Cloud computing: soukromý a veřejný cloud

V tomto příspěvku se již nebudeme věnovat popisu toho, co je to cloud, neboť tomu již byl věnován příspěvek nazvaný cloud computing.

Jistě jste zaznamenali, že některé firmy, které dříve měly svá data uložena ve veřejném cloudu, začínají tato data přesouvat do privátního cloudu, neboť jsou si vědomy rizik, která jsou s veřejnými cloudy spojena. Určitě jste si také všimli, že mnohé firmy, které o přesunutí svých dat a aplikací do veřejného cloudu uvažují, se nejprve snaží vybudovat svůj vlastní privátní cloud.

Tato myšlenka má zcela jistě své kouzlo, avšak je třeba si uvědomit, že privátní cloud není řešením pro každého. Především proto, že málokterá firma disponuje natolik velkou výpočetní kapacitou, aby byla schopna realizovat takové úspory z rozsahu, jako velcí CSP (Cloud Service Provider). Privátní cloud je tedy řešením především pro fimy, které mají více poboček. Tyto firmy pak mohou díky konsolidaci datového centra, virtualizaci serverů, úložišť a sítě, a především díky zavedení procesů podle ITIL a nasazení nástrojů na automatizované přidělování a správu prostředků, dosáhnout výhod, které cloud computing přináší. A nemusí se jednat jen o velké firmy, o vybudování privátního cloudu by měl usilovat i stát, který rovněž provozuje spoustu IS roztroušených po celé zemi. Takový cloud se pak nazývá Government cloud neboli G-cloud.

Mějte však na paměti, že virtualizace infrastruktury je jen jedním z kroků na cestě k vybudování privátního cloudu. Mimochodem tím nejjednodušším, neboť v praxi se ukazuje, že mnohem náročnější je zavedení příslušných procesů a nástrojů, které souvisí s automatizovaným přidělováním zdrojů a jejich správou. Pokud má takový cloud opravdu fungovat a poskytovat služby, které se od něj očekávají, je nezbytné zavést odpovídající procesy, které navíc musí být z pohledu CMM na stupni 5, protože jedině tak je možné dosáhnout srovnatelných výkonů, které nabízí veřejný cloud.

V souvislosti cloud computingem je třeba se zabývat i otázkou bezpečnosti. To znamená, že se musíme ptát, jak je zajištěna důvěrnost, integrita a dostupnost a to během celého životního cyklu informace. Ze strany médií je však největší pozornost věnována především úniku citlivých informací a není se čemu divit. Únik informací je novinářsky mnohem atraktivnější téma, než krátkodobý výpadek proudu nebo selhání HW. A přitom právě výpadek proudu a selhání HW je podle nejrůznějších průzkumů stavu informační bezpečnosti vůbec nejčastější bezpečností incident, se kterým se firmy setkávají a kterého se i nejvíce obávají.

Přesto, pokud přijde řeč na bezpečnost cloud computingu, tak první, co se člověk v každém příspěvku k této problematice dozví, že se firmy bojí svěřit svá data třetí straně, protože se dle jejich slov ocitnou neznámo kde a zcela mimo jejich kontrolu. Je zvláštní, když tohle říkají často stejné firmy, které mnohé své IT činnosti outsourcovaly a k jejich datům a systémům již teď přistupuje a vzdáleně je spravuje outsourcingový partner, který stejné služby poskytuje i mnoha dalším společnostem. Domníváme se, že v médiích tolik zmiňované riziko úniku informací z prostředí CSP je přehnané. Ostatně, kolik znáte případů, kdy k nějakému úniku informací od CSP došlo?

Kromě toho data umístěná v cloudu se nenachází neznámo kde, jak se dost často uvádí, ale na zcela konkrétním místě. Povětšinou se totiž jedná o nově postavená datová centra (DC), splňující ty nejpřísnější normy a požadavky. Tato datová centra mají certifikaci ISO 27001, a prošla bezpečnostním auditem SAS 70 Type II, což je respektovaný nezávislý audit procesů a kontrol vyvinutý americkou institucí AICPA.

Můžete sice namítnout, že certifikace neznamená nic jiného, než že v době provedení auditu byla daná společnost v souladu s daným standardem, ale vzhledem k tomu, že pro tyto firmy představuje poskytování IT služeb primární business, tak nevidím důvod, proč by se měly chovat po provedení auditu jinak, obzvlášť když je zavedení příslušných procesů a odpovídajících opatření už něco stálo.  Samozřejmě, i zde může management usilovat o snížení nákladů, ale z toho, že by chtěl šetřit na bezpečnostních opatřeních, bych ho podezíral nejméně.

Dle našeho názoru by měla být stejná pozornost věnována i dalším atributům bezpečnosti jako je dostupnost a integrita. K čemu vám bude, že vaše data jsou v úložišti  i při přenosu šifrována a je k nim řízen přístup, když se k nim nedostanete nebo nebudete moci po určitou dobu využívat služeb, které cloud nabízí? Viz např. několikahodinový výpadek Gmailu, nebo poslední případ, kdy z některých stránek Gmailu zmizela pošta. Nezapomínejte na to, že data mohou být také smazána nebo může být narušena jejich integrita. Uvědomte si, že dostupnost služby a dostupnost dat není totéž. Ten mail je ostatně krásný příklad, po obnovení služby můžete sice přijímat a odesílat maily, ale k těm starým mailům se nemusíte dostat třeba po dobu více než týden nebo také vůbec.

Stejně tak může být nedostupná infrastruktura celé země, ve které se poskytovatel cloudu nachází. Proč? Protože cloud může být přesunut do země, kde jsou nižší náklady. Ovšem tyto země se občas zmítají v nejrůznějších problémech, a pokud si vyberete zemi, která žádné problémy nemá, tak stejně nemáte jistotu, že k útoku na její infrastrukturu nedojde. Často stačí jen nešťastné vyjádření některého z jejích čelních představitelů a kybernetický útok je na světě.

Závěr: Mnoho firem využívá svojí IT infrastrukturu pouze z části a mnohdy jen na jednotky procent a k jejímu plnému využití dochází zpravidla jen několikrát za rok. Pro tyto firmy může být výhodnější přesunout svá data do privátního nebo veřejného cloudu, především proto, že se pak mohou soustředit výhradně na svůj business a nemusí řešit problémy spojené s řízením a správou IT, obzvlášť když nedisponují potřebným know-how.

Opravdu si myslíte, že dokážete svá data zabezpečit lépe než CSP, který se specializuje na poskytování služeb tohoto typu?

Štítky: cloud computing

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.