谁能在数字化转型与黑客攻防的双重压力下，依然稳健前行？答案属于那些将资讯安全融入血液的企业。澳洲联邦银行（Commonwealth Bank of Australia）如何携手AWS以DevSecOps引领安全文化革新？本文将以AWS re:Invent 2024的现场案例，揭示安全与创新的完美交集。

“安全是客户对我们最重要的期望。”AWS资讯安全总监Chris Betz在AWS re:Invent 2024安全研讨会开场时如此强调。在AWS，安全不仅是技术与工具的集合，更是深植于组织DNA的文化。这种文化使安全成为主动的内部思维，而非被动的外部规范。

这种理念与澳洲联邦银行不谋而合。作为服务澳洲三分之一人口和四分之一企业的最大银行，澳洲联邦银行对安全的重视程度可想而知。该银行技术总监Rodrigo Castillo表示：“安全、韧性和可靠性是我们的最高优先事项。”

澳洲联邦银行选择AWS作为安全转型伙伴，正是看中AWS对安全文化的长期投入。AWS不仅将安全报告直接呈交给CEO，更将安全视为组织的最高优先事项。这种从上而下的安全文化，为澳洲联邦银行的数字化转型提供了坚实的基础。

AWS的安全理念不仅体现于文化层面，更落实于从芯片到云计算的全方位技术保护。在硬件层面，AWS Graviton4处理器设计为最安全、最强大、最节能的处理器：

而AWS Nitro System则进一步强化了安全架构，完全消除了人工管理访问，所有操作均通过安全、经过认证和授权的最低权限管理应用程序界面（Application Programming Interface, API）执行。这种革命性的安全架构，为云计算提供了前所未有的安全保障。

除了硬件保护，AWS还通过自动推理（Automated Reasoning）技术提供安全证明机制。这种基于数学和逻辑的形式化验证方法，能够在任何可能的场景下验证系统行为，为云计算基础设施和服务的正确性和安全性提供更高层次的保证。AWS是第一个也是唯一在大规模使用自动推理的云计算供应商，将安全从经验层面提升到数学证明层面。

开发安全运维（Development Security Operations, DevSecOps）是一种集成安全实践于开发运维（DevOps）流程中的方法论。传统上，安全常被视为开发过程的最后一步，往往导致安全问题在项目后期才被发现，增加修复成本和延误上线时间。DevSecOps则将安全视为“从设计开始”的核心元素，将其集成到软件开发生命周期（Software Development Life Cycle, SDLC）的每个阶段。

在DevSecOps模型中，安全不再是专属安全团队的责任，而是整个开发团队的共同责任。通过自动化安全测试、持续安全监控、威胁建模和安全即程序代码（Security as Code, SaC）等做法，DevSecOps旨在同时兼顾开发速度、程序代码品质和安全防护，实现“快速且安全地交付”的目标。

澳洲联邦银行的DevSecOps转型是一次文化层面的深度变革。该银行不再将安全视为开发流程中的一个阶段或一个部门的职责，而是集成到开发与运营的每个环节中。

“DevSecOps转型是我们采取的一种文化方式，为客户打造明日银行。”Rodrigo Castillo解释道。该银行创建了一套技术战略，以实现“共同建设更光明的未来”的愿景。

最值得注意的是，澳洲联邦银行创建了12项能力模型，专注于团队成熟度而非特定工具。例如，他们不会强制推行特定的安全工具，而是专注于“自动化安全”这一能力本身，让团队有弹性在复杂多样的技术环境中找到适合自己的解决方案。

“有些团队可能在测试方面已经很成熟，我们不希望他们只专注于此。如果他们在自动化安全或自动化控制保证方面需要更多帮助，他们可以选择关注这些领域。”Castillo说明了这种能力导向模型的弹性。

这种专注于团队成熟度而非特定工具的方法，使澳洲联邦银行能够实现从传统安全模型到现代DevSecOps的平稳过渡。工程团队现在对服务承担端到端责任，包括安全层面，不再视安全为“别人的事”。

在技术层面，澳洲联邦银行充分利用了AWS的先进安全服务。其中，AWS Virtual Private Cloud (AWS VPC)的VPC Block Public Access (BPA) 是一项简单但效果显著的功能，只需一键操作即可大幅提升安全防护。

同时，AWS Organizations中的Declarative Policies使该银行能够在整个AWS组织中统一资源配置标准。这是AWS Organizations的新功能，允许统一定义所有虚拟私有云（Virtual Private Cloud, VPC）的安全设置，避免依赖事后的检测和反应性控制。

此外，Amazon Security Lake与Amazon OpenSearch Service的零ETL（Extract, Transform, Load）集成，使澳洲联邦银行能够在不创建复杂ETL渠道或复制数据的情况下，轻松搜索安全部据。Amazon Security Lake使用开放网络安全架构框架（Open Cybersecurity Schema Framework, OCSF）标准化数据，为安全分析提供便捷途径。

这些技术实践不仅提升了安全性，还大幅提高了效率。Castillo提到：“我们实施了AWS每周运营审核，效果非常好。更多问题从根本上得到解决，我们解决事件的时间减少了一半。”

澳洲联邦银行的DevSecOps转型取得了显著成果，数据足以说明一切：

最值得注意的是员工满意度的提升。“工程师们感到更快乐，”Castillo强调，“他们感觉可以做出更多贡献，而不会创造安全漏洞或技术债务，他们感到自己更有价值。”

这种文化转变不仅提高了交付速度和质量，还大大改善了银行的创新文化。“它为我们的工程团队创造了大量空间，例如，使用生成式AI工具和能力，并已经取得了令人惊叹的成果。”Castillo总结道。

预期未来，安全与创新的关系将更加紧密。AWS已开始为后量子时代做准备，过去十年积极参与后量子密码算法的标准化工作，与全球组织如美国国家标准与技术研究院（National Institute of Standards and Technology, NIST）、欧洲电信标准协会（European Telecommunications Standards Institute, ETSI）和开放量子安全倡议（Open Quantum Safe Initiative）合作。

同时，机密运算（Confidential Computing）在金融数据保护方面的应用前景广阔。AWS Nitro Enclaves（AWS Nitro隔离区）可以完全隔离计算环境，处理高度敏感的数据，为金融机构提供更高层次的数据保护。

生成式AI与安全的融合也是未来发展的重要方向。AWS与Anthropic的合作展示了如何在保障客户数据与合规需求下，推动AI创新。Anthropic资讯安全总监Jason Clinton在re:Invent 2024上指出：“AWS为客户提供了Claude，具备多项合规认证，这是作为年轻公司的Anthropic尚未拥有的。”AWS通过其Nitro架构，确保客户可以在安全隔离的环境中使用Claude，且所有数据皆在AWS处理，Anthropic不会接触客户数据。这样的架构，让企业客户能清楚地交代其AI使用的合规脉络与数据保护措施。

最后，澳洲联邦银行的案例告诉我们，真正的安全转型不仅关乎技术，更关乎文化。正如AWS资讯安全总监Chris Betz所言：“文化滋养安全创新。”只有将安全融入企业文化基因，才能在数字化转型的道路上创建真正的无形守护与有形防线。