亞馬遜雲科技首席資訊保安官 CJ Moses預測2023年六大安全趨勢

北京 2022年12月28日 /美通社/ -- 現在，在地球的任何地方几乎都能使用雲端計算，甚至太空——亞馬遜雲科技目前為全球30個地理區域（截止至2022年12月）的客戶提供服務，並透過柯伊伯計劃，正在將一組衛星星群送入軌道，為全球服務未覆蓋以及服務受限的社群提供快速、價格合理的寬頻服務。雲的廣泛使用意味著資料正以指數級的速度儲存在雲中。2020年，人們每秒鐘產生1.7 MB的資料，一些預測稱，到2025年將產生463 EB的資料。同時，隨著企業對雲端計算和資料的依賴增長，企業需要更多相關技術人才幫助他們加速雲上之旅。隨著企業加速推動創新，資料安全顯然對於企業業務的持續增長和雲端計算的發展至關重要。

隨著技術與人的不斷互動，兩者的恰當組合將有助於定義雲安全的未來。展望未來，我們知道自動化將是消除客戶無差別的繁重工作的關鍵，讓他們可以繼續做出正確的決策，提升雲中安全並快速應對可能的安全事件。

在亞馬遜雲科技，安全是我們的首要任務。我們每天都在努力贏得每位客戶的信任。我工作的一個重點就是花時間研究如何為客戶未來可能的安全需求做好準備。下面是我們對2023年及未來的安全發展方向的一些觀點。

預測 1 ：安全將成為企業工作中不可或缺的一部分

持續增加的威脅與風險將會驅動使用者繼續遷移上雲，因為在雲中安全被嵌入到企業需要的每一個方面。隨著自動化安全服務和工具的增多，企業將轉向關注持續的安全性和合規性，以在數字化轉型早期就建立一個更容易實現安全的環境。

每天客戶都會與我們分享他們如何把握機遇，從自行管理的本地部署安全技術轉向雲端計算責任共擔的服務模型，以支援並擴充套件業務轉型架構。他們明白，安全必須儘可能地實現自動化，同業務規模保持一致，這樣企業才能更容易做好安全防護。雲端計算在資料保護方面提供了令人激動的創新，這種創新在傳統的資料中心並不常見，這種創新可以使企業在專注於業務增長的同時還保證了安全性。構建安全文化，將安全融入到運營中，都將助推企業發展的安全。

對安全的關注應始於維護一個有效的安全計劃，包括管理身份和許可權、保護網路和基礎設施、識別和應對威脅、資料保護及合規證明。雲端計算讓這些領域相關的日常任務實現了自動化，如：日誌記錄、監控、審計、修補以及整合現有工具集等。 、 、 ,  , , 及 Amazon Security Hub等基礎工具，可以洞察資料的儲存位置、誰在訪問資料以及訪問時間、加密狀態、移動位置、是否存在可疑操作，以及是否容易受到常見漏洞的攻擊。未來幾年，隨著雲技術的持續應用成為必然，這些領域對提升自動化能力的需求將呈指數級增長。

企業將轉向持續的安全和合規。我們從客戶、合作伙伴和內部從事交付與安全維護的開發人員瞭解到，雲安全服務的快速創新使得安全整合變得更加容易，並實現持續的安全改進。這在很大程度上取決於雲安全服務和工具的易用性，使客戶能夠提高開發速度和安全標準，從而實現安全交付。例如，使用 和 可以幫助客戶自動為基礎架構的服務和應用程式打補丁，減少手動修補負擔，簡化為多作業系統打補丁的過程，提高客戶的工作效率。

預測 2 ：多元化將有助於解決持續存在的安全人才缺口

隨著雲服務規模的擴大，對安全專業人員的需求也隨之增長。多元化是解決這一問題的關鍵，我們相信，如果優先聘用具有不同教育和職業背景的人、具有思維多樣性的人、以及來自不同文化背景的人，企業在安全性方面的表現會更優。

