迁移到云服务，以获得更好的安全性

摘要：SCOR Velogica公司选择了AWS和2nd Watch以帮助其实现SOC2安全审计认证，他们认为这样会比单纯依靠自己而获得该项认证更轻松容易。一旦确定了实现SOC2安全审计认证是该公司的业务关键，其首席信息安全官克拉克·罗杰斯便分析了能够帮助他们达成目标的不同的方式，并最终确定迁移到云服务则是他们最有效的途径。最近，罗杰斯与Network World网站的首席编辑约翰·迪克斯分享了他的经历。让我们从对于贵公司的一个简短的业务描述开始吧。

在一个较高的水平上，SCOR保险公司是一家集三种业务模式于一体的企业。我们下属有一家人寿再保险业务实体，一家财产保险和再保险业务实体和一家投资集团。在再保险业务方面，我们基本上是提供其他保险公司的投保服务。 所以，如果您选择了一家人寿保险公司进行直接投保，那么，该保险公司会承担部分的风险，然后把剩余的风险再保险。

SCOR Velogica属于SCOR公司全球人寿美洲业务部，其即是一个业务部门，同时又是一款软件即服务产品。Velogica产品是一款自动化的人寿保险承保引擎，所以，如果一名投保客户坐下来填写完了我们的一名保险代理人交给您的表格之后，其后端系统就会联系Velogica，其将通过一些算法来运行您所提交的表格上的信息，数据处理完毕之后，将反馈给保险代理人三种决策之一，而这三种决策分别是：接受这名客户的投保、拒绝这名客户的投保或将客户的信息转交给一名专职保险人以待做出最后的决定。

您是从贵公司自己的数据中心提供这项服务吗?又是什么原因促使您选择迁移到AWS的呢?

正如您可以想象的那样，在寿险业务方面，我们日常正在处理一些最为敏感的数据信息，包括客户的健康记录、处方用药历史、拜访医生的记录以及任何其他会困扰客户的信息——所以我们必须要竭尽全力的保护这些数据信息的安全，这不仅仅是为了最终用户(被保险人)，但也是为了我们所支持的和持续有着生意往来的企业。既然我们如此全力的去保护这些数据信息，我们自然想要获得第三方的认证，进而能够进一步的展示我们保护数据的能力。而在我们看来， SOC2认证显然是行业内首屈一指的第三方认证报告。而正是为了获得该项认证，促使我们考虑迁移到AWS。

SOC2是基于一套信任服务的原则框架，由美国注册会计师协会(AICPA)定义，涉及以下的全部或部分——安全性、保密性、可用性、处理完整性和私密性。一旦您企业提交了认证请求，第三方审计机构将负责评估您企业的服务，并确定您企业的服务是否符合标准。 而我们认为安全性、保密性和可用性这三方面会有助于提升我们的业务价值，同时我们的客户也是最为看重这三方面的。

所以，您正是因为看到了SOC2认证对于贵公司的重要意义，才开始寻找实现这一目标的方法的，对吗?

对的。您通常会从您企业目前的环境看起来像什么的一个评估开始。 您要么可以自己来完成这项评估工作;要么可以聘请一家审计服务机构来执行这项工作，而且，我们就是这样做的。 与很多其它企业一样，我们也发现了有相当多的有待改进的空间，然后我们寻找了一些最佳的修复方法。当查看我们的系统时，我们发现一些补救措施可能会影响到SCOR保险公司的其他业务部分，并且意识到我们可能难以实现如此高水平的安全性，而且整个企业组织也并不需要如此的安全级别。

所以我们开始考虑说，“如果我们从技术的角度来研究处理这项业务会是什么样的情况呢?”我们仍然可以使用核心后台服务，包括诸如人力资源和法律服务，但从一个纯粹的IT和安全的角度来看，也许我们可以将其提取出来，以便实现更高效的通往SOC2认证的道路。 其是否可以如同获得不同的托管设施，而且仅仅只是把所有的Velogica资产进行托管这么简单吗? 我们是否要看看采用云服务? 还有什么其他方面的工作时我们可以做的呢?

