周一的舊金山Moscone Center，到處都在談論著安全。Moscone Center周邊的街區多了很多安全公司的廣告。展會人頭攢動，站在街邊，你會聽到路人或熱烈、或理性的從嘴里說出一些耳熟能詳的名詞和概念。這一天誕生了RSA2018創新沙盒大賽冠軍，也迸發了關于區塊鏈、企業級云安全和DevSecOps的思想火花。

[[226356]]

創新沙盒大賽

下午13：30，每年的重頭戲創新沙盒開始了。萬豪酒店走廊上的電視，滾動播放著歷年來進入finalist的公司，當前的狀態和估值。

很多公司已被收購，在運營的公司估值也不低。今年大會的主題是Now Matters，在今日數字經濟如火如荼的情形下，安全和數據隱私保護對經濟創新會產生什么樣的影響?如何在安全的前提下，保持風險和成本的合理平衡?今年創新沙盒的公司中，AI/機器學習理念占了半壁江山，又意味著什么?對于這些問題，相信每個人都會有自己的答案。在安全為業務創新賦能已成為安全行業共識的當下，我們應該清醒的看到，在這些挑戰面前，安全行業提供的技術和方法還遠遠不能滿足要求。

BigID成為***贏家

祝賀BigID成為“RSAC2018***創新性的創業公司”。來自世界各地的風險投資家，企業家和安全公司領導小組從10名決賽選手中選出了BigID作為獲勝者。在過去五年中，本次比賽的前十名決賽選手已經獲得超過12.5億美元的投資。

比特幣，區塊鏈和智能合約的基礎

區塊鏈的研討會座無虛席，內容主要涉及區塊鏈原理、區塊鏈安全分析，以及案例分享。從內容的深度來看，目的還是以科普為主，原因是區塊鏈是今年***次獨立出現在RSA大會上，又是一個跨學科的綜合性技術，公司CISO還不太清楚其產生的價值。但區塊鏈能保證去中心化的信任，以及可回朔性等的技術原理，確實帶來了很多想象空間。

在PoC的案例中，嘉賓David Chan介紹了一個去中心化的身份認證體系，能解決用戶在看病時，政府、醫院、藥房等存儲的用戶身份不一致的問題，并在一定程度上提升用戶體現的問題。

當然，需要清醒地看到區塊鏈目前處于泡沫期，期待其解決所有問題是不現實的，區塊鏈技術進入成熟應用前必須解決大量的技術問題，并提供合理的業務相關特性。例如在公司破產法有需要一定時間內撤銷交易的規定，那么電子交易的區塊鏈應用也應提供相關的機制，這就需要修改區塊鏈的交易機制，或提供額外的中間件。

總之，從研討會的話題和參會者的積極態度來看，區塊鏈在國外同樣引發關注。

CSA峰會：Cloud2018：企業級安全

來自CSA美國行政署的聯邦風險和認證管理項目FedRAMP總監Matt Goodrich交流了《Lessons Learned from FedRAMP and the Future of Cloud in the Federal Government(FedRAMP案例學習和聯邦政府的云未來)》。FedRAMP是美國版本云等保規范，FedRAMP(The Federal Risk and Authorization Management Program )聯邦風險和認證管理項目是一個跨政府部門的項目，他提供了一套標準方法來進行安全評估，認證并持續監控云項目的產品和服務。

FedRAMP是與GSA，NIST，DHS，DOD，NSA，OMB，聯邦CIO委員會及其工作組以及私營行業的網絡安全和云專家密切合作的結果。FedRAMP評估過程由機構或云服務提供商(CSP)發起，使用符合FISMA并基于NIST 800-53 rev3的FedRAMP要求開始安全認證，并啟動與FedRAMP PMO的合作。云服務商CSP必須對其IT環境實施FedRAMP各個安全要求，并聘請FedRAMP批準的第三方評估機構(3PAO)進行獨立評估，以審計云系統安全，并采用FedRAMP提供安全評估程序包進行自審審查。

FedRAMP計劃目標

通過可重新使用評估和授權過程加速安全云解決方案的采用;

增加對云解決方案安全性的信心;

使用一套經過FedRAMP認可的的安全基線標準集合來進行內部或外部的云產品認證的一致的認證方法，確保與現在***安全實踐的 一致的安全方法;

通過安全評估的增加信心;

增加安全持續監控的自動化和接近實時的數據。

從目前來看，政府上云的趨勢很明顯，相對的，認證保護工作也都是緊鑼密鼓的加強，FedRAMP和CSA云安全聯盟合作，大量采用業界的力量，在認證等方法引導行業標準，并為政府上云保駕護航。國內的等保專家，可以借鑒一下美國的的做法。

安全多元化

多元化是使好的組織變得更好的核心，也是成功的要素。在今年的安全多元化研討會上，擁有不同背景、觀點和經驗的發言人聽取了會議參與者的意見。主題“Think Differently”，側重于受世界變化影響的持續思維模式，這個世界正在迅速發展并引發倫理、商業、社會和情感考慮的變化，需要不斷審查我們的定義。

DevOps Connect: DevSecOps

DevSecOps知易行難，Fannie Mae在實踐過程中總結了一些實施原則，包括要與原有開發流程融合、加強開發團隊安全培訓、在編碼階段減少問題和盡力實現自動化等，值得后來者參考。

總結

Now Matters，在數字經濟的大潮下，安全行業應該有緊迫感，或迎上或被潮流拋棄。公眾和社會期待著誕生更好的技術和方案。繼續加油!