站信息。
报告涉及云服务商的信息均来自于相关云服务商及业界公开资料。为确保信息准确，结论公正，项目组执行了信息确认流程——将报告核心信息通过公开渠道递送至以上五家云服务商。截止2016年1月4日，项目组收到亚马逊AWS、阿里云、腾讯云的回复，并根
67 / 73
“云”深不知处—2016企业上云安全策略指南
据反馈意见结合公开信息对部分细节进行了修正。微软Azure及天翼云未回复确认信息，报告在保证信息来源清晰的前提下，提示读者参考使用。
68 / 73
“云”深不知处—2016企业上云安全策略指南
致谢
云计算的好处已经在诸多的场合被提及，企业将云的诸多的优点引入生产、运营、服务环节之中，能够在创造新的商业模式、持续创新、降低成本等方面释放巨大的价值潜能。但是在中国企业上云之路则显示出漫长乃至于曲折的过程。互联网实验室与企业的近距离地交流访谈中，上云路途的一个阻碍是企业对云安全的担忧。我们希望通过构建中国企业对云安全的评价认知和指标体系，来破解这一困境。
在这一过程中，实验室获得了国内高校、研究机构中信息化、信息安全、云计算等领域的机构与专家，以及其他在该领域长期从事一线工作的专业人士的研究支持。专家基于所在专业领域，就研究中涉及的中国云计算发展状况及特殊性，企业上云安全的整体性困惑和解决方法等问题进行了解答。2015年12月报告成型后，实验室再次组织召开专家小组会议对报告进行评审论证，专家提出的建议和指导意见，对最终报告很有帮助。
这些机构与专家包括，北京邮电大学互联网治理与法律研究中心，北京大学网络与软件安全保障实验室主任陈钟教授，IDF互联网威慑情报积极防御实验室创始人万涛，中关村诚信互联网安全数据服务产业连盟安全顾问陆宝华，中科院研究生院信息安全国家重点实验室教授翟起滨，ITGov中国IT治理研究中心主任、北京大学数字中国研究院信息化创新与治理研究中心副主任孙强，中国人民大学法学院鉴定中心副主任谢君泽，中国互联网协会研究部主任助理谢程利，中国计算机安全专委会主任严明，长城网际技术总监陈幼雷，北京邮电大学互联网治理与法律研究中心副主任、副教授谢永江，葵花街科技有限公司创始人王为民。
研究过程中，实验室还在小范围内与中国企业IT部门高管、技术负责人进行了交流，了解中国企业对上云决策的看法，对云安全的态度。这些企业覆盖互联网金融、移动应用开发、IT系统开发等IT企业，也包括城市基础设施建设运营、加工设备制造、电子仪器制造等传统行业，在此我们一并表示感谢。
69 / 73
“云”深不知处—2016企业上云安全策略指南
i 中国政府采购网 《云安全审查来临
云服务商如何解读》http://www.ccgp.gov.cn/qycp/fuw
u/qydt/201507/t20150706_5514689.htm
ii 天极网，《亚马逊
AWS发布AWS中国区合作伙伴计划》http://cloud.yesky.com/316/421
77316.shtml
iii阿里云·云市场 https://market.aliyun.com/security?spm=5176.7369765.201.154.sQr095
iv
CSA,《云计算关键领域安全指南 V3.0》, D7: 传统安全、业务连续性和灾难恢复；D9: 事故亚马逊AWS官网-全球基础设施 https://AWS.amazon.com/cn/about-亚马逊Azure数据中心上的钱究竟有多少》2015.08.06 响应
v
AWS/global-infrastructure/
vi产业联盟网，《微软砸在
http://www.idcun.com/green_idc/2015080643513.html
vii viii
微软Azure官网-备份http://www.windowsazure.cn/home/features/back-up/ 世纪互联官网，“首家获五项可信云服务认证：世纪互联云服务可信之选”
http://www.ch.21vianet.com/?p=2508
ix
网易财经，《阿里云扩建香港数据中心 满足亚太资源需求》《阿里云安全白皮书》灾难恢复与业务连续性，人员安全。 阿里云开发者论坛http://bbs.aliyun.com/read/262003.html?spm=5176.383338.3.2.qbY新浪科技《阿里云宣布开放美国数据中心与亚马逊短兵相接》i天下网商，《阿里云确认开建迪拜数据中心 全球部署增至7个》百度百家，《内蒙古资源池全面升级天翼云实力》中国IDC圈，《TIA-942对机房的分级及性能要求》http://dc.idcquan.com/jfjs/73930.shtml 和讯网，《2013年云计算的九大威胁》Stephen Orban，《从CIO视角出发审视云环境下的安全议题》，2015年6月 亚马逊AWS Risk and Compliance Whitepaper, Appendix A 《腾讯云安全白皮书》全面的内部人员和供应商安全管理
亚马逊AWS官网-Amazon EC2 服务水平协议 http://www.amazon亚马逊
亚马逊AWS官网-Amazon CloudWatch http://AWS.amazon.com/cn/cloudwatch/ 微软Azure官网-服务级别协议 https://azure.microsoft.com/zh-cn/support/legal/sla/
http://money.163.com/15/1117/14/B8KNHQP300253B0H.html x xi
R51
xii
