ISO27001认证让云更安全

2015年11月，阿里云通过了由BSI(英国标准协会)审核的ISO27001:2005(信息安全管理体系)认证，成为国内首家通过ISO27001认证的云计算安全服务提供商。
　　 阿里云介绍，ISO27001是目前国际上最权威、最严格、也是最被广泛接受和应用的信息安全标准，本次认证的通过，标志着阿里云的安全性得到国际上的认可。针对云计算的安全性以及这一认证的价值，站长之家专访了阿里巴巴集团安全部的安全专家沈锡镛先生。
　　 沈锡镛先生是云计算安全的专家及先行者，在云计算安全管理方面有很多分享。2012年加入阿里巴巴集团，着力于帮助快速成长但缺乏标准化管理的云计算领域建立安全管理框架。
　　 沈先生表示：“在云计算蓬勃发展的时代，一定要将这种新型的技术业务和信息安全管理体系进行有效整合。”
　　站长之家：前段时间公司通过了ISO27001认证，为什么要申请这个认证?
　　沈锡镛：用户使用云计算最大的障碍之一是对于安全的担忧，如何让客户能放心的把数据和应用部署在阿里云云计算平台上，并且相信阿里云能保证客户数据和应用的机密性、完整性和可用性，靠王婆卖瓜自卖自夸是无法说服用户的，需要一个由第三方机构颁发的审核证明，来证明其安全管理的有效性。
　　云计算安全目前仍然缺乏一个国际标准，所以在现阶段ISO27001认证是一个最贴切的标准，代表我们的内部管理与国际安全要求完全接轨。其次ISO27001是一个基于信息安全风险管理为核心的体系，该体系对信息安全的管控思想就好比把西瓜片片切开看看是否成熟一样，让组织信息安全管理水平暴露在审核方的显微镜下无所遁形，从体系的核心和管控思想两个方面都符合阿里云作为云计算服务提供商期望提供给客户的安全承诺。
　　 站长之家：在申请ISO27001认证的过程中，阿里云推动了哪些方面的标准化流程，有哪些收获?
　　 沈锡镛：ISO27001认证的过程其实是对阿里云既有的安全流程的固化和检验，举例来说针对ISO27001漏洞管理的相关条款要求，阿里云现有的安全分制度得以在各业务部门和集团范围内予以强化，安全漏洞大大减少，其修复速度得到大幅度提升。在运维方面因流程执行不规范而导致的故障大大减少，举例：自7月ISO27001体系投入运行后再未发生因流程执行不规范而导致安全故障。
　　 站长之家：阿里云国内首家通过了ISO27001认证，这对国内云服务会有什么影响?
　　 沈锡镛：即使在云计算的背景下，云计算安全与传统信息安全的安全目标仍是相同：“保护信息资产的保密性、完整性、可用性”，故而诸如云服务商日常运营中涉及的信息安全风险管理;人力资源、物理、网络和主机安全;业务连续性;数据中心运维等方面都应将满足ISO27001:2005作为基线要求。
　　面对越来越严重的个人信息泄露、个人隐私保护及云计算带来的相关法律和合规要求，云服务商应建立遵循ISO27001:2005对于隐私保护和法律方面的合规管理要求。
　　 从数据安全的角度，承载客户数据、客户应用的云服务商也必须通过获得ISO27001:2005认证来逐步规范云计算市场，设定准入门槛。
　　 站长之家：ISO27001认证，可以给开发者及用户带来哪些好处?
　　 沈锡镛：阿里云的目标是打造互联网数据分享第一平台，成为以数据为中心的云计算服务公司。因此我们除了借助技术的创新，不断提升计算能力与规模效益，将云计算变成真正意义上的公共服务，使得广大合作伙伴、中小企业、开发者能够受益于云计算带来的便利和价值，也有义务从安全角度给广大用户和开发者打造一个安全、健康的云生态系统，使其在使用云计算的同时免除对安全的后顾之忧。
　　 因此和很多选择IDC或IT、信息安全部门通过认证的云计算企业不同，阿里云本次认证选择了以诸多云产品为认证对象，这就代表阿里云传递给广大的开发者和用户一个信息，从云产品的设计、运维到售卖，阿里云都接受并通过了业界最严苛和权威的第三方审核，保证我们向广大公众提供的云产品和服务安全可信。
　　 站长之家：获得ISO27001认证，意味着阿里云得到国际上的认可，这对国外公司、服务、App应用等进入中国市场有什么吸引力吗?阿里云在这方面是如何判断的?
