近日，由國際最佳實踐管理聯盟主辦的以“云計算大數據時代IT管理的機遇和挑戰”為主題的第二屆國際最佳實踐管理聯盟中國年會(以下簡稱年會)于2015年5月28日在北京新世紀日航酒店隆重召開。此次年會是繼2014年首屆國際最佳實踐管理聯盟中國年會成功召開后的又一次頂級盛會。年會吸引了各行業企業CIO，合作伙伴以及國際最佳實踐管理聯盟會員的積極參與，共同探討在云計算、大數據時代所面臨的機遇和挑戰以及最佳實踐。在年會現場來自阿里巴巴集團云安全專家沈錫鏞就云計算的安全之路作了主題分享。

　　▲阿里巴巴集團云安全專家沈錫鏞

他指出，最近支付寶出現癱瘓的確是因為光纜被破壞，支付寶在整個過程當中最核心的特點是沒有選擇實時去切換兩地三中心。通過這件事情，使得我們意識到對于企業風險管理及業務連續性管理而言，不管采用什么樣的新技術、新應用，作為IT主管都應該考慮安全性。其次，要更加關注安全性。

沈錫鏞指出，阿里云安全團隊是在2005年成立，成立初期主要是保護阿里集團的安全，保護淘寶、保護支付寶的技術安全。在2012年當阿里云上線以后第一次出現安全“分水嶺”，阿里云安全開始陸續通過各種認證，開通各種各樣的服務，逐步向各個行業開放、共享。面對當下的互聯網+、工業4.0，如果想要擁抱這些，安全是第一考慮要素之一。 第二個，云計算是基礎設施，它可以實現不停機，能夠對于業務運行帶來巨大的好處。

在架構層面，現在云計算CCM3.0，方法論里面明確提到了云計算的安全架構，在架構這方面，阿里云安全的體會是，需要有非常清晰的界面和用戶說清楚，哪些是是我們管，哪些是我們不管的。當責任界定清晰以后，當進入到每個行業，每個行業都有細分的安全要求都是安全廠商需要關注的。

第二，合規后，用戶會進一步有問題，看似符合的規定，可能只是最低的底線，作為IT人要知道產品和服務到底安不安全，這個過程當中其實是否能夠貫穿一個比較好的安全開發的要求。

在運維方面，用戶最擔心的訪問控制，在云上某種程度來講不光是有用，而且應該得到進一步的增強，尤其對工程師的控制。云平臺訪問入侵，今天在這個場合講可能是一個非常技術化的問題分為幾方面：

第一，自己構建開源云計算平臺，安全是非常重要的，所有安全管理體系里面漏洞的快速響應在云計算環境下比傳統更加重要。

第二，如果有技術能力盡可能的對底層的Linux做核心架構。

在云上從安全管理角度來講比較有效的技術或者產品是資源訪問控制，在云上一樣要實現，大家做企業可能知道，像ESSO，在云上這一點變得尤為重要，可能很多的部門，不同的IT人員需要知道你每個操作做到哪個程度，選擇云計算的時候是不是具備資源訪問的產品和服務是比較重要的能夠實現三權分立的考慮。

反思這么多年，我們建了十幾年的“護城河”，以安全邊界為核心的防御，事實證明是完全失敗，其實失敗關鍵核心就是被動防御永遠趕不上主動變化。基于互聯網很多危險的數據以及情報，怎么樣能夠幫助企業快速提升安全防護能力。在云計算的環境下，拋開技術單獨談管理，最關鍵的把管理理念、方法和流程能夠很好和企業的技術、產品緊緊切合在一起，原來完全基于人管的方式，云計算的環境下不太適應的，如何把流程固化自動化的去運行，不斷的完全迭代，不光給自己一個空間也是給未來IT安全人員的一個空間。