一旦确定SOC2对业务至关重要，资讯保安总监克拉克·罗杰斯说，他分析了实现这一目标的不同方式，最终确定移动到云端是最有效的途径。罗杰斯最近与《网络世界》主编约翰·迪克斯分享了这个故事。有个足球雷竞技app
SCOR Velogica首席信息安全官克拉克·罗杰斯
让我们从业务的缩略描述开始。
在一个非常高的水平上，SCOR是三个业务合一。有人寿再保险实体、财产及意外再保险实体和投资集团。在再保险业务中，我们主要为其他保险公司提供保险。例如，如果你从你的直接保险公司买了一份人寿保险，他们会为你承担很大的人寿风险，然后把其余的风险转给再保险公司。
SCOR Velogica隶属于SCOR全球人寿美洲分部，是一个业务单位和一个软件即服务产品提供。产品Velogica自动化人寿保险承销引擎,如果你坐下来与一个代理和填写表格,后端系统上的联系Velogica运行信息通过一些算法和数据提供者和回来,呈现三种决策代理人:接受这个人,否认这个人或这个人指人类保险人做出最后的决定。
你是在自己的数据中心提供这项服务吗?雷竞技电脑网站是什么促使你加入AWS?
你可以想象,在人寿保险业务,我们正在处理一些最敏感的数据——健康记录,处方药历史,访问医生,无论困扰你的信息,所以我们必须竭尽全力去保护它,不仅对最终用户(被保险人),但对我们支持和做生意的公司。由于我们竭尽全力保护这些数据，我们希望得到第三方的认证，以证明我们在保护这些数据方面的能力。在我们看来，SOC2型2认证是我们行业的首要第三方保证报告。对认证的追求促使亚马逊转向AWS。
SOC2基于由AICPA定义的信任服务原则框架，该框架涉及以下所有或部分内容——安全性、机密性、可用性、处理完整性和私密性。一旦您满足了需求，第三方审计人员就会进入并评估您的服务，以确定您是否满足标准。我们认为，对我们的业务和客户最有价值的三点是安全、保密和可用性。
所以，你认为SOC2对你的业务很重要，并开始寻找实现它的方法?
正确的。您通常从评估当前环境开始。你可以自己做，也可以请个审计师，我们就是这么做的。正如大多数公司所发现的那样，我们发现有一些改进的空间，然后我们研究了补救的最佳方法。查看我们的系统，我们发现一些补救措施会影响SCOR的其他部分，并意识到在组织中不需要它的部分强制执行该级别的安全性将是困难的。
所以我们开始说，“如果我们从技术角度开拓这个业务会怎么样?”“我们仍然可以使用核心后端服务，比如人力资源和法律服务，但从纯粹的IT和安全角度来看，也许我们可以开辟一条通往SOC2的更高效的路径。”它能像获得一个不同的托管设施那样简单吗?把所有的Velogica资产都放进去?我们看云吗?我们还能做什么?
我们很快意识到，使用云计算是阻力最小的途径，而根据我们的研究，在现有的云计算产品中，AWS显然是领先者。
一旦我们确定AWS似乎是正确的方向，我们就创建了AWS环境的草稿。但我们遇到的问题——我想很多公司都有同样的问题——是员工中缺乏获得aws认证的云工程师。云计算是截然不同的，因此您确实需要专业知识来指导您了解什么是可能的，什么是不可能的。通常，像我们这样的公司有两个选择。一种是在公司内部增加员工，引进一些有证书和专业知识的人，培训现有的员工。
但在我们为实现SOC2所强加的时间限制下，在当地培训或雇佣额外的员工都不起作用。所以我们开始寻找第三方专业服务公司，可能是AWS的合作伙伴，他们有员工，有专业知识，以前做过这方面的工作。
我们最终评估了三家供应商，而second Watch显然远远超过了其他供应商。他们做过类似于我们的迁移，他们做过更高级的迁移，更大的迁移，他们真正理解云。这就是我们需要的。
一旦您选择了第二款手表，迁移的进展如何?
我们签了合同在2014年的秋天,初步分析可能是在12月完成,2015年1月迁移测试和开发环境的开始,和QA发生在春天,同时构建核心基础设施…Active Directory,电子邮件和终端用户计算,网络安全,AWS安全组等。我们测试了灾难恢复环境，由第三方执行了渗透测试，然后在6月份开始迁移我们的生产数据。我们在7月底关闭了这个开关，开始向AWS的客户提供完整的生产服务。
你能告诉我们这个工作有多大吗?
