京东云安全总经理龚一斌：京东智联云如何进行多云安全管理丨2021金水科创大会

6月8日，“2021金水科创大会”在郑州市金水区盛大开幕。本次大会由中共金水区委、金水区人民政府主办，郑州金水科教园区管委会联合36氪承办。现场汇聚了科创领域的众多资深学者，以及200多家国内互联网知名企业和行业龙头企业代表。本次会议聚焦信息安全、人工智能、互联网经济等热点领域，共探科创产业发展未来，共促郑州科创产业集聚优势。

同时，大会也邀请到了河南省委网络安全和信息化办公室、河南省发展改革委员会、河南省科学技术厅、河南省工业和信息化厅、河南省地方金融监督管理局、郑州市人民政府作为指导单位。

京东智联云安全总经理龚一斌在会上分享了京东智联云的多云安全管理经验，其中包括企业如何利用云平台为业务部门赋能。他认为，多云安全正在面临挑战。结合京东自身的实践，龚一斌介绍了京东云自身应对这些挑战所展开的探索。 

  京东智联云安全总经理龚一斌

以下为京东智联云安全总经理龚一斌演讲实录，36氪整理编辑：

各位来宾、各位朋友，大家下午好！

京东智联云和传统的企业不太一样，京东智联云的安全部门同时兼具了甲方和乙方两个不同的角色。作为云提供商，京东智联云首先要保证自己的这朵云是安全的。其次，在为用户提供云服务的同时，我们还需要为客户提供云原生能力。所以，云的安全团队必须同时具备甲方和乙方的视角，这样才能把多云安全管理工作做得更好。

京东智联云承载了整个京东自身的业务，本身就是一个多云体系，下面我将结合京东智联云的一些实践经验给大家分享一下我们在多云管理方面所做的工作。希望对大家有借鉴意义。

先来看两组数据，据权威机构统计，从今年年初的调研情况来看，目前全球超过92%的企业已经基于多云部署业务。在这部分企业里面，超过43%的企业是多朵公有云+多朵私有云的模式。十年前我跟一些合作伙伴或者客户沟通的时候大家对云还很陌生，五年前他们又觉得上云有风险。经过将近十年的发展，越来越多的企业已经接受了云服务的方式。此外安全始终是上云的企业关注的第一要素。为什么呢？一个很简单的道理，以前大家觉得很安全，因为他们把钱放在自己家的保险箱里。但是当大家把东西迁到云里的时候就会更多地去依赖云服务提供商，这个时候多云安全就会显得尤为重要。

前面说了目前全球大概92%的企业已经采用了多云部署，可是真正有效应用多云安全管理工具的企业不足40%。这是今年的数据，去年同期的调研结果显示仅有25%左右，为什么会有这么一个数字鸿沟呢？大家都在使用多云管理，但是多云管理工具并没有得到普及。这也从侧面反映出多云管理是一个非常复杂的系统性工程，要做好多云管理还有很长的路要走。

大家都知道京东有自己的零售、物流和健康等业务，现在甚至有了京东科技，我们自己本身就是甲方，有大量的业务需要去发展。京东云更多地脱胎于京东自身的业务需求。比如京东每年的618、双11有大量的大促活动，我们需要配置增量资源来满足业务需求。如果在这种情况下用传统的IT部署方式则需要采购大量的服务器，耗费了大把的时间。此外，采购的大量服务器除了会在618、双11期间得到使用以外，在日常的业务平缓期里就会被闲置。有了公有云以后，我们就可以把大量的业务发展到云上，满足业务快速扩展的需求，这也是大家用云最原始的一个诉求。

随着上云的深入，我们发现目前更强有力的需求是怎么样去连接我们的客户、供应链以及合作伙伴，通过我们的技术为业务部门进行更多的赋能，从而使业务得到更好的发展。要做到这一点，必须要有深入的洞察能力。没上云之前很多业务系统都是割裂的，有不同的数据中心和不同的系统。由于AI架构的异构性，要打通不同的系统和数据是非常困难的事情。其实云平台设计之初就已经考虑到了这些业务系统的割裂问题，所以赋予了业务系统相应的打通能力，帮助我们的业务部门更好地去观察业务的发展状况，为将来的决策赋能。

业务系统上云是刚性，但从我们自身来看，上云的过程对安全治理而言是一个非常痛苦的过程，相关的挑战非常多。从我们自身的角度来讲有三大痛点：

一、安全治理模型的差异

在传统的IDC业务部署模型里面，所有的安全治理都是一个小闭环，相对来说治理起来比较容易。此外，业务部门之间打交道，包括安全管理也更加顺畅一点。但是上了云以后，还有相对应的安全治理和运维团队，这时候就会涉及至少四个团队之间的配合，要达到真正安全的效果，这四个团队缺一不可。我们业务上云的时候需要利用云原生的安全能力部署与业务系统相关的安全服务。

二、专业人员的配置不足

以前的传统IT是管网络的管网络，管安全的管安全，一旦上云以后就需要跨界的人才。但是目前来看，这种跨界的人才还是比较缺乏的。

三、多云系统管理本身的复杂性

我们没上云之前跟商城相关的传统IDC就有十几个机房，这十几个机房本身的管理就是非常复杂的工作。一旦上云以后，除了传统IDC的部署，还有上云的部署，有京东自身的私有云，还有第三方的云服务，这是一个非常复杂的管理。倘若每一个板块都做单独的管理，我们就需要大量的人力。在这些人力中，每一个人只熟悉自己负责的那一个板块。另外，整个系统本身也不具备打通全局的能力。

