安全觀點｜等到風景看透，是誰陪你細水長流

N-CAP和鰻魚飯

持續多日的暴雨再次讓湖北變成了湖，基本找不著北。大雄和同事們在討論這次內澇，很多家庭損失較大，這不公司副董的瑪莎拉蒂就被泡了。

大雄問鄰座的阿菲家裡情況，阿菲一臉淡定地回答啥事都沒有，物業早就做好了應急預案。原來阿菲小區物業服務可是全市排名第一，屬於全國知名的金牌業務，當年阿菲執意要買到這個小區，就是沖著這個資質和名頭來的。

兩碗冒著熱氣的鰻魚飯擺在吃貨大雲面前，如果不加以說明的話，大雲肯定是隨便挑一碗吃了，但如果告訴大雲，其中一碗來自普通日料店，另一碗出自米其林三星大廚之手，大雲毫無疑問會選米其林三星那晚。

阿菲對小區物業最初的信任來自物業拿到的一系列資質和獎項，住了這麼久之後收穫的則是信任感、安全感和舒適感。而米其林三星餐廳更是全世界最難預約的餐廳，正是輪胎人嚴苛的評級標準才能讓這些頂級餐廳為眾多吃貨奉獻一頓頓饕餮大餐。

阿菲和大雲都是普羅大眾，沒有更多的專業技能和經驗去進行深層次的分析和甄別，依據權威第三方的評估認證結果無疑是一個聰明的選擇。

X

正如普通老百姓生病吃藥不能看廣告一樣，靠譜的還是依據醫生的處方，是被莆田系鋪天蓋地的廣告忽悠到，還是踏踏實實去三甲醫院預約挂號，想必大家都有相同的答案。

在雲計算熱火朝天的年代，作為雲上客戶，它應該基於很多指標去選擇CSP，資本實力、運營能力、技術架構、服務模式，相信每個客戶都有全面的權衡。不管是中小客戶，還是金融遊戲電商等大型客戶，無論如何選擇，最終都繞不過安全關。

中小客戶沒有太多明確的安全需求，因此會依據第三方認證結果，認證越多越容易獲得中小客戶的信任。而大型客戶對安全有著更高層次的安全要求，認證類型越廣級別越高就意味著越靠近或滿足大型客戶的安全需求。

在其他考量因素相差無幾的場景下，安全認證反而成了客戶買單決策的X因素，當然這是從客戶角度來解讀安全認證這件事兒。

認證之前，從大堂到庫房可能只需要過一道安檢。

認證之後，新加了兩道安檢，一道進出得脫掉衣服進行全身檢查，一道要查人家祖上三代。

大夥都知道，越安全意味著約束越多，安全與便利之間的平衡取捨需要CSP能下多大的決心。有些腹黑者可能覺得CSP獲取各種各樣的安全認證是為了吸引更多的客戶入駐，其實他們並不知道如果是基於這個出發點，CSP完全沒必要從啃認證這根硬骨頭，更何況通過認證的成本遠高於其他的可選項。

既然這樣，CSP為什麼還要不遺餘力地申請認證？無關其他，唯社會責任耳。

冰山模型

1973年麥克米蘭提出「冰山模型」，直到現在仍然在很多領域應用。

於CSP而言，水面以上的冰山以安全認證表現出來，而這只是冰山一角，決定CSP是否能持續增長做成百年老店的根本還是取決於水面以下的冰山，這部分才能決定CSP綜合素質，而這部分就包括價值觀、自我認知、品質和動機。

那一系列的安全認證背後，體現的是一個CSP大廠對客戶的重視和尊重，也彰顯了CSP視客戶數據如生命排除萬難力保業務正常運行的決心和努力。汽車能跑多快取決於發動機，跑多遠則取決於司機的安全駕駛習慣和汽車主被動安全措施。

如果一家CSP只顧及眼前利益只在乎大肆搶奪業務和客戶，從而忽略安全保障的話，那它其實是一家沒有正確的價值觀和社會責任的企業，而且遲早會翻車。

雲計算終究是巨頭之間的遊戲，比如現在的3A（AWS、Aliyun、Azure），三個巨頭就像在玩鬥地主，誰能拿到大牌誰基本就是贏家。而安全其實就是大牌之一。甚至可以說在某些場合下，安全就是王炸，而通過安全認證就是抓到王炸的必要方式。

國外的2A不提，從目前來看，阿里雲在國內CSP市場的安全認證首屈一指，阿里雲先後認證了ISO27k、CSA－CStar， ISO20K，ISO22301，PCI DSS，MTCS Level 3。

只有透過現象我們才能看清本質，相信在不久的將來，我們的雲上客戶就會知道，等到風景都看透，是誰在陪你細水長流。

（微信公眾號：sunw3i）