Identyfikacja zagrożeń dla usług świadczonych w chmurze publicznej

W niniejszym artykule przedstawiliśmy zbiór najpopularniejszych zagadnień czy obaw wyrastających przed przedsiębiorcami, którzy rozważają przeniesienie zasobów do chmury publicznej (z ang. public) – nie należy mylić z prywatną (z ang. private). Opatrzyliśmy je komentarzami osób bezpośrednio zaangażowanych bądź korzystających z takich usług.

Czym różnią się te dwa modele? Chmura prywatna tak naprawdę określa infrastrukturę IT stworzoną w danej firmie. Może być prowadzona zarówno przez zewnętrznego dostawcę, jak i wewnętrznych administratorów. To, co odróżnia ją od chmury publicznej to fakt, że mogą z niej korzystać tylko i wyłącznie właściciele i klienci, dla których jest przeznaczona. W infrastrukturze chmury publicznej swoje dane przetwarzać mogą różni usługobiorcy.

Trzy modele usługowe chmury

Omawiając bezpieczeństwo chmury, na wstępie należy wspomnieć o trzech modelach usług w niej świadczonych. Każdy z nich wymaga wkładu innego zaangażowania w jego ochronę.

• W modelu SaaS (Software as a Service) dostawca chmury (np. e24cloud czy iai-shop.com) udostępnia nam gotowe aplikacje. Konieczność przeprowadzania aktualizacji kodu źródłowego, naprawa błędów i rozwiązywanie problemów z serwerami należy do usługodawcy.
• W modelu PaaS (Platform as a Service) dostawca chmury (np. Microsoft Windows Azure) umożliwia nam dostęp do platformy i oferuje narzędzia deweloperskie. Za ich pomocą klienci wspomagają zarządzanie swoimi bazami danych, przepływem danych czy diagnozują problemy. Sami tworzą kod aplikacji. Natomiast nie mają kontroli nad obsługą sieci, serwerów i systemów operacyjnych. W związku z tym bezpieczeństwo ich danych zależy od procedur postępowania przy tworzeniu aplikacji.
• W modelu IaaS (Infrastructure as a Service) dostawca chmury (np. Microsoft Windows Azure) udostępnia klientom zaplecze techniczne, które spełnia ich wymogi – zapewnia odpowiednią moc obliczeniową, pamięć masową czy przepustowość łącza. Klienci uzyskują w ten sposób większą kontrolę nad zgromadzonymi w chmurze danymi firmowymi.W modelu IaaS (Infrastructure as a Service) dostawca chmury (np. Microsoft Windows Azure) udostępnia klientom zaplecze techniczne, które spełnia ich wymogi – zapewnia odpowiednią moc obliczeniową, pamięć masową czy przepustowość łącza. Klienci uzyskują w ten sposób większą kontrolę nad zgromadzonymi w chmurze danymi firmowymi.

Security czy insecurity? Identyfikacja zagrożeń

Bezpieczeństwo w chmurze to bardzo szerokie pojęcie, na które składa się wiele elementów: bezpieczeństwo fizyczne samych centrów danych, bezpieczeństwo sprzętu i komponentów uzupełniających, bezpieczeństwo sieci, bezpieczeństwo danych, bezpieczeństwo aplikacji, a także bezpieczeństwo zarządzania dostępem i tożsamością – by wymienić tylko te najważniejsze. Fakt globalizacji usług przetwarzania w chmurze powoduje, że model, w jakim są one świadczone, wymusił zupełnie nowe spojrzenie na standardy jakości związane z zapewnieniem bezpieczeństwa fizycznego serwerowni, sposób przetwarzania i zarządzania znajdującymi się tam danymi oraz cyberbezpieczeństwa tak zdefiniowanego obszaru – mówi Daniel Grabski, Chief Security Advisor z Microsoft.

Żeby odpowiedzieć sobie na pytanie, czy cloud computing to bezpieczne rozwiązanie, wymieńmy najczęstsze obawy inwestorów związane z jego wdrożeniem.

