2024年度云治理企业成熟度发展报告解读（三）五大支柱关键数据解读-阿里云开发者社区

2024年9月19-21日，阿里云2024云栖大会在杭州云栖小镇成功举办，在首日的云治理专场上，埃森哲大中华区技术服务事业部阿里云业务董事总经理姚靖宇先生及埃森哲大中华区技术服务事业部阿里云业务咨询经理曲骏先生带来了最新《云治理企业成熟度年度发展报告》导读版的解读。更多内容见文章结尾，附本场完整视频和文字链接合集，欢迎观看。

此部分内容详细解读安全、稳定、成本、性能、运行等支柱的关键数据分析，数据表明过去一年身份安全关注度大幅度提升，表明身份安全已成为云计算中最重要的关注点之一，强调了在云服务中，确保企业不依赖root账号管理的重要性，以及高成熟度企业在不使用主账号方面的实际状况，呼吁从基础做起，重视安全治理和效率提升。

以下为2024云栖大会上曲骏（埃森哲大中华区技术服务事业部阿里云业务咨询经理）的完整发言内容：

我们基于这个理解，我们来看看今天的所有的云报告里面的最关键的数据。我们在报告里面，我们不要讲很多、很大、很复杂的东西，我们要讲最简单的东西。因为最简单的东西能偷出来最大的道理，大道至简。所以大家可以看到一个很尖锐的数据，叫身份安全。去年是29.8%的关注度，今年接近了65%接近70%。所以大家可以理解24年是一个身份安全年。那身份的治理在无AK的治理上面，大家可以看到一个数据，17.4%。

在高成熟度的企业里面只有17.4%，用到了无AK方案，非常的让我惊讶，因为大家都很拥抱这些技术，但实际的结果是他只是观望，就像我们的何总说的，他是个Watcher。第二，我们的不使用主账号，只有14%。在高成熟的企业里面，一个相对规模体积的水位池里面，我们跟阿里云团队合作，发现只有14%的企业没有使用到阿里云的root账号管理云的工作负载。原则上这个数据应该达到80%以上的。所以我想跟大家讲的就是所有的安全治理，所有的最高效、最成熟的治理，它应该始于足下，最基本的操作，最基本的关注，而不是说天天要讲一些很高的、很大的东西。

再往下我们来看一下数据安全。大家可以看到去年是71%，今年是64%，稍微有些降幅。为什么？因为去年我们在走访调研的时候，我们发现“数据安全”是去年的一个主题词，都在讲。今年稍微有一丢丢下降，是因为大家的普遍水平在提升，所以相对会有一些下降。大家也看到里面有个两条非常重要的数据，就是在实例IP名单里面要不要开全网段和拒绝公网地址。大家可以看到，就是78%是禁止公网的，但是大家在我们的WA的工具箱里面，在实操里面大家有没有做到，这是一个很值得深思的问题。

再往下我们第二个支柱稳定。安全，稳定，大家注意这个顺序，安全，稳定。稳定，大家看数据，24年，多可用区的采用有一点点变化，说明我们的云治理报告，它在影响一波企业重新看待自己在云的工作设施当中的一些操作、一些部署、一些正确性。我们经常讲要正确的做一些事情，而不是说一味的去做。第二个，我们的数据备份，大家也看到这个备份的操作其实让我非常惊讶。大家都在讲数据安全，讲备份安全，按照现在来讲，仅超过了50%才重视云平台上的默认开启的备份功能。记住是默认，就像我们前面讲的，MFA功能就在那，但是你就是不启用。所以今年阿里云有责任为大家保驾护航，所以他默认启用了RAM MFA。

