3.2.2 數據存儲
加密是技術實施上對于數據安全最有效的關卡，阿里云加密服務為客戶提供符合國家商用密碼管理要求的加密服務，客戶可輕松構建符合商密要求的安全應用；阿里云密鑰管理服務（KMS）讓客戶能在密鑰生成、存儲、使用、管理上，享有無比安全又便捷的體驗。
在數據到達云平臺，并準備寫入云數據庫(RDS)時，阿里云提供透明數據加密（TDE）的能力，做到寫入加密、讀出解密的安全機制。阿里云的分布式文件系統采用多副本技術保證用戶數據的可靠性。
3.2.3 數據使用
“包括阿里的內部員工，都無法獲取我們的數據?！?/p>
國華人壽信息技術部總經理
阿里云訪問控制服務(RAM)進行第一道把關；在成功訪問后，可提供證書服務來加強用戶在數據使用時的安全性，使用戶數據的使用得到更多自由度；阿里云在平臺上直接提供服務器數字證書，客戶獲取所需類型的數字證書后一鍵部署在阿里云產品，以最小成本將所提供服務從HTTP轉換成HTTPS，實現高強度雙向加密傳輸，防止傳輸數據被泄露或篡改。
3.2.4 數據銷毀
當客戶刪除數據或離開云服務時，阿里云將遵循嚴格的數據銷毀標準，并物理銷毀已廢棄的硬件。
3.3身份認證與訪問控制
有效的身份認證與訪問控制是確?？蛻魯祿槐环鞘跈嘣L問的關鍵。
阿里云向客戶提供了身份管理與訪問控制服務(RAM)；而對于自身，除員工身份識別機制外，更基于內控要求也打造了領先行業的權限管理平臺(ACL)。
3.3.1 對客戶提供的安全服務
身份識別服務
阿里云相信：云安全的價值等同于健康對人的價值。安全是一種能力，更是一種責任，我們全心服務。
阿里云身份識別采用兩套解決方案，包括 Key ( Key ID + Key )與多因素認證(MFA) ；阿里云也使用反欺詐技術，實時檢測和防控可能的惡意登錄、暴力破解、撞庫等攻擊。
訪問控制服務
與驗證客戶身份搭配的是訪問控制服務(RAM)，讓客戶創建、管理客戶賬號，并以User(獨立身份管理)及Role(與本地身份聯結)兩種不同的模式執行。
RAM設計了細粒度的訪問控制，可根據授權需要，精確地允許或拒絕某個客戶對特定的資源執行某項具體操作，并幫助客戶達成集中式客戶身份管理、集中式權限管理、統一訪問控制、統一帳單的服務目標。
3.3.2 對云平臺的安全保障
內部身份識別
阿里云對所有開發、維護、客服以及其他可能會接觸到阿里云內部系統的員工，進行入職背景調查及入職登記安全手機號碼，并連接內控管理系統進行設備綁定。
應用上，除了域賬號密碼及安全手機接收到的驗證碼，還需對重要關鍵系統驗證動態Token。
阿里云運用嚴密的身份識別機制，確保帳號與生產設備“不會誤用”、“不被盜用”、“不能亂用”的三不原則！
內部訪問控制
阿里云內部同時以權限管理平臺(ACL)進行系統賬戶權限的控制與資源分配。
尤其在權限管控上，能精確地將所有系統權限對應上職責列表與業務風險，顆粒度達到菜單的功能級和數據級，并能限定授權生效時間。
群組與角色的設定會由阿里云內部各相關系統負責團隊進行設定，若使用者要使用某系統，需經申請審批流程，并由負責人團隊確認該使用者的權限是否依照職能的需求分配，待一切都確認完畢后，才進行權限分配設定。當員工崗位發生變動，系統將自動回收對應權限。
3.4網絡安全保障
網絡安全是保證數據安全傳輸和交換的基礎。
在云計算環境下，確保各級網絡以及虛擬設備之間的有效隔離是確?？蛻魯祿踩年P鍵控制。同時阿里云平臺兼顧負載均衡能力針對數據包過濾和應用網關，確?？蛻魯祿目捎眯?。