Opracowaliśmy listę najczęściej wymienianych zagrożeń:

1. Nieautoryzowany dostęp do danych firmowych i klienckich.
2. Brak dostępu do danych w chmurze.
3. Zrzucanie odpowiedzialności za bezpieczeństwo i integralność danych wyłącznie na usługodawcę.
4. Różne rodzaje wsparcia technicznego.
5. Stabilność parametrów świadczonej usługi.
6. Stabilność i długotrwałość prowadzenia działalności przez usługodawcę.
7. Brak pełnego zrozumienia sposobu funkcjonowania chmury.
8. Uruchamianie wszystkich usług w ramach jednej strefy dostępności czy w regionie.
9. Brak możliwości szybkiego odzyskania danych.Brak możliwości szybkiego odzyskania danych.
10. Brak jasnej i otwartej polityki komunikacji z klientami.
11. Business continuity i gotowość DR dostawcy.
12. Wydajność systemu lub aplikacji.

Zagrożenia vs. rozwiązania. Zestawienie zidentyfikowanych zagrożeń ze stosowanymi rozwiązaniami

Nieautoryzowany dostęp do danych firmowych i klienckich

Przedsiębiorców przed korzystaniem z usług w chmurze powstrzymuje niepewność, czy ich dane będą tak dobrze chronione przed cyberatakami i kradzieżą danych, jak ich zdaniem ma to miejsce w przypadku tradycyjnego centrum danych.

Wielu inwestorów obawia się powierzenia swoich danych dostawcom chmury, ponieważ nie są pewni, gdzie dokładnie się one znajdą, kto będzie miał do nich dostęp (np. administratorzy operatora chmury lub centrum danych), gdzie znajdą się kopie zapasowe, w jaki sposób będą chronione i kto będzie miał do dostęp do tych kopii itd. – mówi Krzysztof Ciepłucha, Senior Network Engineer z Unizeto Technologies SA.

Przedsiębiorcy obawiają się nie tylko fizycznej kradzieży danych, ale także wszelkich ataków hakerskich – uważają, że centra danych są na nie narażone w mniejszym, niż chmury publiczne, stopniu.

Nie ulega wątpliwości, że efekt skali, który osiągamy przy chmurze obliczeniowej, generuje bardzo duże zainteresowanie cyberprzestępców tak “atrakcyjnym obszarem”. Wszyscy jesteśmy świadomi, że coraz więcej wyrafinowanych ataków nastawionych jest na pozyskanie danych dotyczących tożsamości, blokowania dostępu do wrażliwych danych biznesowych lub ich pozyskiwania – rynek zbytu na tego typu informacje jest duży, a sposoby dotarcia do nich na czarnym rynku doskonale znane. Zasoby danych i wiedzy zgromadzone w centrach danych dostawców usług przetwarzania w chmurze niewątpliwie są atrakcyjnym celem – dodaje Daniel Grabski.

Zarówno korporacyjne data center, jak i infrastruktura cloudowa narażone są na takie same zagrożenia. Najpopularniejsze typy ataków to:

• Application Attack (skierowane na aplikacje). Jest możliwy dzięki dużej ilości starszych narzędzi wykorzystujących istniejące od dawna luki. W ataku tego rodzaju exploit próbuje dostać się do aplikacji i usług, które nie zostały uruchomione przez HTTP. Przykładem jest przepełnienie bufora na stosie.
• Brute Force (stosowane do łamania haseł). Atak polegający na podjęciu dużej liczby prób złamania zabezpieczenia – najczęściej prostego do złamania, takiego jak hasło.
• Malware/botnet activity (kierowany często do dużych firm). Polega na rozprzestrzenianiu szkodliwego oprogramowania, często za pomocą spamu lub ataku bezpośredniego. Po zainfekowaniu komputera złośliwe oprogramowanie może niszczyć dane, zbierać informacje czy tworzyć backdoory.
• Misconfiguration (ze względu na dbałość o bezpieczeństwo zdarza się coraz rzadziej). Atak polegający na wykorzystaniu problemów z konfiguracją sieci, hostów i aplikacji, np. brak najnowszych poprawek. Źle skonfigurowane oprogramowanie może tworzyć luki w zabezpieczeniach, dające się wykorzystać do ataku.
• Reconnaissance (służące do skanowania portów). Jest to atak polegający najczęściej na podsłuchiwaniu ruchu sieciowego lub aktywności aplikacji albo usługi.
• Vulnerability scans (skanowanie portów i fingerprinting). Polega na mapowaniu sieci, aplikacji i usług, np. za pomocą skanera Nessus.
• Web Application Attack (skierowane na aplikacje webowe). Jest to jedna z najniebezpieczniejszych metod ataku – nie tylko ze względu na łatwość dostępu do narzędzi, które umożliwiają przeprowadzenie tego typu ataku, ale także ze względu na fakt, iż jest to najtrudniejsza do utrzymania linia obrony. Najpopularniejsze narzędzie do przeprowadzania ataków tego typu – HAVIJ – pozwala na wykonanie ataku SQl injection i było odpowiedzialne za aż 44% wszystkich ataków na aplikacje webowe w 2011 roku.

