PORADNIK OCENA RYZYKA POSIADANIA WŁASNEJ SERWEROWNI I KORZYSTANIA Z USŁUG CENTRUM DANYCH NARZĘDZIA, PRZYKŁADY OCEN PRZEDSTAWIONE KROK PO KROKU

Transkrypt

1 PORADNI OCENA RYZYA POSIADANIA WŁASNEJ SERWEROWNI I ORZYSTANIA Z USŁUG CENTRUM DANYCH NARZĘDZIA, PRZYŁADY OCEN PRZEDSTAWIONE RO PO ROU Adam Dzielnicki, ierownik Sekcji Zarządzania Produktami. T-Mobile Polska CHWILE, TÓRE ŁĄCZĄ.

2 OCENA RYZYA POSIADANIA WŁASNEJ SERWEROWNI I ORZYSTANIA Z USŁUG CENTRUM DANYCH Automatyzacja procesów biznesowych z wykorzystaniem technologii IT jest właściwym kierunkiem rozwoju dla każdej firmy MSP. Oszczędności i usprawnienia są premią za solidne i przemyślane wdrożenie narzędzi informatycznych, które prawie zawsze wymagają nowych serwerów. O co zadbać, by zrobić to skutecznie? Jak ocenić ryzyka możliwych rozwiązań? Jak uniknąć rozwiązań zbyt ryzykownych, by Twoja firma mogła je zaakceptować? Poznaj popularne narzędzia oceny zagrożeń. Pozwolą Ci oszacować ryzyka rożnych sposobów dostarczania infrastruktury serwerowej dla nowych narzędzi informatycznych i wybrać najlepsze rozwiązanie. NARZĘDZIA OCENY RYZYA PRZEDSIĘWZIĘCIA W praktyce biznesowej pomiar i ocena ryzyka przedsięwzięcia przeprowadzana powinna być na kilku etapach. Pierwszym etapem jest faza planowania przedsięwzięcia. Jest to czas tworzenia koncepcji. Nie inaczej sprawa się ma w wypadku budowy środowiska przetwarzania danych opartego o fizyczne serwery, które zlokalizowane będą w wybranym przez decydenta miejscu. Etap ten decyduje o podatności rozwiązania na ryzyka, jakie zawsze (i niezależnie od decyzji wyboru lokalizacji i rozwiązań) będą występować w kilku wymiarach: Budynek Lokalizacja i konstrukcja budynku oraz pomieszczenia serwerowego ma istotne znaczenie dla oceny bezpieczeństwa systemów IT. Zarówno zastosowane rozwiązania konstrukcyjne, jak i organizacyjne wpływają na podatność infrastruktury na ryzyko przypadkowego uszkodzenia, kradzieży czy sabotażu. Systemy środowiskowe i energetyczne Zastosowane rozwiązania infrastruktury zasilająco-chłodzącej decydują o stabilności systemów IT. Mają wpływ na ryzyko przedwczesnego uszkodzenia sprzętu i pojawienie się nieprzewidzianych wydatków. Operacje Opracowane i prawidłowo zaimplementowane standardy operacyjne budują bezpieczeństwo środowiska, w którym odbywa się praca systemów IT. Bez standardów zwiększa się ilość jednostkowych ryzyk i prawdopodobieństwo ich materializacji, także w obszarze wycieku wrażliwych danych. Strategia Źle zwymiarowane środowisko infrastruktury IT jest trudne do rozbudowy, a przy takiej próbie generuje bardzo wysokie koszty inwestycyjne. Brak systematycznego pomiaru parametrów takich jak np. PUE lub doskonalenia stosowanych standardów wprowadza ryzyko zwiększenia kosztów operacyjnych i zmniejsza przewagę konkurencyjną firmy. Rozwiązania Zastosowane rozwiązania, które są dostępne w miejscu przetwarzania, mają wpływ na poziom ryzyka operacyjnego. Ryzyko najczęściej występuje tu w czasie usuwania uszkodzeń lub przywracania działania systemów i ma wpływ na czas niedostępności usług lub zwiększony nakład pracy potrzebny na wykonanie nieprzewidzianych prac. Dokładne rozpoznanie zagrożeń, pozwala uświadomić sobie ich skalę i zaplanować ich usunięcie. Do analizy ryzyka na etapie koncepcji polecane jest skorzystanie z takich narzędzi jak indukcyjna Fault Tree Analysis (FTA) lub podejście projektowe i stworzenie planu zarządzania ryzykiem. Po wdrożeniu wybranego rozwiązania, zaleca się bieżącą kontrolę ryzyk i zarządzanie nimi np. za pomocą stosowanej w przemyśle metody FMEA (Failure Mode and Effects Analysis). Użycie wymienionych narzędzi wymaga jednak ich szczegółowej znajomości, co bardzo często uniemożliwia ich stosowanie w praktyce małych i średnich przedsiębiorstw. Co ma więc zrobić decydent,który stoi przed decyzją wyboru sposobu kolokacji cennego sprzętu IT, a przy tym nie dysponuje głęboką wiedzą obejmującą rozwiązania profesjonalnych centrów przetwarzania danych ani metod oceny ryzyka? Czy w takim wypadku ma zrezygnować z oceny poziomu ryzyka przedsięwzięcia i podjąć decyzję jedynie na podstawie przesłanek finansowych? Może powinien jednak zlecić przeprowadzenie audytu i analizy specjalizowanej firmie konsultingowej? Czy istnieje jakieś inne, a przy tym sprytne rozwiązanie tej sytuacji? Odpowiedź brzmi: TA. Wykorzystać można model oceny ryzyka infrastruktury systemów informatycznych, uproszczony tak, by każdy mógł z niego skorzystać. Narzędzie można zastosować zarówno na etapie prac koncepcyjnych, jak i utrzymaniowych. Jest ono oparte na ważonych ocenach podstawowych czynników ryzyka, mogących mieć krytyczny (), ważny (5), średnio ważny (1) i mały (1) wpływ na ciągłość i stabilność pracy systemów serwerowych. W ankiecie należy udzielić właściwej odpowiedzi na postawione pytanie i jej wartość wpisać we właściwą rubrykę (patrz tabela). 2

