Priorytety: bezpieczeństwo "w chmurze" i systemach wirtualnych
-
- Józef Muszyński,
- 15.03.2010
Bezpieczeństwo danych
W 2009 r. odnotowywano też bardziej wymyślne ataki niż w poprzednim roku. Cyberprzestępcy szerzej wykorzystywali botnety, a głównym celem ich działań było osiąganie korzyści finansowych.
Zdaniem Forrester Research, cena za rozwiązanie DLP dla przedsiębiorstwa zatrudniającego ok. tysiąca pracowników waha się od 250 tys. do pół miliona dolarów. Firma badawcza uważa jednak, że ten poziom cen znacznie się obniży z powodu pojawiającej się konkurencji i tendencji umieszczania DLP w istniejących rozwiązaniach ochronnych.
Do tej pory był to dość "ekskluzywny" rynek, zdominowany przez tradycyjnych dostawców antymalware, którzy przejmowali nowo powstałe firmy specjalizujące się w DLP.
Forrester przewiduje, że w tym roku rozwiązania DLP będą oferowane przez większą liczbę dostawców, a także pojawią się one w postaci zagnieżdżanej w istniejącym oprogramowaniu i sprzęcie - przełącznikach, serwerach, a nawet laptopach.
Użytkownicy mogą wdrażać DLP na poziomie bramy lub hosta. Może to być wielofunkcyjna brama ochronna z funkcją DLP lub też urządzenie specjalizowane. W opinii specjalistów Forrester, instalowanie bramy DLP jest rozwiązaniem stosunkowo najtańszym i najłatwiejszym do wdrożenia. Wśród dostawców można zaobserwować jednak kierunek integrowania funkcji DLP w istniejących produktach - zarówno bramowych, jak i hostowych. Zaznacza się też kierunek łączenia technologii DLP z DRM (Digital Rights Management).
Rik Ferguson, doradca ds. bezpieczeństwa w Trend Micro
Jedną z przyczyn tej oczywistej sprzeczności jest sam język, a nie technologia. Jeśli termin "cloud" (chmura) odnosi się do technologii, ma różne znaczenie w zależności od tego, kto jest jego odbiorcą. Ba, nawet w odniesieniu do prawdziwych chmur może mieć wiele znaczeń. To samo zresztą dotyczy terminu "bezpieczeństwo".
Wystarczy porozmawiać z administratorem systemu, administratorem sieci, programistą, hakerem, ochroniarzem, zarządcą budynku lub zawodowym wojskowym, by odkryć, że każdy z nich inaczej rozumie definicję, cele i metody osiągania owego nieuchwytnego "bezpieczeństwa". Jeszcze inaczej rozumieją bezpieczeństwo dyrektorzy wyższego szczebla, zwłaszcza w kontekście usług przetwarzania poza siecią lokalną.
Dla nich bezpieczeństwo to przede wszystkim kontrola i odpowiedzialność. Przechowywanie danych i zarządzanie nimi to zadania najczęściej zlecane firmom świadczącym usługi przetwarzania poza siecią lokalną. Dzisiejsze przepisy nakładają obowiązki i związane z nimi sankcje na dyrektorów przedsiębiorstw, którzy muszą zagwarantować bezpieczne przechowywanie i przetwarzanie danych.
Przeprowadzenie kontroli i określenie odpowiedzialności są dużo prostsze, kiedy najcenniejsze zasoby są dobrze ukryte we własnym centrum przetwarzania danych i zajmuje się nimi zaufany personel przy użyciu oddzielnie chronionych systemów fizycznych. Obecnie w środowiskach przetwarzania poza siecią lokalną, kontrola jest w znacznym stopniu przekazywana na zewnątrz, jednak cała odpowiedzialność pozostaje na miejscu.
Usługi przetwarzania poza siecią lokalną są świadczone z wykorzystaniem takich technologii, jak wirtualizacja, obsługa wielu podmiotów (multi-tenancy) i sieci SAN. Firmy świadczące takie usługi osiągają zyski dzięki możliwości szybkiego tworzenia maszyn wirtualnych w infrastrukturze o wysokiej skalowalności i dostępności. Poczucie bezpieczeństwa ich klientów wynika z pewności, że zachowują kontrolę nad bezpiecznymi granicami swojej maszyny wirtualnej, oraz że jest ona niezależna od konfiguracji po stronie usługodawcy. Klienci chcą mieć pewność, że ich dane są skutecznie szyfrowane w sieci SAN, że są one dostępne tylko dla posiadacza kluczy, i tylko on może ich używać, oraz że klucze te nie są przechowywane przez usługodawcę.
Aby przekonać dyrektorów przedsiębiorstw do korzystania z usług przetwarzania poza siecią lokalną, należy opracować narzędzia, które zagwarantują kontrolę nad bezpieczeństwem tych podstawowych technologii. Dyrektor ds. informatycznych zgodzi się wziąć na siebie odpowiedzialność tylko wtedy, gdy będzie miał zapewnioną kontrolę.
