Jak skutecznie przekazać IT na zewnątrz firmy

Outsourcing umożliwia optymalizację kosztów związanych z obsługą procesów IT. Przekazanie obsługi części zasobów do chmury wiąże się z problemami, które należy rozwiązać przed rozważaniem modelu.

Każde przedsiębiorstwo przetwarza informacje, które powinny pozostać tajemnicą firmy. Mogą to być dane osobowe pracowników, informacje o kontrahentach, receptury i projekty lub kod oprogramowania. Jeśli firma korzysta z outsourcingu, w tym z modelu , powinna mieć zapisy odnośnie do ochrony informacji. Ryzyko ujawnienia takiej informacji przy korzystaniu z usług w modelu cloud jest wyższe niż przy modelu wewnątrzfirmowym, gdyż obsługa w chmurze wiąże się ze współdzieleniem infrastruktury dostawcy z innymi klientami. Utrata danych może nastąpić w wyniku wykorzystania błędu w oprogramowaniu hypervisora, narzędzi pomocniczych, sieci SAN, a nawet stacji roboczej administratora usługi po stronie usługodawcy. Prawdopodobieństwo pomyślnego wykorzystania luki w hypervisorze jest niewielkie, gdyż zazwyczaj oprogramowanie to przechodzi dokładne audyty bezpieczeństwa kodu, ale zawsze może zdarzyć się wykrycie nieznanego dotąd błędu. Aby minimalizować poziom ryzyka związanego z tym zagrożeniem, dostawca musi mieć procedury związane z szybką aktualizacją wykorzystywanego oprogramowania. Procedury powinny być przejrzyste i możliwe do sprawdzenia w praktyce.

Jak zarządzać antywirusem

W środowisku korporacyjnym standardem serwerów sieci lokalnej jest oprogramowanie Microsoftu, które charakteryzuje się podatnością na ataki złośliwego oprogramowania. Jest to dość poważny problem, zatem każda firma musi korzystać z , by minimalizować ryzyko infekcji systemów operacyjnych i aplikacji. W przypadku środowiska cloud computing problemem pozostaje zarządzanie takim , gdy ma to wykonywać przedsiębiorstwo, które korzysta z chmury. Z kolei usługodawca nie zawsze może zapewnić bezpieczne zarządzanie programem antywirusowym, uwzględniające różne założenia polityki bezpieczeństwa w firmach, a także różne rozwiązania różnych producentów tego oprogramowania. Należy zatem przed rozważeniem usługi cloud computing rozpoznać i dopracować założenia polityki bezpieczeństwa w tej dziedzinie, ponadto niezbędna jest ścisła współpraca z dostawcą usług przy wdrożeniu i eksploatacji.

Dziury i łaty

O ile Microsoft oferuje aktualizacje do systemu i aplikacji, o tyle nadal dostarczane są one stosunkowo powoli, pozostawiając lukę czasową między zgłoszeniami o wykorzystywaniu danej podatności a wydaniu łaty. Od wydania aktualizacji do jej wdrożenia w korporacyjnym środowisku mija następne kilka dni, gdyż każda z poprawek musi być przetestowana przed wdrożeniem jej w produkcyjnym środowisku. Problem ten dotyczy zarówno tradycyjnego modelu silosowego eksploatowanego w obrębie infrastruktury firmy, jak i usług cloud computing. Opóźnienie to wprowadza także ryzyko podatności na ataki dnia zerowego, gdy aktualizacja i podatność jest już powszechnie znana, ale nie wszystkie systemy zostały zaktualizowane.

Ryzyko można zmniejszyć, stosując rozwiązania IPS będące w stanie ochronić aplikacje i systemy przed atakami, na które jeszcze nie ma łaty lub z różnych powodów nie można jej jeszcze zaktualizować. Zazwyczaj rozwiązania takie są aktualizowane bardzo szybko, ponadto wiele ataków można wykryć i zablokować za pomocą podobnych reguł. Mimo wszystko, nie jest to model idealny, gdyż wymaga regularnego strojenia polityki pod kątem wydajności, usuwając reguły i sygnatury, które nie są już potrzebne po zaktualizowaniu systemu.

Niektóre z rozwiązań mają moduły automatycznie rozpoznające wersje systemów i aplikacji i dostosowujące reguły ochrony do załatanych już podatności. To sprytne podejście sprawdza się w środowisku wirtualizowanym, ale nadal nie wszyscy dostawcy mają podobną technologię i nie zawsze można jej użyć. Obecnie taka ochrona działa dobrze jedynie w środowisku VMware, gdyż opiera się na API tego rozwiązania. Jeśli usługodawca dysponuje rozwiązaniem, ma zasoby, by je zintegrować ze środowiskiem udostępnianym w ramach usługi, warto skorzystać z tej ochrony, gdyż alternatywą są tylko wirtualne IPS-y i specjalna konfiguracja połączeń sieciowych.

Wirtualny złom?

