了解華為云最新動態(tài)
國際權(quán)威認證機構(gòu)英國標準協(xié)會（BSI）經(jīng)多輪評審，宣布華為云成為中國唯一全平臺、全節(jié)點、全服務通過PCI-DSS認證的云服務商，并于3月22日在青島舉行的華為生態(tài)大會現(xiàn)場，為華為云頒出這一份量極重的證書。該認證的獲得，標志著華為云的安全性又一次獲得國際權(quán)威的認可，安全合規(guī)性處于世界領先水平。華為云安全總經(jīng)理楊松、英國標準協(xié)會（BSI）大中國區(qū)戰(zhàn)略合作總監(jiān)全振軍出席了頒獎儀式并接受媒體采訪。
楊松（右）與全振軍（左）在頒獎儀式上
一、什么是PCI-DSS安全認證？
PCI-DSS（Payment Card IndustryData Security Standard）全稱支付卡產(chǎn)業(yè)數(shù)據(jù)安全標準，是全球最嚴格且級別最高的金融數(shù)據(jù)安全標準，為2004年VISA和MasterCard聯(lián)合多家機構(gòu)成立的支付卡行業(yè)數(shù)據(jù)安全標準委員會（PCI SSC）制定和推行，旨在嚴格控制數(shù)據(jù)存儲以保障支付卡用戶在線交易安全。自發(fā)布以來，該標準得到了全球卡組織和金融機構(gòu)的廣泛支持和推廣，成為商戶和服務提供商必須遵循的一項強制規(guī)范。由于操作性極強，還被金融業(yè)外的各大行業(yè)奉為通用安全標準。
收到企業(yè)提交的PCI-DSS認證申請后，PCI SSC會授權(quán)獨立審查公司（如BSI），對申請企業(yè)進行全方位、徹底的審核。審核內(nèi)容分含6大領域、12項規(guī)范、近300項審核指標，6大領域包括：構(gòu)建并維護安全的網(wǎng)絡；保護持卡人數(shù)據(jù)；維護漏洞管理程序；執(zhí)行嚴格的訪問控制措施；定期監(jiān)控網(wǎng)絡和測試網(wǎng)絡；維護信息安全政策。
審核則包括安全管理制度審查、資深第三方（ASV）內(nèi)外網(wǎng)漏洞掃描及安全漏洞修復、安全管理制度的落實，考察范圍涉及華為云所有物理機房、云平臺各關鍵系統(tǒng)組件、人員安全專業(yè)培訓、安全開發(fā)等多項指標，并且每年至少接受一次重檢。
二、華為云獲得PCI-DSS認證意味著什么？
① 首先，華為云全平臺、全節(jié)點、全服務通過這一權(quán)威認證，意味著華為云整個IT系統(tǒng)全部通過了嚴格的安全測評，而不是云系統(tǒng)的一部分通過；意味著華為云所有大小節(jié)點，包括北京廊坊、香港節(jié)點等全部通過認證，而不是選擇性地拿某個節(jié)點通過；意味著華為云研發(fā)上線的全部云服務的安全性得到了嚴苛的驗證，而不是其中一兩個。華為云的所有用戶，都能享受一樣的高安全性。
② 其次，PCI-DSS制定的初衷，是為金融行業(yè)提供安全標準，但由于其操作性強，已經(jīng)從金融行業(yè)變?yōu)楸桓鞔笮袠I(yè)廣泛遵循的通用標準。所以某些廠商只劃了一部分云系統(tǒng)來做的金融專屬云的PCI-DSS認證，已不能滿足其他行業(yè)用戶的安全訴求，而華為云的所有用戶則享受到了“金融級”的安全性。
③ 最后，華為云在很短時間內(nèi)全平臺、全節(jié)點、全服務通過認證，說明華為云長期重視安全建設的努力效果初現(xiàn)：本身云平臺和云服務的安全性就很高，安全技術(shù)能力在業(yè)界遙遙領先，所以才在這么短的時間內(nèi)通過認證，安全性和用戶隱私保護得到了第三方權(quán)威機構(gòu)的嚴格認證。
