14.12.2015 0 Comments

Ako to je s bezpečnosťou v cloude?

Pokiaľ sa vyhneme rozsiahlym marketingovým a technickým definíciám, z bezpečnostného pohľadu možno zúžiť problém na to, že dáta a aplikácie sú „niekde vonku pod kontrolou niekoho iného". Vynecháme tým súkromné cloudy, teda všetko od vlastného servera až po kamión s Microsoft Azure, dovezený priamo doprostred firmy. Takisto tým na zjednodušenie vynechávame dátové centrá, kde je server umiestnený vo vlastnej správe organizácie.

V prvom rade sa pozrime na miesto uloženia dát. Okrem extrémnych prípadov je pravdepodobnosť zneužitia dát cloudovým poskytovateľom blízka nule. No aby to tak skutočne bolo, je vhodné zvoliť si trhovo etablovaný cloud s proaktívnym prístupom k bezpečnosti a certifikáciám. Základom je zavedená certifikácia na ISO 27001. Ďalšie výhody sú napríklad možnosť použiť rozšírené bezpečnostné prvky, ako sú dvojfaktorová autentizácia alebo ochrana používateľského účtu auditom prístupu. Keď si spomenieme z histórie na úniky dát z veľkých cloudových služieb globálnych hráčov ako Apple, Google alebo Microsoft, nikdy nešlo o prelomenie ochrany na strane ich dátových centier. Už len z dôvodu množstva dát, ktoré poskytovateľ spracúva, a rizík, ktoré sú s týmto faktom spojené, je zabezpečenie cloudových služieb na vyššej úrovni ako v prípade servera v správe firmy. Poskytovatelia totiž musia dodržiavať štandardy a pravidelne ich overovať auditmi, na čo často nie sú vo firme čas ani prostriedky.

Hlavný problém teda nie je uloženie dát, ale ich dostupnosť. Tú je nevyhnutné vyvažovať s ochranou dôvernosti a integrity - na jednej strane totiž chceme, aby nikto nepovolaný nemal k dátam prístup, na druhej strane chceme poskytnúť flexibilný prístup všetkým zamestnancom. Z toho vyplýva, že najdôležitejšia je autentizácia používateľa. Úspešné útoky v tomto smere kradnú otvorené sessions, prihlasovacie údaje alebo kompromitujú koncové body. Tento postup je totiž jednoduchší, menej nákladný a spravidla sa na incident príde až neskôr.

Je však dobré pamätať na to, že posledné a azda najväčšie riziko bezpečnosti dát v cloude je koncový používateľ. Jeden z dôvodov je ten, že tu ostávajú rovnaké riziká ako pri interných on-premise systémoch. Zamestnanec s prístupom k dôležitým informáciám ich môže kamkoľvek poslať a akokoľvek použiť. Okrem toho môžu pri cloudovej infraštruktúre zamestnanci pracovať z ľubovoľného miesta, či už je to verejná stanica v internetovej kaviarni, vlastný notebook na nezabezpečenej sieti Wi-Fi, alebo počítač, ktorý zdieľajú so svojimi deťmi. Ak uvedieme jeden príklad za všetky, nedávny únik výplatných pások manažmentu firmy na internet bol spôsobený snahou účtovníčky dohnať prácu doma cez víkend. Každopádne na to nepoužila najvhodnejšie úložisko. Lokálny disk, kam dáta nahrala, totiž jej deti zdieľali v sieti P2P.

Právne požiadavky sa týkajú hlavne cloudových poskytovateľov a spracovania osobných údajov v tomto prostredí. Európska únia prostredníctvom smernice Európskeho parlamentu a Rady 95/46/EC vyžaduje, aby sa informácie osobného charakteru nespracúvali bez súhlasu dotknutej osoby v krajinách, kde nie je ich ochrana legislatívne na podobnej úrovni ako v EÚ. Preto veľa firemných zákazníkov vyžaduje od poskytovateľa cloudu garanciu, že ich dáta neopustia firmu. A väčšina globálnych hráčov tomu dokáže vyhovieť.

Vo všeobecnosti platia nasledujúce zásady, na ktoré by mala každá firma pamätať pri presune firemnej infraštruktúry na cloud:

  • Ak možno zlepšiť bezpečnosť za obmedzenia dostupnosti, vo vhodnej miere by to mala firma urobiť. Kvalita zabezpečenia koncových bodov je kľúčová v ochrane citlivých dát.
  • Ak nemožno obmedziť dostupnosť, ochrana dát by mala byť vhodne doplnená aspoň školeniami používateľov, nastavením politiky hesiel a vynútením dvojfaktorovej autentizácie.

Vyplnenie bezpečnostnej medzery medzi „stoličkou a klávesnicou" je vhodné realizovať prostredníctvom autorizovania zariadenia s prítomnosťou bezpečnostných systémov organizácie, ako sú DLP alebo MDM. Tieto technológie umožnia, aby sa bezpečnosť nekončila iba pri overení identity používateľa, ale pokračovala ochranou koncového bodu pred externým útočníkom aj používateľom.

Zbyněk Sopuch, Head of Development Safetica Technologies, s. r. o.

 


Nechajte si posielať prehľad najdôležitejších správ emailom

Mohlo by Vás zaujímať

ITPro

Linux súkromne i pracovne v2.0 (14. časť): Small Business Server

09.11.2016 14:57

Pojem Small Business Server (malý firemný server) začala používať spoločnosť Microsoft ešte v roku 2000 na označenie servera, ktorý ­dokázal plniť úlohy niekoľkých samostatných serverov. Aplikačná vrs ...

ITPro

Industry 4.0: Fikcia alebo už realita?

09.11.2016 14:52

Štvrtá priemyselná revolúcia je pomenovanie rozsiahlych zmien prudko vstupujúcich do súčasného priemyslu. Nositeľom týchto zmien je digitalizácia výroby a optimalizácia všetkých podnikových procesov v ...

ITPro

Vývoj aplikácií UWP pre Xbox One II.

09.11.2016 14:47

V predošlej časti sme ukázali postup, ako si ­vytvoriť vývojársky účet a aktivovať vývojársky režim na hernej konzole Xbox One, aby ste mohli testovať svoje aplikácie. Výhodou hernej konzoly Xbox je v ...

Žiadne komentáre

Vyhľadávanie

Kyocera - prve-zariadenia-formatu-a4-s-vykonom-a3

Najnovšie videá