隨著近一二十年我國云計算的發展，規模日益擴大，而云計算廠商的技術其實也已經發展的比較成熟了，整個風險和安全的問題其實是成為了廠商更加關注的一個焦點，也是影響廠商發展的一個比較關鍵的因素。最近這一段時間，其實也可以說云計算行業一波未平，一波又起，不管國際國內的廠商都發生了多多少少的風險事故，其中包括數據丟失、網絡中斷、運維故障等等。這里我也是歸納了幾個認為比較重要的在云計算的平臺運營過程中會涉及到的一些風險，主要包括人為誤操作、刪除一些數據等等，以及軟件風險，主要是因為云計算會涉及到很多開源軟件，這些軟件可能本身就有一些固有的軟件漏洞，同時由于一些企業在使用開源過程中不是很關注開源軟件的核心和底層問題，也會有一些未知風險隱藏在其中。對于運營風險，一個是由于人員的問題，第二個是即使現在像Ddos比較火，但其實自動化也會引入其他一些問題。最后一個是網絡風險，這個相比其他三個可能更加不可控，原因主要是一些像一些云服務商，即使是自建數據中心，但也是涉及到向一些第三方運營商購買服務，同時還有很多云服務商現在是租賃其他廠商的數據中心，所以對于網絡來說這個責任可能很難去界定。
云在發展過程中，一直都是既便捷，風險和優勢并存的。這些年我們的技術飛速發展，隨著云計算的發展，IAAS變成主流，而最近像一些容器又很火，為云計算注入了新鮮血液。同時近兩年有一些很火的技術，隨著技術的發展，我們的系統架構從原來的單體變成了現在的分布式架構，整個業務邏輯變的更加簡單便捷，部署開發整個流程都是低成本、快速的。因此在我們這個架構帶來優勢的同時，也讓我們的風險變的更加復雜。
我們歸納出來大概四類，包括技術風險、運營風險、合規風險、開源風險。對于技術風險來說，大概我畫了這樣一個框圖，藍色部分是傳統的一些系統也需要考慮到的一些安全問題，而偏紅色的這部分是云計算新技術引入的一些新的安全風險。比如說對于這些藍色的物理安全、主機安全、網絡安全、數據安全等等，其實剛剛各位專家也說的比較多了，隨著人工智能、云計算、大數據這些新技術的發展，其實在傳統安全風險過程中，我們也會引入一些新的安全手段來去防止這些安全問題的發生。比如剛剛上一位專家也說到一些智能巡檢機器人，可以避免一些物理機房建設過程中出現的很多問題。
對于云計算來說，可能傳統的就是比較關注像虛擬主機、虛擬設備資源池、網絡的安全，隨著引入容器，容器在比虛擬化更快速辯解的同時，也會帶來一些新的問題，比如說逃逸、容器間的通信等等。這兩年其實微服務也是比較火的一個技術，像各個行業，一些傳統行業都紛紛把自己的架構拆成微服務的形式，在微服務的過程中主要是涉及到一些像分布式事物的一致性，服務之間的依賴和管理，以及服務到底如何拆分才能夠更高效的利用服務的特點，這些都是我們需要考慮的風險和安全隱患。
針對上述的安全風險，其實各國和各個專業的人士也在研究相關的一些安全技術，從Gartner的云安全技術成熟曲線可以看出，仍需5年左右成熟的云安全技術，這塊需要相應的安全人員加深它的研究和探索。第二部分主要是運營風險，這塊主要分成三部分，一部分是云平臺外部的風險，第二部分是云平臺本身的風險，第二部分是云平臺主體風險。對于第一部分和第三部分來說，對于云服務商來說是更加不可控的，比如外部風險中像自然環境風險，一旦發生地震火災等自然災害，可能對數據中心是毀滅性的打擊，對云服務商對有多活、容災的要求。第三方廠商的服務能力也影響著我的云服務商的服務能力，同時對于網絡攻擊來說主要是因為我們的云其實物理鏈接消失，也會導致一些黑客更容易攻入這個環境。
對于業務主體來說，其實最大的我們歸結為三類，第一類是商業風險，我們在構建云平臺過程，雖然大家都在說云是相比于傳統的那些建機房的方式省錢省力，但是對于搭建一個云平臺初期來說，其實它的投資成本還是非常大的，包括建機房、買一些物理設備、聘用相關人員，以及掌握相關的技術等。這些都是需要很大成本的，我們云最后建設的成效是否達到預期，以及是否能夠營收，這些都是需要考慮的問題。
