构建一个有韧性和高效的安全文化

构建一个有韧性和高效的安全文化

关键字: [Amazon Web Services re:Invent 2024， 亚马逊云科技， Security Culture Ownership， Shared Security Behaviors， Security Knowledge Distribution， Security Ownership Enablement， Security Decision Velocity]

导读

当今的组织面临着快速交付创新、安全解决方案并采用生成式AI等颠覆性技术的压力。这必须与隐私和安全要求保持平衡。在亚马逊云科技，我们发现文化对成功的影响比战略或技术更大。本次演讲就如何培养一种富有韧性、赋能的安全文化提供指导，包括获得领导层支持、分散安全所有权，以及嵌入心理安全感以建立信任、透明度和积极主动的安全第一心态。通过培养具有韧性的安全文化，公司可以更好地保护客户、保障数据，并获得可持续的竞争优势。

演讲精华

以下是小编为您整理的本次演讲的精华。

在亚马逊云科技re:Invent2024大会上，一场引人入胜的小组讨论深入探讨了在组织内培养高效、有弹性的安全文化的复杂细节。Bridget Johnson是亚马逊云科技身份团队的资深人士，拥有10年的经验，她分享了宝贵的见解。她透露，她的团队每天都在不断提高安全标准，与安全团队密切合作，确保工程团队遵守最高标准。

Bill Shin是亚马逊云科技安全团队的高级主管，也是CISO办公室的成员，他在亚马逊云科技工作了12年，积累了丰富的专业知识。作为亚马逊云科技首位专注于安全的解决方案架构师，Bill Shin的角色是确保客户能够安全地在云端构建。五年后，他转入为时任CSOSteve Schmidt工作，在建立CISO办公室方面发挥了关键作用。在这个职位上，Bill Shin的职责涵盖了广泛的任务，包括与服务团队合作处理政策和监管事务、与主动安全团队、应用程序安全团队和安全运营团队合作，同时还领导销售组织内的技术现场社区。

讨论接着转向亚马逊云科技在安全领域认为至关重要的成果。Bridget Johnson凭借丰富的工程团队管理经验，强调工程师能够发现潜在的安全问题的能力至关重要，无论问题的严重程度或风险如何。她强调为工程师提供明确的途径来报告安全问题的重要性，无论这些问题是真正的问题、仅仅是担忧，还是看似无关紧要的观察。Bridget Johnson坚定地表示，她每天醒来都希望并决心确保每一位工程师都有明确的途径来上报与安全相关的事项。

主持人认可这一成果的重要性，肯定了Bridget Johnson的立场，强调工程师对安全负有主要责任的重要性。与会者进一步认识到，组织应该努力创造一种环境，让工程师在讨论和上报安全问题时感到心理上的安全，不必担心受到任何不利影响。

Bridget Johnson坚定地回应，强调她相信要营造一种氛围，让工程师能够自由地讨论安全问题、上报疑虑并进行开放对话，而不必担心。她强调，在她所在的组织中，工程师提出安全问题不仅被容忍，而且受到赞赏。提出安全问题的工程师会得到组织副总裁的嘉奖，这种文化积极鼓励并奖励警惕性和主动参与安全事务。

主持人敏锐地观察到，内部发现潜在的安全漏洞比让客户发现要好得多，这一观点深深引起了Bridget Johnson的共鸣。她进一步阐述，让工程师主导与安全相关的决策不仅有助于迅速解决任何已发现的问题，还有助于实现高速决策，这是高效、有弹性的安全文化的关键组成部分。

Bill Shin凭借过去12年与无数客户合作的丰富经验，提供了一个独特的视角，认为安全是业务的推动力。他承认，虽然安全通常被视为必需品，但不应将其视为自身的目的。相反，最终目标是使公共或私营组织能够为其公民或客户创造价值。Bill Shin断言，成功的企业必须将安全放在首位，作为实现预期成果的手段，无论是销售宠物食品、书籍、送货服务还是任何其他产品或服务。如果忽视安全，可能会让客户失望，削弱企业的信任基础。

与会者随后深入探讨了亚马逊云科技的组织结构，强调了让首席信息安全官(CISO)直接向AWSCEO汇报的战略决策。Bill Shin阐明了这一决策背后的原因，强调这种安排是有意为之的。从亚马逊成立之初，就认识到信任和安全至关重要，尤其是在早期，当人们对在网上购买商品和共享信用卡信息持谨慎态度时。

亚马逊的领导原则(公开可见)将“赢得信任”奉为核心原则，这一原则在公司内部每天都体现出来。CISO直接向CEO汇报的组织结构正是这一原则的体现，使安全团队能够与最高领导层直接沟通。