3.4.1 對客戶提供的安全服務
網絡隔離服務
專有網絡VPC是阿里云于云服務生產網絡中構建出的一個隔離的網絡環境，客戶可完全掌控自己的虛擬網絡，包括選擇自有IP地址范圍、劃分網段、配置路由表和網關等。
不同的VPC之間徹底邏輯隔離, 客戶可在自己創建的VPC內創建和管理云產品實例。阿里云也提供安全組設置能力。
阿里云將多租戶的應用和數據進行隔離，就像一間五星級酒店被分割成多個房間，他們之間是相互獨立和封閉的，從而確保不同租戶互不干擾和數據隔離。
阿里云安全資深總監
安全組與多租戶隔離服務
安全組是一個邏輯上的分組，由同一個地域（）內具有相同安全保護需求并相互信任的實例組成。同一安全組內的實例之間網絡互通，不同安全組的實例之間默認內網不通；但也可以授權兩個安全組之間互訪。
安全組是一種虛擬防火墻，具備狀態檢測包過濾功能，且用于設置單臺或多臺云服務器的網絡訪問控制，是重要的網絡安全隔離手段，用于在云端劃分安全域。
阿里云所有服務都設計了嚴格的多租戶隔離機制，使得共享同一計算、存儲和網絡基礎設施的不同客戶之間，無論是CPU、內存，還是存儲和網絡都默認相互隔離，既看不到對方的數據，也不會相互影響。
安全解決方案
阿里云秉承開放資源、相互合作的態度，引入行業安全合作伙伴，共建云安全產業鏈生態，為客戶提供業界領先的、和客戶現有場內安全控制措施體驗一致的安全解決方案。
3.4.2對云平臺的安全保障
云平臺網絡隔離
阿里云把對外提供服務的“云服務網絡”和支撐云服務的“物理網絡”進行安全隔離；通過網絡訪問控制列表技術確保云服務網絡無法訪問物理網絡。
進一步說，阿里云的網絡架構區分了生產、辦公等幾大區，云服務網獨立于其他網絡，從非生產網絡不能直接訪問云服務網的任何服務器和網絡設備，保障云計算服務的網絡安全。
堡壘機
阿里云在生產網絡邊界部署了堡壘機，辦公網內的運維人員只能通過堡壘機進入生產網進行運維管理。
運維人員登錄堡壘機時使用域賬號密碼加動態口令方式進行雙因素認證。堡壘機使用高強度加密算法保障運維通道數據傳輸的機密性和完整性。
遠程運維
阿里云也為不在公司的員工提供了遠程運維通道。運維人員預先申請VPN接入公司辦公網之后訪問堡壘機的權限。VPN撥入公司辦公網絡的接入區時使用域賬號密碼加動態口令方式進行雙因素認證。再從辦公網接入區訪問堡壘機。VPN使用高強度加密算法保障運維通道數據傳輸的機密性和完整性。
云平臺DDoS防護
阿里云使用自主研發的DDoS防護系統保護所有數據中心，自動檢測、調度和清洗，從遭受攻擊到開始清洗響應時間不超過5秒，保證云平臺網絡穩定。
3.5基礎設施保障
基礎設施的安全是數據安全的基石。
阿里云為客戶提供全球部署、多地域多可用區的云數據中心；采用多線BGP網絡提高網絡訪問體驗；分布式云操作系統為所有云產品提供高可用基礎架構和多副本數據冗余；全球領先的熱升級技術使得產品升級、漏洞修復都不會影響客戶業務；高度自動化的運維及安全，為客戶提供高可用、安全、可信的云計算基礎設施。
3.5.1 對客戶提供的安全服務
實時監控與漏洞掃描修補
提供給云服務客戶實時全景安全監控與漏洞管理服務，對主機漏洞，甚至是配置項漏洞也能做到實時監控和發現，支持實時回掃，縮短漏洞修復周期，減少漏洞解決時間。
同時提供補丁管理能力，讓客戶一鍵批量修復高危漏洞。定期的內外部滲透測試，持續改進阿里云在基礎建設、平臺、軟件整體上的安全能力。同樣的，阿里云也將此經驗化做服務，讓云服務客戶能對其應用進行滲透測試。
黑客/惡意軟件威脅保護
