世人只道上云好，唯有安全忘不了。上云在今天已经成为一个必选项，云上安全变得至关重要。10 月 26 日 InfoQ 联合腾讯安全云鼎实验室组织了一场云安全趋势研讨会，探讨云原生安全、零信任、DevSecOps 等在内的云安全趋势，帮助企业、开发者找到云原生时代的安全之鼎。
本次直播嘉宾包括：
- 李滨 腾讯云安全副总经理丨主持人
- 陈屹力 中国信息通信研究院云计算部副主任
- 万彬 普华永道中国区信息安全与隐私保护合伙人
- 董志强 腾讯云安全总经理
- 李少鹏 数世咨询创始人
1 企业上云态度几何？
进入全面云计算时代后，“上云”成为了一个必选项，企业考虑的不再是要不要上云，而是怎么上云的问题。今年以来，新基建已经成为国家经济发展的重要基础政策，在新基建的浪潮下，包括云计算、物联网、5G 在内的新技术已经对我们的生产和生活带来了非常多的影响。在这样的背景下，企业对待上云的态度发生了怎样的变化？
陈屹力：从信任、技术到效能
信通院早在 2015 年云计算发展的初期就介入了云原生领域的研究。从早期关注的企业上云、IT 上云的话题来看，阻碍上云的最直观感受就是数据安全。早期企业认为云上是不安全的，在我看来这其实不是安全的问题，而是信任问题。我的数据在云上，谁对我的数据负责，云有没有实力和能力去控制风险点，上云会不会对我的业务带来很大风险，这是企业最大的顾虑。
第二，对技术实力的转变客户也有一些顾虑。可信云创立的初衷是构建一个信任体系，早期工信部支撑政策做了云计算行动的三年规划，我们强调的是希望能够建立国内的云计算信任体系，引导客户积极上云、拥抱变化、拥抱新的基础设施。随着上云成为一种潮流，企业由被动变为主动上云，我们给予上云的企业一些指导建议，提供政策引导。从这个阶段开始，怎么用云其实是用户面临的核心问题。
在当下来说，云的转变在于找准客户痛点，云上怎样能更好地发挥云的效能，这是云原生诞生的一个初衷：怎样利用新的生产方式、新的 IT 架构去适应新的业务需求，一切也业务为中心，也应用价值为中心，围绕所有云上服务能力去构建企业 IT 能力。在这方面，一些传统行业，比如金融行业就从前期的保守者变成了现在的重度参与者，产业数字化升级下大家都在思考怎样利用云计算、大数据、5G 这些新技术去适应业务的快速发展。
董志强：从业务、工具到场景
在与客户的交流中我们发现，目前客户对上云这件事情其实不排斥，头部客户已经有比较好的云的应用经验，包括云原生的相关应用，目前都处在快速增长的爆发阶段。但是对于腰部客户，他们主要关注的是业务特性是否有弹性需求，以及云计算的效能提升幅度究竟有多大。第二个比较关注的点是云上有什么工具能帮助企业提升对 IT 基础设施的管理能力。
第三个关注点在于，云上是否有 AI 能力可以帮助企业在业务场景中提升工作效率、节省人力，目前客户还在寻找相应的场景，然后应用在自己的业务里面。
企业本身对上云的顾虑其实也一直存在，但这个顾虑已经逐渐被市场教育，逐步得到了理解。原初的顾虑是上云首先是一个财务的问题，涉及到财务预算、投资，过去的基础设施建设是否浪费。所以这样就面临一个资产所有权问题，这其中包括关键的数据所有权。但随着云计算市场的发展，企业已经逐步接受了这一点。
李少鹏：未来的网络安全就是云安全
我们认为企业上云首先应该把企业分层，不同的企业对上云态度是不一样的。小微企业本身没有太多预算可以投入，可以用免费的公有云。中型企业中的传统行业和业务云原生化的互联网行业是对上云有顾虑和考量的腰部用户。大型企业更多都在自建云、私有云，如果对安全有需求，有关部门会建行业云、政务云。但是整个发展趋势无疑是全面云化，未来的弹性、成本、可扩展，各个方面都是大家关注的点，云已经普及了。
对于上云的顾虑，其实只有三点：
- 钱；
- 安全；
- 业务。
产业数字化转型，钱就是成本。如果把传统 EPR 换到云上，成本不仅仅是云服务的开销，还有改造费用、系统并行费用、人员接受程度，这些都是成本。云上安全，既不能完全交给云，也不能事事自己做，这背后需要有一个云共担责任模型。此外还需要把云的能力集成起来，给企业带来真正的业务驱动、安全环境和成本的节省。我们认为未来的云安全和网络安全是同等的，未来所有的网络环境、计算环境都在云端，网络安全就是云安全。
万彬：数字化战略带来隐私保护与合规问题
普华永道每年都会展开全球性的调研工作，今年我们采访了全球三千多位 CSO，发现了一些非常有意思的数据。
- 在亚太区，预计三到五年之内，企业在云上的投入会以每年 25% 左右的比例增长，在云基础、云安全、云生态等方面加大投入。