Klienci tradycyjnego centrum danych odczuwają częściej o wiele więcej zróżnicowanych ataków niż klienci chmury

Dlaczego? Dostawcy cloud computingu zapewniają bowiem bardziej ustandaryzowane systemy konfiguracji platformy IaaS, bardziej zadbane i dojrzałe niż w przypadku użytkowników tradycyjnego centrum danych.

W modelu PaaS i SaaS dane z kolei podatne są na ataki DDoS. Atak próbuje potęgować ruch w chmurze, tym samym narażając klientów na zwiększenie wydatków na usługę. Firma Google rozwiązała ten problem, wprowadzając limit ruchu na stronie, którego bez uprzedzenia nie można przekroczyć.

Każdy, mając niewyobrażalne środki, może pokonać nawet najlepsze zabezpieczenia.  Jeśli haker zechce włamać się do chmury prywatnej czy firmowego data center, będącego pod kontrolą administratorów i działów IT, będzie w stanie to zrobić. Jednak włamanie się do chmury publicznej, np. metodą Brut Force, wiąże się z tak dużymi kosztami, że pozyskane w ten sposób dane nie będą stanowić odpowiedniej rekompensaty. Poza tym każda, nawet skomplikowana technologia posiada luki, a najlepiej chronione środowisko narażone jest na ataki.

Dlatego wiele zależy od tego, jaką ochronę zapewniają infrastrukturze chmury jej dostawcy: z jaką częstotliwością przeprowadzają aktualizacje oprogramowania, czy mają wdrożone odpowiednie procedury bezpieczeństwa i czy zatrudniają wykwalifikowany personel, co powinno być potwierdzone stosownymi audytami i certyfikatami bezpieczeństwa – dodaje Krzysztof Ciepłucha.

Microsoft, poprzez dedykowaną, wieloletnią i bliską współpracę w obszarze cyberbezpieczeństwa w ramach specjalnych programów dedykowanych dla organów ścigania, partnerów branżowych oraz grup badawczych stara się zrozumieć i odpowiednio reagować na zwiększające się i coraz bardziej złożone zagrożenia związane z cyberbezpieczeństwem. Wieloletnie doświadczenia i pozyskana wiedza zebrane w tym obszarze zostały również wykorzystane i zaimplementowane przy projektowaniu i zarządzaniu bezpieczeństwem infrastruktury naszych usług online – komentuje Daniel Grabski.

Bezpieczeństwo oferowanych rozwiązań online to również pytanie o metodologię projektowania, budowania i testowania samych aplikacji, także tych przeniesionych do chmury – od tego zależy poziom ich podatności na zagrożenia oraz szybkość reagowania i procesów budowania patchy, jeżeli zaistnieje taka konieczność. Microsoft od 10 lat w całym procesie powstawania swoich aplikacji wykorzystuje konsekwentnie metodykę SDL (Security Development Lifecycle), która pozwala w efektywny i kontrolowany sposób zaimplementować specjalnie dedykowane procesy i procedury do zidentyfikowania luk zabezpieczeń przed zatwierdzeniem kodu, zaimplementować najlepsze rozwiązania do tworzenia bezpiecznego kodu wraz z mechanizmami ich testowania, przygotować plan odpowiedzi na mogące pojawić się zagrożenia oraz przeprowadzić końcowe procedury przed przekazaniem oprogramowania do produkcji. Stworzona przez Microsoft w roku 2004 i udostępniona publicznie w 2008 metodyka SDL została częściowo włączona do standardu ISO 27034-1 (Information technology – Security techniques – Application security – Part 1: Overview and concepts) – dodaje Daniel Grabski.

Bezpieczeństwo zależy też od samych firm, które korzystają z usług przetwarzania danych w chmurze.