Bridget Johnson进一步阐述了服务团队与安全团队之间的协作关系，打消了对抗关系的观念。她强调，在需要权衡或进行风险评估时，她会积极与亚马逊云科技安全团队成员合作，建立在相互信任和共同目标基础上的伙伴关系。这种协作方式产生了卓越的成果，在集体努力缓解已识别的安全风险时，产生了创新的解决方案。

Bill Shin加强了这一观点，强调服务团队对各自产品和服务的安全负有实际责任的必要性。他承认，虽然亚马逊云科技安全团队在评估风险和识别潜在漏洞方面发挥了关键作用，但他们并不是每项服务或产品的专家。服务团队由于对自己构建的系统有着深入的了解和理解，因此最有资格实施有效的解决方案并修复任何已发现的安全问题。

Bill Shin断言，这种专业胜于权威的做法是高度有弹性和高效组织的标志。通过让服务团队拥有安全所有权，亚马逊云科技培养了问责制和持续改进的文化，使团队能够控制自己的命运，在不影响安全的情况下保持快速的功能流程。

讨论接着转向亚马逊云科技用来培养强大安全文化的机制，尤其关注软件开发生命周期。Bridget Johnson透露，安全贯穿于开发过程的每个层面，从设计阶段开始。无论工程师的经验水平如何，在设计阶段都需要解决特定的安全问题，如访问控制、数据分类和其他相关考虑因素。

此外，安全团队从一开始就积极参与，确保在编写任何一行代码之前就识别并解决潜在的安全影响。这种主动方法不仅简化了开发过程，而且培养了工程师对安全的所有权和问责制。

Bridget Johnson进一步阐述了威胁建模在亚马逊云科技开发生命周期中的关键作用。工程师被要求编写自己的威胁模型，利用他们独特的业务和技术背景来识别系统特有的潜在威胁。这种方法使工程师能够从开发的最早阶段就拥有安全所有权，深入了解他们工作中固有的风险和漏洞。

主持人强调了将安全问题的上报和响应路径与组织的所有权模型保持一致的重要性。通过确保负责解决和缓解已识别风险的正确人员，亚马逊云科技培养了持续安全所有权和改进的良性循环。

讨论中还强调了另一种机制——每周安全会议，这是AWSCEOAndy Jassy建立的做法。Bill Shin提供了这次会议的起源和运作方式的见解，该会议为安全组织和CEO提供了一个平台，讨论安全问题、未来风险和潜在的关注领域。

每周安全会议建立在一个健全的流程之上，包括一个轮换的当值轮班，由主管级别的人员负责全天候每六小时监控和评估安全问题。这些问题随后会在周一的会议上汇总讨论，届时服务团队将编写纠正错误文件并制定缓解策略。

如果发现的问题需要超出个别团队权限的权衡、资源分配或优先级决策，则将事项上报高层领导以解决。这种机制确保了安全问题得到及时有效的解决，并获得组织最高层的授权和支持。

Bridget Johnson进一步阐述了这些会议从服务团队的角度来看的价值。它们为汇集不同观点、促进明智决策以及确保缓解策略与组织优先事项保持一致提供了平台。这些会议培养了协作和共同责任的文化，将安全性视为开发过程中不可或缺的一部分，而非孤立的问题。

与会者还谈到了向董事会传达安全优先事项和举措的重要性。亚马逊云科技最近实施了一项将安全考虑纳入董事会更新的做法，确保董事会与组织在安全方面的价值观和实践保持一致。

这种方法包括强调与新技术(如生成式人工智能)相关的安全问题、期望和策略，以及讨论组织对当前事件和潜在威胁的应对措施。通过让董事会了解并参与安全事务，亚马逊云科技加强了安全在最高治理和决策层面的重要性。

转移到共享行为，与会者深入探讨了亚马逊云科技用于指导和加强期望安全实践的机制。其中一种机制就是软件开发生命周期本身，它为工程师灌输安全意识行为提供了框架。

主持人强调了在开发生命周期的各个阶段确定应展现的具体安全行为的重要性，认识到安全不能是事后的考虑，而应该是整个过程中不可或缺的一部分。

Bridget Johnson提供了她所在组织应对这一挑战的见解。工程师在设计阶段需要解决特定的安全问题，确保从一开始就考虑了诸如访问控制和数据分类等问题。此外，安全团队积极参与设计阶段，在编写任何代码之前提供指导并识别潜在的问题领域。

