Cloud computig v praxi: 5 bezpečnostních trendů, které by cloudové technologie v roce 2011 měly následovat
Cloud computing pomalu ale jistě přestává být cool novinkou a nenápadně se usidluje v naší IT infrastruktuře jako něco zcela samozřejmého. Jaké problémy očekávají CSO a další IT experti od cloudových technologií v dalším roce a také od jakých věcí očekávají, že jsou potenciálním nebezpečím pro cloud?
1. Kvalitní zabezpečení smartphonů a další mobilní techniky
CSO u firmy Qualsys, Inc. (a člen Cloud Security Alliance) Randy Barr zdůraznil v této souvislosti jednu důležitou věc: stále více lidí bude přistupovat skrze cloudové technologie ke stále většímu množství dat prostřednictvím svých chytrých mobilních telefonů a komunikátorů.
To má dle něj přinést mnoho zatím neřešených problémů – zejména co se týká úniků dat. V žádném případě tedy nelze doporučit nějaké zálohování svých mobilních kontaktů, agendy nebo podobné akce někam do málo zabezpečeného cloudu (tvrzení třetí strany ohledně úrovně
zabezpečení může a nemusí být pravdivé). Mobilní telefony jsou vůbec atraktivní „brána“ – hacknutý poskytovatel je dlážděná cesta k prakticky všem představitelným údajům o libovolné osobě. A aby toho nebylo málo, řada lidí používá svůj mobilní telefon jako klíč k dalším místům a službám. Hravě by se tak bez kvalitního zabezpečení mohlo stát, že útočník získá přístup k rootu pracovního i osobního PC a dalším cloudovým službám majitele zařízení (podobné služby jsou dnes často trestuhodně automatické). A jak situaci řešit? Zřejmě dvojím heslem zadávaným za sebou: jedno může být hardwarové (mobil) a druhé ruční (pin klasický). Krádež mobilu je v cloudovém prostředí zkrátka vždy minimálně potenciální hrozbou pro vysoce citlivá data, pokud však osoba byla zvyklá administrovat právě cloudové služby z mobilu, je zaděláno často na mnohem větší problém...
2. Potřeba lepší správy přístupu a managementu identit
Cloudové technologie jsou ze své podstaty velmi virtualizovaná prostředí, je tím pádem nutno najít kvalitní postup pro bezpečnou správu přístupu i identit v různých cloudech. V aktuálním stadiu věci je na trhu několik podobných produktů a řešení (popřípadě se nabízí
vyvinout vlastní, jelikož ne všechna dnes dostupná jsou šitá právě na enterprise zákazníky). Tak či onak tento bod rozhodně při plánování a operování s cloudem nepodcenit.
3. Spolupráce v cloudu
Řada odborníků dospěla i k názoru, že problémem zřejmě bude další rok i spolupráce v cloudu. Tentokrát nemáme na mysli ani tak spolupráci jedinců jako spíše delegaci práv mezi různými cloudovými poskytovateli, službami a zařízeními. Pokud jejich počet vzroste do
desítek a stovek v rámci jediného podniku, je zřejmé, že má bezpečnostní oddělení IT sekce opět o vrásku navíc.
4. Minimalizace náchylnosti na další typy útoků
Cloudové technologie typicky ve zvýšené míře využívají virtualizace, která pod jediný hardwarový prostředek sdružuje klidně i desítky podniků. Je zřejmé, že potenciální útočník by odstavením podobného zařízení vyřadil desítky podniků a jejich provoz i data najednou.
Nabízí se samozřejmě i odvážný příklad s tím, jak jeden virtuální zákazník skrze hardware přistupuje k datům druhého. Samozřejmě jde o noční můru každého IT oddělení, takže problémy by snad šly snížit segmentací ukládaných informací mezi více fyzických médií, popřípadě se nabízí využívat cloudové služby hned u 3-4 poskytoval (zde zase roste riziko potenciální obchodní špionáže) apod.
5. Standardizace a certifikace
Zákazníci vybírající si v příštích letech cloudové služby budou potřebovat nějaký pevný záchytný bod, podle kterého by si mohli porovnat kvalitu služeb a především jejich bezpečnost. Zde se přímo nabízí využít certifikátů různé úrovně. Jen by bylo vhodné, aby
podobná certifikační organizace byla maximálně nestranná a neúplatná, měla rozsáhlou metodologii a především, spolehlivě otestovala všechny dostupné služby (jak známo kvalita služeb A, B, C a D sice může být u některé firmy skvělá, ovšem netestovaná E již nikoliv).