http://tech.sina.com.cn/it/2015-03-04/doc-ichmifpx9337167.shtml xiii
http://www.iwshang.com/Post/Default/Index/pid/38826.html xiv
http://news.mydrivers.com/1/328/328384.htm xv xvi http://tech.hexun.com/2013-03-01/151600685.html xvii xviii xix xx
AWS.cn/ec2/sla/
xxi xxii
70 / 73
“云”深不知处—2016企业上云安全策略指南
xxiii
“使用Azure HDInsight大数据技术来进行Azure WebSites网站及其他日志文件分
析”http://blogs.technet.com/b/chinatechnet/archive/2015/03/10/azure-hdinsight-azure-websites-log-analysis.aspx
xxiv xxv
阿里云官网-服务等级协议（SLA） http://www.aliyun.com/product/ecs/sla 阿里云官网-日志服务
腾讯云官网-服务等级协议（SLA） http://www.qcloud.com/wiki/%E6%9C%8D%E5%8
http://www.aliyun.com/product/sls/?spm=5176.383338.201.67.NtRhOR#Approve
xxvi
A%A1%E7%AD%89%E7%BA%A7%E5%8D%8F%E8%AE%AE%EF%BC%88SLA%EF%BC%89
xxvii
腾讯云官网-大数据处理套件TBDS http://www.qcloud.com/product/tbds.html#featur亚马逊AWS官网-安全中心- iam https://AWS.amazon.com/cn/iam/ es
xxviii xxix xxx
亚马逊AWS官网-产品与服务 https://AWS.amazon.com/cn/directoryservice/ 微软Azure 官网-Azure 多重身份验证
Azure 官网-访问和身份
https://azure.microsoft.com/zh-cn/services/multi-factor-authentication/ xxxi微软
https://azure.microsoft.com/zh-cn/services/active-directory/ xxxii
阿里云官网 http://www.aliyun.com/ xxxiii
xxxiv
通过电话连接阿里云客服确认 通过电话连接腾讯云客服确认
xxxv
腾讯云官网-腾讯金融云介绍 http://www.qcloud.com/wiki/%E8%85%BE%E8%AE%A南方网“天翼云4.0发布 带宽优化实现智能提速”通过电话连接天翼云客服确认
亚马逊AWS官网- Amazon VPC https://AWS.amazon.com/cn/vpc/ 亚马逊AWS官网- 亚马逊AWS Import/Export
F%E9%87%91%E8%9E%8D%E4%BA%91%E4%BB%8B%E7%BB%8D
xxxvi
http://tx.southcn.com/mobileinternet/content/2015-06/08/content_125898387.htm xxxvii xxxviii xxxix https://AWS.amazon.com/cn/importexport/ xl xli xlii xliii xliv
亚马逊AWS官网-安全中心 https://AWS.amazon.com/cn/security/ 亚马逊AWS官网- Amazon S3 https://AWS.amazon.com/cn/s3/
亚马逊AWS官网-亚马逊AWS CloudHSM https://AWS.amazon.com/cn/cloudhsm/ 通过电话联接亚马逊AWS客服查询 微软Azure官网-Windows Azure 信任中心
比特网，“微软Azure提供透过硬盘数据导入导出服务”
微软Azure官网-密钥保管库 https://azure.microsoft.com/zh-cn/services/key-vault/
http://www.windowsazure.cn/zh-cn/support/trust-center/security/
xlv
http://storage.chinabyte.com/136/12766136.shtml
xlvi
71 / 73
“云”深不知处—2016企业上云安全策略指南
xlvii
微软Azure官网-Windows Azure 信任中心 微软Azure官网-重要的服务和你可依赖的功能
http://www.windowsazure.cn/zh-cn/support/trust-center/security/
xlviii
https://azure.microsoft.com/zh-cn/services/
xlix
微软Azure官网-监视、日志记录和报告
https://azure.microsoft.com/zh-cn/support/trust-center/security/monitor-log-report/
l
微软Azure官网-Windows Azure 数据安全
