PRACE NAUKOWE Akademii im. Jana Długosza w Czstochowie Technika, Informatyka, Inynieria Bezpieczestwa

Transkrypt

1 PRACE NAUKOWE Akademii im. Jana Długosza w Czstochowie Technika, Informatyka, Inynieria Bezpieczestwa 2013, t. I Teresa Bajor, Marlena Krakowiak, Dariusz Rydz Politechnika Czstochowska Al. Armii Krajowej 19, Czstochowa, tbajor@wip.pcz.pl BEZPIECZESTWO INFORMACJI W TECHNOLOGII CLOUD COMPUTING Streszczenie. Zmiany charakteru rynku oraz nieustannie rosnca konkurencja maj wpływ na poszukiwanie takich rozwiza, które pozwol usprawni funkcjonowanie oraz obniy koszty działalnoci przedsibiorstw na rónych poziomach organizacyjruktury informatycz- nej. Jednym z innowacyjnych produktów rynku IT ostatnich tnich lat jest technologia cloud computing. Pozwala ona obniy koszty prowadzenia działalnoci poprzez przeniesie- nie oprogramowania do sieci i tym samym stwarza moliwo znacznej redukcji kosz- nych. Koniecznym jest zatem odpowiednie przygotowanie infrastruktury tów stałych (np. zaplecza technicznego, pomocy technicznej oraz administracji). Prze- wag tego typu rozwiza stanowi stosunkowo niskie koszty, które czsto okazuj si waniejsze od ryzyka zwizanego z udostpnieniem danych, w tym take biznesowych. Celem pracy jest przedstawienie korzyci oraz obaw i zagroe zwizanych z zastosowaniem rozwiza typu cloud computing do wspomagania zarzdzania przed- sibiorstwem i bezpieczestwem przetwarzanych informacji w szerokim tego słowa znaczeniu. Słowa kluczowe: bezpieczestwo informacji, dane w chmurach. Wprowadzenie Powszechnie przyjmuje si, e yjemy dzi i tworzymy tzw. społe- czestwo informacyjne. Globalna cyfryzacja dokumentów oraz popularno Internetu netu spowodowały konieczno zmiany podejcia do bezpieczestwa in- formacji. Obecnie nie podlega dyskusji fakt, e informacja jest jedn z najwyej cenionych wartoci w biznesie. Przewag na konkurencyjnym rynku maj podmioty, które z ogromu dostpnych na rynku informacji potrafi wybra te rzeczywicie cie istotne, a take przedmioty, które posiadaj informacje niedostp- ne dla innych. Informacje te bd natomiast wartociowe tak długo (pozwol na

2 228 T. Bajor, M. Krakowiak, D. Rydz osignicie przewagi konkurencyjnej), jak długo uda si je utrzyma w tajemnicy. W zwizku z rozwojem technologii informacyjnych yjemy równoczenie w wiecie cyfrowym, w którym zdecydowana wikszo informacji przybiera posta elektroniczn i przechowywana jest na elektronicznych nonikach danych serwerach, dyskach twardych, w chmurze obliczeniowej. Cloud computing Cloud computing jest to model zarzdzania rodowiskiem technologii informatycznej z wykorzystaniem rozwiza zapoyczonych z ideologii funkcjonowania rozwiza w sieci Internet. Filozofia funkcjonowania cloud computing polega na przeniesieniu ciaru wiadczenia usług IT na serwer zewntrzny i umoliwienie stałego dostpu poprzez komputery klientów. Według definicji [1, 2], cloud computing, czyli chmura obliczeniowa, jest modelem przetwarzania danych opartym na uytkowaniu usług dostarczonych przez zewntrzne organizacje. Funkcjonalno rozumie si tutaj jako usług oferowan poprzez dane oprogramowanie. Wykorzystanie tego modelu pozwala na obnienie kosztów prowadzenia działalnoci przez przeniesienie oprogramowania do sieci, i skupienie si jedynie na wydatkach stałych bez koniecznoci nabywania jednorazowych licencji (rys.1). Jednak jak twierdz eksperci stosowanie technologii cloud computing jest swoist ewolucj technologiczn i rewolucj mentaln, gdy wymaga gotowoci i chci do zmian przedsibiorców [3]. Wykorzystanie tego typu rozwizania daje wiele korzyci, przede wszystkim finansowych, np. miesiczny stały koszt zwizany z opłaceniem usługi korzystania z wybranych opcji jest o wiele niszy anieli zatrudnianie administratora oraz pracowników pomocy technicznej. Istotne jest to przede wszystkim dla małych i rednich przedsibiorstw, których na naszym rynku jest coraz wicej. Analityk rynku ICT z Frost & Sullivan, Dorota Oviedo, stwierdza, e: Dla najmniejszych firm due znaczenie ma poziom zaawansowania współczesnych systemów komunikacji biznesowej i brak wykwalifikowanego personelu do instalacji, aktualizacji i zarzdzania tymi systemami [2]. Mona zatem zauway, i przekonanie przedsibiorców do korzystania z tego typu rozwiza jest uzasadnione. Bez wzgldu na to, czy kto jest uytkownikiem, programist, czy planuje stworzy własn usług dostpn przez przegldark, korzystanie z moliwoci chmur obliczeniowych bdzie coraz czstsze [2].