我们为什么要用云？用云最大的好处就是我们的业务系统可以按需灵活应用。今天业务系统可能是在私有云的IDC机房里，明天大促的时候可能就会弹到公有云上。在我自身公有云资源不足的时候还可以弹射到第三方的公有云上。基于此，做到统一的安全分析和统一的安全侧管理就是一个非常必要的要求。

经过京东自身的实践，下面最底层也就是比较传统的S层，我们有传统的、基于云上部署的，还有云仓。关于很多需要就近部署的业务，我们会根据云仓设置一些就近的边缘计算节点。为了满足客户的要求，我们还配置了一些边缘的CDN业务。大概从2019年年初开始，到今年为止已经有两个618加一个双11，我们的业务都已经跑到京东云上了。

为了屏蔽底层IaaS的差异，我们基于自身需求构建了一个混合多云的容器平台，提供标准的微服务架构。基于这上面的能力，无论是零售系统还是物流系统都能快速地将其迁移到云上。截至今年618我们京东全量业务均已跑到京东云上，超过40%的商城业务已经上云，目标是到今年年底商城业务全部上云。

我们为什么要上云呢？其实云作为整个京东集团的一个技术载体，它最大的使命是对外做技术赋能，从而帮助我们的合作伙伴更好地发展自身业务。基于这个平台它有一个最大的好处，那就是我们通过统一的混合多云容器平台屏蔽了底层的差异。在此基础之上我们构建了一个统一的安全运营中心。这个安全运营中心的主要核心诉求就是进行全局性的统一安全管理和安全资源调度，包括策略的部署。

统一的安全运营中心可以将我们的云安全能力快速地推送至对应的服务节点上。无论是公有云、私有云还是传统IDC都可以快速地调度。在这个架构下我们做了一个优化，基于容器化部署，相应的底层资源也是可以共用的，这样能够极大地提升安全资源池的资源有效利用率。

统一的安全运营中心除了具备基本的服务能力以外，还结合自身的业务特点做了一个特殊的定制化开发。尤其是像京东这样体量的大型企业在上云的时候，其中存在的一个最大问题就是业务部门繁多。而且这些业务部门是多层级的架构，在上云的时候就会产生多个不同的云账号。举个最简单的例子，我来之前简单统计了一下目前在京东云上运营的服务于我们内部的公有云账号就有八百个，涉及超过两百个部门，这两百个不同业务单元的安全管理又是由不同的团队来完成。

我们打造了一个云安全服务托管，可以把云上需要安全管理的团队账号托管到这个安全团队账号下进行安全管理和治理。这个方式极大地解决了业务管理人员和安全管理人员属于两个不同团队的问题。

从我们的自身实践来看，想做好安全管理就要把安全治理工作不断左移。我们很多时候就是在模型里面一个一个地做相应的拦截动作。但实际上光拦截还不够，因为我们的业务系统上云以后云的资源使用非常便利，这就使得业务部门及其业务系统的迭代和开发变得更加频繁。今天上线解决了一个问题，明天可能又出现十个问题，在这种情况下就需要把整个安全治理工作左移。

在整个运营过程中业务部门经常会犯一些错误，其实我们应该把这些错误转变成我们的安全能力，把它真正集成到开发流程里。我们有一套DOX平台，通过这个平台会实现整个开发全生命周期的管控。这套系统除了我们自身在使用以外，作为一个云服务商，它的一个将来诉求就是为云上广大的客户提供相应的服务。基于这一套云原生的安全能力，我们以安全运营为核心，结合了网络层、主机层、应用层和数据层。

京东智联云作为京东集团对外技术赋能的一个出口，其本身有零售业务、物流业务和金融业务，所以我们在自身能力的沉淀上会着力打造零售云、物流云以及金融云。结合我们整个云原生能力，我们的目标是打造一个可持续发展的生态系统。因为任何一个云厂商自身的能力都是有限的，所以我希望可以结合京东全流程供应链和上下游合作伙伴的能力，通过整个供应链端到端的赋能，帮助我们所有的云上客户能够更加简单、更加高效的利用云，促使其业务快速发展。

经过大概两年的业务拓展和努力，我们也取得了一些小小的成就。超过780家金融机构以及1300家大型企业目前已经运行在京东云上，中小微企业的数量超过了120万。

京东的每个人常常将“科技有责任，数字有温度”挂在嘴边。作为一个负责任的企业，除了应用我们的技术能力不断地帮助更多的企业发展之外，实际上在一些重大的时候，我们也会利用我们的能力做一些贡献。比如2020年的“黑天鹅事件”，疫情的发展给很多企业带来了毁灭性的打击，给政府的治理工作也带来了很大的困扰。我们利用自身的智能机器人和大数据分析能力，在整个疫情期间帮助政府快速地从事数据采集以及相关工作。

去年全国三大展会之一——数字服贸会也是第一届云上云下同时进行的服贸会，京东临危受命承载了服贸会相关的建设和运营工作。正是因为云资源的快速部署和弹性扩展，我们在仅仅三个月的时间之内就完成了13个业务系统的开发。除了2D、3D展览以外还有云上展会和洽谈，全部实现了SaaS化服务。

最后总结一句话就是以“数字、普惠、创新、连接”作为社会责任的核心理念。让科技有责任，让数字有温度。希望在未来的发展过程中我们能尽自己的微薄之力帮助到大家，谢谢！