Největším bezpečnostním rizikem cloudů je sám uživatel

Řada českých firem dokonce cloud volí právě kvůli vyšší bezpečnosti dat. Bezpečnost je často vnímána pouze v kontextu ochrany před škodlivým softwarem a útoky hackerů.

V praxi je však důležitá i ochrana z pohledu eliminace rizika ztráty či poškození dat. V otázce bezpečnosti hraje také nezanedbatelnou roli ochrana proti fyzickému odcizení datových nosičů.

Bezpečnost je i o tom, že se můžeme skutečně spolehnout na to, že se ke svým datům kdykoliv bezpečně dostaneme. Jde tedy i o dostupnost IT systému jako celku. Všechny tyto otázky je přitom nutné řešit jak v cloudu, tak u vlastní IT infrastruktury a v obou případech je nutné řešit je velice důkladně.

Bezpečnost coby častý argument pro cloud u českých firem

A právě v tomto řešení má cloud jednoznačně navrch. Veškerá IT infrastruktura je uložena v přísně střežených datových centrech v budovách, které odolají zemětřesení či nárazu letadla. Jsou zajištěny nepřetržité napájení, ochrana před nepovolaným přístupem i proti požáru.

S ohledem na to, že datová centra pro cloud computing provozují největší světoví hráči v IT jako například Microsoft, je logické, že o jejich chod se starají nejlepší IT odborníci a že jak po hardwarové, tak po softwarové stránce je vše řešeno nejlepším možným způsobem. Navíc všichni tři hlavní hráči na poli veřejného cloudu ze stejných datových center a serverů provozují i vlastní klíčové aplikace a služby.

Třeba z dublinského datového centra Microsoftu fungují nejen cloudový Windows Azure, Office 365 nebo CRM Online, ale také Bing, Hotmail nebo třeba Live Messenger. Při obrovském množství serverů, které se v těchto datových centrech nalézají, mohou tyto firmy také investovat značné prostředky do vývoje vlastních nových řešení, která ještě více zvýší bezpečnost i dostupnost dat uložených v cloudu.

Nakonec je důležité také zmínit, že všichni klíčoví, ale i menší hráči v oblasti cloud computingu jsou sdruženi v Cloud Security Alliance (CSA), která slouží ke sdílení zkušeností a znalostí i vývoji nových postupů v oblasti zabezpečení cloudu.

Týmy lidí hledají nonstop bezpečnostní rizika

I kvůli provozování vlastních aplikací přitom provozovatelé cloud computingu investují nemalé prostředky do nejrůznějších bezpečnostních opatření i mezinárodních a národních certifikací svých datových center.

Naprostou samozřejmostí je třeba certifikace ISO/IEC 27001prokazující, že společnost systematicky analyzuje možná bezpečnostní rizika, implementuje nástroje pro jejich eliminaci a adaptuje své procesy tak, aby byla zaručena kontinuální ochrana před novými bezpečnostními riziky.

U Microsoftu je to realizováno pomocí Security Development Lifecycle, na kterém neustále pracuje tým IT odborníků, který se věnuje ochraně dat před všemi možnými druhy útoků včetně fyzických na datové centrum.

To je něco, co si v praxi nemůže dovolit ani poměrně velká společnost. Všechna tato opatření a investované prostředky jsou naprosto nesrovnatelné s těmi, které  může investovat běžně třeba i velká firma.

Proč se lidé bojí bezpečnosti u cloudu

Řada lidí má z cloud computingu obavy, protože data jsou fyzicky uložena mimo firmu nebo mimo jeho počítač. Lidé se například obávají toho, že kdokoliv z obsluhy si může přečíst jejich data. V praxi to ale není možné.

Fyzicky jsou datové nosiče nepřístupné, protože se nacházejí v zapečetěných kontejnerech či zamčených rackových skříních. Navíc by bylo extrémně komplikované dohledat konkrétní datový nosič, kde se daná data nalézají.

Po softwarové stránce pak obsluha k samotným datům nemá vůbec přístup a jakákoliv např. aktualizace jednotlivých cloudových aplikací je velice přísně monitorována. Data jsou od samotných aplikací striktně oddělena a ani se fyzicky nenacházejí na stejných serverech jako aplikace, což má ostatně i jisté implikace směrem k vývojářům cloudových aplikací, kteří se s tímto specifikem cloudu musejí naučit pracovat.

Veškeré uživatelské účty a hesla si spravuje sám uživatel. Na rozdíl od klasického firemního serveru tak administrátor cloudu nemá k těmto informacím vůbec přístup. Z toho také vyplývá, že provozovatel ani nemůže data v cloudu zneužít pro nějakou svoji potřebu.

Důležitá je také otázka legislativy a přístupu například úřadů k vašim datům. V případě Microsoftu se data fyzicky nacházejí v datových centrech v Irsku a Nizozemsku, které provozuje irská dceřiná společnost Microsoft Corporation. Vše tedy podléhá legislativě EU, a tím pádem samotná data podléhají legislativě toho státu, kterému podléhá jejich držitel – tj. daná právnická či fyzická osoba.

Velice častou obavou z cloudu je také riziko úniku dat či možnosti neoprávněného přístupu. Toto riziko reálně existuje, ale jen u uživatelů, kteří používají nebezpečná hesla a přistupují ke svým datům v cloudu z neznámých nebo nezabezpečených počítačů, kde může být nainstalován tzv. keylogger, který si jejich uživatelské jméno a heslo zaznamená a odešle je útočníkovi.

Největším bezpečnostním rizikem cloudu, stejně jako jakéhokoliv jiného IT systému včetně umístěných fyzicky ve firmě, je tak paradoxně sám uživatel. Pokud ale zvolí bezpečné heslo a bude k datům v cloudu přistupovat z počítače, který má pravidelně aktualizovaný operační systém a je chráněn proti škodlivému softwaru, může toto riziko do velké míry eliminovat.

Autor pracuje jako manažer serverové divize ve společnosti Microsoft.