以下是倪光南演講實(shí)錄：（內(nèi)容根據(jù)現(xiàn)場(chǎng)速記整理

時(shí)間：2022-03-06 05:06:01 | 來源：行業(yè)動(dòng)態(tài)

時(shí)間：2022-03-06 05:06:01 來源：行業(yè)動(dòng)態(tài)

倪光南：女士們、先生們，下午好。有機(jī)會(huì)來參加第九次中國(guó)云計(jì)算大會(huì)，就云安全的問題提些粗淺的看法，作為大家的參考。

首先講云安全，在信息領(lǐng)域應(yīng)該很好的學(xué)習(xí)和貫穿習(xí)主席有關(guān)的網(wǎng)絡(luò)安全重要觀點(diǎn)，特別是強(qiáng)調(diào)了沒有網(wǎng)絡(luò)安全就沒國(guó)家安全，此外強(qiáng)調(diào)了網(wǎng)絡(luò)安全和信息之間的關(guān)系，一體之兩翼、驅(qū)動(dòng)之雙輪。網(wǎng)絡(luò)安全和信息化是相輔相成的。安全是發(fā)展的前提，發(fā)展是安全的保障，安全和發(fā)展要同步推進(jìn)。這個(gè)觀點(diǎn)非常重要，我覺得在網(wǎng)絡(luò)信息中過去沒有這樣的提法，現(xiàn)在的問題是如何落實(shí)的問題。因?yàn)檫€有些觀念需要大家明確，發(fā)展是硬道理，現(xiàn)在我們說安全也是硬道理，有人說落后要挨打，那么不安全也要挨打。從這個(gè)情況來看，我們需要有一些制度來保障，網(wǎng)絡(luò)信息安全，網(wǎng)絡(luò)安全的觀點(diǎn)能夠落實(shí)，比如我們已經(jīng)行使多年的等保制度。

中國(guó)的信息安全等級(jí)保護(hù)制度是非常行之有效的，而且這個(gè)制度也是國(guó)際上都公認(rèn)的，是非常有效的措施，但是我們現(xiàn)在應(yīng)該把它貫徹，當(dāng)前云計(jì)算、云服務(wù)以后，我們知道往往關(guān)鍵信息是由云計(jì)算構(gòu)成，對(duì)于云計(jì)算我們要比較高等級(jí)的保護(hù)，這些都是需要我們?cè)诮窈蟮缺０l(fā)展中和云計(jì)算要很好地結(jié)合起來。

我提出一個(gè)名詞，多維度測(cè)評(píng)。我們看到目前這些重要的法規(guī)，像《國(guó)家安全法》、《網(wǎng)絡(luò)安全法》、《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法》等等，里面對(duì)于網(wǎng)絡(luò)安全的要求家擴(kuò)為安全可控、安全可信、安全性和可控性，這些高度概括的概念，我們要看它是不同的層面上，或者不同維度的。比如說安全性、可控性，實(shí)際上不太一樣，它不是一個(gè)同等維度的，安全性是屬于技術(shù)的安全，可控性有技術(shù)的也有非技術(shù)的。

過去我們對(duì)于產(chǎn)品服務(wù)的測(cè)評(píng)往往都是比較注重應(yīng)能、功能、性價(jià)比，但是現(xiàn)在如果按照我剛才講的，我們對(duì)于網(wǎng)絡(luò)安全的觀點(diǎn)來看，把安全發(fā)展作為一個(gè)整體的同步推進(jìn)的時(shí)候，顯然光常規(guī)的測(cè)評(píng)是不夠的，所以有的商家提出要多維度測(cè)評(píng)。比如我們要增加關(guān)于可控性方面的維度，是不是自主可控的，這是和技術(shù)有關(guān)系，但是不完全有關(guān)系的，還牽扯到其他的因素。同樣我們也知道等保制度包含很多管理制度，本身就是多維度的，因此我們建議在云計(jì)算方面要有很好的測(cè)評(píng)體系，來保證有很好的評(píng)估手段。

舉個(gè)例子，多對(duì)對(duì)讀自主可控的測(cè)評(píng)有知識(shí)產(chǎn)權(quán)、技術(shù)能力、發(fā)展、供應(yīng)的安全性、資質(zhì)等來比較。當(dāng)然你說云安全用這種自主可控，我們就要用到不同的指標(biāo)，我們有四個(gè)基本要求，敏感信息不出境的問題，管理方式變化、信息歸屬的問題、標(biāo)準(zhǔn)的問題等等，有可能增加這方面的評(píng)估。這些評(píng)估可能在從事一項(xiàng)云服務(wù)、云計(jì)算的項(xiàng)目立項(xiàng)的時(shí)候就應(yīng)該做，而不是光做性價(jià)比方面的評(píng)估，這種測(cè)評(píng)應(yīng)該在今后注意，在立項(xiàng)、評(píng)審、驗(yàn)收等等都應(yīng)該考慮用多維度的測(cè)評(píng)，對(duì)安全性方面予以重視。