随着开发过程的推进，工程师有责任进行威胁建模练习，利用他们对系统的独特理解来识别潜在的威胁和漏洞。这种主动方法不仅培养了安全所有权的文化，而且确保了安全考虑贯穿于整个开发过程的始终。

Bridget Johnson进一步强调了培养升级和开放沟通的文化的重要性。在团队会议上，她一直强调工程师应该有权升级安全问题，无论其严重程度如何。她积极营造一种环境，让资深工程师随时提供指导和支持，培养心理安全感，鼓励工程师畅所欲言，不惧后果。

主持人强调了将安全问题的升级和响应路径与组织的所有权模型保持一致的重要性。通过确保合适的个人负责解决和缓解已识别的风险，亚马逊云科技培养了持续安全所有权和改进的良性循环。

培养共享行为的另一个关键方面是将安全纳入工作指南和绩效评估。主持人承认，亚马逊最初在这一领域做得不够好，但后来取得了重大进展。

工程师和经理现在都在工作指南中明确列出了与安全相关的职责，强化了安全作为其角色核心组成部分的重要性。对于初级软件开发工程师，指南强调了在对自己的方法是否符合安全标准存有疑虑时，向更资深的同事升级问题的重要性。这不仅促进了升级的文化，而且加强了安全作为共同责任的理念。

对于资深开发人员，指南强调了识别内在复杂的问题(可能带来关键业务或安全风险)的需要。这使得有经验的工程师能够全面审视他们正在处理的系统，并主动解决可能不太明显的潜在漏洞。

经理们在培养安全文化方面也扮演着关键角色。他们的工作指南强调优先考虑提高整体架构和软件质量的努力，包括安全考虑因素。通过将安全明确与绩效评估和职业发展联系起来，亚马逊云科技加强了安全作为每位工程师和经理职责的基本方面的重要性。

讨论的最后一个支柱集中在知识传播以及亚马逊云科技在整个组织内传播安全专业知识的机制。与会者强调了“守护者”计划，这是一项开创性的举措，旨在解决软件工程师远多于专职安全团队成员的挑战。

“守护者”计划的目标是在每个服务团队中至少有一名受过培训的个人，旨在培养安全所有权文化，使工程师能够从最早的开发阶段就考虑安全问题。迄今为止，该计划已培训了超过5，000名活跃工程师，这一惊人的成就凸显了亚马逊云科技将安全专业知识融入整个组织的决心。

“守护者”计划取得了令人瞩目的成果。亚马逊云科技在安全审查中发现的阻止发布的问题减少了22.5%，这证明了该计划在使工程师能够主动解决安全考虑方面的成效。从实际数字来看，这一减少相当于每年节省了21万个工作日，因为发现的问题减少，就不需要进行大量返工和推迟新服务和功能的发布。

此外，“守护者”计划将安全审查所需时间缩短了26.9%，进一步简化了开发过程，使亚马逊云科技能够更高效地为客户提供安全的产品和服务。

Bridget Johnson从工程的角度提供了对“守护者”计划影响的见解。她承认，过去安全审查常常让工程师忐忑不安，他们希望一切顺利，但也做好了面临潜在障碍和延迟的准备。然而，随着“守护者”计划的推出，安全审查已成为开发过程中无缝集成的一部分。

服务团队内受过培训的“守护者”的存在培养了心理安全文化，工程师可以放心与同事讨论安全问题。工程师不再完全依赖外部安全专家，而是可以与接受过专门培训的同事互动，促进开放对话和协作解决问题。

Bill Shin进一步阐述了“守护者”计划的可扩展性，强调了该计划在亚马逊云科技内各个团队和组织中的采用。即使是销售组织，包括解决方案架构师、专业服务、技术账户经理和销售代表，也已采用“守护者”计划，凸显了整个公司对安全所有权的普遍性。

主持人随后分享了亚马逊云科技对“守护者”计划的愿景，强调了在整个开发生命周期中通过安全设计持续取悦客户的重要性。这一愿景承认了在整个开发过程中灌输安全意识行为的固有挑战，但设定了一个崇高目标，即使安全成为每位工程师工作流程中不可或缺且无缝集成的一部分。

回顾“守护者”计划的最初实施，主持人承认了一个宝贵的经验教训。最初，该计划专注于培训已经经历过多次安全审查的资深工程师，取得了显著成功。然而，这种方法忽视了由缺乏安全审查经验的初级工程师组成的新团队的需求。