Jeśli chcą ustrzec się przed dostępem osób niepowołanych, mogą przechowywać dane w postaci zaszyfrowanej, przy zapewnieniu odpowiedniej poufności klucza szyfrującego – podsumowuje Krzysztof Ciepłucha.

Brak dostępu do danych w chmurze

Jedną z przyczyn powstrzymującą inwestorów przed korzystaniem z chmury publicznej, jest obawa przed utratą fizycznej kontroli nad danymi w niej przechowywanymi. Przedsiębiorcy mają wątpliwości, co do zapewnień propagatorów bezpieczeństwa cloud computingu o nieograniczonym dostępie do własnych baz o każdej porze dnia i nocy, z każdego miejsca na świecie. Zastanawiają się, jak będzie to możliwe w przypadku awarii po stronie usługodawcy czy braku dostępu do Internetu.

Zaufani dostawcy usług w chmurze robią wszystko, aby zapewnić danym swoich klientów bezpieczeństwo, odpowiednio chroniąc własną infrastrukturę techniczną. Centra danych, przez które świadczą swoje usługi, zabezpieczają przy użyciu najnowocześniejszych technologii. Stosują np. systemy kontroli dostępu czy gaszenia gazem (gaz w razie pożaru jest w stanie usunąć cały tlen, aby sprzęt nie uległ zniszczeniu). W pomieszczeniach instalują systemy wentylacyjne i klimatyzacyjne. Centra danych zazwyczaj korzystają z kilku źródeł zasilania czy usług różnych operatorów telekomunikacyjnych. Budują też zapasowe centra danych i podłączają niezależne linie energetyczne. Jest to standard wśród polskich i zagranicznych dostawców chmury. Każde z centrów danych Microsoftu ma własny zestaw generatorów prądu. Jeśli i one uległyby uszkodzeniu, zasilanie będą podtrzymywać dodatkowe akumulatory.

Poznański Beyond.pl posiada dwie oddzielne szyny zasilania z dwiema rozdzielniami elektrycznymi – dodaje Wojciech Kmita, Cloud Manager z e24cloud.com.

Dostawcy chmury są też przygotowani na ewentualną awarię poszczególnych serwerów. Zaletą chmury jest to, że pozwala ona na migrację instancji między swoimi węzłami/serwerami. Każdy z setek, czy nawet tysięcy serwerów w centrum cloudowym utrzymuje pojedyncze, wirtualne instancje, które jest w stanie przesuwać między nimi. Dane na serwerach, w tym nasze dane, zmieniają swoją lokalizację cały czas, z różną częstotliwością. W razie awarii serwera, na którym aktualnie się znajdują, uruchamiana jest ich kopia zapasowa, znajdująca się na innym serwerze. Ta operacja jest nieodczuwalna dla funkcjonowania firmy. Chmura to sieć, w której nasze zasoby nie są w żaden sposób przypisane do jednej warstwy sprzętowej.

Czasem dostawcy usług w chmurze jeszcze bardziej obniżają ryzyko związane ze swoją działalnością, umieszczając centra przetwarzania danych w różnych geograficznych lokalizacjach. W ten sposób chronią zasoby np. przed skutkami katastrof klimatycznych, wojen, konfliktów lokalnych oraz wyspecjalizowanych ataków grup z danego kontynentu.

Nie ulega wątpliwości, że w większości przypadków rozwiązania oferowane w modelu cloud computingu są bardziej bezpieczne niż tradycyjny model dostarczania usług teleinformatycznych. Inwestycje poczynione w obszar bezpieczeństwa przy projektowaniu, budowaniu i utrzymaniu infrastruktury do przetwarzania w chmurze, na które składają się między innymi specjalistyczne oprogramowanie i narzędzia, wdrożone procesy i procedury zapewniające maksymalny poziom zarządzania ryzykiem z nim związanym – są olbrzymie – podsumowuje Daniel Grabski.

Brak dostępu do Internetu wynika z problemów po stronie operatora teleinformatycznego. Stanowi ograniczenie w dostępie do naszych danych, choć zdarza się to już bardzo rzadko. Za kilka lat sytuacja braku dostępu do sieci zniknie całkowicie – Internet w bardzo szybkiej postaci będzie powszechny i dostępny.

Zrzucanie odpowiedzialności za bezpieczeństwo i integralność danych wyłącznie na usługodawcę

Większość firm wychodzi z błędnego założenia, że skoro usługodawca dysponuje odpowiednio niezawodną i bezpieczną infrastrukturą, to nie ma potrzeby dodatkowego wykonywania kopii bezpieczeństwa czy weryfikacji integralności danych.