W przedsiębiorstwie korzystającym z wirtualizacji należy wdrożyć rozwiązania, które umożliwiają zarządzanie cyklem życia maszyn wirtualnych. Razem z zakończeniem pracy danej aplikacji i maszyny wirtualnej muszą być podjęte odpowiednie działania, związane z jej odłączeniem, archiwizacją przez wskazany czas lub usunięciem z repozytorium. Gdy te usługi wykonuje zewnętrzny podmiot, nie zawsze można stwierdzić pomyślne zakończenie danego etapu prac. Należy opracować procedury związane z przekazaniem danych maszyny wirtualnej, która zakończyła swój cykl pracy. Może się to odbyć przez przetransferowanie danych do siedziby firmy albo dostarczenie jej na nośniku, takim jak taśma. Jeśli organizacja nie potrzebuje przechowywać danych takiej maszyny, należy uzyskać potwierdzenie jej usunięcia. Niestety, nie chroni to przed pozostawieniem tych plików lub bloków przez usługodawcę - jedynym pewnym zabezpieczeniem jest pełnodyskowe szyfrowanie danych.

Jak zaszyfrować maszynę?

Ważnym problemem jest ochrona danych zawartych w maszynach wirtualnych. Normą powinno być pełnodyskowe szyfrowanie danych, by chronić informację w stanie spoczynku. Pojawiają się jednak problemy z dostarczeniem klucza szyfrującego do hostowanego środowiska w taki sposób, by tylko jedna wskazana i eksploatowana maszyna mogła być deszyfrowana (i później uruchomiona), a pozostałe jej kopie były bezpieczne. Wszelkie sposoby, które bazują na przechowaniu klucza w ukrytej formie wewnątrz maszyny wirtualnej, są z natury nieprzydatne, gdyż zabezpieczenie to ma wątpliwą moc. Z kolei konieczność wprowadzenia klucza przed uruchomieniem maszyny wyklucza automatyzację uruchamiania aplikacji w przypadku awarii. Nie każdy dostawca zezwoli na dostęp do konsoli, ponadto utrzymanie przez outsourcera żądanego poziomu dostępności aplikacji wymaga przekazania kluczy szyfrujących do zewnętrznego podmiotu. Od strony ochrony przed nielegalnym skopiowaniem danych przez outsourcera jest to równoznaczne z brakiem szyfrowania w ogóle.

Aby uzyskać ochronę przed takim zachowaniem, firma powinna rozważyć wdrożenie rozwiązań, które zapewnią szyfrowanie danych maszyny wirtualnej w sposób przezroczysty dla outsourcera, ale nadzór nad kluczami miałby właściciel danych, czyli przedsiębiorstwo korzystające z usługi świadczonej w modelu cloud. Technologię umożliwiającą takie dostarczenie klucza oraz szyfrowanie maszyny wirtualnej w sposób kontrolowany poza dostawcą usług ma firma Trend Micro.

Ciągłość działania a łącza

Problemy związane z przetwarzaniem przy wykorzystaniu dostawcy spoza firmy nie muszą wiązać się z naruszeniem poufności danych. Równie restrykcyjnie należy traktować zagadnienia związane z ciągłością działania. Problem może dotyczyć nie tylko dostawcy, ale także połączenia między hostowanymi usługami a infrastrukturą przedsiębiorstwa. Należy zatem opracować i wdrożyć rozwiązania gwarantujące wysoką dostępność łączy internetowych po stronie przedsiębiorstwa. Oznacza to korzystanie z dwóch niezależnych fizycznych łączy, poprowadzonych osobną drogą, najlepiej przy wykorzystaniu innej technologii.

Poważnym i często spotykanym błędem jest wykorzystywanie redundancji łączy, ale kable są prowadzone w tej samej studzience (często nawet tym samym światłowodem przy wykorzystaniu zwielokrotnienia falowego). Wtedy awaria światłowodu, spowodowana na przykład jego przecięciem, powoduje niesprawność obu łączy, w tym także tego rezerwowego.

Podobnie po stronie przedsiębiorstwa należy wdrożyć nadmiarową infrastrukturę połączeń sieciowych, by zapewnić żądaną odporność na awarie pojedynczego elementu sieci. Oznacza to, że zdublowane powinny być nie tylko łącza, ale także routery i najważniejsze przełączniki sieciowe.

Chmura dla szczególnych informacji

Niektóre zasoby informacji wymagają szczególnej ochrony - dotyczy to na przykład danych osobowych, medycznych, finansowych czy klasyfikowanych w inny sposób. Takich informacji nie można przetwarzać w chmurze publicznej, gdyż ryzyko związane z takim modelem jest zbyt wysokie. Aby móc wykorzystać technologię cloud computing dla takich informacji, należy dysponować bezpiecznym środowiskiem, odseparowanym od publicznych sieci i innych użytkowników. Oznacza to wykorzystywanie chmury prywatnej, którą mogą świadczyć także zewnętrzni dostawcy, pod warunkiem zagwarantowania całkowitej separacji zasobów, sprzętu i oprogramowania od pozostałych klientów. Należy także wypracować razem z usługodawcą procedury dostępu do tych informacji, sposoby, częstotliwość i wykonawcę audytu bezpieczeństwa oraz wszelkie zagadnienia związane z zarządzaniem zmianą po stronie outsourcera.

Chociaż korzyści ekonomiczne nie będą tak wysokie jak przy chmurze publicznej, nadal jest to konkurencyjny sposób przetwarzania danych, w stosunku do tradycyjnego, silosowego, który zakłada instalację sprzętu dla każdej z aplikacji. Jest to jednak jedyny sposób wykorzystania cloud computing dla danych, które muszą być objęte szczególną ochroną. Chociaż nowości technologiczne umożliwiają objęcie maszyn wirtualnych szczególną ochroną kryptograficzną, nadal chmura publiczna jest mniej bezpieczna od przetwarzania w modelu in-house lub w chmurze prywatnej.