Cloud computing: Bezpečnost v cloudu a rizika

Cloud computing bezesporu vede k úspoře nákladů, ale je třeba se bavit i o rizicích, která vyplývají ze samé podstaty této služby.

A pokud máme hovořit o rizicích, která na nás v cloudu číhají, musíme provést analýzu rizik. A začít bychom měli jak jinak než identifikací a kvantifikací aktiv. V tomto případě budeme za aktiva považovat data, která klient (Cloud Subscriber, zkr. CS) poskytovateli cloudu (Cloud Provider, zkr. CP) svěřuje. Položme si proto otázku, co by se stalo, resp. jaký dopad by to mělo na váš business, kdyby byla narušena důvěrnost, integrita nebo dostupnost těchto dat.

Dostupnost

Dostupnost dat je pro business obvykle kritická. CP však nemůže dostupnost dat uložených v cloudu dost dobře garantovat, protože přístup k datům je realizován přes internet, který není pod jeho správou. Můžete také zjistit, že kvůli rychlé odezvě je žádoucí, aby byl cloud relativně blízko k vašim uživatelům. Také dostupnost síťové infrastruktury je v nejrůznějších zemích světa různá, takže je dost podstatné, kde se CP, kterému jste svěřili svá data, nachází. Připomeňme, že politicky motivované DDoS útoky vedené proti Estonsku a Gruzii nebo DDoS útok na cloud botnetem Bredolab, který zahltil více než 700 000 uživatelů Facebooku, se mohou kdykoliv opakovat. Toho, že vám CP nebude schopen včas poskytnout požadované zdroje, bych se ale nebál.

Důvěrnost

V okamžiku, kdy svá data umístíte do cloudu, tak k nim CP sice získá přístup, ale bývají to stejně vlastní zaměstnanci, kteří mají na svědomí únik většiny informací, neboť mají k těmto datům zcela legitimní přístup bez ohledu na to, kde jsou umístěna. K datům by proto měl být řízen přístup, v úložišti i při přenosu by měla být šifrována a měl by se vytvářet log o činnostech uživatele v systému. Otázka je, co se s daty stane v okamžiku, kdy se rozhodnete ukončit smlouvu? Budou data v cloudu opravdu bezpečně smazána? To jest, budou smazána z disku a bude prostor označený jako volné místo přepsán náhodnými daty nebo bude jen zrušen link do úložiště a smazán účet CS? Zde vám nezbývá nic jiného, než CP věřit.

Integrita

Data v cloudu nebo i aplikace samotné mohou být pozměněny neoprávněnou osobou a stejně tak může dojít k nežádoucí modifikaci dat v důsledku selhání HW nebo SW. Rozhodně bych ale nepodezíral zaměstnance CP, že budou do systému implementovat nějakou logickou bombu. S takovým jednáním se můžeme daleko spíše setkat ve firmách, které služeb CP nevyužívají.

Závěr: V poslední době se jasně ukazuje, že nejčastější příčinou narušení důvěrnosti, integrity a především dostupnosti dat, která jsou v cloudu uložena a služeb, které cloud poskytuje, nejsou hackeři, ale chyby samotných zaměstnanců, kteří nedodržují bezpečnostní předpisy, chovají se nezodpovědně, ztrácejí mobilní zařízení a autentizační předměty. Další nejčastější příčinou je pak samotná aplikace, která bývá z relativně bezpečného prostředí intranetu přesunuta do cloudu, aniž by byla nejdříve důkladně otestována, zda neobsahuje známé zranitelnosti.

Štítky: cloud computing, informační bezpečnost

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.