这家公司迁移到云端是为了获得更好的安全性

这家公司迁移到云端是为了获得更好的安全性

一旦确定SOC2是业务关键型的,首席信息安全官clarkerodgers表示,他分析了实现SOC2的不同方式,并最终确定向云转移是最有效的途径。  罗杰斯最近与《网络世界》主编约翰·迪克斯分享了这个故事。

SCOR Velogica首席信息安全官克拉克·罗杰斯

让我们从业务的缩略描述开始。

在一个非常高的级别上,SCOR是三个业务合一。  有人寿再保险实体、财产和意外再保险实体和投资集团。 在再保险业务中,我们主要为其他保险公司投保。  所以,举个例子,如果你向你的直接保险公司购买了人寿保险,他们会为你的生命承担很大的风险,然后把剩下的风险转给再保险公司。

SCOR Velogica隶属于SCOR Global Life Americas部门,既是一个业务部门,也是一个软件即服务产品提供商。  Velogica产品是一个自动人寿保险承保引擎,因此,如果您与代理人坐下来填写表格,他们的系统将在后端与Velogica连接,Velogica通过几个算法和数据提供程序运行该信息,然后返回并为代理人提供三个决策之一:  接受此人、拒绝此人或将此人交由人类保险商作出最终决定。

你从自己的数据中心提供这项服务?  是什么促使你搬到AWS的?

你可以想象,在人寿保险业务中,我们处理的是一些最敏感的数据——健康记录、处方药历史、看医生的次数、关于你的任何疾病的信息——因此我们必须竭尽全力保护这些数据,而不仅仅是针对最终用户(被保险人),但对于我们支持并与之做生意的公司来说。  由于我们不遗余力地保护这些数据,我们希望获得第三方认证,以证明我们在保护这些数据方面的能力。  我们认为,SOC2类型2认证是我们行业的首要第三方保证报告。  对认证的追求正是促使人们转向AWS的原因。

SOC2基于一个由AICPA定义的信任服务原则框架,涉及以下所有或部分内容——安全性、机密性、可用性、处理完整性和隐私。  一旦您满足了这些要求,第三方审计人员就会进来评估您的服务,以确定您是否符合标准。 我们认为安全性、保密性和可用性是为我们的业务和客户带来最大价值的三个因素。

所以,您认为SOC2对您的业务非常重要,并开始寻找实现这一点的方法?

对的。您通常从评估当前环境开始。  你可以自己做,也可以请个审计员,我们就是这么做的。  正如大多数公司所发现的那样,我们发现还有一些改进的空间,然后我们研究了最好的补救方法。  通过查看我们的系统,我们发现一些补救措施会影响SCOR的其他部分,并意识到在组织中不需要的部分实施这种级别的安全性是很困难的。

所以我们开始说,“如果我们从技术角度来开拓这项业务呢?”  我们仍然可以使用核心的后端服务,比如HR和Legal,但是从纯IT和安全的角度来看,也许我们可以将其分离出来,实现一条通往SOC2的更高效的路径。  能不能简单到换一个托管设施,把Velogica的所有资产都放进去?  我们看云吗?  我们还能做什么?

很快我们就明白了云计算是阻力最小的途径,在云计算产品中,AWS是我们研究的明确领导者。

一旦我们确定了AWS似乎是正确的方法,我们就创建了一个AWS环境的大致草图。  但我们遇到的问题——我想很多公司都有同样的问题——是员工中缺少AWS认证的云工程师。  云是明显不同的,所以你真的需要有专业知识来指导你通过什么是不可能的。  通常,像我们这样的公司有几个选择。  一种是在内部配备员工,引进有资格证书和专业知识的人员,或者两个,培训现有员工。

但在我们为实现SOC2而强加给自己的时间限制下,在当地进行培训或雇佣更多员工是行不通的。  因此,我们开始寻找第三方专业服务公司,这些公司可能是AWS的合作伙伴,他们有员工,有专业知识,而且以前也做过。

我们最终评估了三家供应商,第二只手表显然比其他厂商高出一筹。  他们做了类似于我们的迁移,他们做了更高级的迁移,更大的迁移,他们真正了解云。  这就是我们需要的。

一旦你选择了2nd Watch,迁移进展如何?