3 Tabela 1 - kolumny A i B służą do oceny audytowanych rozwiązań POBIERZ ARUSZ ALULACYJNY Budynek Lokalizacja i konstrukcja budynku oraz pomieszczenia serwerowego ma istotne znaczenie dla oceny bezpieczeństwa systemów IT. Zarówno zastosowane rozwiązania konstrukcyjne, jak i organizacyjne wpływają na ekspozycję infrastruktury na ryzyko przypadkowego uszkodzenia, kradzieży czy sabotażu. Lokalizacja Obiekt położony jest na terenie zalewowym, poniżej poziomu zalania nie tak Przestrzeń serwerowa znajduje się na poziomie poddasza Przestrzeń serwerowa znajduje się w zwykłym pomieszczeniu biurowym. Wejście do pomieszczenia z serwerami możliwe jest z ogólnodostępnego ciągu komunikacyjnego. 1 tak nie 1 1 tak nie 1 5 tak nie 5 lub części infrastruktury IT. Jedynym zabezpieczeniem wejścia do przestrzeni z serwerami jest zamek mechaniczny. Dostęp do serwerowni nie jest zabezpieczony kartą elektroniczną i/lub skanowaniem biometrycznym. Nie jest prowadzony dziennik dostępu do serwerowni co uniemożliwia odtworzenie historii wejść. suma 7 Dostęp nie nie 5 tak nie 5 1 nie nie 5 tak nie 5 suma 1 Obiekt w którym znajduje się serwerownia nie posiada wydzielonych stref bezpieczeństwa (strzeżonego wjazdu na posesję, autoryzacji dostępu do budynku, autoryzacji dostepu do serwerowni, klatek, szaf z zamkami); (tak - nie posiada stref; nie - posiada strefy;) 1 tak nie 1 Serwerowania wyposażona jest w dedykowaną instalację CCTV monitorującą zarówno ciągi komunikacyjne jak i sprzęt IT. 5 tak nie 5 Brak systemu zabezpieczenia przeciwpożarowego serwerowni suma 6 Rozwiązania p.pożarowe / gaszenia pożarów nie nie System gaszenia jest inny niż gaszący gazem obojętnym (tak - inny; nie - taki sam;) 5 tak nie 5 Czy jest centralny system zarządzania budynkiem (w tym serwerownią) suma 5 Zarządzanie budynkiem 1 tak nie 1 Czy jest zintegrowany system alarmowy z systemem zarządzania warunkami środowiskowymi 1 tak tak suma