3 Bezpieczestwo informacji 229 Rys. 1. Model chmury obliczeniowej z uwzgldnieniem elementów składowych [5] Na rynku istniej trzy rodzaje chmur: prywatne, publiczne oraz hybrydo- we. Chmury prywatne s czci organizacji, lecz mog by równie niezale- nym dostawc usług. Chmury publiczne tworz zewntrzni, ogólnodostpni dostawcy, do których nale: Google, Microsoft, Amazon.com. Natomiast chmury hybrydowe s połczeniem filozofii dwóch poprzednich. Oznacza to, e pewna cz aplikacji i infrastruktury danego klienta pracuje w chmurze prywatnej, a cz jest zlokalizowana w przestrzeni chmury publicznej [1]. Ewolucja rozwiza cloud computing Aby przybliy rozwizanie cloud computing, naley przeanalizowa równie zagadnienia zwizane z jego ewolucj. Najstarsz i najprostsz form usługi w chmurze jest kolokacja, a mianowicie uyczenie miejsca w serwerowni, łcznie z jego serwisem (prd, klimatyzacja) i oczywicie dostpem do Internetu, co stanowi koszty potencjalnego uytkownika.

4 230 T. Bajor, M. Krakowiak, D. Rydz O pozostałe rzeczy, do których nale: sprzt, zabezpieczenia, system operacyjny, oprogramowanie i aplikacje, musi zadba zainteresowany. Bardziej zaawansowan form jest IaaS, czyli rozszerzenie kolokacji o zapewnienie sprztu przez dostawc. Przedsibiorca natomiast musi dostarczy system operacyjny, oprogramowanie i aplikacje. Dalej mamy PaaS Platform as a Service. W tej ofercie znale( mona to, co było w IaaS, ale ponadto dostawca dokłada cał platform aplikacyjn. Wówczas uytkownik przestaje si martwi o system operacyjny, a zajmuje si tylko pisaniem aplikacji i ich utrzymaniem. Tutaj pojawia si moliwo prowadzenia działalnoci usługowej, poniewa aplikacje moemy uytkowa sami lub po prostu je sprzedawa jako usługi. Opcja, gdy dostawca zajmuje si wszystkim, poczwszy od sprztu, a po kocow aplikacj, nazywana jest SaaS, co oznacza Software as a Service. Wówczas uytkownik korzysta tak naprawd tylko z okrelonej aplikacji i jej funkcjonalnoci w chmurze (przez Internet). W tym przypadku rozlicza si on w modelu opłata za jednego uytkownika za miesic korzystania. I ostania najbardziej korzystna forma, a mianowicie Software plus Service. Jest to wymieszanie tego, co prezentowano do tej pory (czyli serwery w firmie, aplikacje na komputerach), z tym, co daje chmura (serwery i aplikacje poza firm). Stwarza to moliwo korzystania z klasycznego oprogramowania (Software) oraz na zasadzie usługi (Service) [1, 5]. Jeli chodzi o zastosowanie tego typu rozwizania w prowadzeniu swojej działalnoci, to na podstawie przeprowadzonych przez Computerworld [4] bada Techtrends mona zauway, e znajomo i wykorzystanie infrastruktury w chmurze ma tendencj wzrostow. W marcu 2013 roku pozytywne nastawienie do tego typu rozwizania zadeklarowało około 44% firm (rys. 2). Oczywi- cie wszystko jest zwizane z profilem prowadzonej działalnoci, sektor bankowy swój brak zainteresowania stosowaniem rozwiza typu cloud computing tłumaczy faktem utraty klientów. Ludzie nie chc trzyma swoich pienidzy w chmurze mówi dyrektor departamentu infrastruktury IT w Banku PKO BP. )' #$&*")'+, %&'#"()*!"!#$ Rys. 2. Struktura przetwarzania danych z zastosowaniem rozwiza typu cloud computing [4]

