高管如何为安全文化设定标准

Clarke Rodgers：
我们经常说安全是 AWS 的重中之重，但我们如何确保真正做到这一点呢？ 首先要获得高层的支持，并在整个组织中建立安全文化。

大家好，我是 AWS 企业战略总监 Clarke Rodgers，也是在“Executive Insights”上与 AWS 安全领导者进行的一系列对话的主持人。

今天，我们将和 Sara Duffer 对话。Sara 对 Amazon 安全有着异常深刻的理解，这要归功于她之前曾担任过 Amazon 首席执行官的技术顾问。加入我们，一起聆听 Sara 分享她作为安全领导和技术顾问的经验心得。敬请体会。

Clarke Rodgers：
Sara，非常感谢您今天能够光临。

Sara Duffer：
非常感谢。来到这里真是太好了。

Clarke Rodgers：
请花点时间向我介绍一下您的职业生涯以及目前在 AWS 的职位。

Sara Duffer：
我在 AWS 已经工作了 13 年。我最初是在 AWS 基础设施团队，在那里，我主要在数据中心工作。之后不久，我加入了当时规模还很小的合规团队，后来变成了我们的安全保障团队。

Clarke Rodgers：
您是一直从事安全工作，还是在加入 AWS 时刚接触到安全工作？

Sara Duffer：
我一直从事安全工作。从大学毕业后我就开始了工作，我直接从事攻击和渗透工作、实体安全工作——开始合法打入组织。然后我开始更多地实施安全解决方案。实际上是解决所发现的问题，这是一个很有趣的领域。最后我进入了 AWS。

Clarke Rodgers：
您的安全背景足够令人印象深刻，但您在 AWS 和 Amazon 还担任过另一个职位，即技术顾问，这是一个相当特殊的职位。您能分享一下什么是技术顾问及其职责吗？

Sara Duffer：
我从 2020 年 11 月开始担任技术顾问一职。当时我是 AWS 首席执行官 Andy Jassy 的技术顾问。显然，他是后来调任 Amazon 首席执行官的，而我也是调任 Andy 的技术顾问。技术顾问的核心工作其实就是教学。因此，该职位需要您能够以前所未有的速度向领导传授有关扩展和执行的知识。这绝对是一次很棒的经历。

Clarke Rodgers：
您从技术顾问职位的经历中学到了任何关键的经验教训吗？

Sara Duffer：
每天都是一堂课。在调任技术顾问职位之初，我真正做过的一件事就是列出一份待办事项清单——我称之为单行本经验教训，我告诉自己要每周补充一次。很快我发现，我几乎每天都在补充对优秀领导的观察及其执行和参与方式。所以，我学到了许多经验教训。我认为有三点让我印象深刻——这些都是通过观察 Andy 并与其接触学到的。第一个是时间是一种非常宝贵的资源，您必须想好将时间投入到哪里。

这与下一个密切相关，即在说“是”时，您必须全身心地说“是”。 您需要认真对待，您需要考虑未来的自我，而不仅仅是当下的自我。他说：“当然，我可以在将来的某个时候这么做。” 这听起来很简单，实际上执行起来要困难得多。这是两个核心体验。

然后第三个是强烈的好奇心，我发现许多优秀的领导者都复现了这种特质，但很明显，Andy 在这方面是出类拔萃的。这种提问方式首先是建设性的，但很快就能探究出您所参加的各种会议的核心基础是什么，或者核心学习模块是什么，团队是如何思考的，检查并推动团队确保其思考方式与我们从 Amazon 角度思考的方式保持一致，以及从团队中学到什么东西。这种强烈的好奇心一次又一次地体现在 Amazon 的所有高层领导身上。

Clarke Rodgers：
太棒了。让我们切换到您目前的角色。我们的 AWS CISO 圈子中不断涌现的话题之一是后量子密码术。您有什么想说的？

Sara Duffer：
好的，在当今的公钥加密方案中，它用到了分解离散对数和椭圆曲线密码学的数学问题。我们目前正处于量子计算的早期，这将为社会带来很多好处。其中之一是能够更快地解决棘手的计算问题，但这可能会带来意想不到的后果，因为未来可能有一台量子计算机就可以破解我们当今的公钥加密方案。因此，今天有很多关于后量子密码术 (PQC) 的对话，以及我们可以开始考虑立即实施的方案。在量子计算即将出现的未来，这些方案可以继续保护我们的数据。

目前，AWS 在这个领域做了很多工作。我们的密码学家实际上在 PQ 密钥协议和 PQ 签名方案中都做出了贡献。而这不只是理论。这方面的理论有很多，例如美国国家标准与技术研究院 (NIST) 就做了很多工作，我们也参与其中。而现实情况也是如此，对于 TLS-1.3 端点，目前我们已经在 AWS Secrets Manager、KMS 服务和证书管理服务中实施了 PQ。实际上这是人们今天才敢尝试的东西，所以有点酷。

Clarke Rodgers：
在过去一年左右的时间里，生成式人工智能以各种不同的形式和方式席卷了世界。您如何看待它在加密领域的表现？ 人工智能会有帮助吗？ 还是会成为障碍？ 现在还为时过早吗？

Sara Duffer：
我认为，从生成式人工智能的角度来看，我们听到了很多有关担心知识产权泄漏的讨论。因此，您听到关于隐私保护技术的讨论也越来越多。通过这些技术，您可以继续训练大量数据并保留与之相关的知识产权。在我们内部研究有哪些解决方案时，团队非常关注并考虑了这一领域。