4 Systemy środowiskowe i energetyczne Zastosowane rozwiązania infrastruktury zasilająco-chłodzącej implikują stabilność systemów IT. Zastosowane rozwiązania mają wpływ na ryzyko przedwczesnego uszkodzenia sprzętu i pojawienie się nieprzewidzianych budżetem wydatków. Czy serwer(y) posiada(ją) rozwiązanie podtrzymujące napięcie zasilające? Czy przeprowadzane są regularne testy i wymiany baterii jednostek UPS obsługujących serwery? Energetyka nie nie 1 nie nie 1 1 Czy infrastruktura serwerowa zasilana jest z dwu niezależnych linii energetycznych? Czy serwerownia dysponuje własną niezależną rozdzielnią energetyczną? Czy obiekt w którym znajduje się serwerownia posiada własną stację przetwarzania prądu? Czy systemy energetyczne budynku posiadają generatory energii elektrycznej? Czy monitoruje się stan i jakość zasilania energią elektryczną serwerów? 5 nie nie nie tak 5 1 Czy środowisko w którym znajdują się serwery jest chłodzone poprzez rozwiązania klimatyzacyjne? suma limatyzacja tak nie Stosowane rozwiązanie klimatyzacyjne jest rozwiązaniem dedykowanym dla IT, utrzymującym stabilną temperaturę w zadanym zakresie (np. 21 C±3) W serwerowni stosuje się rozwiązania zarządzania strugami chłodu i ciepła (np. zimne korytarze). System chłodzenia jest systemem z nadmiarowością nie tak 5 suma Operacje Opracowane i prawidłowo zaimplementowane standardy operacyjne budują bezpieczeństwo środowiska w jakim odbywa się praca systemów IT. Bez standardów zwiększa się ilość jednostkowych ryzyk i prawdopodobieństwo ich materializacji, także w obszarze wycieku wrażliwych danych. Rutyny Brak regularnych testów instalacji p.poż nie tak Harmonogramy patroli ochrony w ramach obiektu i na zewnątrz. Okresowe audyty (wyposazenia i zgodności z procedurami) wykonywane 1 tak nie 1 1 tak nie 1 suma Dodatkowe Specjalizowana ochrona dedykowana do obiektu (łącznie z serwerownią) 1 tak nie 1 Obowiązek podpisania kaluzuli dot. poufności dla wszystkich osób mających dostęp do serwerowni. systemy zarządzania bezpieczeństwem informacji.) Obecność inżynierów czuwających nad obiektem 24/7 5 tak nie 5 1 nie nie tak nie 1 suma