我们在2014年秋季签署了合同,初步分析可能在12月完成,2015年1月开始测试和开发环境的迁移,QA在春季进行,同时构建核心基础设施…Active Directory、电子邮件和最终用户计算、网络安全、AWS安全组,等。  我们测试了灾难恢复环境,由第三方执行了渗透测试,然后在6月份开始迁移生产数据。   我们在7月底启动了交换机,向AWS的客户提供全面生产的服务。

你能给我们一些关于这项工作有多大的看法吗?

在AWS中创建了大约200个计算实例来镜像我们的本地环境,然后相应地迁移数据和应用程序。

您可能知道,有几种到云的迁移策略。  其中一个被称为“提升和转移”,即对应用程序工作方式的中断最小,您只需将其从prem中取出并放到云中,它实际上与您以前的情况相同,只是在另一个提供商的基础设施上。另一种选择是将应用程序和基础设施分解为核心组件,这些组件可以由云供应商的服务轻松管理,然后利用它们的一些独特功能为您的业务带来优势。  在AWS的例子中,这包括诸如简单存储服务、弹性负载平衡、自动伸缩和多AZ、高可用性架构等服务。  我们选择前者是因为我们受到时间的限制,但是现在我们已经在AWS工作了一段时间,我们开始开发一些本地功能,使我们的平台更具弹性、更高效、更持久和更高可用性。

但是你很快就完成了迁移。

按照Velogica的工作方式,当我们按下开关时,这是一种要么全有要么全无的体验。  我们的后台秘密酱汁只能从一个位置安全运行。  这就是为什么测试是最重要的。  我们让一家第三方公司对AWS环境进行了全面渗透测试,以确保AWS平台不仅提供了我们预期的安全性,而且确保我们与2nd Watch和其他供应商建立的控制也能正常工作。

需要注意的一点是:  当我们在AWS中执行测试时,我们主动联系客户,告诉他们我们在做什么。  根据合同规定,我们有义务告诉客户他们的数据在哪里,因此我们借此机会联系了我们的客户,并解释了为什么我们要转移到AWS,以及它如何支持我们的SOC2工作。 除了迁移到AWS带来的安全好处之外,我们还向客户展示了我们能够通过新平台提供的更高级别的服务。   无处不在的加密、高度可用的web服务、持久的存储以及强健的灾难恢复和业务连续性解决方案,所有这些都是令人信服的演示。

没有一个客户犹豫过。  有一对夫妇对AWS不太熟悉,所以我们必须教育他们。  但是没有人犹豫过,现在有几个人也开始考虑将他们的一些业务转移到AWS上。

你的SOC2认证就在门口吗?

不,你不能马上把它拿出来,因为你必须能够证明你已经成功地运行了一段时间。  我们在2015年9月发布了SOC2类型1。  SOC2类型1和SOC2类型2之间的区别在于,你不仅要证明你已经达到了标准,你还必须证明你已经实现了它,并随着时间的推移继续这样做。  当我们的审计师在季度末到来时,我们将有六个月的时间来运行SOC2控制,他们将做的是审计我们是如何达到某些标准的。在本次审计之前,将每年发布SOC2/Type2报告。

路上有什么惊喜或打嗝吗?  你有什么可以分享的经验教训吗?

我回到我们必须做出的决定。  你是提升和转移你所拥有的,还是从第一天开始就尝试用云计算构建它?  这两个方面都有优点,我认为,打算探索这一举措的公司确实需要考虑一下这一点。  我们有时间限制,因为我们想让SOC2尽快到位,所以这真的推动了这个决定。  现在我们已经在AWS中工作了一段时间,我们将回到过去,让事情变得更加高效和云本地化。  争论的焦点是,我们在前端这样做会更好吗?  也许是的,也许不是,但如果没有实现业务目标,我们就无法按时实现SOC2目标。这是一个人们在规划云迁移时确实需要花一些时间考虑的话题。

另一件事是,这是特定于AWS的,他们的创新速度如此之快,以至于很难跟上任何一天发布的所有内容,更不用说随着时间的推移了。  我们设计了一些东西,因为它们没有什么功能。如果我们等了六个星期,他们就有了这个功能。

人们不应该抱怨云技术的创新速度,因为它似乎总是积极的,但我们确实需要围绕一些东西进行设计,现在我们正在把这些东西拉出来,并利用本地工具,这同样是很好的,但这仍然是一个工程挑战,我宁愿没有经历。  也许这就是早期采用者的困境!