Niestety, praktyka dowodzi, że awarie się zdarzają nawet największym. Znanych jest wiele przypadków częściowej lub całkowitej utraty czy uszkodzenia danych. Prawda jest taka, że często zawodzi nie tyle sam sprzęt, co czynnik ludzki i nieprawidłowo zaprojektowana architektura całego rozwiązania u usługodawcy. Dlatego też ważne jest, aby zapewnić sobie dodatkowe kopie bezpieczeństwa składowane w innym miejscu (lub u innego dostawcy usług) – mówi Krzysztof Ciepłucha.

Potwierdza to Wojciech Kmita: W tym miejscu wystarczy wspomnieć nie tak dawne awarie Amazona, Rackspace’a czy Google’a. Także na polskim rynku zdarzały się poważniejsze wypadki. Można tutaj nadmienić choćby o czerwcowej awarii e24cloud.com, gdzie w wyniku awarii zasilania uszkodzeniu uległy macierze dyskowe – zarówno podstawowa, jak i zapasowa. Choć infrastruktura dostępna była już w niecałą godzinę po wystąpieniu problemu i użytkownicy posiadający backupy uruchomili swoje środowiska, to inni użytkownicy, którzy nie zrobili kopii zapasowych, stracili dostęp do swoich danych. Wtedy e24cloud.com, jako pierwszy i na razie jedyny dostawca cloudowy zdecydował się na odzyskanie danych użytkowników na własny koszt. Takich praktyk nie stosują nawet najwięksi gracze, którzy po prostu informują, że dane zostały utracone (co jest zgodne z ich regulaminami).

Wsparcie techniczne

Użytkownicy zwykle nie zwracają na uwagi, jak potrzebne może być im wsparcie do czasu, aż coś niedobrego zaczyna się dziać z ich systemem czy danymi przetwarzanymi w chmurze. Wtedy może spotkać ich przykra niespodzianka w postaci braku możliwości uzyskania jakiejkolwiek pomocy technicznej.

Może jest to zbytnim uogólnieniem, ale moim zdaniem większość dostawców usług w chmurze nie oferuje klientom praktycznie żadnej pomocy technicznej, a często nawet porządnej dokumentacji. Problem istnieje, być może w różnej skali u różnych dostawców usług. Ja mam w tym temacie negatywne doświadczenia – wyjaśnia, dlaczego brak odpowiedniego wsparcia ze strony dostawców chmury może wiązać się z zagrożeniem dla danych klientów Krzysztof Ciepłucha.

Zauważyłem, że przeciętny klient korzystając z usługi masowej za pomocą narzędzi do automatyzacji i samodzielnego zarządzania nie może liczyć na indywidualne potraktowanie czy też dostosowanie rozwiązania do jego specyficznych potrzeb, często nawet za dodatkową opłatą. Oczywiście trochę inaczej to wygląda w przypadku dużych klientów – dodaje Krzysztof Ciepłucha.

To nie do końca prawda – każdy szanujący się dostawca usług w chmurze ma support. Różni dostawcy oferują inną pomoc. Zdarza się tak, że – jak w przypadku Amazona czy Google’a – dział wsparcia w razie problemów kieruje użytkowników na własne forum. Czasem support stoi na bardzo wysokim poziomie, jak w przypadku Fanatical Support Rackspace’a. Należy pamiętać jednak o jednej bardzo ważnej rzeczy: wparcie techniczne będzie dotyczyło tylko świadczonych usług. Oznacza to, że jeśli firma dostarcza infrastrukturę w chmurze jako usługę (IaaS), to jej support będzie odpowiadał tylko na zagadnienia związane z infrastrukturą. Nie pomoże natomiast np. w problemach z systemem operacyjnym, czy innym oprogramowaniem na serwerze w chmurze – nie zgadza się Wojciech Kmita.

Stabilność parametrów świadczonej usługi

Bardzo często okazuje się, że wraz ze wzrostem liczby klientów dostawca usługi nie jest w stanie zapewnić należytej jakości i systemy zaczynają pracować wyraźnie wolniej lub zachowują się w inny, nieprawidłowy sposób.

