亚马逊周一宣布，aws云计算服务提供了aws secret region服务，专门满足美国情报部门的计算需求。新的aws secret region可以运行“机密”级别的工作任务。
这并不是亚马逊aws在美国政务云领域的新产品。在此之前的2013年和2016年，亚马逊aws的aws govcloud以及aws govcloud high域也分别通过了美国政府的安全认证，并且在政府部门投入使用。
从已经公开的产品来看，随着亚马逊aws secret region的推出，aws可以说完成了针对政务云市场的产品布局，能够满足各类政府工作负载服务，包括未分类的、敏感的、秘密的和最高机密的数据分类。
本来这条新闻并不是特别重要，但是沿着这个新闻，科技十点见(id:luopantech)对美国政务云的安全认证问题进行了深入了解，发现美国政务云在安全认证上的思路很超前，也很有体系。
美国政务云采购指南fedramp
美国的政务云可以说是走在整个行业的前列。美国预算管理办公室(office of management and budget，omb) 于2011年12月8日发布了《云计算环境中信息系统的安全授权》，即联邦风险与授权管理项目 (federal risk and authorization management program，fedramp) 备忘录，期望提出所谓的“低开销、基于风险管理的”云计算安全认证方法。
需要说明的是，fedramp认证仅限于联邦政府采购，在美国商业市场上并没有包括市场准入在内的、政府主导的强制性认证的措施，而且云计算作为信息技术业务也不属于相对强监管的电信市场。
但是，政府采购云计算服务时还是会看类似认证，毕竟政府部门需要承担数据安全的责任。
看了一下fedramp.gov的官方网站，通过认证的服务已经有91项目，涉及iaas、paas、saas服务商，但是saas厂商占了绝大部分。
在最高安全级别的产品认证里，只有三家厂商的产品或者服务：微软azure government 、aws govcloud high以及美国csra arc-p cloud在列，其他产品的安全等级都是中等。
完善的安全认证系统
fedramp项目将所有通过认证的云计算服务商及其解决方案，包括授权协议和相关安全包等资料集中存储和管理，形成随时可用的应用市场。
计划采购云计算服务的政府部门可以从应用市场中选择采购云计算服务，而无须再次经过认证流程，提高了效率。
fedramp认证过程中所有利益相关方的代表都参与其中，包括以国防部、国土安全部、商务部 (nist) 等为代表的政府机构，也包括云计算服务提供商、技术提供商等产业界代表。
fedramp认证的流程也很灵活，以公私合作模式 (public-private partnership)，充分利用市场化的第三方认证机构参与技术工作。
进行认证的机构只要是符合iso/iec 17020标准要求、并经过美国实验室认可协会(accredited by american association for laboratoryaccreditation， a2la)认可，都可以参与认证工作。第三方机构的参与一定程度上提高了fedramp的效率。
此外，安全认证也呈现出动态性。云计算的安全能力并不是一次认证即可终身制，而是需要持续监管以保证安全承诺得以持续满足。同时，安全的评估标准也会随着技术的进步而不断发展，认证机制也在持续演进。
综合来看，美国政务云的fedramp认证实现了各方利益的平衡，引入多个第三方机构提升了认证效率，并且用机制保证了认证的动态演进。可以说，是一套体系完备的安全认证系统。
中国有何借鉴之处？
中国政务云市场目前也发展迅速，并且成为云计算的主要采购方之一。但是诸多政府机构目前对于公有云的采购仍然不多，仍以私有云为主。
但是长远看，推动政府机构采购阿里云、腾讯云等专业公有云厂商的服务仍是一个大方向，毕竟成本可以得到明显的降低。
而如果政府部门大面积上公有云，一套类似fedramp的安全认证机制显然是很有必要的。
目前国内具备官方背景的机构在推行可信云服务认证，这类认证只是证明服务协议(sla)标准性、数据存储可靠性、用户数据私密性、业务可用性、功能完备性、运维系统完善性等多方面达到国内顶级云服务评测系统的认证标准，对于政府部门涉密方面的安全机制可能并没有特别的涉及。
因此，国内云计算产业和政府部门可以推动政务云安全认证机制，让政府部门未来可以在一个应用商店内，选用安全等级适用的解决方案。