下面我簡(jiǎn)單給大家介紹一下國(guó)內(nèi)外云計(jì)算和云安全的概括。大家都很清楚云市場(chǎng)發(fā)展很快，中國(guó)市場(chǎng)分為私有云、公有云來看都有很大的增長(zhǎng)，我們可以看到發(fā)展趨勢(shì)還是以每年很高的增長(zhǎng)繼續(xù)發(fā)展。

我們國(guó)家也發(fā)布了一些規(guī)定，我這里舉了201年5月網(wǎng)信辦發(fā)布的《關(guān)于加強(qiáng)黨政部門云計(jì)算服務(wù)網(wǎng)絡(luò)安全管理的意見》，安全管理責(zé)任不變，數(shù)據(jù)歸屬關(guān)系不變，安全管理標(biāo)準(zhǔn)不變，敏感信息不出境，這些問題就是作為基本要求提出來。同樣我們也在不斷的發(fā)展一這方面有關(guān)的機(jī)制，像云計(jì)算服務(wù)網(wǎng)絡(luò)安全審查的問題，一些陽(yáng)關(guān)的規(guī)定，這里舉了兩個(gè)云計(jì)算服務(wù)安全指南，以及云計(jì)算服務(wù)安全能力的要求，這個(gè)都是近期的工作。

已經(jīng)實(shí)施的云計(jì)算服務(wù)網(wǎng)絡(luò)安全審查第一批通過的名單，這是2015年的時(shí)候開始，有制定的四家第三方機(jī)構(gòu)進(jìn)行審查，我們覺得這個(gè)可以推進(jìn)整個(gè)云計(jì)算領(lǐng)域安全方面的工作，作為一種樣本，作為一種典型來推進(jìn)，下面我們簡(jiǎn)單看一下國(guó)外的情況，國(guó)外這邊舉的是英國(guó)的例子，英國(guó)為了推進(jìn)云服務(wù)，建立了這個(gè)平臺(tái)，這個(gè)采購(gòu)平臺(tái)對(duì)云服務(wù)進(jìn)行安全信用、交付、價(jià)格等多方面的評(píng)估，目前來看它已經(jīng)可以采購(gòu)的產(chǎn)品將近20000個(gè)。

G-Cloud目前的工作還是可以的，英國(guó)的規(guī)模不是那么大，但是中央政府的采購(gòu)達(dá)到12億英鎊，2012年到2016年，通過G-Cloud采購(gòu)的規(guī)模將近15億英鎊，對(duì)于數(shù)據(jù)中心的數(shù)目有很好的控制，還是應(yīng)該盡可能采用采購(gòu)云服務(wù)的形式，充分發(fā)揮云服務(wù)的性價(jià)比優(yōu)勢(shì)。

我們看到以私有云為主，我們可以看到幾個(gè)部分的問題，就是SaaS、IaaS、Paas的比例，私有云采購(gòu)占比77%。

在美國(guó)有一個(gè)聯(lián)邦的認(rèn)證FedRAMP，我們看到從2012年開始到現(xiàn)在五年左右，授權(quán)的云服務(wù)商達(dá)到了82家，主要的服務(wù)政府機(jī)構(gòu)有一百多家，包括國(guó)防部、國(guó)土安全局等等。

FedRAMP的認(rèn)證，光是美國(guó)國(guó)防部、國(guó)防信息系統(tǒng)局共使用70件產(chǎn)品，這個(gè)規(guī)模應(yīng)該也是在不斷的發(fā)展。

我們看到日本的相應(yīng)機(jī)構(gòu)分成金牌、銀牌兩種，這里舉到金牌有NTT、微軟。

我們大概回顧一下國(guó)內(nèi)外在云服務(wù)安全方面的做法，我們剛才看到國(guó)內(nèi)正在建立第三方的云安全認(rèn)證機(jī)構(gòu)以及推進(jìn)一些規(guī)范的建設(shè)。從國(guó)外來看，應(yīng)該比我們領(lǐng)先，就是在第三方安全，規(guī)范和認(rèn)證方面比我們領(lǐng)先。對(duì)于提供商來講，國(guó)外比較注意避免壟斷，保持公平競(jìng)爭(zhēng)。對(duì)云應(yīng)用的采用方面，目前一般還是采取混合云的辦法，我們總結(jié)一下就是國(guó)內(nèi)目前的推動(dòng)云安全的監(jiān)督和認(rèn)證規(guī)范，重點(diǎn)在這方面。國(guó)外是以混合云的模式，強(qiáng)調(diào)公平競(jìng)爭(zhēng)和第三方監(jiān)督。