全振軍表示：“BSI在網(wǎng)絡安全、數(shù)據(jù)治理以及管理體系等相關標準方面一直深耕細作，作為ICT標準領域的引領者，我們知道PCI-DSS標準極其嚴苛，對云平臺的安全技術(shù)能力要求非常高，能通過這項認證的企業(yè)很少，像華為云這樣全平臺、全節(jié)點、全業(yè)務通過的，目前中國是唯一一家。該認證的獲得，表明華為云的安全水平和技術(shù)能力都處于世界領先水平。華為云在保障用戶安全和隱私上的努力，必將得到用戶和市場的積極反饋。而這一路，BSI也愿借助自身的專業(yè)優(yōu)勢助力華為云走得更高、更好。”
三、華為云在合規(guī)認證上的努力從未停歇
為什么用戶和云廠商越來越重視合規(guī)認證？合規(guī)好比是正確的駕駛要求和規(guī)范，符合了這些要求和規(guī)范，上路才安全。認證相當于權(quán)威機構(gòu)頒給云廠商的駕駛證。可見，合規(guī)認證是保障云平臺安全的基礎，是提升云平臺安全性的重要途徑。華為云一直重視并努力搭建云平臺的安全合規(guī)性， 包括三方面：
● 基本認證類，滿足行業(yè)的通用安全標準，如華為云持有的云安全CSA STAR金牌認證、ISO27001、信息安全等級保護等。
● 區(qū)域認證類，滿足業(yè)務所在區(qū)域的安全要求，如華為云已在德國獲得的Trusted Cloud、IT-Grundschutz認證等。
● 行業(yè)/服務增強認證類，即針對特定行業(yè)，進行更強的安全認證，滿足這部分行業(yè)客戶的安全要求，如華為云此次通過的PCI-DSS認證，可提升金融、支付業(yè)務的安全性；提升服務安全性的工信部可信云認證等。
除此之外，華為云還通過了BSIMM、ITSS服務增強級認證、IDC/ISP牌照、TUV 可信云認證等，并參與了1項權(quán)威標準試點（云服務網(wǎng)絡安全）。
除了合規(guī)認證，華為云還構(gòu)建了全棧安全體系，為用戶提供可視、易用的安全服務，如包含數(shù)據(jù)庫防火墻、數(shù)據(jù)庫審計、數(shù)據(jù)脫敏三大功能的數(shù)據(jù)庫安全服；國內(nèi)首家實現(xiàn)用戶掌控云密鑰的密鑰管理服務；攻擊響應時間快達3秒、可防護1T流量攻擊的DDoS高防服務等。
四、“三不”承諾保障用戶數(shù)據(jù)安全中立
華為云在國內(nèi)首家提出“三不”承諾：“上不做應用，下不碰數(shù)據(jù)，不做股權(quán)投資”，確立了云服務商必須保障用戶數(shù)據(jù)安全中立的原則，并在不同場合反復闡述。同時，華為云構(gòu)建了從物理、網(wǎng)絡、主機、應用到數(shù)據(jù)的全棧防護矩陣，在用戶的安全短板上布置防護，如國內(nèi)功能最全的數(shù)據(jù)庫保險柜——云數(shù)據(jù)庫安全服務、國內(nèi)首家把云加密密鑰這把“鑰匙”交給用戶的——密鑰管理服務等，從技術(shù)上實現(xiàn)數(shù)據(jù)中立。目前，“三不”承諾正遍地開花，獲得用戶高度認可，各大云廠商也紛紛跟進，成為行業(yè)事實標準。
楊松表示，全平臺、全節(jié)點、全服務獲得PCI-DSS認證只是開始。雄關漫道，華為云構(gòu)建安全可信“黑土地”的努力不會停歇半刻。華為云將不斷挖掘用戶業(yè)務需求，學習業(yè)界優(yōu)秀實踐，保證安全要素在研發(fā)流程中有效落地，增強產(chǎn)品安全性和隱私保護，讓華為云用戶更放心、安心、省心。