很快，我们就明显的意识到迁移到采用云服务是阻力最小的途径，而在我们所研究的市场上的所有云服务产品中，AWS则无疑又是领军中的佼佼者。

一旦我们确定了AWS似乎是我们应该选择的正确的道路，我们便创建了一份关于我们的AWS环境会是什么样子的粗略的草稿。 但我们很快就遇到了问题，我相信很多公司都会有同样的问题——即我们企业对于具备AWS云认证工程师资质的员工的缺乏。 云服务与我们之前的IT服务是明显不同的，所以您企业真的需要具备相应的专业知识来指导您的工作，否则想要获得云的项目的成功是不可能的。 通常，像我们这样的公司会有几种选择。其中 之一是便是招牌新的员工，专门招聘那些具备这些证书和专长的专业人才;或第二种选择，训练您企业的现有员工。

但是，基于我们必须尽快获得SOC2认证的时间的紧迫性，无论是培训企业内部原有员工或事临时招聘新的员工都不太现实。所以我们开始寻找专业化的第三方服务公司，这样的服务公司是AWS的合作伙伴，他们的工作人员肯定具备相应的专业知识，或者曾经有过这方面的工作经验。

我们最终评估了三家供应商，而2nd Watch公司的评估成绩显然优于其他两家。他们曾经部署过与我们类似的迁移工作，他们甚至经手过更高级的迁移、更大规模的大迁移工作，他们对于云服务的迁移有着真正的理解。而这就是我们需要的服务。

一旦贵公司选定了2nd Watch公司，迁移工作的进展如何呢?

我们双方在2014的秋天签订了合同，初步分析迁移项目可能会是在当年十二月完成，并于2015年一月实施迁移测试，并开始开发环境，而QA工作将在春季进行，然后搭建核心基础设施…活动目录、电子邮件系统和最终用户计算，网络安全，AWS安全群组等等。我们测试了灾难恢复环境，并由一家第三方机构来执行渗透测试，然后在2015年六月开始迁移我们的生产数据。我们于七月末开始迁移了交换机，并由此开始从AWS为客户提供全面的服务了。

摘要：SCOR Velogica公司选择了AWS和2nd Watch以帮助其实现SOC2安全审计认证，他们认为这样会比单纯依靠自己而获得该项认证更轻松容易。一旦确定了实现SOC2安全审计认证是该公司的业务关键，其首席信息安全官克拉克·罗杰斯便分析了能够帮助他们达成目标的不同的方式，并最终确定迁移到云服务则是他们最有效的途径。最近，罗杰斯与Network World网站的首席编辑约翰·迪克斯分享了他的经历。让我们从对于贵公司的一个简短的业务描述开始吧。

您能否为我们介绍一下该项工作的规模是有多大呢?

在AWS中大约创建了200台计算实例，以映射我们企业内部的环境，然后是相应的数据和应用程序的迁移。

正如您可能已经知道的，当前有大量的云迁移策略。 一种策略被称为“平移(lift and shift)”，该策略能够对您企业的应用程序的运作产生最小的破坏，您企业只需将应用程序从您公司内部部署迁出，安置到云服务即可，这种策略几乎同您企业以前的方式相同，只是在另一家供应商的基础设施上运行。另一种选择是将您企业的应用程序和基础设施分解为核心组件，让您的云服务供应商可以很容易地管理这些核心组件，然后利用云服务供应商的一些独特功能，成为您的企业的优势。而AWS的案例包括简单存储服务、弹性负载平衡、自动规模化缩放和多AZ、高可用性架构等等服务。我们选择了前一种策略，因为我们的项目部署受到了时间的限制。但是现在，我们已经在采用AWS方面得心应手了，我们开始利用一些本地原生的功能和让应用程序对我们的平台变的更有弹性、更高效、更耐用和更具高可用性。

但是您又很快撤下了该迁移。

当我们迁移了交换机时，Velogica公司的工作方式是一个全有或全无的经验。我们在后端的秘密武器必须从一个位置才能真正得以安全地运行。这就是为什么测试至关重要的原因所在了。我们有一家第三方公司执行了一个完整的AWS环境的渗透试验，确保AWS平台不仅提供了我们所预期的安全，同时还需要确保交由2nd Watch公司及其他供应商工作能够得到有效控制。

一个值得注意的关键点是：随着我们在AWS执行了我们的测试，我们主动联系了我们的客户，告诉他们我们在做什么。 我们合同规定我们有义务告诉客户他们的数据存储在什么地方，所以我们利用与我们的客户接触的机会向他们解释我们为什么要迁移到AWS，以及该迁移工作将如何支持我们的SOC2认证申请顺利通过。 除了迁移到AWS所能够为客户们带来的安全利益，我们还向我们的客户证明了我们能够通过新的平台为其提供更高水平的服务。 无处不在的加密，高度可用的Web服务，持久存储和强大的灾难恢复和业务连续性解决方案方面都作了一个有说服力的说明。

没有一名客户表达了犹豫。 有少数客户不熟悉AWS，所以我们必须对他们进行进一步详细的说明教育。 之后就没有人对此表示犹豫了，剩下的这些少数客户现在也开始期待着看到我们将某些运营转移到AWS了。

然后，贵公司就很快获得您的SOC2认证了吗?

