安全已經融入我們的 DNA 中

Clarke Rodgers：
歡迎收看由 AWS 為您帶來的 Executive Insights 播客。我是企業策略總監 Clarke Rodgers，在此引導您和安全領導者進行一系列的對話。

今天，我有幸邀請到 HAQM Web Services 的執行長 Matt Garman。請聆聽我們進一步討論 HAQM 的安全文化、我們如何看待安全投資以及客戶如何利用 AWS 雲端來保護他們的環境。希望您喜歡此播客。

HAQM Web Services 執行長 Matt Garman。非常感謝您參加我們今天的訪談。

Matt Garman：
是的，當然可以。感謝您邀請我。

Clarke Rodgers：
您是 AWS 的第一位產品經理。您可以帶我回顧一下當時的情況以及您的工作中是如何加強安全性的嗎？

Matt Garman：
實際上，我的第一份工作是在 2005 年 AWS 成立之前，當時在一所商學院實習。從我工作第一天開始，Andy Jassy 就向我們灌輸這樣的觀念：安全性是最高優先事項。無論如何，安全性都是我們要考慮的第一件事。在回顧 AWS 的早期階段時，我們不斷思考安全性意味著什麼？ 我們如何看待安全性？ 我們如何看待隔離？ 尤其是在當時，人們對將自己的資料託付給他人有諸多擔憂。我認為，我們非常重視安全，格外重視隔離客戶工作負載，這對我們來說是正確的偏向性，但同時也要重視我們自己的安全性，以及我們如何考慮存取客戶資料以及保護客戶資料。安全性很早就成為我們關注的重點。對我們來說，安全性是重要的投資領域，當然目前仍然如此。

隨著安全威脅越來越嚴重，我們的規模也不斷擴大。我們越來越多地思考如何保護雲端的安全，例如我們自己的安全和以這種方式保護客戶的工作負載，同時也為客戶提供工具，以便他們在共同責任模型中保護自己的工作負載。我們所做的每一件事，都是我們要求開發人員首先考慮的事情。我們要求資料中心人員首先從實體安全、邏輯安全、軟體安全、軟體和服務的維護以及服務的營運等方面來考慮此問題。安全性是我們所有工作的前端和中心。

Clarke Rodgers：
隨著您在 AWS 的發展之旅不斷推進，尤其是目前擔任執行長，您如何讓 AWS 內部的業務領導者對其營運和實際業務線的安全負責？

Matt Garman：
首先，這是最大的杠杆，我認為我們擁有的杠杆就是對企業文化的關注。重點是確保領導者知道安全性是他們的責任，並且他們應該考慮這一點。我們採用了一些機制來強制執行這一點，並確保他們不斷學習，因為我認為，特別是當人們來自其他環境時，他們實際上並沒有同樣的偏向性，而其他地方也不一定首先考慮安全性。他們會事後再處理安全性，或者交由他人處理此問題，又或者也許安全團隊會負責安全事務。您是安全團隊的一員。我們並不會依靠您一個人來保證安全性。每個人都應負責安全。您是這一旅程中的優秀合作夥伴，幫助我們形成最佳實務並增強安全性。

但是，我們確實必須將安全性作為企業文化的一部分來培養。當工程領導者、產品領導者加入時，這絕對是需要學習的內容。他們必須認真考慮對自己產品所負的責任。我們還採用幾種檢閱機制，其中我們嘗試鼓勵領導者思考如何提高安全性，思考他們的產品如何具有安全保障，這就是採用安全帶、吊帶和額外安全帶的原因，以及我們還能在何處尋求方法來不斷進步？ 因為我們的工作和對客戶的承諾是：「我們會不斷進步」，不是嗎？ 安全形勢變得日益嚴峻，不良行為者的手段也越來越高明，我們必須加強多層保護。找到可以向領導者強化這一安全形勢的機制，其中您不會懲罰員工，而是尋求理解，即如果產品沒有達到正確的安全標準，我們就不會發貨。

如果我們認為某件事在安全隔離方面沒有正確的構造，我們甚至不會著手行動。如果第一次形成產品而沒有推出，原因就是我們認為它沒有達到正確的標準，或者我們讀到了一份新產品的建議，然後認為，「我不喜歡這種對特定架構無效的思考方式。」 這種觀點得到強化，我認為它推動了很多正確的行為。

Clarke Rodgers：
您提到了機制。在上個季度，我有機會採訪到 AWS CISO，他描述了每週的 CEO CISO 會議。您能否稍微談談從那次會議中獲得的益處？