- 几乎所有的企业都在走数字化路线，45% 的企业将其作为重点方向，这带来对云的支出和需求非常大的考量。40% 的 CSO 表示对公有云的技术有顾虑，数据不一定安全。50% 的 CSO 在云上最关注的是数据的隐私保护和合规问题。
在云的使用过程中，每家企业的顾虑都是可以解决的，关键是要看怎样在生态圈中利用不同的资源，结合头部云厂商、第三方咨询机构等协作构建完整的生态圈，才能把云安全和环境做好，让更多企业愿意拥抱云。
2 云原生趋势及安全
陈屹力：建立标准、共识安全
信通院近期刚举办完第二届云原生产业大会，从联盟成立至今接近两年的时间都在专注于云原生领域的研究，希望从标准、产业输出两个层面在国内推广云原生理念，让大家认识到云原生的价值。我们想把云原生标准体系，从社区繁荣到技术栈选型都做相应的标准和规范，引导国内云原生领域健康、有序地发展。
标准体系建立以后，安全可能是下一个非常重要的议题。随着容器大规模的采纳率提升，从生产环境到商用阶段安全是至关重要的，如果没有安全，应用没有保障，创新无从谈起。信通院近期成立了一个安全工作组，联合云厂商、传统安全厂商和创业公司一起参与，从产业的角度征集多放声音，对云原生安全形成一个阶段性的共识，联合各界一起做一些对行业有意义、有帮助的事情。
董志强：安全前置，提前规避
云计算行业这些年的变化和发展可以说是日新月异，在这个快速发展的过程中也暴露了各种各样的安全问题，在应用层、客户层面上解决相对来说比较困难。腾讯云安全发现有一些问题其实是具备共性的，所以我们的考量是把安全前置。
在这个过程中我们发现，云平台很多基础组件在设计时没有充分考虑安全问题，关注的焦点在生产力上。在今天我们开始强调云原生安全，就是希望往前再走一点，把安全前置，规避一些风险和问题。腾讯云做了一些尝试和探索，首先在云基础设施层面上有安全研究，其次在云原生操作系统安全层面上做了相应工作，包括在云原生上的数据安全、网络安全上都分别做了一些尝试和探索。最上层我们有一个云原生的安全治理架构。这些尝试和探索非常有利于我们解决一些行业里常见的共性的安全问题。
万彬：中国云原生应用走在了前列
很多海外厂商目前在探索的一些新理念，其实都是在开发环节中互相提出来的，这些理念在全球范围内都处在探索阶段，怎样形成一些标准化的东西，能够够整个行业带来一定参考意义，并且发挥一个领头的作用，国内有相当大的优势。我认为目前中国在云原生领域的应用上走在了前列，这是我们看到的非常好的趋势。
另一方面，根据普华永道的调研，90% 的 CSO 愿意做安全配置和策略的调整，因为他们开始用越来越多的新组件、新容器、新产品和新的云服务，这个时候传统安全策略已经不再适用了。但这个调整的难度是目前企业比较顾虑的地方，所以在这个方面不管是从标准层面还是企业的互助，包括做到安全前置的主流云厂商，如果能够一起合作，会带来全新的面貌。
李少鹏：软件的、细化的是未来
原生安全其实也存在一定问题，它的设计是理想化的，但安全对抗的本质其实是不管是什么设计，都会有可被攻破的漏洞。由于云原生的限制性比较高，几乎只能由云厂商来做。云原生这个词的发展，最早是虚拟化，然后经过容器、serverless，再到现在关注的 DevSecOps，其实本质都是服务和应用的颗粒化，甚至连计算存储都是越来越颗粒化的。这就是云原生出现的本质原因，未来的服务一定是轻量化的，用完即走。在安全这个领域，网络厂商有他们的基础设施，安全厂商有他们的先天优势，但云厂商一定是云原生的最佳路线。因为硬件的东西是靠后的，软件的、细化的东西才是未来。
3 DevSecOps 研发运营一体化
陈屹力：关注软件应用全生命周期安全风险
传统意义上的安全产品、安全能力其实是外置的，DevSecOps 从我们的角度看更多是过程安全。DevSecOps 这种安全前置的理念，可以把安全植入到开发、测试、部署的各个环节，从源头上屏蔽掉一些风险。
信通院在 DevSecOps 方面，从开发、测试、运维几块出发，分别制定了一些相应的标准和规范，也希望大家能够重视在软件应用全生命周期的安全风险。DevSecOps 把软件开发的流程规范等很多东西落地、甚至产品化，能够量化、规范化地交付。
另外，DevSecOps 对组织架构的冲击也比较大，这也是最大的一个障碍。如果开发、测试是相对独立的，协调两方就很困难。Dev 和 Ops 合作起来，再加上一个 Sec，组织架构要调整变化，拥抱这种新的方向、新的文化。但是如果两方协同都困难，更别提三方协同了。这已经不是技术上的问题，而是理念上的问题。
万彬：安全最重要的问题是人的问题