不，我们并没有很快就获得SOC2认证，因为我们必须能够证明我们已经成功的运行了一段时间了。 我们在2015年九月获得了SOC2 Type 1，而SOC2 Type 1与SOC2 Type 2的不同之处在于，您不仅需要证明您的相关服务已经达到并符合标准了，您还必须展示您的运营情况，以及您的企业还将随着时间的推移继续这样做。 当我们的审核员在季度末对我们进行审查时，我们会有一个为期六个月的审查期，以运行SOC2的控制操作，而审核员们将要做的便是审查我们是如何达到一定标准的。随着近一步的审计工作， SOC2/Type2报告才会基于我们的年度工作最终公布。

在这一过程是否又发生过任何意外呢?您能否分享一些贵公司从中所学到的任何经验教训呢?

现在来回顾我们当初所不得不做出决定。我会反思我们的“平移”策略，或者考虑是否需要从最开始就尝试建立了原生云? 这些都是很好的点，是我认为企业在考虑迁移到云服务时有必要探讨的一些想法。彼时，当我们需要尽快获得SOC2认证时，由于收到时间因素的限制，因此我在那时是真心推动做出该决策的。

而既然我们现在已经在AWS中运行了一段时间了，我们要回去使事情变得更加高效和原生云。 而争论的点就在于，我们是否会做出更好的前台呢? 也许是，也许不是，但我们不会按时达成我们获得SOC2 认证的目标，也就无法实现商业目的了。而这是当企业组织在规划他们的云迁移时真的需要花费一些时间来思考的一个主题。

另一件事，而这是特别针对AWS而言的，他们创新这样的速度，使得用户很难能够随着时间的推移跟上他们所发布的创新技术的步伐。例如，有些功能是我们需要自行开发的，因为他们没有这方面的一些功能。而在我们等了六个星期之后，他们就有这方面的功能了。

我们不应该抱怨在云中创新的速度，因为这方面的创新总是积极的，但我们也必须围绕这方面进行一些开发，现在我们把这些东西弄回企业内部部署，并利用本地的工具了，这也是非常棒的，但这仍然是一个我们所从未经历过的的相当大的工程挑战。 也许这是早期采用者的困境吧!

您企业会如何量化迁移到云服务的好处呢?

有效的安全是非常奇妙的，因为我们公司现在有了一支可扩展的安全团队，能够有效的执行24/7全天侯的工作。而AWS的安全团队则是要保证核心基础设施和服务以安全的方式运行，我们聘用了Alert Logic公司(我们的托管安全服务提供商)的分析师负责监控我们的安全状况，他们会对我们在AWS云中的任何一部分威胁发出报警;同时，我们还有2nd Watch公司的安全团队负责管理补丁、病毒库更新、防火墙规则和报告。 三个安全团队无缝地协同工作，使得SCOR velogica公司安全团队的力量倍增。

摘要：SCOR Velogica公司选择了AWS和2nd Watch以帮助其实现SOC2安全审计认证，他们认为这样会比单纯依靠自己而获得该项认证更轻松容易。一旦确定了实现SOC2安全审计认证是该公司的业务关键，其首席信息安全官克拉克·罗杰斯便分析了能够帮助他们达成目标的不同的方式，并最终确定迁移到云服务则是他们最有效的途径。最近，罗杰斯与Network World网站的首席编辑约翰·迪克斯分享了他的经历。让我们从对于贵公司的一个简短的业务描述开始吧。

这让我们的员工能够将他们的焦点集中在Velogica 平台，并让数据中心管理、网络管理以及云服务管理领域的专家们来为我们执行其他方面的工作。我们的业务是确保Velogica应用程序能够提供我们的客户所需要的，并提供适当的安全保护。 二这也是迁移到云计算的巨大好处之一，使得我们能够专注于自己的核心业务。其性能是一样的，还说更好或更糟糕了呢?