Matt Garman：
沒問題。有兩點益處。第一點益處是，這對我們來說是很好的機會，可以幫助我們加強與領導者的合作，坦率地說，對我來說是很好的學習機會，我想對我們所有人來說也是如此。我們每週舉行一次會議，期間檢閱各種問題。時常如此...實際上，幾乎所有時候，它們都是某些安全性問題，其中我们正在寻找可能存在问题的角落，我们可能没有发现它，或者没有其他缓解控制措施。但是，這對我們來說是非常好的機會，可讓我們深入了解可能錯過的瓶頸、錯失的原因，還可了解新發現的問題，我們希望將其推送到不同的團隊進行處理。我們每週都會召開會議，向 AWS 的所有團隊尋求問題解決機會，我們希望在此期間更深入地了解可以在何處實際處理該問題。

我認為該機制的強大之處在於，它提供很好的機會來教導領導者如何真正思考和深入研究。我們有許多領導在電話會議或會議室中深入研究這些問題並了解正在發生的事情。我們經常會反復爭論是做 A 還是做 B，因為很多時候，這些都是很微妙的問題，其中我們嘗試決定是否存在明確的「哦，你忘了關閉連接埠」情況，或者並非如此，對嗎？

而這並非此類問題。這是更微妙的問題，例如，「哦，這有可能發生，也有可能不會發生。」 或者，這是我們正在研究的邊緣案例。然後還有一種機制，「好的，很不錯。現在我們已經完成問題的處理，接下來如何與其他 50 個、100 個可能有類似情況的團隊進行溝通，並確保傳播這些經驗教訓？」 它還可以幫助作為領導者的我們在接下來的幾週內了解相關訊息，我們可以實際地基於自身的學習和理解，思考哪些方面可能還有其他值得我們關注的領域。它對我們所有人來說都是非常有力的提醒，讓我們了解該如何看待問題，坦率地說，這是讓我們互相學習如何不斷進步的良機。

Clarke Rodgers：
它可讓安全性成為企業的常態。

Matt Garman：
就是如此。我認為另一個重要部分是...我認為這是錯誤的觀點，即有些人認為這樣的機制就像我們會因為某人犯了錯誤而對他大喊大叫一樣。我認為這是非常重要的部分，您不會想因為在會議上提出的問題而受到懲罰。從某種程度上來說，您標記並發現問題是一件好事，我們都可從中學習經驗教訓。我認為這也很重要，因為您並不希望出現這樣一種企業文化：團隊想要隱藏問題，他們會說，「哦，我不想讓任何人發現這件事，因為我不想讓任何人對我大喊大叫。」 您確實需要鼓勵一種企業文化，讓人們直接提出這些問題，以便更廣泛的組織可以從中學習經驗教訓。

Clarke Rodgers： 
確保您專注於處理問題，而不是相關的人員。

Matt Garman：
就是如此。就是如此。

Clarke Rodgers：
該會議的另一種下游效應是會議內容予以公開。據了解，執行長每週至少花一個小時來學習有關安全性的所有知識。我相信這有助於培養整個組織的整體安全性文化，並加強其重要性。

Matt Garman：
可能是。我認為確實有此作用。

Clarke Rodgers：
當您展望未來三到五年內要如何使用 AWS 開展工作時，安全性、廣泛的合規性、監管問題等方面在您的規劃中是如何體現的？

Matt Garman：
正如我所說，我認為市場上沒有任何跡象表明安全性變得不那麼重要，也沒有跡象表明不良行為者變得不那麼老練。安全性必須是我們持續投資並將會投資的領域，因為我確實認為這是 AWS 與其他公司之間的重要區別之一，特別是在您可以完成的工作方面。但坦率而言，即使與其他雲端供應商相比，安全性仍然是 AWS 的差異化功能。我們希望保持這種優勢。

我認為在接下來的幾年內，我們必須考慮如何保護更多的風險區域。在考慮 AI 時，你還需要考慮大量其他攻擊媒介、逃避媒介以及安全方式…我很樂觀地認為，AI 是一種非常強大的工具、能力和技術，可以幫助公司創造巨大的價值，而且對於打擊不良行為者、幫助發現安全問題來說，它也可能發揮重要的作用。我認為我們可以利用 AI 來弄清楚如何繼續改進自身的服務和基礎安全性。但我也認為，這是會增加我們必須防範的風險區域的事項之一。

