快速行动，保持安全： 面向未来的安全战略

## 视频 <video src="https://dev-media.amazoncloud.cn/30-LibaiGenerate/31-LiBaiRebrandingVideo/SEC237-INT-Move_fast__stay_secure__Strategies_for_the_future_of_security-LBrebrandingWCaptionCN.mp4" class="bytemdVideo" controls="controls"></video> ## 导读 随着企业适应和拥抱新技术，安全环境也在不断变化。在本讲座中，您将了解到可推动业务敏捷性的亚马逊云科技安全愿景。直接聆听安全领导者分享他们对零信任、开发者安全体验和生成式 AI 等关键主题的见解。了解亚马逊云科技如何在内部处理这些领域，并了解如何应用这些经验帮您实现安全目标。 ## 演讲精华 <font color = "grey">以下是小编为您整理的本次演讲的精华，共2500字，阅读时间大约是12分钟。如果您想进一步了解演讲内容或者观看演讲全文，请观看演讲完整视频或者下面的演讲原文。</font> 亚马逊云科技的首席信息安全官史蒂芬·施密特在其主题演讲中表示，安全专业人士在考虑安全问题时，通常会立即关注技术方面，例如最新的漏洞、恶意软件工具以及检测和响应过程。然而，他强调尽管技术至关重要，但安全本质上仍是个人的问题，因为计算机不会相互攻击——数十亿敌对行动背后的罪魁祸首是人类。 在担任亚马逊云科技的CISO期间，施密特常常感觉自己就像在国际象棋比赛中同时学习心理学。要想赢得这场比赛，专业人士需要专注预测棋盘上的动作，同时也要了解人类的行为动机和趋势——包括自己和对手的。安全领域涉及不断变化的重叠层，唯一恒定的因素就是变化。敌人会不断改进他们的技术和工具，企图破坏企业。保卫者需要预测、预期、适应并对这些变化做出回应。与此同时，所在组织正在采用新的技术和解决方案，以为客户提供更好的结果。作为一位安全专业人士，支持业务的演变是成功的关键要素。 施密特表示，人工智能（AI）是提高安全成效的最新工具。然而，他指出关于AI的头版新闻往往被夸大。不同的安全挑战需要使用不同的工具，自动化推理最适合证明安全性，[机器学习](https://aws.amazon.com/cn/machine-learning/?trk=cndc-detail)最适合概率性预测，而生成性AI最适合使专家知识广泛可用。 作为展示生成式人工智能在提高安全性方面的应用的一个例子，Schmidt详细介绍了两种由亚马逊云科技提供的新型服务。通过[Amazon Inspector](https://aws.amazon.com/cn/inspector/?trk=cndc-detail)，开发人员可以利用生成式人工智能分析代码细节，从而为其提供针对性的代码补丁。这使得他们可以快速解决代码中的安全问题，通过提供针对特定情况的上下文相关代码补丁来实现高效的问题解决。经过验证之后，开发人员可以将这些补丁整合到代码中，从而更有效地解决问题。此外，[Amazon Detective](https://aws.amazon.com/cn/detective/?trk=cndc-detail)通过生成式人工智能生成调查结果的摘要，为用户提供上下文知识，就像具备广泛安全培训并了解当前正在进行的具体调查的专家一样。这有助于调查人员验证他们的观察结果并简化工作流程。他强调，这些例子表明生成式人工智能如何能够扩展人类的能力，而不是完全替代安全专家。Schmidt还强调了理解生成模型输出的非确定性本质的重要性，这意味着两次相同的查询可能会有不同的结果。 Schmidt总结了在使用生成式人工智能时需要考虑的三个关键问题：1) 你的数据在哪里？2) 查询和相关数据会发生什么变化？3) 输出是否足够准确？他建议将数据访问控制、查询使用监控以及输出验证作为安全利用AI的关键因素。Schmidt还强调了亚马逊的一些新服务，如[Amazon CodeWhisperer](https://aws.amazon.com/cn/codewhisperer/?trk=cndc-detail)和[Amazon Bedrock](https://aws.amazon.com/cn/bedrock/?trk=cndc-detail)，它们允许定制并同时将客户数据与底层模型隔离。 在谈到网络安全领域的团队和人才库扩张时，Schmidt强调了这个领域最有限的资源。他还邀请Fayetteville州立大学的Darrell Allison上台，讨论他们致力于培养安全人才的HBCU职业项目。随后，Schmidt与Wiz的CEO Asaf Rapoport进行了一场现场讨论，话题包括人才差距、教育开发者关注安全以及使用安全数据为企业洞察（如预测项目时间表）提供帮助。 