Czy w roku 2012 można już bezpiecznie trzymać newralgiczne dane w chmurach

Transkrypt

1 Czy w roku 2012 można już bezpiecznie trzymać newralgiczne dane w chmurach [Poznań 27 lutego 2012]. Co można przenieść w chmurę. Coraz więcej osób prywatnych korzysta chętnie z usług w chmurze. Jednocześnie firmy również powoli migrują swoje dane i systemy do chmury z powodu jej zalet. Jednak wiele firm widząc w chmurach rozwiązania swoich problemów jednocześnie wstrzymuje się przed migracją z obaw o bezpieczeństwo. W związku z tym postanowiliśmy sprawdzić jak wyglądają standardy ochrony danych w chmurze teraz, na początku 2012 roku, który wedle niektórych będzie rokiem chmur. Zanim jednak przejrzymy zabezpieczenia zastanówmy się jakie dane firma może przenieść do chmur. Pierwsze co powinno zainteresować to możliwość wykonywania kopii zapasowych danych bez dodatkowych nakładów na zasoby dyskowe w firmie. Backup w chmurze łatwo się skaluje zapewniając kopię w miejscu odizolowanym od środowiska pracy, a więc chroniącym przed skutkami np. pożaru w biurze albo kradzieży. Jednak to tylko początek. W chmurze pracownicy będą trzymać pliki, udostępniając je nawzajem. Nie tylko wtedy gdy są w biurze, ale też na wyjeździe albo w terenie. Także klientom łatwiej będą udostępniali dokumenty jednocześnie kontrolując reguły dostępu. Do chmury można przenieść również hosting. Ma to znaczenie szczególnie w przypadku firm, które wymagają większej mocy obliczeniowej np. działających w branży informatycznej. Firmy takie skorzystają również na internetowym repozytorium projektów, kodu programistycznego, ułatwiających współpracę wielu pracowników etatowych i zdalnych nad tworzonymi rozwiązaniami. Jednocześnie firma może zrezygnować z utrzymywania stacjonarnego serwera poczty elektronicznej, serwera FTP i VOIP. Jeśli chodzi o aplikacje komputerowe to nie zawsze migracja jest łatwa, szczególnie gdy firma ma programy dedykowane. Jednak jest już wiele obszarów pokrytych przez usługi w chmurze pisanie dokumentów, zarządzanie finansami, relacjami z klientami cz prezentacjami jest już możliwe w sieci. Oprócz typu danych i procesów jakie przeniesiemy według Michała Trziszki z Cal.pl należy zastanowić się też nad skalą chmury jaka jest potrzebna i parametrach potrzebnych do konkretniej usługi np. backupu czy instalacji Sharepointa.

2 Korzyści z przejścia w chmurę Trzymanie serwera w biurze zawsze wydawało się atrakcyjnym pomysłem. Jednak jeśli pomyślimy o tym dokładniej wcale takie nie jest. Serwer wymaga ciągłego nadzoru administratorów, którzy dbają o wiele aspektów poprawnego jego działania: sprzętu, który w przypadku awarii musi zostać zastąpiony nowym, monitorowania aby reagować na sytuacje przed ich wystąpieniem, aktualizowania i rozwiązywania konfliktów aby oprogramowanie było bezpieczne i niepodatne na ataki hakerów oraz prowadzenia innych cyklicznych, żmudnych prac, których regularność jest kluczem do poprawnego i bezpiecznego działania usług. Ostatecznie administratorzy wielu firm poświęcają czas na powtarzalne czynności podczas gdy użytkownicy systemu nie mają do kogo zgłosić się po pomoc. Przeniesienie danych i systemów do chmury sprawia, że firma staje się odciążona od działań administracyjnych. Tym samym informatycy w firmie mają o wiele więcej czasu na doglądanie systemu, diagnozowanie problemów wykraczających poza te zwyczajowe i pomocy użytkownikom. W ten sposób wartość pracy działu informatyki rośnie zarówno