3月14日，英国标准协会（bsi）正式向阿里云颁发了最新版ISO/IEC 20000-1:2011国际认证。

此前，阿里云已通过ISO 27001、CSA STAR等认证和等级保护三级测评，成为亚太地区认证合规最完备的云计算平台。

自成立之日起，阿里云就非常注重云计算服务和安全管理的合法合规。

到底什么是合规？

为什么用户越来越重视云计算企业的合规认证资质？

我们邀请到资深信息安全专家孙维来为大家做一次风趣易懂的解读吧。

什么是合规？

大伙有没有想过，早上出门时，爱人往你包里塞的一盒鲜奶，它从牧场到餐桌，要经过多少道工序和检测，才能放心地被大家饮用？

在牧场时，奶牛如何被喂养，啥时候挤奶，奶源采集后如何进行生产加工，质检怎么把关，这些就是合规的事。

当年部分奶粉品牌在合规检测的时候使用三聚氰胺骗过凯氏定氮这项检测，从而导致毒奶粉肆虐，这就是不合规导致的灾难性后果。

大型奶企检测试验一般会用到FTIR和FOSS乳成分分析仪，岛津液相，安捷伦气相，德国耶拿石墨炉，Soleris实时光电快速微生物检测系统。

总而言之这是一堆牛逼的设备，通过这些设备来检测牛奶的各组分含量、药物残留、重金属残留、非法添加物、抗生素、微生物等。

当一桶鲜奶送到实验室后，检测人员会按照GB4789的规定，在无菌室的超净台迅速地对鲜奶进行检测。

上面提到的GB4789就是我们国家食品微生物的检验标准，我们在超市里陪老婆买回来的食品和饮料，都要通过该标准的检测，这是食品安全领域的合规。

同样在信息安全领域也有很多合规。

有产品类、人员类和机构类的各类合规，通过合规之后获得相应的资质和证书，这就是认证。

信息安全领域有哪些认证？

先来说说产品类认证。

国际上的产品认证大家耳熟能详的基本还是围绕AV产品这块。

别笑那么坏，这里的AV是指Anti-Virus反病毒产品。

实际上安全产品类的认证覆盖范围很广，不能做的几乎很少。

说到国际上顶尖认证机构，最具盛名的当属美国的NSS Labs和英国West Coast Labs(西海岸实验室)。

NSS Labs的测试认证分为Recommended（推荐）、Neutral（中立）和Caution（警惕）三个等级，能获得推荐级别的产品基本上还是棒棒哒，至于中立级别的你爱用不用，警惕级别的劝你还是别用了。

而西海岸实验室的通过难度不算太高，但测试比较有特色。

近几年业界有个共识，西海岸有些“高收费，高通过”的趋势。

小道消息，最近西海岸实验室在我兔也设了一个符合中国国情和具备中国特色的实验室，至于能力如何，我就不得而知了。

反病毒这块的测评认证机构算是最多的，像英国的VB100、奥地利的AV-Comparatives和德国的AV-Test都是比较权威的，业内人士应该都听说过，在此就不赘述。

国内安全产品认证首推中国信息安全测评中心。

该机构依据CC国际通用准则（GB/T 18336:2015）来对安全产品进行分级评估。

从90年代开始至今，CC应该算是产品测评认证领域的开山祖师爷了，虽是祖师爷，但也在与时俱进。

另外还有工信部的入网许可证、中国信息安全认证中心的信息安全产品认证、公安部销售许可证、国家保密局涉密证书、国家密码局密码检测证书和军网认证证书等等。

这里边很多证书是市场准入门槛，一部分是控标所用，还有一部分确确实实能提升产品本身的安全功能和安全性。

至于人员类信息安全认证更是多如牛毛。

安全行业毕竟不像金融业，不需要考啥从业资格证。

关于考证这个事在圈内也算一个有趣的现象，不屑于考证的鄙视花钱买证的，拿国外认证的鄙视拿国内认证的。

个人觉得应该因人而异，如果对职业生涯帮助较大，为什么不去拿？

如果已经在行业内做到了顶尖水平，即便你以前是妇科圣手或者泌尿外科医生，在行业内一样受人尊敬。

接下来聊聊机构类的信息安全认证，关于机构类认证大致分三类：

1、门槛准入类

小李公司年会抽奖中了一台福特野马，看着那拉轰的车身，小李口水流了一地，但是会后小李犯难了，自己还没有驾照，无证驾驶可是违法行为，心痒了半