下面我們就國(guó)內(nèi)外的情況，以及這幾年產(chǎn)業(yè)界情況談一些思考。

第一方面，云計(jì)算技術(shù)基因本身覆蓋范圍很大，它對(duì)安全有很強(qiáng)烈的需求。

第二方面，云計(jì)算業(yè)務(wù)功能很復(fù)雜，要求監(jiān)督護(hù)航。

第三方面，云安全是多維度、多層面、體系化的，所以在云安全方面考慮的問題要立體化。

第四方面，在技術(shù)選擇上，要博采眾家之長(zhǎng)。

第五方面，從云安全規(guī)范上，借鑒等保思路。

第六方面，大數(shù)據(jù)和云安全的關(guān)系，一方面大數(shù)據(jù)對(duì)云安全帶來很大的挑戰(zhàn)，如果大數(shù)據(jù)產(chǎn)生問題將會(huì)對(duì)用戶和提供商來講帶來很嚴(yán)重的損失，另外大數(shù)據(jù)是智慧，也可以給云安全提供很好的指導(dǎo)。

第七方面，在產(chǎn)業(yè)領(lǐng)域上，持續(xù)支持云領(lǐng)域中小企業(yè)發(fā)展。

第一點(diǎn)，云計(jì)算技術(shù)基因。從技術(shù)層面來看，云計(jì)算必然需要安全的保障，因?yàn)樵朴?jì)算的規(guī)模、開放性、復(fù)雜性，意味著它的安全性就面臨著比過去小規(guī)模的計(jì)算機(jī)模式，一般過去從單機(jī)到簡(jiǎn)單網(wǎng)絡(luò)來講，它更高，因此有更嚴(yán)謹(jǐn)?shù)囊?，面臨更多的風(fēng)險(xiǎn)。第二點(diǎn)，我們覺得云計(jì)算的動(dòng)態(tài)以及統(tǒng)一服務(wù)的優(yōu)勢(shì)，在技術(shù)上的變革，同時(shí)也對(duì)我們的安全提出了新的問題。第三點(diǎn)，云計(jì)算代表著新技術(shù)，但與之相對(duì)的規(guī)范和法規(guī)相對(duì)滯后，同樣也給信息安全帶來了隱患。

第二點(diǎn)，云計(jì)算業(yè)務(wù)功能，要求監(jiān)管護(hù)航。因?yàn)闃I(yè)務(wù)功能非常多，客觀上需要監(jiān)管護(hù)航。我們細(xì)分一下，云本身的信任問題，關(guān)于云本身的安全問題，云會(huì)成為行惡的工具嗎？非技術(shù)性問題。比如說云計(jì)算服務(wù)不可信所帶來的風(fēng)險(xiǎn)，就是用戶是不是信任他，服務(wù)商的權(quán)利很大，在數(shù)據(jù)交換過程中也會(huì)存在安全風(fēng)險(xiǎn)，管理工具可能有很大的權(quán)限，本身就有風(fēng)險(xiǎn)。我們從技術(shù)范圍來講，認(rèn)為它業(yè)務(wù)功能的強(qiáng)大就帶來了監(jiān)管問題。

第三點(diǎn)，我們面臨的挑戰(zhàn)是非常多的，有技術(shù)、非技術(shù)層面，這里面講了運(yùn)營(yíng)，穩(wěn)定運(yùn)行，漏洞、風(fēng)險(xiǎn)預(yù)警、威脅感知、五主動(dòng)防御、數(shù)據(jù)安全、異常流程、安全監(jiān)控、態(tài)勢(shì)感知等等，這些多維度、多層次、跨領(lǐng)域、多學(xué)科交叉的問題，就使得我們對(duì)云計(jì)算的安全保護(hù)，不能相信，不能依靠單一的手段，而需要建立一個(gè)完備的體系。我們要形成一個(gè)可感知、可預(yù)防的智能云安全體系。