w oczach pracowników jak i w efektach finansowych, które wyrażają się przez sprawniejsze zarządzanie zasobami cyfrowymi firmy i wdrażaniem metod ich lepszego wykorzystania. Jednocześnie chmura jest wyjątkowo elastyczna na zmiany. W przypadku znacznego zwiększenia zapotrzebowania na miejsce administrator jest w stanie zrealizować potrzeby pracowników w zaledwie kilka minut zmieniając odpowiednie ustawienia. Gdy natomiast potrzeby firmy kurczą się i przychodzi czas na oszczędności równie prosto można zmniejszyć zużycie zasobów takich jak pamięć RAM czy liczba procesorów na serwerach w chmurze, aby w następnym miesiącu dostać dużo mniejszą fakturę. Niektórzy mówią, że dane w chmurze są mniej bezpieczne. Inni mówią, że nie trzeba być pilotem samolotu, aby czuć się w nim pewnie. Tak samo więc jak gdy pilotowi powierzamy swoje bezpieczeństwo tak samo firma polegając na usługach dobrego dostawcy chmury zwiększa swoje bezpieczeństwo. Szczególnie gdy weźmiemy pod uwagę dynamiczny rozwój zagrożeń w sieci na które firma hostingowa potrafi szybciej reagować niż ograniczony personalnie zespół pracowników działu IT. Jeśli więc zadbamy o wybranie dobrego usługodawcy, który stawia kwestię bezpieczeństwa wyżej niż nasza firma możemy czuć się bezpiecznie. Gdy nasze dane zostaną przeniesione do chmury będziemy mieli do nich dostęp z każdego miejsca na świecie i na wiele sposobów nie tylko z komputera, ale też urządzeń mobilnych. Synchronizacja plików między komputerami, przesyłanie megabajtów załącznikami do mejli odejdzie do lamusa, a pracownicy firmy zwiększą swoją efektywność pracy na zasadzie tych samych reguł, które sprawiły, że całe społeczeństwo stało się bardziej efektywne przez chmurę zwaną internetem.

3 Jakie są zagrożenia? Przeniesienie danych do internetu rodzi pewne obawy, których nie da się zignorować. Firmy poważnie podchodzą do tajemnicy ich informacji, które stanowią podstawę działania na rynku. Lista klientów, dane finansowe, wyniki badań, projekty badawcze, patenty czy strategie rynkowe to tylko kilka rodzajów treści, które nie mogą zostać pod żadnym pozorem ujawnione na rynku silnie konkurujących podmiotów, które chętnie by z wiedzy takiej skorzystały. Przeniesienie danych firmowych do chmury rodzi od razu pytanie na ile treść umieszczona na publicznym serwerze dostępnym w Internecie będzie bezpieczniejsza od komputera stojącego w biurze firmy zamykanym na klucz i oddzielonym przez bezpieczny punkt dostępu od Internetu. W jaki sposób dane przesyłane między pracownikami przez publiczne serwery mają być bezpieczniejsze od danych przesyłanych kablem pomiędzy komputerami stojącymi w biurze? Niewątpliwie aby firma mogła korzystać z chmury odpowiedzi na te pytania muszą zostać udzielone, a dane o wiele bardziej zabezpieczone niż w środowisku sieci lokalnej. W sieci bowiem oprócz osób postronnych są też hakerzy chętni do kradzieży danych gospodarczych, konkurencja, wirusy, trojany, prawnicy i organizacje zrzeszające twórców, którzy wszyscy mogą doprowadzić do przecieków danych, przejęcia ich albo zablokowania usług. Dlatego też ważne jest upewnienie się, że wybrany dostawca chmury wie jak bronić się przed tymi zagrożeniami z należną powagą z jaką dane firmowe muszą być traktowane. Jeśli mielibyśmy umieścić dane w chmurze ważne jest też to, abyśmy my mieli łatwy do niej dostęp. Bowiem firma pracująca po 8h dziennie (albo nawet więcej w trybie pracy wielozmianowej) musi mieć pewność, że gdy