http://www.windowsazure.cn/blog/2013/12/15/windows-azure-data-cleansing-and-leakage
li
阿里云产品博客，“云计算安全感——政务云安全实践介绍”http://blog.aliyun.com/932 赛迪网，“阿里云携手江南天安发布国内首款云数据加密服务” http://www.ccidnet.com/阿里云官网-云监控http://www.aliyun.com/product/jiankong 阿里云官网-云服务器（ECS）服务等级协议 http://www.aliyun.com/product/ecs/sla 中国政府采购网，“腾讯云推新五大产品服务 CDN服务升级看点最多”lii
2015/1211/10065310.shtml
liii liv lv
http://www.ccgp.gov.cn/qycp/jsjsbjrj/schq/201501/t20150120_4940654.htm lvi
lvii lviii lix lx
腾讯云官网-对象存储服务 http://www.qcloud.com/product/cos.html
腾讯云官网-云监控 CM http://www.qcloud.com/product/cm.html#features 腾讯云官网-腾讯云使用指引http://www.qcloud.com/wiki.html 天翼云官网-对象存储 http://www.ctyun.cn/product/oos 天翼云官网-中国电信天翼云主机服务协议
亚马逊AWS官网-亚马逊AWS WAF – Web 应用程序防火墙
趋势科技官网，“趋势科技亚马逊AWS安全解决方案落地中国 为用户提供最佳安全服务”
http://service.ctyun.cn/cloudportal/tpl/modalWindow/orderAgreement.html lxi
https://AWS.amazon.com/cn/waf/ lxii
http://www.trendmicro.com.cn/cn/about-us/newsroom/releases/articles/20141212074202.html lxiii lxiv
安全狗官网-关于我们http://www.safedog.cn/about.html 微软Azure官网-Threat Management 微软Azure官网-案例与伙伴
乐活中国，“安恒信息与阿里云战略合作布局政企云计算安全市场”腾讯云官网-云安全 QS http://www.qcloud.com/product/qc.html
安全狗官方论坛，“腾讯云API接口全面开放 安全狗首批接入”http://bbs.safedog.cn/t
https://azure.microsoft.com/zh-cn/support/trust-center/security/threat-management/ lxv
http://www.windowsazure.cn/partnerancasestudy/partner/
lxvi
http://lohas.china.com.cn/2015-09/23/content_8257253.htm
lxvii lxviii
hread-73858-1-1.html
lxix
天翼云官网-云主机 http://www.ctyun.cn/product/cloud
72 / 73
“云”深不知处—2016企业上云安全策略指南
lxx lxxi
天翼云官网-镜像专区 http://www.ctyun.cn/product/mirror
亚马逊AWS官网-亚马逊AWS 合规性 http://AWS.amazon.com/cn/compliance/#third微软Azure-合规性 https://azure.microsoft.com/zh-cn/support/trust-center/complia
-party
lxxii
nce/和其在中国合作厂商世纪互联官方网站http://www.21vbluecloud.com/services/mediacenter/news/2015/2/5/1629.html
lxxiii lxxiv
阿里云官网-安全中心 http://security.aliyun.com/compliance
腾讯云官方发布的《腾讯云安全白皮书》http://qzonestyle.gtimg.cn/qzone/vas/opens中国信息安全测评中心，“测评公告（2014年第5号）”http://www.itsec.gov.cn/expor飞象网，“中国电信云服务首批通过可信云服务认证” http://www.cctime.com/html/20阿里云官网《阿里云安全白皮书（中文版）发布稿》2014年1月 http://help.aliyun.com天翼云官网-中国电信云业务服务协议 http://www.ctyun.cn/terms
ns/res/doc/Qcloud_Security_White_Paper.pdf
lxxv
t/sites/itsec/product/evaluation/dd3ea8f7-2295-11e4-8760-4fa1f1c236bf/ lxxvi
14-4-3/2014123732337733.htm
lxxvii
/knowledge_detail/5975221.html
lxxviii
互联网实验室公众账号
73 / 73
因篇幅问题不能全部显示，请点此查看更多更全内容