　　 沈锡镛：这种吸引力几乎在第一时间就到来，在得悉阿里云通过BSI审核的ISO27001体系认证，由BSI和CSA联合推出的OCF(Open Certificate Framework for cloud providers)第一时间就选择了阿里云作为亚太地区第一家试点机构，为云安全的国际标准化进程作出自己的贡献。
　　 国内在信息技术的标准化方面一直采用的是关注和引进的方式，并且即使引进也在实际的业务开展中未能较好的运用和推广。云计算业务的兴起则是给了广大中国企业一个新的契机，因为该业务并不是对信息技术的颠覆而是对由来已久的大型分布式计算技术的运营尝试，阿里云作为具备自主开发大型分布式操作系统的中国云计算企业，有必要在未来云计算标准和规范的国际化进程中占有一席之地。
　　 站长之家：安全是云服务的一个基本保障，能否结合ISO27001标准，谈谈阿里云的安全性是如何保障的?例如数据存储安全、防攻击等方面。
　　 沈锡镛：阿里云的安全性虽然也存在内部安全和外部安全两个不同的纬度，但和其他企业不同地方在于阿里云的内部安全和外部安全都遵行一个统一的“安全分”制度，具体来讲安全部门会对所有业务部门、支撑部门从安全事件的发生率、安全漏洞的多寡角度去量化考核每个部门的安全得分，并纳入公司绩效考核的一部分。
　　 在面向客户交付的每个产品或服务，阿里云按照ISO27001 附录“A12信息系统开发、获取和维护”的要求，建立了软件安全开发周期(Security Development Lifecycle)安全开发流程，(如下图)来保证每个云产品的服务的安全性。
　　 安全需求分析环节：应根据功能需求文档进行安全需求分析，针对业务内容、业务流程、技术框架进行沟通，形成《安全需求分析建议》。
　　 安全设计环节：应根据项目特征，与测试人员沟通安全测试关键点，形成《安全测试建议》。
　　 安全编码环节：应参考例如OWASP指南、CERT安全编码等材料编写各类《安全开发规范》，避免开发人员出现不安全的代码。
　　 代码审计环节：应尽可能使用代码扫描工具并结合人工代码审核，对产品代码进行白盒、黑盒扫描。
　　 应用渗透测试：应在上线前参照例如OWASP标准进行额外的渗透测试 。
　　 系统发布：依据上述环节评价结果决定代码是否发布。
　　 而在ISO27001未覆盖的虚拟化安全领域，例如虚拟服务器的隔离、虚拟服务器及映像的加固、虚拟服务器的销毁，虽然以上需求因虚拟化服务器的服务类型已无法通过购买安全设备实现隔离，但针对用户和云服务商自身的安全需求仍可通过一系列的软件手段实现安全隔离和访问控制。
　　 针对不同用户购买的虚拟服务器之间的隔离需求，阿里云借助自主开发的后羿系统在虚拟服务器生产环节给每个虚拟服务器打上标签，在运营环节通过不同用户之间的虚拟服务器访问规则，和IP 信息包过滤系统(iptables)技术实现虚拟服务器之间、虚拟服务器和其物理机之间隔离。
　　例如针对虚拟服务器的安全加固，阿里云通过建立安全加固流程，默认提供主机入侵检测和补丁自动更新服务等手段来保证虚拟服务器的安全;而针对虚拟服务器映像的安全加固，阿里云不但在其生产流程上加入安全审核环节，来保证虚拟服务器映像能满足最新的安全要求，而且目前已通过安全部门直接制作安全映像交付给运营部门;针对虚拟服务器的销毁，阿里云采用虚拟化在线管理系统对虚拟服务器进行管理保证其迁移后自动消除原有物理服务器上磁盘和内存数据，并采用实时审计技术予以监控流程的执行。