再往下我们的观测体系，大家可以看到这几个维度的数据，我就讲一个很关键的我的洞察。在云的观测体系里面当中，其实有一点大家可能做得很好，云的基础资源这一层做得非常好，我们的企业都关注到了这一层。但是真正做到理解观测体系全面搭建，成熟的去做了，我们发现只有少数的互联网企业完成了这件事情。但是真的要做到这么深吗？我们有很多客户就问了，你说的方案很好，但是我发现我们的业务站点、我们的业务应用、我们的容器原生化并不需要做得这么深。所以我的业务的要求就到这个点，我不需要那么高。所以我需要关心什么，关心我的流程、我的组织、我的机制。所以我想跟大家讲，就是不要一味地用技术的思考去想一些技术的先进性。

稳定之后，是我们的成本。成本也是去年到今年我们一直在做的事情。跟大家讲一个非常重要的认识，成本过去我们的解读是先要做技术的降本操作，无论是调整架构，从原来很一味的单可用区变多可用区，再从多可用区再回到单可用区。这个动作不是在于我今天要不要搞可靠性，而是在于我的业务部门要求我对我的基础的承载成本进行降低。也就是说投资带来的收益是要建立在ROI基本测算的基础之上的，不是技术第一，是业务第一。

这点我想跟大家分享就是两个数据。第一个，我们经常讲业务的、成本的，我们叫可测量、可度量。我们的客户其实在理解这个数据的时候，他其实出现了一个很重要的理解，就是他是技术方式。所以他给到我们的反馈就是我们做了资源打标的，我们做了多账号的采用架构，同时我们也做了一些基本的分账。但是我们再往深入的去问的时候，出现了一个很滑稽的事情。我说当你把账单分完之后，后面是什么，他说那不关他的事情了，那是财务的事情，那是采购的事情，不是我技术的事情。但是作为一个企业级的管理方式来讲，我作为一个技术人员，我作为一个云平台的管理者，我是有义务把他们下面的链条全部要完成的。所以我还想再次回应一个问题，就是流程的衔接性不能丢失掉。这就是我前面讲的技术周期和管理周期在不同的角色身上存在的最重要的理解丢失，技术在这里不是最关键的。因为我们的阿里云平台有非常成熟的原生功能，但是我们真的用好了吗？这里有一个很重要的问号。

再就是性能。两组数据，第一个数据有没有压测，多数的情况表述的压测。然后原生化的集群，我们重点关注原生化的集群，监控覆盖大家也看到达到了70%，但是集群的应用监控大家看到只有14.3%，也就意味着今天我们把容器集群当成基础设施在用的时候，我们基本的应用监控基本没管它。这就是为什么有很多的企业客户发声说我都原生化了，但是为什么好像比以前更难管了。因为code不知道怎么过监管，service不知道怎么管。最后又花了必要的钱、更多的钱来去做更多的技术架构复杂性。结果他只是做了一个基本站点的服务，这就是投资和原生化中间的矛盾。

我想在后面跟大家分享一个很重要的观点，运营。我们从前面那份数据，就是44%，我们发现很多的企业客户，他原来过往是一个分布式的布法。他可能上海有一波团队，北京有一波团队，分别负责对应的一些工作负载。到今天，他们变成了把北京团队和上海团队以及说我们华南的团队合并掉，把它集中掉。分分合合，最终还是走到了一起。走到一起的时候，出现了一个很重要的问题，职责、结构、组织、角色，RACI（定义活动参与人员角色和责任的工具，R=Responsible，A=Accountable，C=Consulted，I=Informed）怎么定？我们往下问的时候发现大家的认知是不一致的。尤其是企业的管理者认为Global的IT和Regional的IT，还有Local的IT他的职责不应该有交叉重叠的情况。但是在我们服务很多Global的MNC企业的时候，Global的IT是有指导意义的，Regional的IT是有交叉职能的情况的，Local的IT在执行层面更强势。但是我们在走访偏国内的企业的时候，我们发现很不一样。在执行落地的时候出现了一个很重要的问题，执行不下去。只是简单的把所有的人放在了一个屋子里面。做到我们今天的业务流程更加的可视、可见，这是我们报告当中非常重要的一点。