Jak wynika z danych firmy Alert Logic, która zajmuje się bezpieczeństwem chmury, liczba ataków na środowiska chmurowe wzrasta co roku na całym świecie o 45%. Analitycy z Forrester Research prognozują, że w ciągu najbliższych pięciu lat przedsiębiorstwa wydadzą 2 mld USD na wzmocnienie zabezpieczeń swoich chmur. Na największe ryzyko mogą być wystawieni użytkownicy, którzy korzystają z chmury po raz pierwszy. Nie znając jeszcze dobrze tego środowiska, muszą zmierzyć się z nowym sposobem zarządzania użytkownikami, danymi oraz zabezpieczeniami.
Co łączy firmy Apple, Amazon i Microsoft? Wszyscy trzej giganci technologiczni, uznawani za wzorzec do naśladowania wśród dostawców usług w chmurze, musieli zmierzyć się z udanymi atakami hakerów na ich zasoby. Firma Apple trafiła na pierwsze strony gazet w wyniku wycieku prywatnych zdjęć gwiazd korzystających z usługi iCloud (tzw. celebgate). Brytyjskie przedsiębiorstwo Code Spaces zostało w ubiegłym roku zmuszone do zakończenia działalności po szantażu ze strony hakerów, którzy w efekcie usunęli kluczowe dane z konta firmy w usłudze Amazon Web Services. W 2013 r. wygaśnięcie certyfikatu SSL w usłudze Microsoft Azure umożliwiło hakerom wyłączenie Xbox Live i wielu innych usług udostępnianych w chmurze. Przypadki te dowodzą, że wybór znanego dostawcy usług w chmurze nie gwarantuje pełnej ochrony.
Przed decyzją o wejściu do środowiska chmury warto sprawdzić pięć poniższych punktów dotyczących bezpieczeństwa:
- Znajomość segmentów chmury
Każde wdrożenie typu chmura składa się z trzech segmentów: dostawcy chmury, operatora sieci i przedsiębiorstwa. Chmurę należy traktować jak rozszerzenie korporacyjnego centrum przetwarzania danych. Trzeba więc zadać sobie pytanie: czy we wszystkich trzech segmentach można zastosować standardowy zestaw usług i reguł bezpieczeństwa? Gdzie tkwią potencjalne luki w zabezpieczeniach?
Podczas wybierania dostawcy chmury warto zapytać go o świadczone przez niego usługi bezpieczeństwa i współpracujących z nim dostawców zabezpieczeń. Chmura to środowisko dynamiczne, wymagające regularnego aktualizowania architektury zabezpieczeń w celu dotrzymania kroku najnowszym zagrożeniom.
Warto się również dowiedzieć, jakie są granice w ramach wspólnego modelu zabezpieczeń oferowanego wraz z usługą przetwarzania w chmurze. Dobrze jest znać zakres obowiązków dostawcy chmury i swoich własnych. W przypadku niektórych usług przetwarzania w chmurze, takich jak IaaS, to przedsiębiorstwo odpowiada za ochronę swoich aplikacji i danych w chmurze. Dlatego trzeba wiedzieć, jakie urządzenia i produkty zabezpieczające oferuje dostawca chmury i na wdrażanie jakich rozwiązań zezwala.
- Nowe aplikacje, nowe umocnienia
Gdy firma jest gotowa na przeniesienie określonej aplikacji do chmury, przed zrobieniem finalnego kroku powinna rozważyć dodanie nowych umocnień do istniejących zabezpieczeń w obszarze uwierzytelniania i logowania do aplikacji.
Aby lepiej zabezpieczyć dostęp do danej aplikacji w chmurze, potrzebny jest precyzyjny schemat dostępu do danych. Można go stworzyć przez powiązanie uprawnień dostępowych z rolami, stanowiskami w przedsiębiorstwie i projektami. W ten sposób powstanie dodatkowa warstwa, zwiększająca ochronę, jeśli hakerzy wykradną dane uwierzytelniające personelu.