截至2021年，全球共約有419萬網路安全專業人員，然而仍存在272萬的人員需求缺口。彌補安全人力缺口是改善各地安全狀況的關鍵。儘管安全專業人員不斷加入，但仍然供不應求。企業可以透過以下方式幫助縮小安全專業人才缺口：致力於實現多元化、平等和包容(DE&I)的倡議，成立類似Amazon Affinity Group，重新評估招聘標準和實踐，並優先考慮具有多元背景的候選人。約有半數的安全專業人員是在IT行業之外起步的，這值得鼓勵。如果企業根據態度和能力來招聘員工，之後對其技術技能進行培訓，我們相信企業將會更安全、更成功。大學教育和許多安全認證的高昂費用是少數族裔和不同背景的人難以進入這個行業的原因之一。企業不應只侷限於特定的技術學位和認證，而是應該嘗試招聘那些在其他方面有天賦或一技之長的人。

多元化的安全專業人員意味著不同的安全視角，也意味著更強大的防禦。例如，英國有些機構等正在積極僱用思維多樣性的員工，因為他們具備發現資料規律的獨特能力。對我們來說，安全中的多元化不僅僅意味著平等，它還意味著儘可能廣泛地獲得解決問題的能力來最佳化防禦水平。 

多元化招聘是亞馬遜雲科技企業文化的重要組成部分，這意味著可以招聘沒有安全工作背景的人才。有很多技能可以讓一個人在安全領域出類拔萃，我們相信招聘這些人才併為他們提供安全培訓是非常重要的。注重員工的成長和留住現有員工也很重要。我們一直認為教育是幫助個人和企業改善安全狀況的關鍵，為此我們免費為員工提供亞馬遜安全意識培訓。雲安全運營的自動化可能會在縮小人才缺口方面發揮作用，但這一問題不能僅靠技術來解決，以人為本還是第一要務。我們透過導師計劃鼓勵員工的未來成長，並透過與未來幾代人建立連線，以推廣STEM教育。

預測 3 ：人工智慧與機器學習支援的自動化帶來更強的安全性

人工智慧與機器學習將為雲安全的自動化增加關鍵的一層，將有助於最佳化開發人員的工作流程，幫助他們建立更可靠的程式碼，實現持續的安全改進。

從歷史上看，安全一直是一個二元的、基於規則的系統，在這個系統中，事情非“可”即“否”。我們已經建立了複雜的系統，根據一些標準來定義“可以”。雲端計算改變了這種模式，我們現在可以動態地構建強大的防禦，採用有效的互補策略來應對已知的威脅。作為雲安全演變下階段的一部分，將人工智慧用於威脅檢測和修復將變得更加普遍。在未來幾年，機器學習將在增強安全工程師的能力方面發揮重要作用，幫助他們在雲中建立更安全的架構和應用。

人工智慧與機器學習的預測能力可以幫助客戶在面對不斷變化的威脅環境時建立更主動的安全態勢。近年來，隨著居家辦公和混合辦公模式的興起，人們在不同網路上工作的情況發生了巨大變化，威脅面呈指數級擴大。威脅者正在利用遠端辦公這一點，使用前所未有的惡意軟體發起安全攻擊，如勒索軟體、網路釣魚和社交工程攻擊。

在這種日益複雜的混合環境中，亞馬遜雲科技的服務如 Amazon GuardDuty 、 、 和 等，將繼續為安全和機器學習的整合奠定基礎，透過智慧推薦為客戶提供規模化支援。這些具有機器學習能力的雲服務將快速迭代，這些服務能夠獲取大量資料，查明異常情況，並就安全漏洞、程式碼質量和潛在威脅提供智慧建議，這些能力將為企業帶來諸多益處。例如，Amazon GuardDuty推出了 DNS 聲譽建模，將來自亞馬遜雲科技的DNS請求輸入到一個模型中，並根據行為特徵將全新出現的域名預歸類為惡意的或良性的。亞馬遜雲科技在實踐中看到，這些模型往往能提供高精度的威脅檢測，在商業級威脅反饋發現惡意域之前的7-14天，就能識別這些惡意域。