云盾作為新一代安全解決方案，通過阿里云的大數據計算能力，不僅能抵擋攻擊，更能全網態勢感知，控制風險，能夠真正幫客戶應付黑客威脅。
提供給云服務客戶專屬的威脅態勢感知服務，搭配多種告警方式，結合反欺詐模塊及主機入侵防護，能主動偵測欺詐威脅、識別惡意病毒、防惡意登錄、實時對登入環節存在的暴力破解及撞庫等風險進行檢測，也能實時檢測支付、轉帳等環節存在的異常情況，進一步防止相關風險，確保能夠即時預警威脅的發生，讓云服務客戶提前防范可能遭受的威脅，確?？蛻魯祿槐桓`取。
分布式拒絕服務(DDoS)防護
提供云服務客戶實時的全面安全監控服務，做到動態防御，并能通過配置高防IP，將攻擊流量引流到高防IP，阻擋過最大攻擊峰值流量的世界級攻擊，確保云服務客戶源站的穩定可靠。
日志與審計
阿里云提供面向云服務客戶的操作審計自助服務針對數據包過濾和應用網關，所有日志均長期保存，定期復核，并可將日志保存至指定的存儲空間；云服務客戶可以自行實現安全分析、資源變更追蹤以及合規性審計。
3.5.2 對云平臺的安全保障
實時監控與防護
在阿里云的安全運營機制下，實現近于100%的內部漏洞掃描、修補、風險追蹤能力，也幾乎斷絕外來威脅的入侵途徑。
安全威脅大數據檢測
云平臺利用自身強大的實時監控能力，搭配黑客情報、反欺詐模塊，以及云平臺的態勢感知和分析預測模型，有效阻絕接近所有的黑客入侵，以及惡意軟件植入問題。
分布式拒絕服務(DDoS)防護
阿里云安全團隊每日監控到針對云服務自身及云服務應用程序編程接口（API）DDoS攻擊事件數以千計，平臺會自動檢測、調度和清洗，成功防御所有的DDoS攻擊。
云平臺日志及審計
阿里云生產環境的所有運維操作只能通過堡壘機進行，所有操作過程完整記錄下來實時傳輸到集中日志平臺，通過阿里云違規事項審計規則，主動發現異?；蜻`規行為。
IDC運維
阿里云與行業內的領先數據中心合作，通過嚴謹的物理防護以及定期的審計，保證業務不受非法的內部漏洞與外部威脅干擾。
3.6阿里云的安全合規經驗
什么是SOC鑒證報告
SOC鑒證報告是由美國注冊會計師協會制定的專門針對外包服務組織的系統和內部控制情況，經由會計師嚴格審計后出具的鑒證報告，可以向用戶充分證明外包服務組織的內部控制設計合理性和執行有效性。
SOC1報告針對外包服務組織與用戶財務報告相關的系統和內部控制情況；
SOC2報告針對外包服務組織系統的安全性、數據保密性、處理完整性、系統可用性和隱私保護。
為了達成“企業數據不丟失、業務發展不損失”的“兩不”目標，阿里云運行著一支管理安全、合規與內控的專家團隊。
此專家團隊已幫助阿里云在合規認證領域上，取得了諸多“第一”，還將獨立第三方認證和審計機構持續進行的常規認證和審計結果與用戶共享，以幫助用戶履行自己的合規職責。：
阿里云除了向用戶提供安全、合規的云計算服務體驗，同時與用戶積極分享阿里云的合規實踐，協助用戶達成其所在行業的特定安全合規需求。
阿里云擁有自主構建的合規內控體系和標準，實現對內部控制要求的標準化、控制方案的產品化，并正逐步實現系統化、無人工干預的內控證據發現機制。
此外內控團隊借助可疑行為數據模型早期發現可能的數據安全隱患點，第一時間預警和干預數據安全違規行為。
結語
阿里云致力于打造公共、開放、安全的云計算服務平臺，竭誠為客戶提供穩定、可靠、安全、合規、透明、公開、對等的云計算基礎服務。
在提供云服務過程中，阿里云始終捍衛用戶的數據安全，幫助用戶保護其系統及數據的安全，提升用戶數據的可用性、保密性和完整性。