Należy więc zwracać uwagę na to, aby umowa na świadczenie usługi gwarantowała określone parametry przez cały okres jej świadczenia, zawierała wyjaśnienie, co stanie się w przypadku niedotrzymania przez dostawcę tych parametrów oraz pozwalała monitorować te parametry – radzi Krzysztof Ciepłucha.

Rodzaje tworzonych przez dostawców chmury rozwiązań, które mają zapobiegać takim sytuacjom, są bardzo różne.

W przypadku firmy Microsoft, do zarządzania i fizycznego utrzymania platformy usług przetwarzania w chmurze została zbudowana i dedykowana odrębna organizacja – Microsoft Global Foundation Services (w skr. GFS), będąca częścią firmy Microsoft. Jest ona odpowiedzialna za dostarczanie infrastruktury oraz technologii dla ponad 200 usług online w tym Bing, Hotmail, MSN, Office 365, XBOX Live czy też platformy Windows Azure. Infrastruktura, którą zarządza GFS składa się z globalnej sieci Centrów Danych (Data Centers) wraz z infrastrukturą obejmującą serwery, sieci dystrybucji treści, światłowody etc. W ramach Global Foundation Services powołany został tzw. Online Services and Security Compliance Team (OSSC), który odpowiada za Information Security Program – program dedykowany do zarządzania bezpieczeństwem informacji znajdujących się w infrastrukturze cloudowej, włączając w to polityki i programy zarządzania ryzykiem bezpieczeństwa serwisów online. W ramach OSSC działa również zespół odpowiedzialny za zarządzanie incydentami związanymi z bezpieczeństwem – Security Incident Management (SIM) – opisuje Daniel Grabski.

Stabilność i długotrwałość prowadzenia działalności przez usługodawcę

Pomimo iż boom na Cloud Computing rozpoczął się stosunkowo niedawno, to wielu mniejszych dostawców już zniknęło z rynku lub zostało wchłoniętych przez większych graczy. Przedsiębiorcy boją się korzystać z usług niezaufanych firm, ponieważ obawiają się sytuacji, kiedy w wyniku ustania współpracy, ich dane i systemy będą zagrożone.

Warto więc sprawdzić, jak długo dana firma funkcjonuje na rynku, jaka jest jej sytuacja finansowa, jakie ma plany rozwoju itp. – radzi Krzysztof Ciepłucha.

Znani i wiarygodni dostawcy usług przetwarzania w chmurze dbają o to, aby ich jakość potwierdzały odpowiednie certyfikaty. Decydują się na regularną weryfikację poprzez audyty obejmujące różne elementy ich działań.

Skala i obszar, w jakim przychodzi działać dostawcom usług przetwarzania w chmurze powoduje, że na bezpieczeństwo zaczynają patrzeć z zupełnie innej perspektywy. Wyzwania, które stoją przed nimi, jak złożone wymagania globalnych regulatorów, standardy przemysłowe oraz dynamicznie zmieniające się i coraz bardziej zaawansowane ataki na infrastrukturę teleinformatyczną wymuszają powstawanie zupełnie nowego modelu zarządzania bezpieczeństwem oraz procesów kontrolujących zgodność z obowiązującymi standardami. Otwartość na audyt poszczególnych elementów zarządzania bezpieczeństwem w przypadku dostawców usług w chmurze jest podstawowym elementem przy ocenie wiarygodności i jakości oferty oraz dowodem na transparentność całego procesu. Jeśli chodzi o Microsoft, to działanie i procesy obowiązujące w GFS zostały zweryfikowane oraz ocenione przez zewnętrzne firmy audytorskie, czego efektem są uzyskane certyfikaty obejmujące takie obszary, jak: bezpieczeństwo, polityka zachowania poufności informacji oraz zgodności z obowiązującymi przepisami. Na dzień dzisiejszy GFS posiada następujące certyfikaty: ISO 27001, SAS 70 type II, 95/46/EC – EU Data Protection Directive, HIPPA/HITECH, PCI Data Security Standard, FISMA. Z kolei procedury i procesy do których został przystosowany Security Incident Management (SIM) są zgodne z normą ISO/IEC 18044 dotyczącą zarządzania incydentami oraz obsługą incydentów według NIST SP 800-61. Wartym podkreślenia jest również fakt, że Information Security Program został certyfikowany przez British Standard Institute (BSI) Management Systems America jako zgodny z ISO/IEC 27001:2005 – mówi Daniel Grabski.

