Cloud computingu v praxi: cloud a bezpečnost – 2. díl

Petr Švec , 03. srpen 2010 08:00 2 komentářů

cloud
V minulém díle seriálu Cloud computingu v praxi jsme zmínili několik základních bezpečnostních nedostatků cloudových služeb. Dnes v započatém povídání budeme pokračovat a kromě dalších potenciálních bezpečnostních problémů, které brání výraznějšímu adoptování cloudu ze strany firem, se podíváme také na iniciativu organizace Cloud Security Alliance v této oblasti.

Botnet

Umístění dat a práva k nim

Další problém cloud computingu je i systém ukládání dat a přístupová práva k nim. Jak už bylo řečeno, data umístěná v cloudu jsou fyzicky umístěna v několika datových centrech rozesetých po celém světě tak, aby při výpadku jednoho z nich byla ta ostatní schopna veškerou probíhající agendu okamžitě převzít. Díky tomu nemá zákazník de facto žádnou kontrolu nad tím, ve kterém státě budou jeho data uložena.

S tím spojená otázka je tak například, podle jakých zákonů se bude ukládání a zabezpečení dat řídit. Jestli jednotně podle těch, ve kterých má poskytovatel cloudových služeb své sídlo, nebo v každém datovém centru odlišně podle jurisdikce jednotlivých zemí. Otázka je to významná především proto, že právní předpisy jednotlivých zemí se v této otázce značně liší. Zatímco české zákony firmám nařizují nakládat s citlivými daty určitým způsobem, přičemž některá z nich nesmí firmu dokonce vůbec opustit, jiné státy jsou v těchto otázkách mnohem benevolentnější. Před výběrem poskytovatele cloudových služeb se je dobré o přístupu jednotlivých firem k této otázce důkladně informovat, případně využít služeb některého z cloudsourcingových poskytovatelů, kteří o této oblasti mají rozsáhlý přehled.

Další potenciální riziko spočívá v administraci práv přístupu k datům. Prakticky u všech cloudových služeb si zákazník může vytvořit vlastní politiky správy uživatelů, podle kterých se bude řídit, kteří zaměstnanci budou mít přístup ke kterým informacím. Jak je to ale s právy poskytovatele cloudových řešení? Lze zaručit, že se k informacím svých zákazníků skutečně nebude moci dostat, nebo přeci jen podlehne pokušení a vytvoří nějaká „zadní vrátka?“ Z logiky věci by vyplývalo, že poskytovatelé by k datům žádný přístup mít neměli a v jejich kompetenci by mělo být pouze zajištění dat a cloudových služeb pro své zákazníky. Nejsou ovšem neobvyklé situace, kdy je poskytovatel služby požádán státními vyšetřovacími orgány o vydání určitých informací. Je pochopitelné, že v takové situaci se dá dělat jen málo jiného, než vyhovět, na druhou stranu bude-li existovat nějaká možnost, jak by se poskytovatel k datům, bez souhlasu jejich právoplatného majitele, mohl dostat, představuje to velký bezpečnostní problém. A na pouhé důvěře se v této oblasti rozhodně stavět nedá.

Stejně tak v datových centrech neexistují žádné hranice, tudíž se může poměrně jednoduše stát (a bezesporu se tak děje), že data jednoho zákazníka budou umístěna na stejném disku s daty dalších klientů cloudového poskytovatele. I přes nejrůznější opatření vyvolává tento fakt mnohé otázky o tom, jestli budou svěřené informace skutečně v bezpečí.

Záloha a obnovení zničených dat


Při volbě poskytovatele cloudových služeb si je také potřeba vyjasnit otázku týkající se zabezpečení dat proti přírodním katastrofám a jejich obnovení v případě poškození či zničení. Jak už jsme mnohokrát zmínili, data jsou v cloudu ukládána vždy do několika datových středisek umístěných po celém světě. Tím se riziko ztráty dat při výpadku nebo zničení jednoho z center poměrně efektivně minimalizuje. Na druhou stranu, co se stane ve chvíli, rozšíří-li se po části datových center virus, kterému se podaří infikovat velkou část dat?

Je velmi nepravděpodobné, že by si každý poskytovatel sám od sebe zálohoval data svých zákazníků jinak než „pouhou“ duplikací mezi jednotlivými centry. Vzhledem k přechodu na cloud pravděpodobně nebude existovat ani žádná lokální záloha přímo u klienta, a pokud ano, tak bude pocházet z doby před převedením infrastruktury do cloudu. Samozřejmě způsoby zajištění a ochrany dat se poskytovatel od poskytovatele liší. Před výběrem služby je vhodné se informovat, jaké konkrétní postupy jednotlivé firmy praktikují.

S tím spojeným tématem je i možnost získat svá data zpět například tehdy, rozhodne-li se firma přejít od jednoho poskytovatele k jinému. I přes naprostou „banálnost“ požadavku většina cloudových poskytovatelů dodneška nemá vytvořeny přesné postupy a směrnice pro tyto situace a ve finále se tak může jednat o problém, jehož řešení rozhodně nezabere pouhých několik dnů nebo týdnů.