5 Bezpieczestwo informacji 231 Korzyci z zastosowania cloud computing: 1. Korzyci ekonomiczne wynikaj ze zmniejszenia kosztów uytkowania. Stosowane w firmach serwery i systemy chłodzenia zuywaj coraz wicej prdu. Dotyczy to równie kosztów utrzymania specjalistów IT, a nawet opłat za miejsce, w którym znajduj si serwery. W przypadku cloud computing istnieje moliwo płacenia jedynie za wykorzystan moc obliczeniow w cile okrelonym czasie korzystania z danej usługi. 2. Wzrost bezpieczestwa danych, ze wzgldu na organizacj serwerów w cloud computing, zabezpieczenia staj si zintegrowane. 3. Odpowiada na potrzeby wynikajce z coraz wikszej liczby połczonych urzdze, cigłych strumieni informacji i aplikacji WEB 2.0, takich jak otwarta współpraca, sieci społecznociowe i rozwizania mobilne. 4. Mdrze rozkłada zasoby obliczeniowe. W tradycyjnym modelu kady komputer miał ograniczon moc obliczeniow, ponad któr nie mógł wykroczy, a która czsto była niewykorzystywana. Teraz, gdy komputery słu tylko jako interfejs do serwera, kady z nich ma dostp do ogromnej mocy obliczeniowej, a jednoczenie jest w stanie efektywnie z niej korzysta. Ponadto, rozwizanie cloud computing umoliwia przesyłanie zapyta do innych serwerów, w zalenoci od zapotrzebowania. Zagroenia z zastosowania cloud computing: 1. Klient usługi w chmurze (administrator danych) nie zauwaa narusze bezpieczestwa informacji (poufnoci, integralnoci, dostpnoci danych). Działania te mog prowadzi do popełnienia czynów naruszajcych przepisy ochrony danych i prywatnoci. 2. Dane mog by przekazywane do jurysdykcji, które nie zapewniaj odpowiedniego poziomu ochrony. 3. Jeeli dostawca cloud computingu bdzie korzystał z podwykonawców, czyli tzw. podprzetwarzajcych to ustalenie odpowiedzialnoci w łacuchu usługodawców moe by niezwykle trudne. 4. Klient cloud computingu straci kontrol nad danymi i przetwarzaniem danych. Najwiksz obaw jest zagroenie, e dostawcy usług cloud lub ich podwykonawcy bd wykorzystywa dane administratorów danych do własnych celów bez wiedzy lub zgody administratorów danych. 5. Administrator danych lub strona trzecia nie bdzie w stanie na odpowiednim poziomie monitorowa dostawcy usługi w chmurze [6]. Pomimo tych zagroe, wiele firm przenosi swoje dane do chmury obliczeniowej, gdy widoczna jest istotna przewaga korzyci. Jeli chodzi o bezpie-