Clarke Rodgers：
我们的客户对安全趋势和预测非常感兴趣。在未来三五年左右的时间里，您预测安全领域会发生什么？

Sara Duffer：
对我来说，目前有两个领域我非常感兴趣。其中一个领域尚处于起步阶段，但我认为，它将日益成为现有首席信息安全官的头等大事，那就是加密计算的概念。加密计算指使用加密手段，使多方能够以可以保持信息私密性的方式共享信息。今天我要举的一个例子是 AWS Clean Rooms，该服务使我们的客户能够协作和共享信息并获得知识。实际上，其中有一部分称为“Clean Rooms 的加密计算”。这使客户能够以加密方式共享信息。现在还为时尚早，您听到的信息还不多，但未来您会听到越来越多关于加密计算的话题，即有关隐私保护的概念。

当今世界的发展趋势是数据分析越来越多，想一想我们如何分享和详细了解数据并进行训练等。您越来越会有这样的观念：“如何拥有隐私保护技术？” 其中一种方法是使用加密计算。

另一个领域也是我非常关心的，即 AWS Payment Crypto 服务，实际上这是我们团队今年刚推出的一项新服务。我对团队所做工作感到着迷的是，对于今天的付款，为了能够启用所需的端到端加密，大型主流处理器必须继续在本地维持某种 HSM。而 AWS Payment Crypto 使组织能够利用 AWS 云来执行传统上使用这种本地 HSM 执行的密钥管理和加密功能。

这项服务还处在早期阶段。它还很新。最重要的一点是，这项服务还满足了 PCI PIN 合规性要求，这非常关键。我认为这个领域有很多值得关注的地方，因为您可以继续为客户提供帮助，让他们能够从本地迁移到云端。那是一个令人兴奋的地方，我一定会密切关注。

Clarke Rodgers：
稍微调整一下方向，让我们更多地从开发的角度出发。多年来，我们一直在讨论“让我们确保将安全设计构建到应用程序中”，然后逐步发展到合规设计和隐私设计。您如何激励开发团队，您对其按这种方式思考的期望是什么？ 理想情况下，它处于这样的迭代阶段——“这是我想要构建的东西，让我将所有因素考虑进去”。但是从机制上讲，您是如何实现的？

Sara Duffer：
这一切都与安全文化有关，而文化始于高层。我的意思是，虽然说了一遍又一遍，但实际上是从高层开始的。安全、隐私、合规性，这确实是您的头等大事。在 AWS 的每个构建者身上，您都能感受到这种文化。我认为这可能是最重要的起点。但对于我们的每位构建者以及任何团队和客户来说，真正重要的是从安全或隐私的角度为团队成员构建内部服务，并在开发人员所处的地方与其会面。

我想您有时会看到很多案例缺少一些东西，即使在战术性项目中，也要测算每位工程师需要付出的工作量，然后根据实际情况共同测算有多少战术性项目流向了所有这些构建者。由于总体影响是能够对所有这些一次性任务做出战术反应，您突然意识到，这在工程师的日常工作中是一项沉重的负担。

解决这个问题有多种方法，但这也许能让您更快地发现：“我们是否有积极主动的方法来解决这一特定问题？”比如在管道或其他方面，为避免出现这个问题，实际上需要聘请工程师来解决？ 这样会更好一些。我认为这是核心工作之一，此外还要从高层开始，确保制定相关政策，明确需要完成的工作。然后是日常执行和发现问题。

但是，当问题管理部分与变更管理部分结合在一起时，我们需要真正能够确定在开发人员所处的地方与其会面意味着什么，并且能够游刃有余地处理我们需要放下所有事情全力解决的二级或非常严重的问题。同时，让我们来看看我们要求开发人员解决的其他所有问题。我们是否还有其他方法可以做到这一点，并以不同方式及时补救？ 我认为这可能是我所知的最有趣的领域之一，作为一个组织，我们长期以来一直在研究的是如何始终如一地减轻工程师的负担，减少需要补救任何问题产生的相关摩擦。

Clarke Rodgers：
正如您所说，其中很大一部分是文化和所有权问题——尽管安全没有写在我的名牌上，但这是我工作的一部分。

Sara Duffer：
就是这样。确实如此。

Clarke Rodgers：
我知道在您的整个职业生涯中，辅导对您来说非常重要。您建立了什么样的机制来确保帮助那些真正想联系您并征求您建议的人？

Sara Duffer：
在我加入 AWS 以及在整个 AWS 工作的过程中，我都非常幸运。我一直有许多优秀的导师和教练，他们总是愿意在任何时候站出来与我对话，给我某种鼓舞，并在我不在场时为我辩护。对我来说，我认为有趣的事情之一是，担任技术顾问的感觉真是太棒了。是的，虽然电子邮件数量确实有所增加，但实际上主动联系我、希望了解更多信息和寻找机会的人变少了。我认为这是因为他们有点害怕。

我一直有一条规定，任何主动联系我的人，无论他们在组织中处于何种位置，我都会给予他们 30 分钟时间，我认为这是我使用的最有价值的机制之一。因此当担任技术顾问之职时，我能提供的一大作用是，能够让在组织内工作的初级人员（即来自构建者社区或履约中心的成员）接触到组织内非常资深的人士，他们会伸出援手进行 30 分钟的交流，以提供更多信息。

我还保证每月专门留出固定的时间进行辅导。我通常有四个时间段，您也有四个时间段、四周时间或四次会议才能进行接触。最后，我们做出决定——继续不继续？ 这样人们就能在某些辅导工作中部署退出计划或退出通道。

Clarke Rodgers：
太棒了。我敢肯定，他们很感激有这个机会。Sara，非常感谢您今天能够光临。

Sara Duffer：
非常感谢。这太棒了。