亚马逊云科技CISO：我喜欢创新落地的瞬间，更希望安全成为背后的底气 原创

在成为亚马逊云科技CISO之前，Amy Herzog其实是亚马逊“大家庭”中的老熟人。多年来，她负责的板块在内部被称作“美国非零售业务”，横跨影视制片厂和Prime Video、消费类设备，甚至还涉足Project Kuiper卫星互联网项目。

来到亚马逊云科技，最让她兴奋的，是能在这里挑战一个她一直认为是“伪命题”的传统观念：必须在快速创新与高安全性之间做出选择。Amy Herzog坚信，在追求速度与规模并存的环境中，安全性可以更进一步。

“如果有哪家公司能破解快速交付与高安全性之间的张力，那一定是这里。”Amy Herzog说。亚马逊云科技乃至整个亚马逊，对安全的重视和对客户信任的坚持，早已融入企业文化与运营细节。

亚马逊云科技CISO Amy Herzog

今年是Amy Herzog第一次参加re:Inforce，她深刻感受到生成式AI已经进入旅程的下一阶段，从谈论愿景到真正开始看到成果。比如以前需要几个小时的日志排查，现在几分钟就能完成。

她喜欢看到技术创新真正落地的瞬间，更希望有一天，安全能成为支撑这一切的最强底气。

如果IAM没做好，一切都无从谈起

在re:Inforce的发布中，Amy Herzog认为其中有一些内容可能不是“最吸引眼球”的部分，但是却是良好安全实践的关键要素——IAM（身份和访问管理）。

“如果IAM没做好，一切都无从谈起。”它看似基础，实则最难，尤其是在大规模环境下，需要那些熟悉全球基础设施构建与运营的经验型人才。

凭借多年来运营安全运维团队的经验，以及来自客户的反馈，Amy Herzog发现，监控、网络层与应用层的响应能力，是解决“快速交付”与“安全保障”之间矛盾的关键因素。现实情况是，过多低价值告警正消耗团队资源，亚马逊云科技的目标是实现机器级响应速度与全球级别的响应能力，让安全真正跟上业务创新的步伐。

今年re:Inforce上发布的内容，像 GuardDuty、扩展威胁检测（XTD）、Security Hub等，目的都是帮助客户在面对潜在安全问题时聚焦真正重要的事项。Amy Herzog非常喜欢亚马逊云科技与客户之间的这种合作模式：我们提供全球视角与覆盖能力，客户则带来对其业务和行业痛点的深刻理解。

AI带来增长的烦恼，安全要跟上节奏

现在生成式 AI 正以前所未有的速度加速软件开发，像代码补全与开发辅助，创新提速的同时也带来了新的安全挑战。Amy Herzog从另一个角度看到，生成式AI也在帮助我们“从一堆针里找到那根关键的针”。

随着攻击与防御技术同时进化，亚马逊云科技也迎来巨大的机会与责任：我们必须确保正在开发生成式AI与Agent解决方案的客户，具备完善的防护机制、工具与配置，能够在安全的前提下持续创新。这就是Amy Herzog今年希望通过re:Inforce推动的重点之一。

同时Amy Herzog也看到“规模与增长”仍然是最大的挑战，特别是开发量和生产力的激增。她认为，如果明天开发者因为使用生成式AI而突然提高了50%的效率，整个节奏都会被打乱，这是必须密切关注的现实问题。

如果这些效率提升都转化为实际部署，进入生产环境的变更数量就会急剧上升，亚马逊云科技要做的是如何与不断加速的开发节奏保持同步，持续演进安全模型。目前Amy Herzog的安全团队和开发团队之间已经建立了一套合作流程，比如了解产品发布的内容、如何构建、API如何运作等。

比如在数十亿客户请求的场景下，客户端加密与客户自管密钥可能会带来额外复杂性。需要从看似独立的多个事件中，及时识别潜在的叠加风险。这种基于规模的信息关联与推理能力，未来将成为超大规模企业和成长型企业的必修课。

从B2C到B2B，先倾听再行动

从B2B到B2C，Amy Herzog不确定这是否是一种“思维转变”，但她非常喜欢企业场景的一点是：安全期望通常非常清晰。

因为面向消费产品，“信任”往往是一个模糊的概念，依赖于使用场景、感知价值和背景。但在企业领域，尤其是云基础设施领域，客户对于安全的期望是具体且明确的。“这意味着我们可以花更少的时间去猜测客户需求，有更多时间去思考如何在“机器速度”和“全球规模”下满足这些需求。”Amy Herzog说道。

Amy Herzog认为自己现在最重要任务是“倾听”。面对覆盖全球百强企业、初创公司，以及各国政府的庞大客户群，她需要把来自不同客户的声音综合归纳，真正理解他们在安全领域最关心、最急需解决的问题，并据此推动亚马逊云科技产品策略和优先级的调整。

就像她在re:Inforce的演讲中也反复强调，只有基础扎实，其他一切才有可能。尤其是在生成式AI时代，如果没有打好基础，就无法实现快速和安全的创新。