6 232 T. Bajor, M. Krakowiak, D. Rydz czestwo informacji, to mona zauway, i rosncy poziom zabezpiecze, zarówno tradycyjnych, jak i informatycznych, powoduje zwrócenie si osób zainteresowanych pozyskaniem poufnych informacji w kierunku najsłabszego ogniwa, jakim jest człowiek. W zwizku z tym zaobserwowa mona rosnc liczb ataków socjotechnicznych skierowanych na pozyskanie informacji od osób wewntrz organizacji, które maj do nich nieskrpowany dostp. Na całym wiecie firmy w popiechu wdraaj nowoczesne technologie. Wykorzystujc coraz czciej tablety, smartfony i media społecznociowe, zapominaj o dostosowywaniu swoich systemów bezpieczestwa do błyskawicznie rozwijajcej si technologii. W ten sposób wystawiaj si na ryzyko ataków hakerskich i wycieku wanych informacji; a s to tylko wybrane przykłady niedopatrze, które istotnie wpływaj na sytuacj firmy. W przypadku podjcia decyzji o zastosowaniu rozwiza typu cloud computing konieczne jest przede wszystkim przemylane sformułowanie umowy dotyczcej przeniesienia danych i korzystanie z nich w modelu cloud computingu. Dobrze sformułowana umowa powinna zawiera odpowiednie klauzule umowne: umoliwiajce przenoszenie danych (portability) i kontrolowanie ich, zakazujce nielegalnego przekazywania danych do jurysdykcji, bez wystarczajcego poziomu ochrony danych. Dostawca usług opartych na cloud computing powinien zapewni, e usunicie danych osobowych z dysków oraz z innych noników moe by przeprowadzone w skuteczny sposób. Istotne jest take zabezpieczenie, e nikt poza klientem usług w chmurze nie powinien mie dostpu do jego danych powinny by one szyfrowane. Umowa ma gwarantowa take odpowiednie tworzenie i zapisywanie kopii zapasowych w bezpiecznych lokalizacjach oraz wprowadza zasad przejrzystoci lokalizacji, w których dane mog by przechowywane i przetwarzane. Podsumowanie Podstaw usługi typu cloud computing jest jej dostpno, na któr składa si szereg elementów, takich jak: zasilanie, łcze teleinformatyczne oraz wysoka dostpno aplikacji. To s elementy, o które dba dostawca usługi. Wanym elementem jest równie to, e dostawca przedstawia klientowi plany działania w razie awarii, gwarantujce szybkie przywrócenie usług. Bardzo istotne jest to, aby klient czuł si bezpiecznie od strony technicznej, procesowej oraz zgodnoci z przepisami. Przewag tego typu rozwiza s niewtpliwie niskie koszty, które czsto okazuj si waniejsze od ryzyka zwizanego nawet z udostpnieniem danych, w tym take biznesowych. Dziki temu ich bezpieczestwo nie zaley od tego, co stanie si z komputerem klienta, a szybko procesów wynika z mocy obli-

7 Bezpieczestwo informacji 233 czeniowej serwera. Wystarczy zalogowa si z jakiegokolwiek komputera z dostpem do Internetu, by zacz korzysta z dobrodziejstw cloud computing. Literatura [1] Kdziora M.: Co to jest chmura (Cloud Computing)?, [2] Ogórek W.: Cloud Z głow w chmurach, [3] Computerworld, nr 9/997, r [4] Computerworld, nr 8/996, r [5] Bajor T., Krakowiak M.: Cloud computing a rynek usług, Logistyka, nr 6, [6] Teresa Bajor, Marlena Krakowiak, Dariusz Rydz Politechnika Czstochowska INFORMATION SECURITY IN CLOUD COMPUTING TECHNOLOGY Abstract Character change of the market and unstoppable growth of competition searching such a solution that allow to got better functionality and low costs of companies activity on the different organization levels. The necessary is to property information infrastructure. One of the innovative products of IT market in recent years is cloud computing technology. It allows decreasing costs of by transferring software to het and the same way constant costs reduction (eq. technical support, technical assistance and administration). The advantages of such solutions are relatively low cost, which often turn out to be more important than the risks associated with the release, including business. The aim of the work is to present the benefits fear and risk connected with application of is cloud computing company management and safety of processed information in wide meaning of this word. Keywords: information security. data in the clouds.