是時候重新定義安全了，阿裡雲肖力解讀安全責任共擔模型

随着業務的快速發展，雲計算有可能成為繼大型計算機、pc機和網際網路之後的第四次it産業革命。與此同時，安全也從企業上雲的顧慮變為雲計算的核心競争力。csa雲安全聯盟統計，64%的企業認為雲上更安全。“傳統idc要求使用者對所有安全問題負責，到了雲上，安全迎來責任共擔新時代，安全問題變成廠商與使用者共同解決。”7月13日2016阿裡安全峰會上，阿裡雲安全事業群資深總監肖力總結七年實踐，重新定義雲計算時代的安全本質。

<b>阿裡雲安全事業群資深總監 肖力</b>

事實上，責任共擔模式并非雲計算廠商獨創。小區公共治安維護依靠保安和片警，各家各戶防火防盜業主自己要承擔起相應的責任，就是典型的責任共擔模式。對雲計算廠商來說，責任共擔即是廠商充分承擔起雲平台本身的安全保障責任，并全力維護雲上客戶的安全。

目前，雲安全責任共擔模式在業界已經達成共識。在海外，亞馬遜aws、微軟azure均采用了與使用者共擔風險的安全政策。例如，aws 負責管理雲本身的安全，業務系統安全則由客戶負責。客戶可以在aws安全市場裡挑選合适的産品來保護自己的内容、平台、應用程式、系統和網絡安全。肖力介紹，“在阿裡雲，從安全責任劃分的角度來講，即阿裡雲負責雲基礎設施層面的安全，使用者責任虛拟化層以上的安全”。

為了雲計算安全全新的職責，阿裡雲内部早在幾年前就從架構設計、産品研發以及服務模式等方面開始備戰。要知道，雲計算時代所面臨的安全挑戰并不比傳統安全所面臨的問題要少，甚至于相較之下更加複雜。通過10多年在安全領域的積累，阿裡雲建立了一支全球頂級的雲計算安全團隊，有完善的基礎設施，并且有更快的安全應急時間，能及時發現高危的安全漏洞資訊，用最短時間修複，幫助使用者應對安全問題。據悉，目前阿裡雲保護了全國35%的網站，每天抵抗2億次密碼暴力破解，每天應對2000萬次的web應用攻擊，每天抵禦1000次ddos攻擊。

都說專業的事情要交給專業的人來做。既然雲計算廠商做安全如此專業，為什麼不能把所有的安全問題都托管給廠商呢？肖力透露，阿裡雲一直認為資料是客戶的資産。雲計算平台不得以任何理由将這些資料移作它用。如此一來，廠商将不可能知道客戶在哪個中了木馬的終端上登陸了業務系統，結果被黑客竊取到管理者使用者和密碼。正如保安和片警不會知道業主小劉家鑰匙被朋友複制，進而發生大白天的被盜事件一樣。

雲計算發展十餘年來，安全從來就不是雲平台、使用者或者安全廠商某一方的單打獨鬥。雲計算廠商需要建立強大的生态讓使用者個性化的安全需求能夠快速有效的解決，雲上客戶需要與saas服務商和安全廠商的虛拟化産品協同作戰。攻擊者從不考慮安全漏洞的歸屬，但防禦方卻需要有這個能力識别和處置。