Brak pełnego zrozumienia sposobu funkcjonowania chmury

Klienci często nie rozumieją, w jaki sposób działa chmura obliczeniowa i jakie ma to konsekwencje dla jej funkcjonowania oraz zapewnienia bezpieczeństwa przetwarzanym w niej danym.

Duża część usługodawców po prostu nie udostępnia takich informacji. W efekcie uruchamiane w chmurze systemy nie potrafią skorzystać z dostępnych mechanizmów, aby zwiększyć efektywność przetwarzania i niezawodność działania, a często wręcz ryzyko awarii dodatkowo się zwiększa. Jest to cenna wskazówka dla dostawców chmury: bezpieczne i niezawodne systemy należy projektować z uwzględnieniem specyfiki funkcjonowania chmury – podkreśla Krzysztof Ciepłucha.

Uruchamianie wszystkich usług w ramach jednej strefy dostępności czy w regionie

Część usługodawców (np. Windows Azure) oferuje możliwość uruchamiania usług w różnych strefach dostępności, a nawet w osobnych regionach, które przynajmniej teoretycznie powinny być od siebie całkowicie odseparowane i niewrażliwe na awarie w innych strefach. Separacja ta daje także możliwość obrony przed atakami wykazującymi cechy regionalności.  Regionalne zróżnicowanie charakteryzuje nie tylko rozmieszczenie centrów danych usługodawców cloud computingu, ale także źródła ataków. Niewątpliwy prym w atakach wszelkiego typu na infrastrukturę cloudową wiedzie USA.

Projektując i uruchamiając systemy w chmurze warto wykorzystać tę możliwość w celu zwiększenia jej niezawodności. Jednocześnie trzeba pamiętać, iż nie zawsze ta separacja jest pełna i czasami zdarza się, że awaria w jednej strefie powoduje zakłócenia pracy również w innych strefach, znajdujących się w tym samym regionie – radzi Krzysztof Ciepłucha.

Brak możliwości szybkiego odzyskania danych

Czasem dzieje się tak, że przedsiębiorca musi zabrać wszystkie swoje dane, by np. przenieść je do innego usługodawcy.

Aby nie okazało się, że dostawca chmury nie oferuje prostego i szybkiego mechanizmu eksportu, warto wcześniej upewnić się, czy taka opcja jest możliwa oraz w jaki sposób, jak szybko i w jakiej formie możemy te dane odzyskać – radzi Krzysztof Ciepłucha.

Brak jasnej i otwartej polityki komunikacji z klientami

Awarie i problemy zdarzają się nawet największym. W takich sytuacjach niezwykle ważne jest, aby każdy klient mógł szybko uzyskać precyzyjną informację o przyczynach i skali problemu oraz realnym czasie przywrócenia funkcjonowania usługi. Niestety, duża część usługodawców w takiej sytuacji w żaden sposób nie informuje klientów, przestaje odpisywać na e-maile czy odbierać telefony – zauważa Krzysztof Ciepłucha.

Business continuity i gotowość DR dostawcy

Jak usługodawcy kontrolują bezpieczeństwo przetwarzania danych w chmurze? W zasadzie nie różni się to od kontroli w typowym środowisku IT.

Każdy profesjonalny dostawca usług w chmurze prowadzi rozszerzoną politykę prywatności, a także “business continuity”, czyli tzw. politykę “zachowania ciągłości”. Opiera się ona na standardach, programach rozwojowych, politykach wspierających oraz stosowaniu wytycznych i procedur. Potrzebne są one do tego, by nie doszło do zatrzymania pracy firmy – niezależnie od niekorzystnych okoliczności lub zdarzeń. Cały system, którym zarządzają, musi być zaprojektowany, wdrożony, kontrolowany pod kątem zmian, wspierany i utrzymywany tak, aby zapewnić mu ciągłość działania i sprawne odzyskiwanie danych.

System dostawcy jest zaprojektowany w sposób umożliwiający czuwanie nad procesami przetwarzania informacji, nawet w momencie awarii poszczególnych części. Jest to możliwe dzięki wprowadzeniu kontroli w każdej warstwie modelu bezpieczeństwa SCM (z ang. Security Control Model), począwszy od warstwy fizycznej poprzez infrastrukturę sieciową, aż do systemów IT (bezpieczeństwo systemu) i przesyłania informacji do końcowej aplikacji (bezpieczeństwo aplikacji).