人工智慧和機器學習在安全領域的的另一個用例是合規。在我們服務中構建的人工智慧技術，如自動推理，使客戶能夠更好地瞭解複雜系統的合規狀況，自動檢測在全球資料集中構成合規風險的異常情況。從傳統意義上看，許多安全和合規任務因需要人工互動來評估合規狀態和許可權變化而受到阻礙，管理這些領域是一個被動的過程。亞馬遜雲科技的服務如 、 等有助於自動消除人工干預，因此客戶在部署對IT基礎設施更改之前可以更好地瞭解他們的合規狀況和許可權級別資訊。Amazon Audit Manager可以為客戶所需的合規性框架（如支付卡行業資料安全標準、網際網路安全中心和美國國家標準與技術研究所NIST）自動收集證據，讓客戶不必依賴即時人工評估。這種證據收集也是連續的，讓客戶可以隨時調取他們遵守所需框架的合規性報告。IAM Access Analyzer使客戶可以監控其策略，防止對其資源和資料的過度廣泛訪問。一旦策略被寫入(IAM Access Analyzer也可以幫助)， IAM Access Analyzer就會在不需要人工干預的情況下監控授權。未來幾年，安全領域中這種持續改進的概念將會成倍增長，整個雲供應商、合作伙伴網路和雲使用者生態將進一步發展自動化能力，推動全球雲安全的全面進步。

如上所述，人工智慧和機器學習驅動的安全創新正在幫助客戶解決安全從業者面臨的實際挑戰，例如減輕SOC分析師的工作量，讓安全架構師將更多的時間進行威脅建模，而不必驗證應用程式是否關閉了防火牆、伺服器是否打了補丁。目前我們只是觸及了雲安全領域AI/ML的皮毛。隨著雲端計算的指數級增長，安全需求也將同樣快速增長，從而推動對自動化和智慧驅動安全的需求。

預測 4 ：加大對資料保護的投入

資料保護仍然是亞馬遜雲科技客戶和全世界人們最關心的問題之一，尤其是在建立的資料量繼續呈指數級增長的情況下。在這種增長水平下，我們將看到更多的資料保護立法、對資料保護和相關專案的更多投入，以及實現向自動化的轉變。

歐盟通用資料保護條例（GDPR）、加州消費者隱私法（CCPA）和其他本土法律只是資料保護立法的開端。 發現，近一半（47%）的受訪者認為如果公司遵守GDPR，就更值得信賴。隨著資料保護領域的成熟，公眾對資料保護法的需求不斷增長，我們將看到更多政府透過實施立法做出回應，我們也會看到更多企業滿足這些要求。Gartner預測，到 2024 年底，全球 75% 的個人資料將受到法規的保護。

在接下來的幾年裡，我們還將看到企業加大對資料保護的投資。Gartner 預測， 。部分投資將用於包括評估資料風險、執行持續管理和資源管理任務以及開發工具在內的資料保護計劃，在保持高功能的同時降低資料風險。

在亞馬遜雲科技，贏得客戶信任是我們業務的基礎。我們將持續關注隱私監管和立法情況的動態發展以識別變化，並確定客戶可能需要的工具來幫助滿足他們的合規需求——這是我們一貫的承諾。我們確保客戶可以透過使用亞馬遜雲科技服務和工具（例如Amazon IAM、CloudTrail、Macie等）來控制資料，確定資料儲存位置、安全性以及資料訪問許可權。我們還透過提供服務和功能實施隱私保護措施，讓客戶實現自己的隱私控制，包括高階訪問、加密和日誌功能。客戶可以選擇在 中儲存資料。透過使用亞馬遜雲科技的服務，我們的客戶可以放心地將他們的資料儲存在選定的亞馬遜雲科技區域中。

要了解有關亞馬遜雲科技資料保護的更多資訊，請訪問 、 和我們的 。

預測 5 ：更先進的多因素身份驗證將更加普遍

未來，透過採用更多的生物識別和多模式身份驗證形式，多因素身份驗證（MFA）將安全性和可用性相結合，確保使用者在改善安全狀況的同時獲得順暢的體驗。

MFA是客戶能夠使用的最簡單且最重要的安全保護方式之一，使惡意攻擊者難以在密碼洩露於網路或其員工受到社會工程攻擊時獲取帳戶。密碼通常等級低且容易遭受資料洩露，客戶可使用MFA來加強帳戶和應用的安全性，在密碼外還需要額外的驗證因素（他們的所有物、熟知事物或生物特徵識別）。