rano wszyscy do niej przyjdą i włączą komputery będą mieli dostęp do kontaktów do klientów, dokumentów i innych treści. W końcu jeśli już wszystko przeniesiemy do chmury chcielibyśmy móc na niej polegać bez posiłkowania się dokumentami papierowymi w stopniu w jakim czynimy to teraz. Zdecydowanie niedopuszczalna jest wtedy sytuacja utraty danych. Skoro dane nie będą miały odpowiedników papierowych, lokalnych, muszą być absolutnie bezpieczne. Najlepiej gdyby chmura dbała o integralność treści, tworzenie kopii zapasowych i przywracania w razie awarii. W przypadku danych przechowywanych na dysku lokalnym ryzyko ich utraty jest duże bez odpowiedniego monitoringu. Przeniesienie ich do chmury powoduje, że mogą one być na wiele sposobów zabezpieczane a stopień bezpieczeństwa zależy tylko i wyłącznie od tego jak wysoki standard chce uzyskać firma. Jednocześnie uzyskanie takiego stopnia zabezpieczenia danych nie wymaga uciążliwych prac od których starannego i regularnego wykonania zależy bezpieczeństwo całej firmy. Proces zabezpieczania danych przed utratą w chmurze jest o wiele prostszy do realizacji niż w biurze. Jednocześnie z bezpieczeństwem danych u usługodawcy wiąże się bezpieczeństwo w kontekście ich przenoszenia. Powodem dla którego firmy wolą stawiać własne serwery jest to, że mają nad nimi całkowitą kontrolę. Mogą je przenosić, modyfikować, pobierać wedle uznania. Dla firmy chcącej przenieść dane do

4 chmury ważne jest to, aby mogła w każdej chwili uwolnić się od usługodawcy, aby mogła pobrać swoje dane, albo przenieść je do innej chmury. Standardy przenoszenia danych między chmurami nadal są rozwijane. Obecnie jednak dla firmy jest ważne to, aby firma dostarczająca chmurę miała opracowane procedury przekazywania danych. Firma może chcieć zrezygnować z chmury i uzyskać swoje gigabajty danych dostawca chmury musi wiedzieć jak je dostarczyć. W końcu to nie jest 1 płyta DVD. Tak samo gdy firma chce przenieść dane do innego usługodawcy dostawca chmury musi mieć gotowe procedury przekazywania danych do innego usługodawcy, aby firma nie była uwięziona przez jednego dostawcę usługi chmury. Nie chodzi tutaj też o czyste dane np. pliki, ale również dane programów księgowych, dane osobowe czy dane o kontaktach biznesowych. W ich przypadku może być potrzebne sprostanie pewnym normom co do migracji i przenoszenia albo udostępnienie przez usługodawcę w standardowym formacie obsługiwanym przez więcej usługodawców. Dla przykładu firma Cal.pl przenosi dane ze swoich standardowych hostingów do chmury w trybie 1:1 podczas gdy przenoszenie danych z chmury Cal.pl do innej odbywa się za pomocą standardowych protokołów jak zdradził nam Michał Trziszka z Cal.pl. Co firmy chmurowe robią żeby się chronić? Dostawcy chmur w różny sposób chronią dane, które przechowują. Znajomość tych metod pozwala w dużym stopniu ocenić bezpieczeństwo rozwiązania. Po pierwsze liczy się sposób w jaki fizycznie chronione są serwery. Gdzie zostały one zlokalizowane? Czy dostęp do nich mają jedynie zaufane osoby po potwierdzeniu swojej tożsamości? Jak pomieszczenia serwerowe zabezpieczone są przed pożarem i innymi kataklizmami? W jaki sposób dostarczany jest i zabezpieczany prąd oraz dostęp do internetu? Serwerownia Cal.pl wyposażona jest w agregaty prądotwórcze, zasilanie awaryjne, awaryjne systemy gaśnicze, a dostęp dla nieautoryzowanych osób jest zakazany pisze Michał Trziszka z Cal.pl. Ponadto ważne jest to co robi usługodawca, by