了解華為云最新動(dòng)態(tài)
國(guó)際權(quán)威認(rèn)證機(jī)構(gòu)英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)（BSI）經(jīng)多輪評(píng)審，宣布華為云成為中國(guó)唯一全平臺(tái)、全節(jié)點(diǎn)、全服務(wù)通過(guò)PCI-DSS認(rèn)證的云服務(wù)商，并于3月22日在青島舉行的華為生態(tài)大會(huì)現(xiàn)場(chǎng)，為華為云頒出這一份量極重的證書(shū)。該認(rèn)證的獲得，標(biāo)志著華為云的安全性又一次獲得國(guó)際權(quán)威的認(rèn)可，安全合規(guī)性處于世界領(lǐng)先水平。華為云安全總經(jīng)理?xiàng)钏伞⒂?guó)標(biāo)準(zhǔn)協(xié)會(huì)（BSI）大中國(guó)區(qū)戰(zhàn)略合作總監(jiān)全振軍出席了頒獎(jiǎng)儀式并接受媒體采訪。
楊松（右）與全振軍（左）在頒獎(jiǎng)儀式上
一、什么是PCI-DSS安全認(rèn)證？
PCI-DSS（Payment Card IndustryData Security Standard）全稱(chēng)支付卡產(chǎn)業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)，是全球最嚴(yán)格且級(jí)別最高的金融數(shù)據(jù)安全標(biāo)準(zhǔn)，為2004年VISA和MasterCard聯(lián)合多家機(jī)構(gòu)成立的支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)委員會(huì)（PCI SSC）制定和推行，旨在嚴(yán)格控制數(shù)據(jù)存儲(chǔ)以保障支付卡用戶(hù)在線交易安全。自發(fā)布以來(lái)，該標(biāo)準(zhǔn)得到了全球卡組織和金融機(jī)構(gòu)的廣泛支持和推廣，成為商戶(hù)和服務(wù)提供商必須遵循的一項(xiàng)強(qiáng)制規(guī)范。由于操作性極強(qiáng)，還被金融業(yè)外的各大行業(yè)奉為通用安全標(biāo)準(zhǔn)。
收到企業(yè)提交的PCI-DSS認(rèn)證申請(qǐng)后，PCI SSC會(huì)授權(quán)獨(dú)立審查公司（如BSI），對(duì)申請(qǐng)企業(yè)進(jìn)行全方位、徹底的審核。審核內(nèi)容分含6大領(lǐng)域、12項(xiàng)規(guī)范、近300項(xiàng)審核指標(biāo)，6大領(lǐng)域包括：構(gòu)建并維護(hù)安全的網(wǎng)絡(luò)；保護(hù)持卡人數(shù)據(jù)；維護(hù)漏洞管理程序；執(zhí)行嚴(yán)格的訪問(wèn)控制措施；定期監(jiān)控網(wǎng)絡(luò)和測(cè)試網(wǎng)絡(luò)；維護(hù)信息安全政策。
審核則包括安全管理制度審查、資深第三方（ASV）內(nèi)外網(wǎng)漏洞掃描及安全漏洞修復(fù)、安全管理制度的落實(shí)，考察范圍涉及華為云所有物理機(jī)房、云平臺(tái)各關(guān)鍵系統(tǒng)組件、人員安全專(zhuān)業(yè)培訓(xùn)、安全開(kāi)發(fā)等多項(xiàng)指標(biāo)，并且每年至少接受一次重檢。
二、華為云獲得PCI-DSS認(rèn)證意味著什么？
① 首先，華為云全平臺(tái)、全節(jié)點(diǎn)、全服務(wù)通過(guò)這一權(quán)威認(rèn)證，意味著華為云整個(gè)IT系統(tǒng)全部通過(guò)了嚴(yán)格的安全測(cè)評(píng)，而不是云系統(tǒng)的一部分通過(guò)；意味著華為云所有大小節(jié)點(diǎn)，包括北京廊坊、香港節(jié)點(diǎn)等全部通過(guò)認(rèn)證，而不是選擇性地拿某個(gè)節(jié)點(diǎn)通過(guò)；意味著華為云研發(fā)上線的全部云服務(wù)的安全性得到了嚴(yán)苛的驗(yàn)證，而不是其中一兩個(gè)。華為云的所有用戶(hù)，都能享受一樣的高安全性。
② 其次，PCI-DSS制定的初衷，是為金融行業(yè)提供安全標(biāo)準(zhǔn)，但由于其操作性強(qiáng)，已經(jīng)從金融行業(yè)變?yōu)楸桓鞔笮袠I(yè)廣泛遵循的通用標(biāo)準(zhǔn)。所以某些廠商只劃了一部分云系統(tǒng)來(lái)做的金融專(zhuān)屬云的PCI-DSS認(rèn)證，已不能滿(mǎn)足其他行業(yè)用戶(hù)的安全訴求，而華為云的所有用戶(hù)則享受到了“金融級(jí)”的安全性。
③ 最后，華為云在很短時(shí)間內(nèi)全平臺(tái)、全節(jié)點(diǎn)、全服務(wù)通過(guò)認(rèn)證，說(shuō)明華為云長(zhǎng)期重視安全建設(shè)的努力效果初現(xiàn)：本身云平臺(tái)和云服務(wù)的安全性就很高，安全技術(shù)能力在業(yè)界遙遙領(lǐng)先，所以才在這么短的時(shí)間內(nèi)通過(guò)認(rèn)證，安全性和用戶(hù)隱私保護(hù)得到了第三方權(quán)威機(jī)構(gòu)的嚴(yán)格認(rèn)證。