MFA正在越來越廣泛地用於商業和個人用途，我們相信下一個前沿應用將更普遍地採用多模式生物特徵的認證，因為它們更便利且安全性更高。多因素指的是使用兩個或更多的因素用於認證，可以包括漫遊（如 Yubikeys 和 Virtual Authenticators）和平臺（如 Windows Hello 和 Apple FaceID 等裝置）。多模式指的是使用多種生物特徵來訪問系統。生物特徵認證是依靠個人獨特的生物特徵來驗證其身份，通常包括一個物理或行為特徵。更多依賴生物特徵識別將使MFA為客戶提供更加順暢、自然的體驗。在多模式生物特徵系統中，我們將看到物理生物特徵因素（指紋、聲音、虹膜或面部識別）與行為因素（鍵擊、手勢、抓握等）的組合。

MFA 的使用將受益於政府和知名安全企業在過去幾年對安全的日益重視。 FIDO 聯盟、NIST 和美國政府等實體組織正在推動 MFA 作為線上保護的基線。

我們鼓勵客戶在未來幾年中繼續關注MFA的發展，瞭解它們將如何改進現有功能或將新的MFA功能構建到企業的日常工作中。我們將繼續透過亞馬遜雲科技上 向客戶提供有關MFA進展的資訊。

預測 6 ：量子計算將有利於提高安全性

量子計算可能還不是每個人的首要關注點，但它正在逐步推進，量子安全也以加密技術的形式隨之推進。亞馬遜雲科技已經開始著手為後量子時代做準備。從長遠來看，我們希望量子計算能夠幫助提高安全性，但就目前而言，各公司應該確保他們使用最新的加密方法來保護資料安全。

一些證據表明，量子計算將在有朝一日變得普遍且實用，目前尚不清楚將是在 5 年還是 50 年之後。但這一天一旦到來，預計會削弱某些型別的加密技術，包括我們用於 HTTPS 和 TLS 等資料傳輸安全協議的加密演算法。業界目前正在研究所謂的量子安全或後量子加密技術，其中不同的演算法和不同的金鑰大小提供了與我們今天相同的安全級別，甚至可以匹敵量子計算機。隨著加密演算法和協議不斷演進以應對未來的潛在風險，我們將看到裝置相互連線方式的轉變。我們的手機、膝上型電腦和伺服器將採用量子計算這項新技術，以確保通訊的隱私。

從長遠來看，我們期待量子計算推動雲安全的發展。一旦企業更多地使用量子計算和量子演算法，他們將開始以不同的方式思考經典演算法。在新的量子演算法的啟發下重新思考經典演算法，可以激發對現有功能的創造性解決方案，並基於量子計算的新思路開發新的演算法或對經典演算法不斷演進。 例如， 已經能夠將傳統計算機與量子計算機的能力盡可能地匹配，實現向使用者推薦喜歡的產品的功能。

隨著業界對量子計算風險的考量，加密技術的標準將繼續發展。NIST 已經在努力，透過多年的後 的努力和多輪評估，計劃在2024 年之前制定新的量子安全標準。包括亞馬遜雲科技在內的大型企業也正參與其中做出貢獻。我們提交了兩個選項（BIKE 和 SIKE），均透過了第一輪篩選，並將 82 個原始提案縮減至 26 個。考慮到不同的方法會權衡效能的不同方面（例如更快的計算但更高的網路負荷），NIST 可能會對多個提案進行標準化。

亞馬遜雲科技將與其他企業合作共同實施未來標準，也將繼續開發和實施後量子加密。Amazon KMS 已經支援 TLS 1.2 的一些混合後量子金鑰交換演算法。

結束 語

隨著企業數字化轉型，雲使用規模也將隨之壯大。我們相信，安全將成為企業一切工作的核心，併成為一種安全文化。在這種文化中，每個員工都會為安全負責，能夠對企業的安全產生積極影響。安全實踐將成為技術創新和各崗位員工集體推動、持續的追求。這些因素將影響企業和個人安全觀的轉變，將安全視為業務和創新的驅動力，而不是一個只堅守IT規則發出拒絕指令的部門。亞馬遜雲科技將繼續透過提供基礎創新和最佳實踐，推動雲安全領域的前沿發展，讓安全成為客戶未來業務和技術創新的核心力量。