Przejmowanie kont może wydawać się sprawą podstawową, jednak stowarzyszenie Cloud Security Alliance w dalszym ciągu wymienia to dobrze znane naruszenie bezpieczeństwa jako jedno z głównych zagrożeń dla użytkowników chmur. Aby lepiej zabezpieczyć proces logowania, warto zastanowić się nad dwustopniowym uwierzytelnianiem czy używaniem haseł jednorazowych. Dobrze jest też wymagać od użytkowników zmiany identyfikatorów przy pierwszym logowaniu.
- Wdrożenie szyfrowania
Szyfrowanie danych należy do największych sprzymierzeńców bezpieczeństwa w chmurze i powinno być bezwzględnie stosowane w przypadku przesyłania plików i poczty elektronicznej. Choć nie zapobiega ono próbom włamań ani kradzieży danych, może ochronić przedsiębiorstwo na przykład przed wysokimi grzywnami w przypadku wycieku danych.
Warto zapytać dostawcę chmury o oferowane szyfrowanie danych. Dobrze jest się również dowiedzieć, w jaki sposób dostawca szyfruje dane będące w spoczynku, w użytku oraz w trakcie przesyłania. Aby uświadomić sobie, które dane powinny być szyfrowane, trzeba określić, gdzie się one znajdują — na serwerach dostawcy chmury, serwerach innych firm, laptopach pracowników, biurowych komputerach czy pamięciach USB.
- Zmagania z wirtualizacją
Migracja do chmury pozwala przedsiębiorstwom wykorzystać zalety wirtualizacji. Środowisko wirtualne może jednak stanowić wyzwanie w zakresie ochrony danych. Główny problem wiąże się z zarządzaniem zabezpieczeniami i ruchem w platformie obsługującej wielu klientów i liczne maszyny wirtualne.
Większość fizycznych urządzeń zabezpieczających nie powstała z myślą o danych w chmurze. Tu na scenę wkraczają więc urządzenia wirtualne, które potrafią chronić przepływy danych pomiędzy maszynami wirtualnymi. Takie urządzenia dostosowano do złożoności związanej z obsługą licznych instancji aplikacji oraz wielu klientów. Zapewniają one firmom precyzyjną kontrolę zabezpieczeń ich danych w chmurze.
Warto zapytać dostawcę chmury, jak zabezpiecza swoje środowisko wirtualne i jakie wirtualne urządzenia zabezpieczające stosuje. Jeśli natomiast firma buduje własną chmurę prywatną lub hybrydową, powinna zastanowić się nad zaopatrzeniem się w takie zabezpieczenia dla środowisk wirtualnych, które są skoncentrowane na precyzyjnej kontroli.
- Nieautoryzowane aplikacje pod kontrolą
Nie brak anegdot i raportów dowodzących, że nieautoryzowane aplikacje lub usługi przetwarzania w chmurze wprowadzane do środowiska przez osoby spoza działu informatycznego — tzw. „shadow IT” — są używane w firmach coraz częściej. Brak kontroli nad tym zjawiskiem to zagrożenie i wyzwanie w obszarze nadzoru.
Jest to również ryzyko dla nowych aplikacji przenoszonych do chmury. Wyobraźmy sobie prosty scenariusz, w którym pracownik firmy otwiera określony plik za pomocą swojego smartfona. Urządzenie prawdopodobnie utworzy kopię pliku, która może potem zostać wysłana do niezatwierdzonej przez przedsiębiorstwo pamięci online, wykorzystywanej przez smartfon do rutynowego tworzenia kopii zapasowych. Zabezpieczone dane przedsiębiorstwa trafiają tym samym do lokalizacji nieobjętej ochroną.
Zapobieganie dostępowi do takich aplikacji nie powstrzyma zapewne narastania tego zjawiska w żadnym przedsiębiorstwie. Bardziej skuteczne jest tu edukowanie użytkowników i wykorzystywanie technologii do niwelowania tego problemu. Narzędzia do szyfrowania, monitorowania sieci i zarządzania zabezpieczeniami mogą więc pomóc w ochronie pierwszej aplikacji firmy w chmurze przed ryzykiem związanym z „shadow IT”.
Mariusz Rzepka, Dyrektor Fortinet na Polskę, Białoruś i Ukrainę