全振軍表示：“BSI在網(wǎng)絡(luò)安全、數(shù)據(jù)治理以及管理體系等相關(guān)標(biāo)準(zhǔn)方面一直深耕細(xì)作，作為ICT標(biāo)準(zhǔn)領(lǐng)域的引領(lǐng)者，我們知道PCI-DSS標(biāo)準(zhǔn)極其嚴(yán)苛，對(duì)云平臺(tái)的安全技術(shù)能力要求非常高，能通過(guò)這項(xiàng)認(rèn)證的企業(yè)很少，像華為云這樣全平臺(tái)、全節(jié)點(diǎn)、全業(yè)務(wù)通過(guò)的，目前中國(guó)是唯一一家。該認(rèn)證的獲得，表明華為云的安全水平和技術(shù)能力都處于世界領(lǐng)先水平。華為云在保障用戶(hù)安全和隱私上的努力，必將得到用戶(hù)和市場(chǎng)的積極反饋。而這一路，BSI也愿借助自身的專(zhuān)業(yè)優(yōu)勢(shì)助力華為云走得更高、更好?！?/p>
三、華為云在合規(guī)認(rèn)證上的努力從未停歇
為什么用戶(hù)和云廠商越來(lái)越重視合規(guī)認(rèn)證？合規(guī)好比是正確的駕駛要求和規(guī)范，符合了這些要求和規(guī)范，上路才安全。認(rèn)證相當(dāng)于權(quán)威機(jī)構(gòu)頒給云廠商的駕駛證?？梢?jiàn)，合規(guī)認(rèn)證是保障云平臺(tái)安全的基礎(chǔ)，是提升云平臺(tái)安全性的重要途徑。華為云一直重視并努力搭建云平臺(tái)的安全合規(guī)性， 包括三方面：
● 基本認(rèn)證類(lèi)，滿(mǎn)足行業(yè)的通用安全標(biāo)準(zhǔn)，如華為云持有的云安全CSA STAR金牌認(rèn)證、ISO27001、信息安全等級(jí)保護(hù)等。
● 區(qū)域認(rèn)證類(lèi)，滿(mǎn)足業(yè)務(wù)所在區(qū)域的安全要求，如華為云已在德國(guó)獲得的Trusted Cloud、IT-Grundschutz認(rèn)證等。
● 行業(yè)/服務(wù)增強(qiáng)認(rèn)證類(lèi)，即針對(duì)特定行業(yè)，進(jìn)行更強(qiáng)的安全認(rèn)證，滿(mǎn)足這部分行業(yè)客戶(hù)的安全要求，如華為云此次通過(guò)的PCI-DSS認(rèn)證，可提升金融、支付業(yè)務(wù)的安全性；提升服務(wù)安全性的工信部可信云認(rèn)證等。
除此之外，華為云還通過(guò)了BSIMM、ITSS服務(wù)增強(qiáng)級(jí)認(rèn)證、IDC/ISP牌照、TUV 可信云認(rèn)證等，并參與了1項(xiàng)權(quán)威標(biāo)準(zhǔn)試點(diǎn)（云服務(wù)網(wǎng)絡(luò)安全）。
除了合規(guī)認(rèn)證，華為云還構(gòu)建了全棧安全體系，為用戶(hù)提供可視、易用的安全服務(wù)，如包含數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)審計(jì)、數(shù)據(jù)脫敏三大功能的數(shù)據(jù)庫(kù)安全服；國(guó)內(nèi)首家實(shí)現(xiàn)用戶(hù)掌控云密鑰的密鑰管理服務(wù)；攻擊響應(yīng)時(shí)間快達(dá)3秒、可防護(hù)1T流量攻擊的DDoS高防服務(wù)等。
四、“三不”承諾保障用戶(hù)數(shù)據(jù)安全中立
華為云在國(guó)內(nèi)首家提出“三不”承諾：“上不做應(yīng)用，下不碰數(shù)據(jù)，不做股權(quán)投資”，確立了云服務(wù)商必須保障用戶(hù)數(shù)據(jù)安全中立的原則，并在不同場(chǎng)合反復(fù)闡述。同時(shí)，華為云構(gòu)建了從物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用到數(shù)據(jù)的全棧防護(hù)矩陣，在用戶(hù)的安全短板上布置防護(hù)，如國(guó)內(nèi)功能最全的數(shù)據(jù)庫(kù)保險(xiǎn)柜——云數(shù)據(jù)庫(kù)安全服務(wù)、國(guó)內(nèi)首家把云加密密鑰這把“鑰匙”交給用戶(hù)的——密鑰管理服務(wù)等，從技術(shù)上實(shí)現(xiàn)數(shù)據(jù)中立。目前，“三不”承諾正遍地開(kāi)花，獲得用戶(hù)高度認(rèn)可，各大云廠商也紛紛跟進(jìn)，成為行業(yè)事實(shí)標(biāo)準(zhǔn)。
楊松表示，全平臺(tái)、全節(jié)點(diǎn)、全服務(wù)獲得PCI-DSS認(rèn)證只是開(kāi)始。雄關(guān)漫道，華為云構(gòu)建安全可信“黑土地”的努力不會(huì)停歇半刻。華為云將不斷挖掘用戶(hù)業(yè)務(wù)需求，學(xué)習(xí)業(yè)界優(yōu)秀實(shí)踐，保證安全要素在研發(fā)流程中有效落地，增強(qiáng)產(chǎn)品安全性和隱私保護(hù)，讓華為云用戶(hù)更放心、安心、省心。