第二部分是法律法規的風險，這在后面我們也會作為合規風險進一步說。對于操作風險來說，這也是基于之前信通院的調查。在各個廠商覺得云平臺最容易發生的一些風險是什么，主要是大家都認為操作風險是很重要的一個環節，包括一個是運維人員的誤操作，另外一個是內部員工的一些惡意破壞，這是在運營過程中可能涉及到的風險。
對于第三部分來說合規風險，隨著信息技術的發展，各大運營商最近也都是在積極擴展海外業務，海外像歐盟、新加坡、日本這些國家都是很注重網絡數據和信息的保護的，如果云服務商想要出海，就必須要滿足當地的法律，因此監管要求對于云服務商出海來說是非常重要的。我們舉了幾個認為比較重要的例子，對于新加坡來說，我們也是經過了一定的調研，各大云服務商出海新加坡算是一個必經之地，如果在新加坡當地設立一個節點，勢必就會產生一些新加坡和國內數據跨境傳輸的情況，新加坡個人數據保護法也是明確，屬于涉及到數據跨境傳輸數據接收方應該是有不低于PDPA的數據保護水平，因此這對于服務商來說也提出了比較高的要求。
第二個美國，美國跟歐洲這些其實是完全不一樣的風格，主要是采用一些松散立法的方式，不像歐盟和新加坡立法那么嚴格，但是它的數據保護是采取長臂管轄的原則，所以這是一個非常大的風險。
我們院也在GDPR方面做了不少工作和調研，在之前的數據保護法律法規中，主要是涉及到一些對數據控制者的要求，而GDPR也是首次對數據處理者進行了嚴格要求。同時由于GDPR適用場景對于云服務商來說太多了，大概有幾十條是云服務商都需要符合的。GDPR來說，即使你只是在國內有這樣一些節點，即使你的客戶是中國的，但比如說你的客戶的客戶是歐盟的，它也是要求符合的，所以符合GDPR的場景對于云服務商來少特別特別多，所以這也是一個非常大的合規風險。
對于我國來說，這兩年也在加強網絡和信息安全的法律建設，網絡安全法已經發布了，同樣的數據保護法國家也正在制定當中。對于網絡安全法、云計算發展三年行動計劃其實都是比較著重的強調了網絡安全、數據安全這些。所以云服務商在日常的運營中，是要符合這種基礎的法律法規的要求的。同時其實行業云兩年也是一個比較火的點，像政務云的發展可能比較成熟，而金融云這兩年也是正在建設過程中，像很多云服務商都是服務于政府機構、銀行保險等等。為了服務相應的行業客戶，我們勢必會在搭建云平臺的時候，既要滿足相應的行業特性的要求，也要幫助我們的客戶去滿足這樣的合規要求。因此這種一個是通用的法律法規，一個是行業特性的合規，都是云服務商在運營過程中需要考慮的這樣一些問題。
第四個部分就是面臨的開源風險，這其實也是我們今年3月份剛剛發布的中國云計算開源發展調查報告，我們調研了全國各行各業的大概800家企業，在調查報告中顯示只有3.3%的企業是沒有計劃應用開源軟件的，也就是說我們90%多的企業都已經使用或者馬上就要使用開源軟件。因此可以看出，只要談到云計算就離不開開源，那么在開源過程中也是涉及到各種各樣的開源軟件，開源軟件其實也涉及到很多風險，比如說違約風險，使用它是不是我的軟件也需要開源等等，是有很多風險需要考慮進來的。
針對上述風險應該怎么做?剛剛各位專家提到的可能都是云服務商自己的角度來說，我們這個是從第三方角度來說我們信通院對于云計算能做一些什么?我們主要采取了三個事前、事中、事后。事前，我們會進行相應的評估，來去挖掘企業存在的一些風險隱患，幫助企業去解決掉這些風險。對于事中來說，我們也是會建立這樣一個平臺，去積極發現企業運營過程中出現的風險，讓它及時的能夠解決掉。對于事后來說，因為采取再萬全的措施也是會發生風險的，最后我們是采取保險的措施，來減少客戶和云服務商的損失，實現責任分擔。
事前我們有幾項評估，第一個是對云服務商進行風險評估，主要包括四個方面，技術風險、運營風險、人員風險、合規風險。對于云平臺本身來說，我們既是考量它的外部風險，也考量它云平臺的風險，外部風險比較重要的一個是物理基礎設施的建設，另外一個是我們的網絡，因為這也是涉及到第三方的。對于云平臺來說，主要包括開發測試環節的一些風險，運營的風險等等。同時對于管理流程方面，主要是管理體系，可能是包括一些開發運維測試的管理體系，同時應該也具備像事件管理、問題管理、配置管理、發布管理這些比較典型的管理能力。對于企業來說，一個是對于企業自身的審計，這些審計包括方方面面的，同時也要進行相應合規的問題。對于我們的云上客戶，你是否能夠知道他的合規情況，以及對于他違規的封堵、截堵的要求，這是基于前面的風險評估。