Cloud computing v praxi je seriál, který pro vás od dubna 2010 každé úterý připravujeme. Jeho cílem je poskytnout odpovědi, které ve spojení s technologií cloud computingu čím dál tím častěji vyvstávají, a informovat o aktuálních trendech a novinkách z této oblasti.

Máte námět na zajímavé téma z oblasti cloud computingu, o kterém máte co říct, nebo o kterém si chcete přečíst? Napište nám ho na redakce@itbiz.cz.

Přijde spása v podobě Cloud Security Alliance?


Z výše zmíněného nepřímo vyplývá, že hlavní problém cloudových služeb a bezpečnosti jsou neexistující všeobecně závazné standardy, kterými by se poskytovatelé museli řídit. Právě tento nedostatek se dlouhodobě snaží změnit nezisková organizace Cloud Security Alliance (CSA), která sdružuje výrobce bezpečnostních řešení, poskytovatele cloudových služeb a nezávislé experty, snažíce se formou diskuze připravit jednotné bezpečnostní standardy pro cloud computingu.

Dosavadní výsledky CSA jsou poměrně malé, přínos organizace ale spočívá už jen v myšlence a snaze jako takové. Vyřešení všech zmíněných bezpečnostních rizik spojených s cloudovými službami rozhodně není záležitost měsíců, ale spíš let. Právě iniciativy, jako je CSA, ovšem významně pomáhají tento proces urychlit a připravit taková všeobecná pravidla, která adoptují všichni poskytovatelé cloudových služeb.


Komentáře

Michal Turna #1
Michal Turna 06. srpen 2010 21:34

Zajímavé čtení (1 i 2). Celá problematika je ovšem popsána obecně - nenašel jsem referenci na konkrétní cloud řešení (např. MS Azure, Amazon, Hyperoffice nebo Google) ani na bezpečnostní audity, které někteří poskytovatelé absolvují (např. SAS 70 II typu). Z tohoto pohledu článek ztrácí na konkrétnosti a argumentace je poněkud alibistická. Nejvíc mě zaujala kapitola "Umístění dat a práva k nim" kde píšete, že nejsou neobvyklé situace, kdy je poskytovatel služby požádán státními vyšetřovacími orgány o vydání určitých informací. Jak je toto konstatování porovnatelné s tím, kdy státní vyšetřovací orgán použije všechny dostupné technické a jiné prostředky, aby se dostal k informacím, které nejsou na cloud platformě (interní systémy, komunikace přes HTTP protokol, odposlech telefonů, hostingová firma ...)?

Lenka #2
Lenka 12. červen 2011 17:16

Ďakujem za informácie,
s pojmom cloud sa stretávam čoraz častejšie, potrebovala som si rozšíriť základné informácie. Článok je poučný a veľa mi objasnil.

RSS 

Komentujeme

AI i její tvůrci před soudem

Pavel Houser , 22. duben 2018 09:30
Pavel Houser

John Kingston z anglické University of Brighton poskytl pro The Register svůj pohled na právní odpov...

Více







RSS 

Zprávičky

Facebook zvýšil zisk o 63 %, má 2,2 miliardy uživatelů

ČTK , 26. duben 2018 12:44

Tržby i zisk překonaly očekávání analytiků, akcie firmy v reakci umazaly část letošních ztrát....

Více 0 komentářů

Twitter vykázal další čtvrtletní zisk

ČTK , 26. duben 2018 10:00

Celkové tržby společnosti v 1. čtvrtletí meziročně vzrostly o 21 % na 664,9 milionu dolarů....

Více 0 komentářů

Amazon bude dodávat zboží až do auta, i bez přítomnosti majitele

ČTK , 26. duben 2018 09:00

Amazon koncem loňského rok zahájil službu doručování balíčků do prázdného bytu, nyní nabízí doručení...

Více 2 komentářů

Kalendář

30. 04.

03. 05.
Dell EMC World 2018
01. 05.

03. 05.
IFS World 2018
14. 05.

17. 05.
TechEd-DevCon 2018

Starší zprávičky

Správa phishingových kampaní pro každého

Pavel Houser , 26. duben 2018 08:00

S phishingovou sadou nové generace se prý i naprostí amatéři mohou úspěšně věnovat kybernetické krim...

Více 0 komentářů

Infor Visual 9 dostupný na českém a slovenském trhu

Pavel Houser , 25. duben 2018 12:13

Nová verze je odpovědí na současný nárůst zakázek a potřebu zvýšit výkonnost v malých a středně velk...

Více 0 komentářů

Apple začne splácet irské vládě miliardový daňový nedoplatek

ČTK , 25. duben 2018 10:00

Apple se proti předloňskému rozhodnutí Evropské komise o zaplacení 13 miliard eur odvolal, stejně ja...

Více 0 komentářů

Streamování je poprvé největším zdrojem příjmů hudebního průmyslu

ČTK , 25. duben 2018 09:00

Příjmy hudebního průmyslu se díky streamování začaly zvyšovat po dlouhém období poklesu. ...

Více 0 komentářů