主持人强调根据受众的具体需求量身定制培训的重要性，重点关注工程师可以在日常工作流程中融入的最有影响力的安全实践。对于初级工程师，建议优先考虑威胁建模，确保每个团队在编写任何代码之前都构建了全面的威胁模型。这种方法不仅培养了安全所有权，而且促进了团队成员之间的协作和知识共享，因为威胁建模需要不同的观点和专业知识。

在“守护者”计划取得成功的基础上，主持人强调培养受过培训工程师之间的社区意识和参与感的重要性。通过在培训、影子实践和反向影子实践环节提供一流的体验，亚马逊云科技旨在创造一个支持性环境，让工程师有信心采取行动，实现他们之前可能认为无法实现的成果。

主持人断言，这种积极的体验将激励工程师与同事、经理和更广泛的社区分享他们的成功，产生一种涟漪效应，鼓励他们加入这一运动，成为各自组织内的安全倡导者。

为进一步加强安全责任文化，亚马逊云科技向经理和领导提供数据和认可，突出他们团队在安全工作中的贡献。这种做法不仅培养了责任心，而且还是一种强大的动力，鼓励团队不断提高安全实践的水平，追求卓越。

主持人分享了一位主管给团队发送的一封电子邮件的例子，感谢参与守护者计划的人员，并重申安全是头等大事。该邮件以姓名的方式突出了特定个人，认可了他们的贡献，培养了自豪感和成就感，尤其是对于那些之前可能感觉与组织领导脱节的初级工程师。

总之，在亚马逊云科技 re:Invent 2024大会上的小组讨论全面深入地探讨了亚马逊云科技用于培养有弹性和高效安全文化的策略和最佳实践。与会者强调了将安全工作与组织的核心价值观、规范和共同行为保持一致的重要性，同时赋予团队权力、培养倡导者社区，并持续衡量和完善安全实践。

通过采纳本次讨论中阐述的原则，组织可以营造一种环境，将安全视为不仅仅是一个检查项，而是一种深深植根于每个运营环节的精神。这反过来将使他们能够自信、灵活和有弹性地应对不断演变的网络威胁，从而最终保护他们的资产、声誉和客户的信任。

下面是一些演讲现场的精彩瞬间：

Andy Jassy，亚马逊公司的首席执行官，通过询问观众对安全性的兴趣来与观众互动，强调安全性对于组织中的每个人都很重要。

Andy Jassy强调了理解安全性的最终目标的重要性——让企业能够为人们提供安全的服务，并让客户对安全的服务感到满意。

Andy Jassy强调将安全实践与公司的核心价值观和原则保持一致的重要性，鼓励每个人以身作则，成为安全性的模范，并影响领导层将安全性作为优先事项。

亚马逊云科技强调了一致的信息传递和清晰的沟通的重要性，“安全交付”这一短语体现了他们向客户交付安全网络服务的使命。

亚马逊云科技的服务团队精心策划和执行安全措施，通过高级工程师、经理和不同视角的协作努力，解决预期的挑战和新出现的“安全动摇”，以降低风险并确保客户体验。

亚马逊云科技强调在开发过程的每个阶段都要注重安全性，从设计到部署，都要让安全专家和工程师参与其中，识别潜在风险并实施适当的访问控制。

总结

在亚马逊云科技，培养强大的安全文化是至关重要的。这始于来自最高领导层的明确价值观，如首席执行官Andy Jassy强调“安全是我们的首要任务”。这一价值观贯穿于诸如服务团队对其服务的安全负全责、培养升级和心理安全文化等规范中。

共享行为由诸如将安全纳入从设计到部署的软件开发生命周期、工程师在早期编写威胁模型等机制指导。由首席执行官主持的每周安全会议确保了最高层面的可见性和问责制。此外，Guardians计划培训跨团队的工程师思考安全问题，从而将阻碍发布的发现减少了22.5%，审查时间缩短了26.9%。

分发安全知识是关键。亚马逊云科技专注于为Guardians创造积极的社区体验，赋予他们采取行动并实现原本认为不可能的成果的能力。反过来，这又激励了其他人加入社区或在团队内倡导安全。最终，这些努力旨在使安全成为业务推动力，让亚马逊云科技能够通过安全设计为客户带来令人满意的服务。

亚马逊云科技（Amazon Web Services）是全球云计算的开创者和引领者。提供200多类广泛而深入的云服务，服务全球245个国家和地区的数百万客户。做为全球生成式AI前行者，亚马逊云科技正在携手广泛的客户和合作伙伴，缔造可见的商业价值 – 汇集全球40余款大模型，亚马逊云科技为10万家全球企业提供AI及机器学习服务，守护3/4中国企业出海。