【IT168信息化】近日，由国际非常好的实践管理联盟主办的以“云计算大数据时代IT管理的机遇和挑战”为主题的第二届国际非常好的实践管理联盟中国年会(以下简称年会)于2015年5月28日在北京新世纪日航酒店隆重召开。此次年会是继2014年首届国际非常好的实践管理联盟中国年会成功召开后的又一次优异盛会。年会吸引了各行业企业CIO，合作伙伴以及国际非常好的实践管理联盟会员的积极参与，共同探讨在云计算、大数据时代所面临的机遇和挑战以及非常好的实践。在年会现场来自阿里巴巴集团云安全专家沈锡镛就云计算的安全之路作了主题分享。

▲阿里巴巴集团云安全专家沈锡镛

　　他指出，最近支付宝出现瘫痪的确是因为光缆被破坏，支付宝在整个过程当中最核心的特点是没有选择实时去切换两地三中心。通过这件事情，使得我们意识到对于企业风险管理及业务连续性管理而言，不管采用什么样的新技术、新应用，作为IT主管都应该考虑安全性。其次，要更加关注安全性。

　　沈锡镛指出，阿里云安全团队是在2005年成立，成立初期主要是保护阿里集团的安全，保护淘宝、保护支付宝的技术安全。在2012年当阿里云上线以后第一次出现安全“分水岭”，阿里云安全开始陆续通过各种认证，开通各种各样的服务，逐步向各个行业开放、共享。面对当下的互联网+、工业4.0，如果想要拥抱这些，安全是第一考虑要素之一。 第二个，云计算是基础设施，它可以实现不停机，能够对于业务运行带来巨大的好处。

　　在架构层面，现在云计算CCM3.0，方法论里面明确提到了云计算的安全架构，在架构这方面，阿里云安全的体会是，需要有非常清晰的界面和用户说清楚，哪些是是我们管，哪些是我们不管的。当责任界定清晰以后，当进入到每个行业，每个行业都有细分的安全要求都是安全厂商需要关注的。

　　第二，合规后，用户会进一步有问题，看似符合的规定，可能只是最低的底线，作为IT人要知道产品和服务到底安不安全，这个过程当中其实是否能够贯穿一个比较好的安全开发的要求。

　　在运维方面，用户最担心的访问控制，在云上某种程度来讲不光是有用，而且应该得到进一步的增强，尤其对工程师的控制。云平台访问入侵，今天在这个场合讲可能是一个非常技术化的问题分为几方面：

　　第一，自己构建开源云计算平台，安全是非常重要的，所有安全管理体系里面漏洞的快速响应在云计算环境下比传统更加重要。

　　第二，如果有技术能力尽可能的对底层的Linux做核心架构。

　　在云上从安全管理角度来讲比较有效的技术或者产品是资源访问控制，在云上一样要实现，大家做企业可能知道，像ESSO，在云上这一点变得尤为重要，可能很多的部门，不同的IT人员需要知道你每个操作做到哪个程度，选择云计算的时候是不是具备资源访问的产品和服务是比较重要的能够实现三权分立的考虑。

　　反思这么多年，我们建了十几年的“护城河”，以安全边界为核心的防御，事实证明是完全失败，其实失败关键核心就是被动防御永远赶不上主动变化。基于互联网很多危险的数据以及情报，怎么样能够帮助企业快速提升安全防护能力。在云计算的环境下，抛开技术单独谈管理，最关键的把管理理念、方法和流程能够很好和企业的技术、产品紧紧切合在一起，原来完全基于人管的方式，云计算的环境下不太适应的，如何把流程固化自动化的去运行，不断的完全迭代，不光给自己一个空间也是给未来IT安全人员的一个空间。