性能保持不变或更好，将取决于我们谈论的是什么服务。 能够启动，并在我们不需要的情况下关闭实例的功能是相当重要的。这在我们的开发过程中显著的实现了成本节约，我想这符合了很多公司的情况。 您企业不可能保持24/7全天侯的研发，因为您的员工需要在某个时候回家。 在您企业内部部署的环境下，您仍然要为计算周期支付成本，仍然要为许可证支付成本，仍然要为网络带宽支付成本，哪怕在凌晨两点的时候根本没有人在工作。

我们可以关闭我们的开发和测试环境，而在我们需要时开启。这将帮助我们节省了大量的金钱，因为他们可以每天维持数小时或整个周末时间的休息。而这在您企业内部部署的环境是无法实现的。

每个人都在谈论云计算使他们更灵活了。这方面有任何的好处吗？

绝对是啊。我们可以从AWS的东海岸地区和西海岸地区，或者坦率地说AWS拥有服务的其他任何地区为我们的客户提供服务。所以，如果我们决定扩大Velogica的平台国际化，而鉴于有AWS服务的存在，创造一个环境就如同点击一个再创建那么简单了，例如，我们可以为法兰克福、新加坡地区的客户保持他们的数据在当地，并遵守当地的数据隐私保护法律。 那是相当意义重大的。 我们不需要从基础设施的角度再造任何东西;云服务已经足够了。我们可以打造一个模版环境，并将其复制到其他地区。

当贵公司第一次探讨迁移到云服务时，您的IT工作人员们是否担心他们未来的工作是什么样的，或者说他们是否对于能够在这样一个新的环境中工作而感到高兴呢?

SCOR Velogica 公司的IT人员们可能是我见过他们最兴奋的时候了。他们意识到他们将采用最为先进、最前沿的平台工作，而学习和使用该平台让他们感到兴奋。我信任他们能够学习并了解更多关于AWS的能力是源自于他们内心的一个巨大的激励作用。

这可能是一把双刃剑。 如果回到一年前的话，您企业可能已经失去其中的10%的员工了。

这是运行云服务的风险所在。 但如果您企业不积极的接触和采用新技术的话，也同样会面临继续运行的风险。 现在他们充分参与到了其中，这些人积极参与是非常重要的，因为这有助于您获得最好的效果，因此，才能够使您企业能够提供最好的产品。

迁移到云服务还带来了其他方面的辅助效益吗?

有一件事是我没有提到的，除了将我们的基础设施和应用程序迁移到AWS之外，我们也把我们的终端用户计算系统迁移到了亚马逊的工作空间。从敏捷性的角度来看，这的确是一个很大的帮助。我们可以借助所有他们需要预装的应用程序很快的为员工们配置工作空间，从大局来看，其仍然保持了业务连续性。

在SCOR Velogica公司位于夏洛特的办事处，我们所采用的唯一的SCOR全球IT服务是连接到互联网和办公桌上电话的网络。 所有SCOR Velogica员工所使用的台式机均由AWS云托管，并且都进行了加密。工作人员所正在使用的任何设备与工作区之间的连接也被加密，所以从安全角度来看，我很放心。我不必担心人们复制和粘贴数据或使用可移动媒介，因为我们有这些功能禁用这些东西。

您企业是否确定了最终用户可以用来访问工作区的设备呢?

任何AWS支持的设备都是可以的。AWS有面向Windows、Mac、iPad、Android和其它等等的客户端，所以，基本上只要是其位列AWS支持的清单上，就是可以访问的。让虚拟台式机在传统企业环境下的工作是不容易的。 但让其在AWS运行则只需轻轻的一个点击。而从安全的角度来看，这也是非常好的。企业员工来上班时，他们会有一个用户ID，以及一个配套的密码，他们有两个因素认证，他们无法复制任何数据出来。所以，作为一名首席信息安全官，我还有什么要担忧的呢?

关于虚拟桌面解决方案所存在一大奇谈怪论之一便是如果您不能连接到互联网，那是您的运气不好。这是否是一个问题呢?

如果您不能连接到互联网，您无法连接到您的工作空间，这是真的。 但是我发现现在的互联网连接是相当普遍的。 如果您是在跨国界的主要航线上飞行，也是有互联网连接的。在其工作空间利用PCoIP技术方面，AWS已经做得非常好了。通过其连接的真的只有像素，而没有实际的数据流。 我在飞行了不少距离后，曾对我的工作空间执行操作，没有遇到过任何问题。而借助好的4G或LTE连接，您可以在您的iPad上也能实现。

在不久的将来，云计算一定会彻底走入我们的生活，有兴趣入行未来前沿产业的朋友，可以收藏云计算，及时获取人工智能、大数据、云计算和物联网的前沿资讯和基础知识，让我们一起携手，引领人工智能的未来！

标签： 安全 大数据 电子邮件 防火墙 互联网 网络 网络安全 信息安全 云服务 云计算

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点！
本站所提供的图片等素材，版权归原作者所有，如需使用，请与原作者联系。