我確實認為這是我們必須付出雙倍甚至三倍努力的領域，而且我們已經如此行事。我認為在接下來的三到五年中，這必然會是我們需要考慮的領域。我認為另一件重要的事情是，隨著這個領域的快速發展，人們有時會產生這樣的誘惑想法：「是的，我們可以繞過去，稍後再處理安全性。」

而對我來說，這是我們完全不可接受的權衡。在思考何處是正確的隔離邊界以及推出產品、服務或其他事物的正確時間時，安全性只是要考慮的問題之一...這不是我願意做出任何妥協的領域，但我確實認為這樣做可能會有一定的誘惑力。我們僅需繼續正確教育自己的團隊。我確信市場上的其他公司也會受到誘惑，在安全性層面上做出讓步，以快速採取行動。我認為從長遠來看，這將是錯誤的選擇。

Clarke Rodgers：
沒錯。最後再處理安全性似乎從來都不起作用。

Matt Garman：
目前市場上有證據表明，對於雲端供應商和最終客戶來說，這樣做的成本要高得多。

Clarke Rodgers：
確實如此。我們稍微換一下對待客戶的方式。您遇到很多客戶執行長。在安全性方面，他們與您談論了哪些內容？是否不僅談論了他們應該做什麼，還談論了 AWS 如何協助他們？

Matt Garman：
沒錯。這些都是顯而易見的談論內容。我認為他們擔心接管攻擊和類似的問題。我還認為，我們可以採取很多行動來繼續為客戶提供此方面的協助。越來越多的客戶擔憂的事情之一是，他們意識到自己擁有的最重要資產之一以及 IP 中最重要的部分是其資料。他們會思考該如何保護自己的資料以確保其不會洩漏。 這是從不同角度看待的安全性，但在考慮 AI、分析和這一廣泛的資料集時，它具有重要意義。其中涉及如何確保公司內部和外部的人員均能夠以正確的方式保護資料。一些是您自己的客戶資料。另一些是個人身分識別資訊。還可能僅是您擁有且對於自身工作至關重要的專屬企業資料。

這是客戶日益擔憂的非常重要的領域，因為如果這些資料洩漏，或者不再是他們的專屬資料，很多客戶就會意識到這些問題真正體現了資料的價值所在。因此，這是客戶會持續考慮的有趣領域。然後，我確實認為還有另一個視角，即我們正在協助客戶如何思考資料的儲存位置、資料主權、加密以及擁有加密金鑰的人員。以及許多其他方面...其中一些方面可能會使您的系統更加難以運作，而即使如此，某些方面也是完全合理的行為。我認為這是不同層級的決策，並非是簡單的二選一決策。也就是說，這並非是具有明顯正確或錯誤答案的決策。

但我認為，我們的工作是協助客戶了解如何平衡其中的一些方面，即如果您有資料主權方面的擔憂，並且監管環境日益嚴格，不能或不應將資料轉移至境外，但是您如何在這些限制條件下營運一家全球性公司？ 考慮到這一點，也許它是安全的近鄰，但其實際上是一種安全控制措施。

Clarke Rodgers：
確實如此。保護資料並將其實際放入雲端可以在一開始就簡化資料保護工作。這也是客戶在利用生成式 AI等工具時的最基本要求之一。如果您的資料不在雲端，則無法使用許多這些出色的生成式 AI 工具。

Matt Garman：
這是非常有趣的領域，但如果回顧 18 年前，每個人都對雲端非常擔憂。他們會說：「我如何才能信任雲端？ 我如何可以更加...雲端安全嗎？ 我正處於看起來風險極高的多租戶環境中。」 我想說的是，絕大多數客戶目前已經轉變觀念，並且真正意識到在雲端中的資料更加安全。我們提供更多的功能。我們投入數十億美元打造雲端安全性。客戶不可能對自己的資料中心如此費心費力。

Clarke Rodgers：
正確。

Matt Garman：
這是很重要的區別。這是很大的觀念轉變。對於許多客戶來說，在移轉和現代化方面仍有很多工作有待完成，之後才能得到所需的雲端安全性。實際上，對於其資料位於內部部署環境的大多數客戶，其資料的安全性較低，對吧？ 他們更容易受到黑客攻擊和其他類型的攻擊等。他們無法利用我們正在推出的許多最出色、最酷炫的技術，例如生成式 AI、資料和分析，以及運算和儲存等新功能。他們受困於舊式基礎設施和技術。