在讨论零信任主题时，Schmidt关注了精确、可扩展的身份验证和授权控制。他将零信任定义为一种使用身份、设备以及其他信号来驱动持续、自适应访问决策的模型，从而摆脱一个适合所有的情况转向定制的访问权限。 施密特详细介绍了亚马逊云科技长期以来在身份验证和授权方面的精雕细琢的方法，这始于2009年推出的亚马逊云科技身份和访问管理(IAM)，如今已能每秒处理超过十亿次API调用。他着重强调了诸如亚马逊云科技验证访问和亚马逊云科技验证权限等新兴服务，这些服务可实现基于上下文的访问控制。例如，亚马逊云科技验证访问可将敏感工具的访问限制在企业设备上的预期位置，同时允许个人设备更广泛地访问仪表板。施密特还强调了新塞松策略语言在自动化分析复杂授权规则方面的重要性。 最后，施密特强调了安全如何在亚马逊云科技的创新文化中根深蒂固。他举了对生成性AI数据访问的控制以及扩大人才管道的计划为例。施密特总结了他所涵盖的关键主题，包括利用AI使安全知识更容易获取，实施细粒度的零信任控制，并重申了亚马逊云科技致力于推动提高每个人安全标准的安全创新的强大承诺。 总的来说，施密特的主题演讲涵盖了了解人、使用合适的AI工具解决特定问题、扩大人才管道、通过定制的访问控制实施零信任以及与创新文化相结合的安全等方面。他的核心信息是，亚马逊云科技致力于提供既能提高安全基线又能让建设者能够创新的安全解决方案。 **下面是一些演讲现场的精彩瞬间：** 领导者强调了对安全基本原理的关注比仅仅关注最新技术工具更为重要。  生成性AI提供了具体且针对特定情境的解决方案而不仅仅是泛泛之谈。  亚马逊云科技的领导者探讨了他们的代码库规模如何使得[机器学习](https://aws.amazon.com/cn/machine-learning/?trk=cndc-detail)模型得以有效训练，从而加快代码审查的速度。  领导者还指出了如今AI安全与十年前云安全之间的相似之处，以及需要应对的新挑战。  演讲者讨论了组织内的“影子AI”概念，即企业对系统中AI的使用方式并非完全了解。  亚马逊云科技正将授权方式从一刀切转变为基于零信任原则构建的技术所支持的定制化方案。  ## 总结 该视频探讨了提高未来安全性的策略。强调安全在本质上是与人类相关的，而不仅仅是与技术相关。演讲者认为，安全专业人士需要像国际象棋选手一样理解和预测敌人的动机和行动。 视频中提出了推动安全的三个关键途径：首先，利用AI工具如生成性模型等使专家知识更易获得。然而，生成性AI无法替代人工监督。其次，通过人才培养计划扩大网络安全社群。最后，采用零信任架构，基于身份和其他信号进行持续且自适应的访问控制决策，从而实现更个性化的授权而非一刀切的策略。 总之，视频认为安全的创新推动了商业创新。安全不应成为阻碍，而应赋予建设者解决问题的同时提高防御标准的能力。亚马逊云科技致力于将安全性创新融入其创新文化中，以实现强大的安全成果。 ## 演讲原文 ## 想了解更多精彩完整内容吗？立即访问re:Invent 官网中文网站！ [2023亚马逊云科技re:Invent全球大会 - 官方网站](https://webinar.amazoncloud.cn/reInvent2023/?s=8739&smid=19458 "2023亚马逊云科技re:Invent全球大会 - 官方网站") [点击此处](https://aws.amazon.com/cn/new/?trk=6dd7cc20-6afa-4abf-9359-2d6976ff9600&trk=cndc-detail "点击此处")，一键获取亚马逊云科技全球最新产品/服务资讯！ [点击此处](https://www.amazonaws.cn/new/?trk=2ab098aa-0793-48b1-85e6-a9d261bd8cd4&trk=cndc-detail "点击此处")，一键获取亚马逊云科技中国区最新产品/服务资讯！ ## 即刻注册亚马逊云科技账户，开启云端之旅！ [【免费】亚马逊云科技“100 余种核心云服务产品免费试用”](https://aws.amazon.com/cn/campaigns/freecenter/?trk=f079813d-3a13-4a50-b67b-e31d930f36a4&sc_channel=el&trk=cndc-detail "【免费】亚马逊云科技“100 余种核心云服务产品免费试用“") [【免费】亚马逊云科技中国区“40 余种核心云服务产品免费试用”](https://www.amazonaws.cn/campaign/CloudService/?trk=2cdb6245-f491-42bc-b931-c1693fe92be1&sc_channel=el&trk=cndc-detail "【免费】亚马逊云科技中国区“40 余种核心云服务产品免费试用“")