騰訊王永霞：騰訊云安全治理最佳實踐
責編：rhliu ｜2016-11-11 17:43:20王永霞：大家上午好！昨天我們有一個主論壇，昨天下午，黎巍總也給大家分享了騰訊云在安全方面我們的一些方法和思路。
我們先進行一下互動，昨天在演講時有提到一個數字，黑產在云上非常激烈的狀態，要發動一次簡單的攻擊最小的成本是多少錢？誰知道。
觀眾：200元。
王永霞：對，回答得非常好，發個小禮物，騰訊的吉祥物。昨天黎巍總也引入了一句經典的話，“這是一個最好的時代，也是最壞的時代”。云上黑產很猖獗，威脅也很多，云上有什么痛點和問題呢？剛才做技術的大咖已經給大家做了分享，下面我們從管理上與大家分享這個話題。
云計算這個領域還是比較新的，所以，我今天用探索的心態和思路與大家分享，盡管我個人認為，我們在這方面還是走在比較靠前的階段。云上有什么樣的風險和痛點，我們從云的租戶和云供應商兩方面和大家做分享。作為云端的租戶來看怎么看我們云安全狀態呢？
首先，它會擔心我們云服務平臺可能會中斷，不管是什么原因？擔心它的數據在云端可能會被泄密，不管是因為黑產還是云服務商內部管理的問題，都有可能帶來這樣一種情況和后果。
第二，云上個人信息的泄密問題。我們作為云服務商也會擔心互聯網上的服務會導致各種各樣的云安全狀態，比如云服務平臺會被惡意使用，變成攻擊源；客戶使用時可能違規違法使用，這對我們來說都是業務方面不能承受的痛點。
我們基于這些方面來看，在基于云安全，傳統的27001，各位朋友對27001應該很熟悉，我們講信息安全時談到三個屬性：機密性、完整性、可用性。云安全上這三方面還是存在的，只是云方面我們提出了第四點——可控性。這對云的平臺以及云服務在安全性方面都是非常關鍵的一種屬性。我們剛發布的，明年會正式使用的《網絡安全法》也談到基于云或互聯網下面安全可控，國家方面的要求。
騰訊云安全合規資質之路。
我們也有很多好的方法和實踐，騰訊云安全發展的步驟和我們國家云計算的發展是相吻合的。我們是2014年首先家通過27001：2013年版認證的云服務商。今年我們通過云服務STAR資質，獲得云安全方面管控的方法。
騰訊云基于這個框架進行管控的方式，我們進行IP治理事件，COBIT5和以及其他管控方法，我們有自動化的安全運營平臺，有安全運營的方式方法，檢測各種安全可能的供給和或不安全的狀態，內部和外部的都會有，做到及時的響應。中間這層分為三大塊：
1、運營。騰訊云安全運營上，從人員、操作、系統平臺、虛擬化各個層面都有自己的安全管理方式方法和措施流程。
2、風險。從風險的發現，風險的處置，風險的應對都會有一系列方法，從流程、制度、平臺和工具。基于業務科恢復能力，互聯網情況下會有各種各樣不安全的狀態，萬一碰到災難性的情況，我們要能夠及時地去恢復，恢復能力即使作為云服務商，我們應該給設備承諾的責任，或者給客戶提供的容災方案或能力。
3、彈性。彈性上，我們會從客戶端以及云服務商，都要對外提供可恢復的解決方案。以保證災難情況下，我們的云平臺、客戶能依然能延續使用我們云計算產品和服務。
騰訊云安全治理體系。
治理體系必須是從上到下的，騰訊云安全有一系列的操作，包括操作、審計等虛擬化團隊在運行。同時我們也制訂了一系列各種標準，內部的，企業的，從虛擬化，到操作，到人員，到互通性等等。各個方面適應我們自己環境下的管理要求和標準。從這三方面達成我們在內部一套可以不斷在GTC我們云管理體系。
