Zabezpieczanie danych i dostępu do chmury publicznej

Rozważając wykorzystanie chmury publicznej do uruchamiania firmowych aplikacji i przechowywania danych, należy wziąć pod uwagę szereg nowych czynników mających wpływ na bezpieczeństwo.

Wbrew powszechnym obawom chmura publiczna przynosi pewne korzyści od strony bezpieczeństwa. Można wśród nich wymienić przechowywanie danych w bardzo bezpiecznych ośrodkach obliczeniowych, lepszą ochronę przed atakami DDoS, dostęp do wiedzy wysokiej klasy specjalistów czy solidne zabezpieczenia przed awariami sprzętowymi. Jednak między publiczną i prywatną chmurą, nawet jeśli oferują użytkownikom te same usługi, są dwie zasadnicze różnice. Pierwszą jest kwestia dostępu - z zasobami chmury można łączyć się z dowolnego miejsca za pośrednictwem sieci publicznej. Po drugie, firma nie ma fizycznej kontroli nad infrastrukturą chmury publicznej. Ma to istotne przełożenie na bezpieczeństwo. Organizacja musi zapewnić swoim pracownikom bezpieczny dostęp do chmury oraz odpowiednio chronić dane, aby nie utracić nad nimi kontroli. Do tego dochodzą jeszcze inne problemy, jak zgodność z regulacjami prawnymi czy uzależnienie od polityki operatora chmury. Jeśli operator postanowi zmienić warunki świadczenia swoich usług, klienci mogą, np. mieć problem z odzyskaniem swoich danych.

Bezpieczeństwo komunikacji

Firmy decydujące się na chmurę publiczną w praktyce będą korzystała z chmury hybrydowej, czyli połączenia infrastruktury publicznej z prywatną. W efekcie wartościowe dane będą przesyłane przez sieć publiczną pomiędzy różnymi lokalizacjami - siecią lokalną a chmurą, ale także innymi lokalizacjami, w których akurat znajdują się pracownicy wyposażeni w urządzenia mobilne. Aby takie środowisko było bezpieczne, konieczne jest wdrożenie mechanizmów szyfrujących ruch pomiędzy tymi punktami. Jednocześnie trzeba pamiętać, żeby nie wprowadzić w ten sposób zbyt dużych opóźnień bądź nie ograniczyć przepustowości. W tym celu wdraża się VPN’y, często na bazie operatorskiej sieci MPLS, umożliwiającej zachowanie pożądanych parametrów transmisji.

Zobacz również:

Na rynku jest wiele rozwiązań szyfrujących ruch w różnych warstwach stosu protokołów oraz w różnych układach (sieć-sieć, punkt-punkt, itd.). Wybierając metodą zabezpieczania transmisji należy pamiętać, że dostęp do chmury publicznej jest z założenia możliwy z dowolnego miejsca, nie tylko z lokalnej sieci firmowej. Ponadto użytkownicy mogą korzystać z różnych urządzeń mobilnych, często będących ich prywatną własnością i różnych technologii sieciowych, np. sieci radiowych.

Ta różnorodność otwiera szerokie pole manewru dla cyberwłamywaczy. Jednocześnie znacznie komplikuje życie administratorom IT. Pojawia się bowiem problem, jak zabezpieczyć tak szerokie spektrum urządzeń? Przykładowo, jeśli firma korzysta z wybranego klienta VPN do zdalnego dostępu, może okazać się, że nie działa on na wszystkich platformach sprzętowych używanych w firmie. Jednym z rozwiązań jest ograniczenie dostępu do zasobów korporacyjnych. Jednak przekonanie kierownictwa, że nie będzie mogło przeglądać wiadomości e-mail ze swojego nowego iPhone’a może być trudne. Lepszym pomysłem jest stworzenie listy urządzeń dopuszczalnych do stosowania w obszarze korporacyjnym i obsługiwanych przez firmowy dział IT.

Chmura publiczna jest wyzwaniem pod względem ochrony danych. Tradycyjne modele zabezpieczeń koncentrują się na ochronie sieci, w szczególności punktów styku LAN’u z Internetem, z wykorzystaniem firewalli czy systemów IDS/IPS. Takie podejście nie jest odpowiednie w przypadku przechowywania danych w chmurze publicznej. Zapewnienie bezpieczeństwa sieci bierze na siebie dostawca chmury, natomiast klient powinien skupić się na ochronie danych, biorąc pod uwagę specyfikę środowiska chmury publicznej. Choćby to, że usługodawca może mieć dostęp do danych zapisywanych w chmurze przez swoich klientów. Dlatego branże, które są silnie regulowane, jak służba zdrowia czy instytucje finansowe, muszą znacznie ostrożniej podchodzić do wysyłania danych do chmury.

W praktyce większość dostawców usług chmurowych oferuje zaawansowane mechanizmy szyfrowania danych przechowywanych w publicznie dostępnej infrastrukturze. Ponadto zatrudniają oni prawników dbających o zachowanie zgodności z regulacjami prawnymi. Oferują również techniczne wsparcie w zakresie zwiększania poziomu bezpieczeństwa. Jednakże trzeba pamiętać o trzymaniu się kilku dobrych praktyk. Po pierwsze, należy używać szyfrowania. Co istotne, nie zaleca się korzystania z mechanizmów oferowanych przez operatora chmury, szczególnie jeśli przechowuje się wrażliwe dane medyczne czy finansowe.

Po drugie, należy zachować kontrolę nad swoimi danymi, co w przypadku chmury sprowadza się do utrzymania w swoim posiadaniu kluczy szyfrujących. Jeśli firma nie ujawni kluczy szyfrujących, to po przeniesieniu do chmury nadal zachowa status ich właściciela. Nawet operator chmury nie będzie bowiem w stanie ich odczytać bez znajomości kluczy szyfrujących. Niestety wiele firmy dba tylko o szyfrowanie danych, a nie przykłada wystarczającej wagi do zarządzania kluczami oraz kontroli i monitorowania dostępu do danych. Kontrolowanie dostępu jest w szczególnie ważne, jeśli z chmury korzysta wiele osób. W takiej sytuacji niezadowolony pracownik może podjąć próbę dostępu do poufnych danych.

Dlatego podejście do bezpieczeństwa skoncentrowane na danych musi obejmować szyfrowanie, zarządzanie kluczami, silną kontrolę dostępu oraz dodatkowe mechanizmy zabezpieczeń. Chodzi m.in. o narzędzia, które będą analizowały zdarzenia zachodzące w chmurze i powiadamiały w przypadku wykrycia nietypowych, podejrzanych działań użytkowników. Wdrażając wielowarstwowe podejście obejmujące te elementy, skutecznie podnosi się poziom bezpieczeństwa w porównaniu do tradycyjnego modelu skoncentrowanego na zabezpieczeniach sieciowych.

Najlepsze praktyki obejmują rozdzielenie obowiązków pomiędzy osobami odpowiedzialnymi za utrzymanie systemów IT a osobami zajmującymi się bezpieczeństwem oraz zachowanie zgodności korzystania z chmury z firmowymi regułami. Należy też dbać o to, aby dostęp do danych mieli tylko uprawnieni użytkownicy, a uniemożliwić go osobom mającym dostęp do kont administratorów czy kont typu root.


TOP 200