Korzyści biznesowe związane z przetwarzaniem w chmurze są ogromne. Nic dziwnego, że ta technologia jest coraz popularniejsza wśród firm. Nie można jednak zapomnieć o negatywnej stronie chmury. Tegoroczne wyniki Światowego Badania Bezpieczeństwa Informacji przeprowadzone przez Ernst & Young pokazały, że 48 proc. ankietowanych menadżerów średniego i wyższego szczebla wymienia wdrożenie cloud computingu jako duże lub bardzo duże wyzwanie. Ale ponad połowa nie wprowadziła żadnych procedur, aby zminimalizować ryzyko.
— Brak kompleksowej analizy ryzyka poprzedzającej taką zmianę w funkcjonowaniu firm może prowadzić do dotkliwych w skutkach incydentów bezpieczeństwa, takich jak kradzież danych — ostrzega Kazimierz Klonecki z Ernst & Young.
Bezpieczniej, ale ostrożnie
Specjaliści od bezpieczeństwa przyznają, że choć technologia cloud computingu gwarantuje zazwyczaj większe bezpieczeństwo niż firmowe serwery (szczególnie w firmach z sektora MŚP), to nie jest wolna od zagrożeń. Jednym z nich są tzw. insiderzy, czyli osoby pracujące w przedsiębiorstwie świadczącym usługi przetwarzania w chmurze, które mają dostęp do danych klientów.
— Innym zagrożeniem jest zachowanie prywatności danych przed innymi najemcami u dostawcy usługi w chmurze. Może do tego dojść, gdy ulegną awarii tzw. mechanizmy izolacji. Warto jednak podkreślić, że takie przypadki występują zdecydowanie rzadziej niż ataki na prywatne infrastruktury firm — mówi Maciej Iwanicki z Symanteca. Problemem jest wyłudzanie i kradzież danych dostępowych do kont użytkowników.
— Te informacje mogą posłużyć do nieautoryzowanych czynności w obrębie firmowego konta i doprowadzić do utraty cennych danych. Tutaj również zaleca się szczelniejszy nadzór nad rejestracją i logowaniem do serwisu, a także nad wewnętrzną polityką firmy w zakresie dzielenia się dostępem do kont — tłumaczy Michał Iwan, dyrektor zarządzający F-Secure Polska.
Trzy modele
Jak się zabezpieczyć przed przykrymi niespodziankami? Usługi w chmurze można podzielić na trzy podstawowe rodzaje. W pierwszym dostawcy zapewniają dostęp do infrastruktury, czyli np. mocy obliczeniowej (tzw. IaaS — Infrastucture as a Service), w drugim do platformy, czyli wirtualnego środowiska pracy (tzw. PaaS — Platform as a Service), a w trzecim do oprogramowania (tzw. SaaS — Software as a Service).
— Model IaaS (np. e24cloud czy Amazon EC2) polega na udostępnianiu infrastruktury (serwery, sieci, łącza, dyski itp.) wraz z systemem operacyjnym. Bezpieczeństwo jest zatem tożsame z bezpieczeństwem data center. Zabezpieczenia, jakie stosuje się w renomowanych centrach danych, są bardzo rozbudowanie — dotyczą sprzętu, zasilania, łączy, danych, a także samych miejsc, w których się centra się znajdują — opowiada Michał Grzybkowski, prezes Beyond.pl, firmy świadczącej usługi Haas, właścicielce marki e24cloud.
Poza tym każdy użytkownik otrzymuje ściśle wydzielone środowisko serwerowe, którego poszczególnych elementów nie współdzieli z innymi użytkownikami. Jednak w modelu IaaS odpowiedzialność za bezpieczeństwo w dużej mierze spada na klienta, który sam powinien odpowiednio chronić swoje dane. Inaczej jest w modelach PaaS i SaaS, gdzie jest dużo większa odpowiedzialność dostawcy.
Referencje i certyfikaty
Wybór dostawcy usługi cloud computingu jest więc kluczowy, jeśli chodzi o bezpieczeństwo firmowych danych.
— Publiczne chmury mają często uproszczony model rejestracji, sprzyjający wykorzystywaniu serwerów do celów przestępczych. Zdarzało się, że w publicznych chmurach hostowano komponenty trojanów, a serwery przechwytywane były przez botnety — przestrzega Michał Iwan.
Przed wdrożeniem rozwiązania w tym modelu klienci powinni sprawdzić, jakie gwarancje zapewnia usługodawca (tzw. Service Level Agreement — SLA), np. po jakim czasie w razie przestoju w centrum danych będzie mógł wznowić działanie usługi. Cenną wskazówką są certyfikaty, które gwarantują sprostanie specyficznym wymaganiom.
— Klient musi też ocenić, w jakim stopniu oferowane przez dostawcę zabezpieczenia i procedury spełniają jego wymagania i standardy. Są dwa sposoby sprawdzenia poziomu bezpieczeństwa, które w tym przypadku należy stosować. Podstawowy to analiza udostępnianych procedur, procesów, systemów autoryzacji i separacji informacji, a także wbudowanych zabezpieczeń oferowanych przez dostawcę. Drugi to referencje klientów. Jeśli pierwsza metoda da akceptowalne wyniki, a druga wykaże pozytywne opinie i bogaty spis firm korzystających z usług w chmurze, to taki dostawca najprawdopodobniej będzie godny zaufania — mówi Maciej Iwanicki.