第四點(diǎn)，技術(shù)，云技術(shù)應(yīng)該博采眾家之長(zhǎng)。我們首先看到云計(jì)算的問題，我們看到阿里云、微軟云、AWS都會(huì)出問題，比如AWZS停機(jī)最長(zhǎng)時(shí)間是36個(gè)小時(shí)。我們感覺這三家全世界頂級(jí)的提供云服務(wù)的供應(yīng)商，他的各方面能力我們都沒有懷鈺，但是這些說明什么問題呢？沒有一個(gè)系統(tǒng)是沒有漏洞的，沒有哪一家云服務(wù)商能給予100%的無(wú)故障的服務(wù)。所以要充分發(fā)揮國(guó)家的優(yōu)勢(shì)，根據(jù)實(shí)際情況發(fā)揮各個(gè)各個(gè)廠商的長(zhǎng)處，不管是公有云、私有云等等，我們要把優(yōu)勢(shì)都發(fā)揮出來。未來一定是多廠商混合方式提供云服務(wù)，對(duì)于第三方的監(jiān)管、安全把控也很必要。

第五點(diǎn)，正因?yàn)樵朴?jì)算的安全，我們建議可以借鑒等保的思維。從第一級(jí)、第二級(jí)一直到第五級(jí)，不同的等級(jí)給予不同的技術(shù)和管理的要求，這樣比較容易實(shí)施，也是比較適合具體情況。比如一些不重要的我們用等級(jí)低的，這有更好的操作性。我們推薦用第三方機(jī)構(gòu)來幫助云安全的落地，保護(hù)云端用戶的切身利益。

第六點(diǎn)，作為大數(shù)據(jù)的應(yīng)用，運(yùn)行在云端的數(shù)據(jù)是云安全中最為核心，最為重要的保護(hù)對(duì)象。有效地保護(hù)數(shù)據(jù)的安全是很大的挑戰(zhàn)，從另一方面，我們用大數(shù)據(jù)的技術(shù)進(jìn)行分析，很好地利用大數(shù)據(jù)的智慧，可以更好地發(fā)現(xiàn)安全的一些問題，比如說最大可能的安全漏洞、風(fēng)險(xiǎn)在哪些地方，用大數(shù)據(jù)來幫助我們解決云計(jì)算這個(gè)復(fù)雜的問題，我們劃了三個(gè)等級(jí)，從IaaS、PaaS到SaaS，比如在數(shù)據(jù)中心，在IaaS層面上我們面臨很底層的問題，物理安全、網(wǎng)絡(luò)安全、數(shù)據(jù)中心建設(shè)、系統(tǒng)安全，比較偏硬件。在PaaS層面上我們要解決數(shù)據(jù)與計(jì)算的可用性、數(shù)據(jù)安全、災(zāi)難恢復(fù)等。在SaaS層面更多片向于數(shù)據(jù)應(yīng)用，當(dāng)然還有身份認(rèn)證。從IaaS到SaaS對(duì)于安全有不同的需求。

第七點(diǎn)，無(wú)論任何時(shí)候，中小企業(yè)是創(chuàng)新最活躍的，我們應(yīng)該注意到在云安全領(lǐng)域，我們強(qiáng)調(diào)要支持中小企業(yè)的發(fā)展，我們希望有關(guān)方面給予支持，使中小企業(yè)有機(jī)會(huì)在云服務(wù)發(fā)展過程當(dāng)中更活躍，對(duì)于相關(guān)的政府部門、領(lǐng)導(dǎo)部門應(yīng)該重視這一點(diǎn)。

把剛才講的歸結(jié)起來就這幾點(diǎn)，供大家參考。

第一，云安全是整體的而不是割裂的。云安全是牽一發(fā)而動(dòng)全身的。

第二，云安全不是靜止的，是動(dòng)態(tài)的，要建立安全態(tài)勢(shì)的預(yù)警機(jī)制。

第三，云安全是多角度、多層次、立體化的，混合模式應(yīng)對(duì)其復(fù)雜性。

第四，云安全不是封閉的，而是開放的，加強(qiáng)學(xué)習(xí)、吸收先進(jìn)的技術(shù)。

第五，云安全不是絕對(duì)的，要看到各家優(yōu)勢(shì)，才能把優(yōu)勢(shì)發(fā)揮極致。

第六，云安全不是孤立的，要聚眾解決問題，充分調(diào)動(dòng)第三方的力量。

第七，云安全核心確保數(shù)據(jù)安全，但也要利用大數(shù)據(jù)智慧，促進(jìn)安全。

第八，云安全領(lǐng)域持續(xù)關(guān)注中小企業(yè)發(fā)展，在資金技術(shù)上要予以支持。

謝謝大家！