ratować dane w przypadku awarii. Czy i jak dyski serwerów są monitorowane na wypadek awarii? Czy tworzone są sumy kontrolne i kopie zapasowe? Czy kopie znajdują się fizycznie na innych maszynach, najlepiej w innej lokalizacji tak aby w przypadku np. pożaru nie utracono kopii? Czy jeśli jedno centrum danych ulegnie awarii jest kto przejąć po nim zadania? Jeśli miejsce przechowywania i dostępu do serwerów jest zabezpieczone fizycznie trzeba też spojrzeć na bezpieczeństwo informatyczne w dwóch aspektach. Po pierwsze nawet jeśli ktoś będzie miał dostęp do dysków serwera nie może móc ich odczytać. A więc dane muszą być odpowiednio dobrze szyfrowane, aby nawet w przypadku kradzieży nie zostały odczytane. Po drugie dane między serwerami a pracownikami wędrować będą przez publiczne łącza Internetu. Mogą one być podsłuchiwane zarówno w pobliżu firmy, serwerowni albo w dowolnym węźle je przesyłającym. W

5 przypadku publicznego internetu treści o tym jakie strony oglądamy czy jakie mejle wysyłamy często wędrują w postaci jawnej możliwej do odczytania. W przypadku danych firmowych tak być nie może. Wszystkie dane muszą być szyfrowane i to w stopniu uniemożliwiającym złamanie zabezpieczeń w najbliższej, dającej się przewidzieć przyszłości. Na szczęście jest kilka sposobów aby ocenić jak bardzo usługodawca zadba o dane firmowe zanim skorzystamy z jego usług oraz bez znacznej wiedzy informatycznej. Jak można sprawdzić usługodawcę? Na ocenę usługodawcy wpływają aspekty wewnętrzne i zewnętrzne jej funkcjonowania. W skład tych pierwszych należy zaliczyć takie, które odnoszą się również do innych firm: jak długo funkcjonuje ona na rynku i czy zatrudnia nowe osoby. Te dane potrafią oszacować na ile daje ona szanse na długotrwałą współpracę. Po pierwsze należy sprawdzić czy usługodawca przeprowadza audyty swoich usług. W ten sposób inna firma potwierdza pewien standard pracy firmy. Na rynku istnieją też różne certyfikaty, które usługodawca może uzyskać po wdrożeniu odpowiednich norm, również odnośnie hostingu w chmurze. Jakiś pogląd na działanie firmy mogą dać również artykuły prasowe, ale należy do nich podchodzić sceptycznie. Czy firma doświadczała wcześniej naruszeń bezpieczeństwa albo wycieków? Jak reagowała w takich sytuacjach? W jaki sposób sprawę komentowali jej klienci? Czy firma ma dobre wyniki dostępności w badaniach realizowanych przez firmy zewnętrzne? Te dane można zebrać samemu i uzyskać pewien obraz działania firmy. Amazon Chmura Amazon AWS jest jedną z bardziej popularnych. Posiada certyfikat organizacji usługi SAS70, certyfikat bezpieczeństwa systemu zarządzania informacjami ISO 27001, certyfikat standardu bezpieczeństwa danych DSS oraz certyfikat uprawniający do używania chmury w części zadań amerykańskiej administracji. Komputery znajdują się w serwerowniach należących do firmy, a wiedza o ich lokalizacji jest znana tylko uprawnionym osobom tak samo jak dostęp do nich. Jeśli chodzi o stronę informatyczną również zadbano o bezpieczeństwo: dane w chmurze AWS mogą być szyfrowane. System zarządzania tożsamością i dostępem (IAM) służy do tworzenia dowolnej liczby kont użytkowników z różnymi hasłami i poziomami uprawnień. Z kolei aby zabezpieczyć dostęp do ustawień firmowej chmury można zapisać się do wieloczynnikowej autentykacji (MFA). Wtedy aby wejść do ustawień chmury należy oprócz loginu i hasła z odpowiednimi uprawnieniami podać jeszcze token uzyskany z przenośnego generatora haseł.