Clarke Rodgers：
就此視角而言，您是否正在進一步與客戶進行關於移轉和現代化的對話？

Matt Garman：
沒錯。這是助力業務增長的巨大推動力。越來越多的客戶意識到這一點，他們想要加快腳步。這也是我們投資 Q 轉型等專案的原因之一，此轉型有助於對某些舊式資料儲存 (例如大型主機、VMware 或任何此類儲存) 進行現代化改造，並有助於更快地移轉至雲端。

Clarke Rodgers：
而且非常安全。

Matt Garman：
這是很重要的優勢。因此，移至雲端並進入雲端世界有助於提升安全性。脫離 Windows 環境也有助於提升安全性。將資料放入更加現代化的架構同樣有助於提升安全性。這些都是了解當今風險的人們採取的重要舉措。我認為這有助於鼓勵人們更快速地移轉。

Clarke Rodgers：
就其應該向安全團隊詢問哪些類型的問題，您是否會對接觸的客戶執行長提出建議？

Matt Garman：
有很多問題可以詢問。第一個問題是，在選擇雲端供應商時，您如何看待其在安全性方面的歷史以及過往的記錄？ 您如何知道正在移入資料的環境具有適當的標準？ 目前流行的企業文化是確保每一款新產品、每一項新服務、每件新事物都以考慮客戶安全性為基礎。從客戶的角度來看，您如何培養此文化？

因為這種一種共用的模型。這是我們共同合作的非常重要的部分。我們與所有最大規模的客戶合作，確保他們擁有正確的架構，採用正確的設定，他們會思考如何看待根帳戶與其帳戶許可，如何看待其 IAM 許可，以及如何考慮加密其資料和保護帳戶金鑰等。客戶也必須盡自己的一份力。因此，我會建議執行長應制定類似的程序，也就是我們所討論的每週安全，同時推動最佳實務，即讓其絕對放心地依賴 AWS 中的某些安全部分，而這就是我們的責任。

Matt Garman：
而且您不必感到擔憂。您不必擔心許多方面。不必擔心資料中心安全性。也不必擔心任何這些安全事項。同樣不必擔心 Hypervisor 安全性，所有這些安全性都由我們來提供。但是，也有公司確實需要擔心的諸多應用程式領域問題。同樣重要的是，他們應採用類似的機制，其中 CISO 每週都會審視並強調其認為可以提高應用程式安全性的領域。順便一提，我們很樂意成為此方面的合作夥伴。

Clarke Rodgers：
確實如此。

Clarke Rodgers：
關於如何向領導層報告風險，您會向客戶 CISO 提供哪些建議？ 從安全角度來看，您希望如何應對風險？

Matt Garman：
沒錯。我認為，首要的事項就是快速向上呈報並保持透明度。如果企業確實面臨風險，那麼捂住壞消息不透露永遠不是正確的處理方式。我喜歡公司的 CISO Chris，如果有我需要了解的問題，他會立即讓我知道，而不是等到兩個小時後問題難以處理時。我需要儘快了解問題，這樣我們才可安排所有合適的人員處理。我鼓勵這樣做，因為我建議的事情之一是速度非常重要，特別是在出現任何緊急安全問題時。快速採取行動具有重要意義。將相關人員聚集到一個房間中，做好所有的準備工作，然後按優先順序處理問題，無論是需要向客戶傳達資訊，還是需要採取行動或者處理其他事情，這些都非常重要，而行動的速度在這方面也具有重要意義。

另一點是...此外，對於那些很重要但不一定緊急的次緊急問題，我確實認為要確保培養這樣一種企業文化：不要推卸責任，也不要責怪他人，而是真正關注此問題並予以解決…

Clarke Rodgers：
回到此問題。

Matt Garman：
我認為這是一種微妙的差別，但它確實改變了團隊的透明度以及他們掩蓋問題而非提出問題的程度，如果您不能保持透明並從未能順利完成的事情中吸取經驗教訓，公司和業務就不會蒸蒸日上。而且很難實現安全性。順便一提，每個人每天都會發現新的事物。因此這是困難的領域。這是快速變化的領域。您必須學習，並且必須願意學習，這意味著一切都不會完美無缺，您必須從中學習經驗教訓，做到更好，並且嘗試找出緩解措施以及提升整個團隊能力的方式。但是，如果您不鼓勵透明性，就無法實現這一目標。我認為這些都是我鼓勵諸位思考的事情。

Clarke Rodgers：
很棒的建議。Matt，非常感謝您參加我們的訪談。

Matt Garman：
很榮幸。感謝您邀請我。

立即收聽

立即收聽

立即收聽