在AWS中创建了大约200个计算实例来镜像我们的本地环境，然后相应地迁移数据和应用程序。
您可能知道，有两种迁移到云的策略。一种被称为“提升和转移”，在这种情况下，对应用程序的工作方式的破坏最小，只需从on-prem获取应用程序并将其放在云中，它实际上与之前的应用程序相同，只是在另一个提供商的基础设施上。另一种选择是将应用程序和基础设施分解为核心组件，便于云供应商的服务提供管理，然后利用它们的一些独特功能为您的业务提供优势。在AWS的例子中，这包括一些服务，如简单存储服务、弹性负载平衡、自动伸缩和多AZ、高可用性架构等等。由于时间有限，我们选择了前者，但现在我们已经使用AWS一段时间了，我们开始利用这些本地功能，使我们的平台更加灵活、高效、持久和高可用性。
但是你很快就完成了迁移。
Velogica的工作方式是，当我们按下开关时，会有一种全有或全无的体验。我们后台的秘密武器只能从一个位置安全地运行。这就是为什么测试是至关重要的。我们让第三方公司对AWS环境进行了全面的渗透测试，以确保不仅AWS平台提供了我们所期望的安全性，而且确保我们与2nd Watch和其他供应商一起实施的控制也能正常工作。
需要注意的一点是:当我们在AWS中执行测试时，我们主动联系客户，告诉他们我们在做什么。根据合同规定，我们有义务告诉客户他们的数据在哪里，所以我们借此机会联系了我们的客户，并解释了我们为什么要转移到AWS，以及它是如何支持我们的SOC2工作的。除了转移到AWS的安全好处之外，我们还向客户展示了通过新平台我们能够提供的更高级别的服务。无处不在的加密、高可用性的web服务、持久存储、健壮的灾难恢复和业务连续性解决方案，所有这些都使这次演示令人信服。
没有一个客户犹豫过。有一对夫妇不太熟悉AWS，所以我们必须教育他们。但没有人犹豫，现在有几家公司也开始考虑将他们的部分业务转移到AWS上。
你刚拿到SOC2认证了吗?
不，你不能一开始就把它做好，因为你必须能够证明你已经成功地运行了一段时间。我们在2015年9月发行了SOC2 Type 1。SOC2类型1和SOC2类型2之间的区别在于，您不仅必须表明您已经满足了标准，还必须表明您已经对它进行了操作，并随着时间的推移继续这样做。当我们的审计人员在季度末进入我们的公司时，我们将有一个6个月的SOC2控制运行期，他们所做的就是审计我们是如何达到某些标准的。接下来的审计工作，每年都会发布SOC2/Type2报告。
在这个过程中有什么惊喜或小问题吗?你有什么教训可以分享吗?
我回到我们不得不做的决定。你是提升和改变你所拥有的东西，还是从第一天开始就试图把它建在云上?这两种做法都有好处，我认为打算采取这种做法的公司真的需要好好考虑一下。我们有时间限制，因为我们想要快速地得到SOC2，所以这确实推动了决定。既然我们在AWS已经有一段时间了，我们要回去让事情变得更高效和云本地化。争论的焦点是，如果我们在前线这样做会更好吗?也许是，也许不是，但我们无法按时实现我们的SOC2目标，无法实现业务目标。这是人们在规划云迁移时确实需要花些时间考虑的一个主题。
另一件事是，这是AWS特有的，他们创新的速度如此之快，以至于很难在任何一天跟上他们发布的所有内容，更不用说随着时间的推移了。我们设计了一些东西，因为它们没有一些功能。等了六周后，他们就能把那个功能就位了。
一个不抱怨的速度创新的云,因为它似乎总是积极的,但是我们有工程师在一些事情,现在我们把这些事情和利用本机工具,这是伟大的,但它仍然是一个工程挑战我就就没有经历过。也许这就是早期采用者的困境!
你如何量化所有的好处?
安全方面的好处是非常棒的，因为我现在有一个扩展的安全团队为我全天候工作。我AWS的安全团队为我工作确保其核心基础设施和服务运行在一个安全的方式,我已经提醒逻辑(我们的托管服务安全提供者)安全分析人士看,报警和对任何威胁在我们AWS云的一部分,我有二手表的安全团队管理补丁,防病毒更新,防火墙规则和报告。所有三个组件一起无缝工作，并作为一个力量倍增器的SCOR Velogica安全团队。
这使得我们的员工可以将他们的注意力集中在Velogica平台上，并让实时数据中心管理、网络管理和云管理的专家为我们做这些工作。雷竞技电脑网站我们的业务是确保Velogica应用程序提供我们的客户需要的，我们正在适当地确保它。这是迁移到云计算的巨大好处之一，可以专注于你的核心业务，也可以只专注于你的核心业务。
性能还是一样，更好还是更差?
性能是相同的还是更好的，这取决于我们讨论的是什么服务。当我们不需要实例时，启动和关闭实例的能力是巨大的。我们的开发工作大大节省了成本，我想很多公司都是这样的。你不是24/7的发展，因为你的员工在某个时候需要回家。在一个on-prem的世界里，你仍然要为那些计算周期付费，你仍然要为那些许可证付费，你仍然要在凌晨两点的时候为网络带宽付费，那时没有人在工作。
我们可以通过编程关闭我们的开发和测试环境，然后在我们想要的时候启用它们，这样可以节省大量的钱，因为它们每天可以关闭好几个小时或者整个周末。在on-prem的世界里，这是不可能做到的。
每个人都在谈论云让他们更灵活。这方面有什么好处吗?
绝对的。我们可以为AWS的东海岸地区或西海岸地区的客户提供服务，坦率地说，也可以为AWS开发的任何其他地区的客户提供服务。因此，如果我们决定将Velogica平台扩展到全球，如果AWS在那里有业务，那么只需单击鼠标，就可以在法兰克福或新加坡地区重新创建环境，并按照当地数据隐私法将客户数据保存在本地。这是巨大的。我们不需要从基础设施的角度来重新设计;那已经搞定了。我们可以在其他区域复制我们的环境。