普华永道有自己的一套方法论去帮助不同的企业进行 DevSecOps 的流程和框架，业界主流的大家都有互相借鉴，已经考虑得比较周到。对于这些主流框架，现阶段更多应该是鼓励企业取拥抱他们，在拥抱的过程中我们会把这个框架用我们的理念带给企业。
我非常同意的是，在原生环境下的人员流程技术上，企业目前最重要的问题其实是人的问题。普华永道要把人的因素放大化，去看怎么样把人员管控好，通过现在主流的比如零信任框架去保证人的问题，风险最低化，意识最高化，这样安全效果才会最大化。
董志强：关键是人文、流程和技术
聊 DevSecOps 之前，不得不提 SDL。我认为 SDL 这些年给行业做出了非常大的贡献，但往往国内厂商在应用 SDL 的时候总是会在从后往前做的过程中遇到业务的阻力，尤其是互联网的快速开发、快速迭代，很难实践起来。DevSecOps 不仅是一个安全模型，它贯穿了从研发到运维的全过程，并且倡导人人为安全负责，这是一个非常好的点。从这个点要落实下去，有以下几个关键点：
- 第一，人文。主要是人的安全意识和教育。没有人文形成一个共同的认知，其推进会非常麻烦。
- 第二，流程。当你采用这个方法之后，要把研发、运维和安全多条工作线，所属不同部门的人拉到一起，流程上要保证大家亲密无间的合作才能把这个事情落地下来。
- 第三，技术。要在技术层面上构建工具链。对于很多中小厂商来说，工具链不一定自己研发，可以去购买，但是不管自己研发或者购买，都要选择一些行业里面优秀的产品，构建侵入式小的工具链，不需要大规模更改甚至破坏流程。过去几年腾讯云平台自研了三百多款产品，在应用上实践效果非常好，确实值得整个行业推动起来。
4 零信任和身份认证
万彬：零信任是一往无前的趋势
零信任和身份认证在企业 IT 架构的管控方面，重要度在迅速地持续上扬，过程非常明显。拿我看到的一些外资企业举例，他们既要满足全球化的业务发展，也要去遵守所在国的监管要求。在做特定行业强监管合规的场景下的适配，外资企业发现所有的权限管控都会变得非常重要，在全球化的模式下，怎样把权限收归统一管控，同时在本地凸显管理主动权，变成了一个非常重要的问题。
在这样的场景下，一个零信任的框架是现在大家探索和实践的焦点，它能前置到不管什么身份都能在每次访问做到强监管，同时以最小化原则给予权限。所以在这个趋势下，零信任框架其实是企业接下来非常重要的一个考虑方向，这个趋势将一往无前。
李少鹏：身份是基石，数据安全是核心
做零信任框架，需要有像谷歌一样的能力和资源去打造一个大的架构，既满足安全性也能保障计算资源。我在跟多家零信任企业和行业交流以后认为，国内目前还没有一家真正能做到完整的零信任体系。零信任不是产品，不是体系架构，是一种永远怀疑、永远验证的理念。零信任应用、零信任数据安全、零信任浏览器、控制、认证、隔离，这些都是组成部分，但真正把这套体系做全的供应商目前还没有出现。
零信任这套体系的基础设施是身份，没有身份什么都谈不上。身份是基石。数据安全是核心。
董志强：腾讯的零信任实践
过去腾讯在零信任方面有比较多的实践，在腾讯模型里也参考了业界的一些零基础架构、谷歌零信任的理念模型。在实际工作中，公司内外部不管是云平台还是内部办公系统，都有在应用零信任的理念。经过这些年的应用实践来看，基本上能够做到可信的账号、可信的应用，两相结合起来可以做到把业务系统的访问权限相关联。
目前我们内部后台服务器有三种基础架构，三种技术架构并行在跑，优中选优逐步替换。
圆桌讨论环节，几位专家还就容器安全、隐私保护、数据合规、数据安全治理等问题做了深入探讨，篇幅所限，本文不再赘述，感兴趣的读者可以观看直播视频回放。
5 写在最后
此前，腾讯云安全副总经理李滨基于腾讯云安全建设的实践和云鼎实验室的前沿研究，发布了《2021 云安全九大趋势》，致力于探索新基建快速发展之下，技术快速迭代、法律法规相继出台，云安全建设面临的全新挑战，为企业云上安全建设和云安全技术发展方向提供新指南。
趋势指出，云原生概念逐渐成熟，以容器、微服务、API 等技术为代表的应用逐步落地，生态开始健全。但云原生体系中安全天然缺位，容器安全问题频出，云原生组件安全功能普遍缺失，云原生的安全架构和技术亟待发展。
云原生安全在脱虚向实的过程中还将激发更多技术领域迎来革新。容器和 Serverless 技术的兴起把安全对抗带入毫秒级时代，导致传统安全模型和对抗方式失效，宏观微观结合的持续对抗、规模对抗、毫秒级对抗成为新发展趋势；同时，云原生也让以安全左移、内嵌、自动化为标志的 DevSecOps 理念及产品逐渐落地应用。
未来，腾讯安全还将与生态社区和合作伙伴一起协作，研究构建系统化的云安全攻防模型，并开放云攻防靶场，推动产业、研究机构和安全爱好者对于云安全更加体系化和深入的研究与剖析。