6 Azure Azure jest chmurą oferowaną przez Microsoft. Wszystkie dane między komponentami systemu przesyłane są w postaci zaszyfrowanej. Aby zmniejszyć ryzyko ataków przeprowadzanych przez konta użytkowników otrzymują oni na początku najniższe potrzebne uprawnienia. W ten sposób potencjalny atak hakerski wymaga od przestępcy również zdobycia wyższych uprawnień. Aby uniknąć przejmowanie dostępu z jednego VM do innego główny VM jest oddzielony od VM-ów gości. Wart odnotowania jest mechanizm pełnego kasowania zgłoszonych danych. W momencie gdy pliki np. zdjęcia zostaną wybrane przez użytkownika do skasowania są one usuwane poprawnie ze wszystkich serwerów na których występują. Także w Azure nie mogą wystąpić takie problemy jak z nieskasowanymi zdjęciami na przykład na Facebooku. icloud Kolejną ciekawą z punktu widzenia bezpieczeństwa chmurą jest icloud od Apple. Jest to względnie nowa usługa. Dokumenty, kopie zapasowe, kontakty, kalendarze i inne treści są przesyłane między chmurą a urządzeniami Apple przez szyfrowane połączenie SSL. Tak samo dane na serwerach Apple są szyfrowane. Dostęp do danych odbywa się przez odpowiednie aplikacje używające tokena dostępu otrzymanego po wprowadzeniu przez użytkownika przynajmniej ośmiocyfrowego hasła. Żeby pracownicy mogli bezpiecznie korzystać z urządzeń Apple do działań biznesowych trzeba opracować odpowiednią politykę zachowania. Dla przykładu oprócz aplikacji Apple mogą oni instalować aplikacje firm trzecich. W takim wypadku należałoby upewnić się przedtem, że twórca takiej aplikacji zadbał o szyfrowanie i bezpieczne przechowywanie danych na poziomie wymaganym przez daną organizację. Dużym ułatwieniem w tym obszarze jest weryfikacja aplikacji dodawanych do Apple Store przez zespół firmy Apple. Cal.pl Również na naszym rodzimym rynku znajdują się komercyjne chmury. Jedną z nich oferuje Cal.pl pod nazwą Cloud Server. Firma INFO-CAL działa na rynku od 1994 roku. Serwerownia znajduje się w Niemczech, jest wyposażona w system przeciwpożarowy, całodobowy monitoring, a do pomieszczeń mają dostęp jedynie uprawnione osoby wyposażone w karty magnetyczne. Dostawy prądu zabezpieczane są przez UPSy i tworzone są kopie zapasowe przechowywanych danych. Dostępność serwerów wynosi 99,9%. W ramach usługi Cloud Server otrzymujemy dostęp przez secure shell (ssh). Niewątpliwą zaletą jest również bezpłatna pomoc techniczna dla nabywców Cloud Server, którzy pomagają w każdej sprawie. Klienci firmy Cal.pl mogą korzystać z kontaktu telefonicznego i owego w ramach pomocy technicznej do oferowanej przez chmury jak napisał Michał Trziszka z Cal.pl.

7 Podsumowanie Chmury wcale nie muszą być takim mętnym pojęciem jak moglibyśmy sądzić. W zasadzie chmura to zwykły hosting udostępniony w taki sposób, aby ja zauważa Michał Trziszka z Cal.pl, łatwo jest go w każdej chwili rozbudować, skalować i łatwo nim zarządzać. Firmy już teraz mogą myśleć o przeniesieniu się w chmurę gdy planują dynamiczny rozwój swoich usług wykorzystujących Internet. Bezpieczeństwo jest dla firm oferujących takie rozwiązania priorytetem bowiem to właśnie biznes najwięcej będzie w chmury inwestował. Przenosiny do chmury warto rozpocząć od jednej usługi np. kopii zapasowych. Doświadczenia i pewność zdobyte w tym procesie dadzą lepsze rozeznanie z możliwościach i korzyściach jakie chmury oferują. Więcej informacji udziela: Michał Trziszka (Cal.pl) CEO INFO-CAL media@infocal.pl tel *** Serwis Cal.pl należy do firmy INFO-CAL działającej na rynku od 1994 roku i oferuje szeroki zakres usług internetowych. Firma zajmuje się hostingiem, udostępnianiem i obsługą serwerów VPS i cloudserver. Dla swoich klientów biznesowych oraz indywidualnych prowadzi zakup domen internetowych, świadczy pomoc w zakresie tworzenia sklepów internetowych. Zapewnia również skuteczne pozycjonowanie stron WWW, umożliwia zakup certyfikatów SSL. Firma posiada wysoką pozycję na rynku polskich providerów internetowych. Zajmuje jedno z czołowych miejsc spośród kilku tysięcy dostawców działających na polskim rynku, dowodem czego są niezależne zestawienia branżowe. Celem firmy jest świadczenie profesjonalnych i przyjaznych usług internetowych dla klientów. Swoim klientom firma udziela kompleksowego i pełnego wsparcia w prowadzonej przez nich działalności internetowej.