Bezpečnost v cloudu: mýty a skutečnost

Stále větší popularita provozování počítačových aplikací v rámci cloud computingu s sebou přináší také častější otázky směrem k bezpečnosti takového přístupu. Není větší riziko mít svá data uložena kdesi v cloudu a ne na svém serveru fyzicky umístěném ve firmě? Je bezpečné svěřovat se do rukou poskytovatele cloudu, pro kterého jsme jen jedním z mnoha zákazníků? Nehrozí časté výpadky služby? Takové a podobné otázky si dnes musí klást každá firma, která plánuje vyvést část výpočetního výkonu mimo svou lokalitu.

Abychom pochopili bezpečnostní aspekty, je třeba cloud computing trochu demytizovat – každý z nás se již s cloudem osobně setkal, například ve formě freemailů, web hostingu, částečně i internetového bankovnictví apod. Drtivá většina z nás přitom nemusela řešit jakékoliv bezpečnostní incidenty. Pojďme se ale podívat na témata, která v oblasti bezpečnosti a spolehlivosti cloudu nejvíce zajímají firemní SMB zákazníky.

Vysoká imunita cloudových systémů

Obecně u malých a středně velkých společností je situace taková, že IT administrátor většinou stačí řešit pouze operativní záležitosti a nemá čas na plánování a vytváření bezpečnostních koncepcí nad systémy, o které se ve firmě stará. Nemluvě o tom, že tyto koncepce pak musí prověřovat a sledovat nejnovější bezpečnostní trendy. Patchování zase vyžaduje poměrně časté restartování serverů, což nemilují administrátoři ani uživatelé. Existují zde i psychologické okolnosti: pokud se nic závažného nestane, bdělost administrátora postupně otupuje až do okamžiku závažnějšího incidentu.

Naopak, u cloudových systémů se administrátoři setkávají s incidenty nebo s pokusy o ně každodenně, a proto mají motivaci neustále analyzovat a vylepšovat spravované systémy. Jsou schopni sledovat i aktuální trendy.

Dá se říci, že cloudové systémy zvyšují neustálými útoky svou imunitu, a tak mohou nabídnout maximální aktuálně dostupnou bezpečnost. Nemá smysl se ani obávat restartování serverů, protože, cloudové systémy jsou natolik zálohované, že restart jednoho z nich nemůže ohrozit plynulost poskytování služeb.

Standardní technologie

Mezi zákazníky panuje občas strach z cloudových technologií. Ale přestože v cloudu běží již řada sofistikovaných služeb, jsou tyto služby provozovány na standardních hardwarových a softwarových technologiích. Cloudové počítače jsou úplně stejné jako počítače umístěné ve firmě.

Jediný rozdíl je v tom, že v cloudu je kladen velký důraz na redundantnost, tj. nahraditelnost zdrojů. Rovněž výkon cloudových systémů je standardní, i když se o výkon systému dělí více uživatelů. A pokud je výkon nedostatečný, jednoduše se přidá další počítačový systém.

Výpadek služby v cloudu téměř nehrozí, avšak tím, co může být zádrhelem cloudových služeb, je kvalita internetového připojení. Pokud dojde k výpadku u poskytovatele internetového připojení, pak není ani přístup ke cloudovým službám. Dnes jsou však masivní, několikahodinové výpadky internetového připojení spíše výjimkou. Důležité je, že na cloudové systémy dohlíží celý tým administrátorů, který minimalizuje výpadky a bezpečnostní hrozby a pro něhož zamezit nespokojenosti zákazníků je samo o sobě dost vysokou motivací.

Provozované aplikace a přenos dat

Časté otázky zájemců míří na „speciální“ cloudové aplikace. Odpověď je podobná jako v předchozím textu: na cloudu jsou v zásadě provozovány úplně stejné aplikace, na jaké jsou zvyklí uživatelé systémů „on premise“. Na cloudu bývají aplikace postavené na stejných technologiích, není proto třeba se cloudových aplikací nijak obávat.

Co se týká přenosu dat, ten probíhá šifrovaným způsobem, ať se již jedná o zabezpečený přístup na stránky přes protokol https nebo o jiný typ zabezpečení. V případě malé firmy provozující vlastní aplikace obvykle nejsou k dispozici technické a finanční prostředky na provádění penetračních testů. V cloudu je možné si tyto penetrační testy zaplatit a věnovat se výhradně své práci.

Navíc je dobré zmínit, že v některých odůvodněných případech má poskytovatel cloudu potenciál přidat i speciální bezpečnostní prostředky, jako jsou například hardwarové klíče v případě internetového bankovnictví, které zabezpečený přenos dat posilují. Provozovatel cloudu tak na rozdíl od administrátora malé firmy může využívat veškerých dostupných možností pro zabezpečení přístupu ke cloudovým komunikacím, pokud je to nezbytné.

Bezpečný cloud? Ano!

Používání cloudových aplikací již dnes není žádné šarlatánství, některé z nich již léta s důvěrou používáme, aniž bychom za nimi viděli cloud. Určité prvky cloud computingu můžeme najít například u internetového bankovnictví, přes které se ročně zrealizují operace za stovky miliard korun. V dnešní době se na cloud převádějí i služby a aplikace, které jsme běžně zvyklí provozovat in-house. Jedná se především o obchodní aplikace (CRM, IS), bezpečnostní filtry, zálohování dat, kancelářské balíky, ale i celé operační systémy.

Přechod na cloud u dalších služeb je v řadě situací výhodný nejen z hlediska bezpečnosti. Vždy je však nutné stát oběma nohama na zemi a reálně zvážit veškeré přínosy i zápory nejen v oblasti bezpečnosti, ale i v oblasti firemních procesů. Provozování aplikací a služeb v cloudu samo o sobě není bezpečnostním rizikem. Vždy je třeba hledat odpověď na tyto otázky: kdo službu provozuje, jak službu provozuje a jak ke službě přistupuji.

Autor je technickým ředitelem firmy GFI Česká republika a Slovensko.

Tento článek vyšel v tištěném SecurityWorldu 1/2010.