騰訊云安全風險管理框架。
我們內部有一個管理的框架，安全界有一個認知——基于風險管理為基礎。風險管理中通常分為四個階段和風險識別、風險評估、風險評價、風險處置。四個階段中，最難的是風險識別了。我們有自己一套基于騰訊云的事件，從業界報告所總結出來的風險庫、風險地圖，它是分成了幾個大的領域，幾個子領域和若干風險項。
有了這個之后，我們進行評估和評價就比較容易了，這時候我們有比較充分的風險處置措施來跟進。運營層面有安全運營平臺來支撐，管理方面也盡量把風險可視化。風險可視化以后我們就有一系列的風險指標，來對風險處置措施運營情況和風險發生情況進行可視化的展示。這種方式也是我們在云安全方面，對風險的一種創新應用。
以上是我們從管理到治理風險框架、可視化平臺、風險工具與大家做的分享。
前面講的兩大塊，我們在云治理上面就有四個特點：是一致性、標準化和規范化的，這是必須的，這是任何管理要實現的一個效果。內部除了20007和STAR之外還有云服務質量上有一系列的管理體系。STAR平臺是把整個體系進行了整合，所以它有一體化的效果，同時也是規范化的方式。因為我們對外提供2B業務時讓客戶和市場看到我們規范化的服務是非常重要的。我們體系做流程和制度時都是要達到這樣的效果。
因為它是在互聯網方式下提供服務，又是互聯網企業，我們定流程和制度時要考慮一系列敏捷化的特點，我們寫制度和流程時都盡量用流程圖的方式讓同事比較容易也比較愿意去看，愿意遵守這樣的方法。同時，也盡量在能夠可視化情況下通過平臺和工具展示出來，比如前面講的風險指標，發生的情況和目前的現狀，當前的情況都讓它可視化展示出來，這是在STAR云安全內控上我們四個方面的特點，能夠帶來相關效果。
昨天我們開CSS大會時，騰訊云安全也發布了今年最新版的《安全白皮書》，這個白皮書按照目前行業要求和最佳方法、實踐來編制和發布的。《白皮書》內我們提出了“安全責任共擔”的理念，騰訊云對云安全怎么看，騰訊云和客戶之間責任共擔的理念，云服務商，包括客戶和租戶也是要承擔一定責任的。
騰訊云對外提供的有IaaS、PaaS和SaaS三種服務，作為IaaS級的服務，騰訊云也是云服務商提供最多的情況，包括云主機、云網絡、云存儲，這都是最基礎的IaaS級的服務，我們對外也在提供。同時還有PaaS級的服務，包括云數據庫、云視頻等等PaaS級的服務。SaaS級的服務，我們家比較有特點的人臉識別優圖產品以及云搜、云通信，基于各種各樣SaaS形態的云安全，包括天御和樂固都是我們SaaS的服務。
在IaaS、PaaS和SaaS服務中，STAR模型中，我們作為云服務提供商和客戶安全邊界上就有各自要承擔的職責和范圍。我們把它分成了五個級別。
最上面這一級是數據安全這一級。數據安全應該是客戶最關心，也最在意的一塊，但對這塊，數據分級、分類、上云之后要不要加密保存都是作為云的客戶、租戶自己應該思考的問題。當然，作為云服務商我們提供加密解決方案、加密方法和技術，但作為使用的情況是客戶自己要去分析和采用。我們包括客戶要承擔的職責和范圍。
終端，在使用云之后，終端的感覺和使用，終端的升級，必要的控制方法和手段，在SaaS層面，我們作為云服務商要承擔一定的責任，作為IaaS和PaaS客戶要自己考慮終端方面的方式方法和解決方案。
訪問控制，要解決的是訪問者或用戶、管理員權限劃分，訪問權限，識別和鑒別等等，作為云服務商和客戶都有各自要承擔的責任和邊界。