緊接著對于云計算是需要有一定的溝通監測能力，風險告知主要是指在云平臺運營過程中，如果預測到平臺會有什么問題，要及時告知到用戶。責任劃分，要知道哪些責任是用戶的，哪些責任是云服務商上的。最后是如果發現了風險點，是否采取了一定的措施進行風險處置。
這是我們整個風險評估的框架流程。這個框架流程我們今年也是在中國保險協會成功立項，用于指導對云平臺進行有效的風險管理。上年上半年我們評了12家云服務商，上面是已經通過的企業，經過我們的評估也是得出了一些結論。像右邊標出來的一些，其實就是云服務商在評估過程中一些比較薄弱的點，主要可能是涉及到一些像機房的建設，這是物理層面的，包括機房、電力、空調、線路保護這種，其實這塊一個是因為很多云服務商現在還是采取購買第三方數據中心這種運營的情況，所以可能對數據中心具體的建設掌握程度不夠，因此這其實就是一個潛在的風險。第二個是像一些大的集團，可能使用的是集團建設的數據中心，因此對數據中心的情況了解的也確實是不夠，所以這其實是我覺得在云服務商在運營過程中比較關注的點。
除了風險管理，我們還進行了運營方面的風險評估，這是我們上半年發布的一系列DevOps的標準，其中主要是DevOps的風險評估，風險評估項目主要是下面這些，這個標準我們之前也是評估了幾家。
同時還有第三項，包括開源的評估，像前面的開源軟件是我們之前已經梳理過的，使用社區版開源軟件使用之前有哪些檢查項，都有哪些檢查指標，這面是我們后續回去做的工作。
事中來說，我們也是有兩個機制，最右邊這個網絡風險與保險創新實驗室，剛才高總也講了，信通院和中國保險協會聯合成立了這樣一個實驗室，這個實驗室發起了一個云計算風險保護傘的行動。這個保護傘下面的成員，主要包括一些云計算廠商、云計算用戶還有一些安全廠商，這些成員都是我們風險管理共享平臺的一個構建者，這個風險管理共享平臺也是信通院組織，對于某一些廠商發現了一些什么隱藏的風險，會通過這個風險平臺來共享告訴大家，或者是發生了一些什么風險，這些企業已經率先把風險解決了，也會在這個平臺上共享他們的解決方案。我們通過搭建這樣一個保護傘，在這個平臺上共享這些風險和解決信息，來提高云廠商的安全防護水平和減少他們的重復工作量，這是我們事中的保護傘行動。對于在這個平臺上積極分享的企業地我們也有一定的投保情況的優惠，所以也是歡迎各個企業加入到我們這個平臺中，一個是可以獲取其他廠商的一些信息，也是可以共享自己的一些經驗。
對于事后來說，剛才人保的高總對產品也講的很細，我大概說一下信通院在云保險過程中是處于什么樣的角色?可以投保的用戶主要是像云服務商、軟件廠商等等，他們選擇向保險企業投保，保險企業對他們承保。在投保承過程中，信通院作為一個中立的第三方，將會對相應的廠商進行風險評估，衡量這個的廠商的風險管理水平。你的風險管理能力越強，你的保險系數就越低，你所需要繳納的保費也就越低。如果發生事故怎么辦?信通院作為一個定損機構，用戶上報出現了故障，我們會派專門的人員進行定損定責，輸出一個報告給到保險企業，保險企業根據我們的定損定責報告來決定是否對用戶進行一定的賠償，以及賠償金額也是我們輸出的，這是云保險的情況。
對于整個定損的流程大概是這樣子，如果發生故障，用戶先是可以向我們申報這個故障，我們開啟定損流程，同時相關的運維日志等等，我們去分析這個責任到底是云客戶的還是云服務商的，或者是一些第三方承包商的。最后確定了這個定責之后，如果是云服務商的責任，我們可能會根據像比如說一些采購合同，或者是在我們整個事故中涉及到的服務中斷的時間、中斷的次數，受影響的虛機等等這些，來去定量，確定這次受損應該要賠償多少金額。確定了定責定量之后，我們會輸出這樣一個報告給到保險公司，讓保險公司根據我們的報告對投保的客戶進行理賠。
京公網安備 11010502049343號