伊雲谷獲ISO 27001／ISO 27017雙驗證
- 陳毅斌／台北
-
各行各業都張開雙臂迎接雲端時代的來臨，但是在享受雲服務的同時，許多企業也擔心雲服務安全及無法掌握的風險，害怕受到傷害而躊躇不前。如何確保企業的重要系統及資料上雲後無後顧之憂，對於現今雲端服務提供商而言是一大挑戰。為了滿足且確保企業用戶對於資訊安全的高度要求，伊雲谷於近日獲得SGS頒發資訊安全管理系統驗證ISO 27001，而伊雲谷的Atlas更是第一個通過ISO 27017驗證的雲管理平台。
ISO驗證為指南為何獲得ISO 27001與ISO 27017兩項驗證如此重要？台灣檢驗科技(SGS)資深營運總監張日聖解釋，在ISO 27001的部分，其可協助機關、企業管理和降低資訊上所面臨的各種威脅與風險，獲得此一國際標準並取得驗證，企業可與合作單位、員工及股東證實符合資訊安全要求。
不過，ISO 27001僅要求一般的網路資訊安全，但是對於雲端的控制項目並未特別提及與規範；因此，對於雲端服務提供廠商而言，獲取ISO 27017驗證也相當重要。此準則標準內容奠基於ISO 27002標準之上並發展符合雲服務特性的安全控制措施以供參考及遵循，例如虛擬化管理安全、快照／其他衍伸資料相關管理，以及跨國司法管轄權等議題，皆明確規範於此一驗證中。
據了解，全球許多知名雲服務提供商，如Amazon及Google，皆已申請ISO 27017驗證並取得證書，來進一步證明其雲服務安全符合國際標準水準。由此可知，獲得此二項驗證，除了證明伊雲谷符合雲端專業能力的標準，也可供企業用戶評估、採用該公司技術的重要依據。
資料安全性高 Atlas通過ISO 27017驗證
對於雲端服務有極大需求的企業而言，如何有效地維護、管理雲端資源，過去不但煞費苦心且須付出的成本相當高昂；為此，伊雲谷推出以人工智慧為基礎的雲端管理平台Atlas，目標就是要滿足企業客戶的雲端管理要求。據了解，Atlas是眾多雲端平台中第一個通過ISO 27017資訊安全驗證嚴格審查的管理平台，其具備了IT部署管理、財務管理(成本、使用量)、災難備援管理，以及IT自動化等功能，並利用人工智慧技術將管理功能最佳化。
伊雲谷產品處協理林柏州解釋，在IT部署管理方面，企業用戶可於平台中以視覺化圖表了解企業雲端資源的部署情況，以及所使用的雲端基礎設施是否出現異常，並透過整合的使用分析報告，了解各服務的負載狀況為何，提前因應可能發生的風險。
由於伊雲谷為100%專注在Amazon Web Services(AWS)的專業雲端服務商，也是當前AWS在大中華區唯一一家最高等級的諮詢顧問(Premier Partner)，奠基於專業技術及服務能量的Atlas平台提供了排程跨區域備份的機制，客戶可藉由平台的自動化功能，簡化建置異地災難備援的挑戰。不但可以降低IT人員的人力需求與發生錯誤的風險，也滿足ISO 27017對驗證廠商須達到資料安全與營運持續性的需求。林柏州表示，Atlas介面可讓客戶輕鬆控管何時需要將資料與服務系統備份，甚至備份至全球不同的地理區域，在客戶的服務受到地域性的天災人禍等事件而中斷時，提供了快速重新部署的靈活度，確保資料能回復到預期的時間點，將損害降到最低，從而提升服務可靠性與安全性。
此外，Atlas平台可監控用戶所使用資源的即時成本，協助進行雲端服務費用管理，以達到資源最佳化。平台中搭載的人工智慧與大數據分析技術，會自動分析用戶過去的資源使用紀錄，進而預測未來趨勢；若是資源使用上出現任何異於平日的狀況，系統也將自動進行告警，讓用戶能在第一時間對異常狀況進行處理。
秉持持續合規性 確保用戶雲端安全環境
伊雲谷協助客戶規劃或建置資訊環境時，將安全列為首要考慮的項目。其中像持續合規(Continuous Compliance)、AWS環境安全檢測...等多項專業服務廣受眾多客戶好評。伊雲谷維運服務處協理周許義先舉持續合規為例。過去企業即便於公司網路設定防火牆，仍有駭客入侵之虞；其原因在於，目前有8成的駭客行為都是來自企業內部員工監守自盜，其中一個方法是內部員工在他人不知情的狀況下於防火牆上設定「後門」，或是自行設定公司帳號，而後再利用這些漏洞進入公司剽竊，而這些駭客入侵行為，企業內部往往不易察覺。
過往的企業若想防止這一類的狀況發生，可能須花上許多成本購買軟體加以監控；而伊雲谷的持續合規費用遠低於傳統軟體，且可確保客戶所有的設定與帳號不會在未經許可的狀況下突然被他人所異動。例如(1)若有人未經許可變更防火牆設定或帳號，系統會自動告警，並告知差異；(2)客戶亦可選擇系統若遇未經許可之變更，自動恢復原設定，並通知管理人員。
例如國內某一知名電視台網站時常受到駭客威脅，而後此一電視台與伊雲谷合作，針對最重要的網路設定：安全組(Security Group)、NACL(Network Access Control List)及路由表進行優化，並設定安全組讓原網站主機(Original Server)只接受來自AWS CloudFront的連線，避免駭客偵測到主機位置後，跳過CloudFront針對主機直接進行攻擊；針對最佳化後的環境組態，則套用伊雲谷研發之持續合規控管系統，可於內部員工未經授權或是遭受駭客攻擊而變更安全性設定時，系統將發出告警且自動復原環境組態，確保系統組態持續受管及合規，大幅強化系統安全性。
周許義繼續表示，伊雲谷MSP服務提供的安全檢測系統可以協助客戶檢查AWS環境是否符合安全最佳實踐(Security Best Practice)，提升環境安全性。在傳統的機房環境中，防火牆設定全部仰賴網路工程師的專業，若工程師不慎或故意設錯規則，讓防火牆出現漏洞，企業非常難以察覺；藉由伊雲谷提供的檢測系統，可檢視防火牆設定是否過於寬鬆，並主動指出寬鬆處與可能的安全疑慮，提醒客戶做出及時補救。
除了上述的防火牆規則檢測，伊雲谷的安全檢測系統亦會檢查AWS帳號、S3儲存空間、CloudTrail、快照備份等重要服務設定是否符合最佳實踐，協助客戶保障系統安全性並提升服務可用性。在企業皆欲上雲的的潮流下，雲端服務商能否確保用戶的資訊安全且維持持續合規性，將成為企業選擇的重要考量；伊雲谷不但是AWS大中華地區唯一的高級合作夥伴，且已取得ISO 27001與ISO 27017雙驗證，都在在證明該公司可提供符合國際標準的雲端專業能力。