應用安全，包括應用的設計和開發，應用的上線部署和升級換代，漏洞修復等等，這也都是屬于在不同STAR下面我們云服務商和客戶之間各自承擔的責任有所劃分。
主機安全方面，IaaS層面云服務商要承擔的比其他要更多一些，但在不同模式下還是有所區分，包括虛擬化層，必要的安全手段和安全加固是云服務商要承擔的。不同情況下，客戶使用時也要考慮到，比如鏡像選擇，客戶自己也要承擔一定的安全職責。這是我們到主機和網絡上的解讀。物聯和網絡架構，包括IGC物理環境、物理服務器，網絡設備等方面，在這些方面會看到，在IaaS層面一定是云服務商應該承擔的安全責任，作為PaaS和SaaS也是云服務商要去保護的。我們對外要解釋在騰訊云安全方面，和客戶之間“責任共擔、安全共建”，怎么理解這個事情，劃分我們作為云服務商與客戶之間的安全邊界。
數據安全。
《白皮書》里有重要的章節，就是云數據安全，這也是客戶非常關心的領域和話題。雖然在STAR下面，客戶承擔的安全職責會有不同，可能也是客戶最關心的話題，為了讓這個業務有安全可控的服務方式，讓客戶放心。作為云服務商，我們也有一套自己的解決方案提供給客戶。
上云階段，會提供給客戶傳輸通信加密方式，也可以客戶化定制他需要的，自己認為更適合自己的安全傳輸途徑。我們作為云服務商，認為客戶信息數據都是我們家絕密的信息和數據，不管他存的是什么，不得到客戶授權情況下，我們任何人內部都不可以訪問客戶的信息和數據，達到這樣的要求也是提供這么一種包括，包括必要的安全管理和監控措施手段。
云中階段，客戶自己選擇需不需要加密的方法和手段，那是客戶自己的選擇，作為云服務商，我們內部有顆粒度足夠細的權限管理，對操作人員操作行為的監控來對它的數據安全狀態進行相關的監控、審計和操作。
下云階段，客戶決定要下云時，下云環節中，除了傳輸上我們和上云提供一樣的安全傳輸通道之外，在客戶下云之后也會對客戶原來所租用的資源，從計算到存儲各個方面會做相應的資源回收，也會做滿足足夠要求，規范的數據刪除和數據擦除相關措施，保證客戶下云之后的數據安全。
（圖）這是我們騰訊作為云服務商對客戶的數據安全三大環節相關手段和觀點。
運營安全。
騰訊云提供了相應的運營安全保障措施，周斌和吳昊總都介紹了非常多我們的安全方法，在云安全方面，從產品的云安全特性到云安全產品各個方面所提供的解決方案，必要的管控方法。除此之外，還有各個層次的安全手段。我們在管理制度上也有一系列的管理流程，剛才吳昊總介紹我們樂固產品時，它是一種移動安全產品解決方案，它是從產品設計、開發、測試、上線、運維各個環節必要的安全手段。
騰訊云自己云產品或云安全產品開發過程都要符合產品開發流程要求進行。在運維過程中，我們也在做足夠充分的運維保障機制，包括自動化的監控平臺，去發現各種可能存在的風險和漏洞，做到及時的響應。同時，通過自動化平臺來監控內部人員的操作行為，操作措施，來做及時的事前、事中、事后的授權、檢查、審計等手段。另外是72小時。通過這些達到騰訊云一整套運營安全、運維保障措施。
昨天開會時，網信辦也說到了我們有《國家網絡安全法》，已經正式發布了，這種情況下，我們作為云服務商要持續推進安全合規和安全標準建設，都是我們應該承擔的一種社會責任。所以，我們一直會堅持創建安全，共建云端生態，提供優質服務，以響應國家對我國網絡安全的號召和要求，進一步促進云安全體系持續的發展和構建。
我的介紹就到這里，謝謝大家！