5 Strategia Ryzyka występują także w warstwie strategii. Źle zwymiarowane środowisko infrastruktury IT jest trudne do rozbudowy, a przy takiej próbie generuje bardzo wysokie koszty inwestycyjne. Brak systematycznego pomiaru parametrów takich jak np. PUE, lub doskonalenia stosowanych standardów Rozbudowa obiektu i infrastruktury Czy jest możliwość szybkiego pozyskania dodatkowej przestrzeni kolokacyjnej? Np. Czy można w ciągu jednego kwartału rozbudować przestrzeń kolokacyjną o 5%? Dostarczana do obiektu moc elektryczna posiada wolny zapas na dalszy rozwój systemów IT i rozwiązań klimatyzacyjnych? Rozbudowa będzie wymagać uzyskania dodatkowych pozwoleń budowlanych? Rozbudowa będzie wymagaćzatrudnienia specjalizowanych dostawców? Czy obiekt posiada dostęp do skalowalnego przyłącza telekomunikacyjnego? 1 tak nie 1 1 tak nie tak nie 5 suma 81 Standardy Czy obiekt przechodzi regularne upgrade rozwiązań? 5 tak nie 5 suma 5 PUE Regulanie mierzy się i przeprowadza wyliczenia wskaźnika PUE Wartość wskaźnika PUE jest powyżej 2, 1 nie nie nie nie suma Rozwiązania Zastosowane rozwiązania, które są dostępne w miejscu przetwarzania mają wpływ na poziom ryzyka operacyjnego. Ryzyko najczęściej występuje tu w czasie usuwania uszkodzeń, lub przywracania działania systemów, i ma impakt na czas niedostępności usług, lub zwiększony nakład pracy potrzebny na wykonanie nieprzewidzianych prac. IT&Telco Czy jest dostępne rozwiązanie centralnego backupu danych? 1 5 nie tak 5 Czy obiekt podłączony jest kilkoma niezależnymi łączami telekomunikacyjnymi? Czy w obiekcie znajdują się dedykowane punkty krosowań? 5 nie tak 5 1 Przestrzeń kolokacyjna jest wyposażona w rozwiązanie podniesionej podłogi w której znajduje się kablowanie i system nawiewu powierza od dołu. 5 nie tak 5 suma

6 Na podstawie udzielonych odpowiedzi zliczają się wartości poszczególnych ryzyk, by na końcu przedstawić sumaryczny wynik ryzyka dla analizowanych scenariuszy. Wyjątkiem są te elementy, dla których waga wynosi. Jeśli ryzyka krytyczne () pojawiają się w analizie, oznacza to, że w danym obszarze oceniane rozwiązanie nie spełnia podstawowych wymagań i stan taki należy traktować jako krytyczny, wymagający natychmiastowej reakcji. Aby to narzędzie oceny ryzyka mogło być wykorzystane także w wypadku porównywania alternatywnych scenariuszy, obok miejsca na ocenę pierwszego rozwiązania (kolumna A) przygotowano miejsce na wpisanie oceny drugiego (porównywanego) rozwiązania (kolumna B). Po dokonaniu oceny obu rozważanych wyborów istnieje możliwość ich porównania i wizualizacji na wykresie radarowym, gdzie przykładowy decydent ma możliwość szybko i precyzyjnie dokonać oceny ryzyka dla alternatywnych scenariuszy kolokacyjnych. Celem oczywiście jest wybór tego, który prezentuje najmniejszy poziom ryzyka. Wynik A to rezultat korzystania z podatnego na zagrożenia i częste awarie rozwiązania kolokacyjnego. Mimo małego ryzyka w obszarze operacji i strategii, przedstawiony scenariusz będzie generował wysokie koszty związane z utrzymaniem serwerów w stabilnej pracy. Budynek 3 Wynik A Wynik B i energetyczne Strategia Operacja Wynik B wizualizuje rozwiązanie, w którym duże ryzyka są związane z operacjami i strategią, co jest przeszkodą dla wzrostu organizacji. Taki wynik świadczy o istnieniu niewykorzystanego potencjału rozwiązania. PODSUMOWANIE Analizy ryzyka i bezpieczeństwa rozwiązania przeprowadzone za pomocą zaproponowanego narzędzia są dobrym uzupełnieniem do analiz finansowych. Umożliwiają także zdobycie podstawowej wiedzy na temat warunków, w jakich powinny pracować Twoje krytyczne, firmowe systemy serwerowe. Jeśli nie są spełnione, można podjąć decyzję o wprowadzeniu zmian lub o outsourcingu infrastruktury IT do profesjonalnej serwerowni u zewnętrznego dostawcy. 6

7 T-Mobile Polska S.A. ul. Marynarska Warszawa Więcej informacji o usługach: CHWILE, TÓRE ŁĄCZĄ.