Nedávno psal kolega Mathias Thurman o zabezpečení prostředí virtuálních desktopů (VDI). Naše firma právě prochází stejným procesem vyhodnocení VDI jako náhrady tradičních desktopů. Jak již poukázal Mathias, koncept virtualizace aplikací, který běží na počítači, významně nemění prostředí hrozeb ani nemění protiopatření nasazovaná jako ochrana proti těmto hrozbám.
To samé platí také ve světě serverů. Fyzická zařízení tohoto typu jsou v našem datovém centru nahrazována virtuálními stroji, ale ty se z hlediska zabezpečení jeví stejně jako kterákoli jiná serverová platforma. Z pohledu sítě není vůbec žádný rozdíl mezi skutečným a virtuálním serverem. Přes kabeláž vypadají všechny stejně.
Rizika cloud computingu
Ale co internetové služby? Cloud computing a SaaS (software jako služba) se v síti naší společnosti začínají také množit a zjišťuji, že se potýkám s potížemi při pokusech nasadit nejlepší postupy, které používáme uvnitř naší sítě vůči vnějším partnerům mimo naší kontrolu. Jsem přesvědčen, že rizika spojená s internetovými službami SaaS jsou kombinací rizik souvisejících s tradičními prostředími datových center a rizik internetových služeb dohromady s novou skupinou rizik pocházejících z konvergence privátních a veřejných prostředí.
Sami používáme služby založené na technologii SaaS včetně dobře známých Salesforce.com a Google Docs, dalších webových služeb, dále outsourcovanou podporu od třetích stran a také služby pro zaměstnance, které jsou do naší sítě připojeny přes internet. Všechna tato řešení potřebují přístup k některým částem naší interní infrastruktury, aby mohla pracovat tak, jak je předpokládáno – jedná se například o přístup k autentizačním systémům Active Directory.
Zatím ale vůbec nevíme, zda tito vnější partneři budou s tímto přístupem zacházet se stejnou péčí a opatrností, jako to děláme my. A jak vůbec víme, zda mají v pořádku zabezpečení? Vše, co máme v tomto směru k dispozici, je jejich smluvní ujištění. To je také důvod, proč trvám na odpovídající certifikaci u každého potenciálního dodavatele SaaS ještě předtím, než zahájíme jakoukoli diskuzi o připojení k jejich službě.
I když například ověření SAS70 nemusí zcela zaručovat, že je služba dodavatele bezpečná, prokazuje minimálně to, že dodavatel věnoval ochraně informací a dat svých zákazníků trochu pozornosti.
Lokalita citlivých dat
Při vyhodnocování zabezpečení služeb typu SaaS se zajímám o některé další okolnosti mimo sféru tradičních datových center, které je dobré mít podchyceny. Například znalost a správa ohledně fyzického umístění našich dat jsou důležité z mnoha důvodů – a legislativa bývá v tomto seznamu na prvních místech.
V minulosti poskytovatelé služeb přesně věděli, kde jsou data jejich zákazníků lokalizována, protože jednotlivé servery byly umístěny v konkrétních datových centrech s minimální interakcí s poskytovateli. V nynějším distribuovaném prostředí cloud computingu mají provideři k dispozici řadu těchto středisek a navíc využívají virtualizaci serverů, sítě a úložiště k poskytování pružných prostředí, která lze rozšiřovat na vyžádání. To znamená, že zjištění fyzického umístění zákaznických dat může být poměrně obtížné a navíc mohou tyto údaje bez varování přemísťovat.
A kde jsou naše data? Mám obavu, že poskytovatelé služeb mohou privátní a citlivé údaje naší firmy míchat s obdobnými informacemi jiných zákazníků. Poskytovatelé služeb obvykle ukládají data od více zákazníků na stejném hardwaru.
Prohlašují, že jsou použita opatření, která zajišťují logické oddělení údajů různých klientů, ale ověření, že naši konkurenti nemohou nikdy získat přístup k našim datům, ať již záměrně či nahodile, nemusí být vůbec možné. A jak zajistíme, že budou naše data zcela odstraněna v případě, že budeme chtít ukončit kontrakt s poskytovatelem cloudu?
Také mám obavu, zda nejsou fyzické servery poskytovatele služeb umístěny na jiných místech, zejména mimo náš kontinent a případně dokonce v rizikových oblastech. Zajištění integrity a důvěrnosti dat, když infrastruktura fyzicky sídlí v jiných zemích, může být dokonce nemožné.
Výsadní postavení internetu
Stěžejní služby vyžadují určitý záměr a plánování v souvislosti s redundancí. Uznávanou praxí je předpokládat, že každá služba selže, a plánovat odpovídajícím způsobem využití služeb od redundantních poskytovatelů. Pokud zklame samotná služba, obvykle existují definované smlouvy SLA, které jsou vytvořeny poskytovateli služeb a zajišťují vrácení financí nebo kreditu na službu na základě její ceny.
To se však netýká finančních ztrát způsobených výpadkem činnosti naší firmy. Smlouvy SLA pro služby SaaS jsou také ovlivněny spolehlivostí internetu – pokud přestane fungovat vaše připojení do internetu, je přístup k datům nemožný, náprava neexistuje a naši lidé nemohou pracovat. Stěžejní aplikací, bez které nemohou naši zaměstnanci pracovat, se tedy stal samotný internet. Musí být vysoce dostupný, jinak se v případě neexistence off-line alternativy práce zastaví.
Navzdory těmto problémům naše firma pokračuje jako mnoho jiných v přechodu směrem k virtuálním hardwarovým a softwarovým službám. Dělám tedy maximum toho, co umím, abych je ochránil. Ve světě zabezpečení se vždy objeví nějaká nová výzva, a právě proto mám svou práci rád. Vypadá to, že zde nuda opravdu nikdy nehrozí.
Časopis lze koupit se slevou 20 %
PŘEDPLATNÉ
ČLÁNKY DO MAILU