Również zastosowanie schematu zarządzania cyklem życia informacji (z ang. Information Lifecycle Management, w skr. ILM) zapewnia bezpieczeństwo informacjom.

Profesjonalni dostawcy chmury opracowują procedury działania związane z wznowieniem lub utrzymaniem infrastruktury technicznej na wypadek awarii spowodowanej katastrofami przyrodniczymi czy eksplozjami. Planowanie Disaster Recovery (w skr. DR) to część procesu zapewniania ciągłości działania. Obejmuje planowanie wznowienia działania aplikacji, danych i sprzętu oraz łączności, a także innych elementów zaplecza IT. Jednym z elementów DR są procedury związane ze stosowaniem zapasowego ośrodka danych.

Umowa na świadczenie usług

Istotą świadczenia usług w chmurze są płatności pay-as-you-go, czyli tylko za zasoby, które wykorzystujemy, a także brak długoterminowych umów. W każdym innym przypadku przestajemy mieć do czynienia z chmurą, a z maszynami typu VPS – mówi Wojciech Kmita.

Wydajność systemu lub aplikacji

Przedsiębiorcy obawiają się, czy aplikacje, udostępniane w modelu cloudowym oraz systemy są na tyle wydajne, by mogli rozwijać w nich swoje aplikacje.

Już uruchomienie jednego start-upu wymaga posiadania infrastruktury, która pomieści gigabajty danych, rozrastających się w sposób nieprzewidywalny i szybki, a co dopiero prowadzenie kilku projektów i zarządzanie aplikacjami istotnymi dla działania firmy.

Dzięki cloud computingowi firma ma dostęp do takiej mocy obliczeniowej, powierzchni dyskowej czy platformy programistycznej, jakiego potrzebuje w danej chwili. W związku z tym może sprostać właściwie każdej operacji, nawet tej wymagającej skorzystania z wielu procesorów o dużej mocy. Jeśli potrzebuje dodatkowej mocy obliczeniowej ma pewność, że chmura z pewnością ją udostępni (oczywiście za opłatą, ale atrakcyjną w porównaniu np. do zakupu nowego sprzętu IT).

Dzięki możliwościom chmury programiści mają zapewnioną zwiększoną moc obliczeniową i pojemność pamięci masowych, potrzebnych do uruchamiania budowanych aplikacji. Nie są już ograniczeni fizycznymi barierami. Zagrożenie, że firma wykorzysta moc swoich serwerów, znika, ponieważ obciążenia są rozkładane pomiędzy poszczególne instancje. Firmy nie muszą dokupować sprzętu (serwerów, stacji roboczych), bo dodatkowe zasoby są dostępne w chmurze na żądanie i bez ograniczeń.

Tak buduje się zaufanie

Krytycznym elementem potrzebnym do sprostania wyzwaniom tego typu rozwiązania jest najwyższej klasy, doświadczony zespół specjalistów i menedżerów gwarantujący osiągnięcie zakładanego celu. Zespół, który odpowiada za utrzymanie i dostarczenie platformy do przetwarzania w chmurze w Microsoft może pochwalić się posiadaniem łącznie ponad 300 patentów w Stanach Zjednoczonych oraz wieloletnim doświadczeniem w budowaniu i zarządzaniu sieciami infrastruktury teleinformatycznej, bezpieczeństwem, budową aplikacji oraz praktyką zarządzania operacyjnego ICT na poziomie globalnym – podsumowuje Daniel Grabski.

Nie można jednoznacznie stwierdzić, że chmura to dobre lub złe, bezpieczne lub niebezpieczne rozwiązanie. Zarówno bezpieczeństwo chmury, jak i tradycyjnego centrum danych zależy od jakości zarządzania daną infrastrukturą. To profesjonalni administratorzy powinni czuwać nad efektywną ochroną zaplecza IT, która obejmuje podstawowe zasady higieny zaplecza, zapewnianie bezpieczeństwa aplikacjom internetowym i stosowanie odpowiednich konfiguracji czy strategiczne izolowanie środowisk w razie ataków. Zarówno zespół administrujący firmowym data center, jak i chmurą obliczeniową, powinien nieustannie budować swoje kompetencje w tej dziedzinie.

Źródło: WebSecurity