CSA STAR czy można ufać dostawcy

Transkrypt

1

2 CSA STAR czy można ufać dostawcy

3 Agenda CSA i OKTAWAVE Wprowadzenie do modelu cloud computing wg NIST Ryzyka, zagrożenia oraz aspekty prawne w modelu cloud computing. Program certyfikacyjny STAR (Security Trust Assurance Registry)

4 Cloud Security Alliance - Organizacja non-profit - Koalicja praktyków, ekspertów, korporacji, stowarzyszeń z obszaru bezpieczeństwa w chmurze - Platforma komunikacji pomiędzy stronami zaangażowanymi i zainteresowanymi bezpieczeństwem chmury - Opracowanie i promowanie standardów oraz najlepszych praktyk w zakresie bezpieczeństwa cloud computing - Edukacja i budowanie świadomości w zakresie bezpieczeństwa cloud computing

5 OKTAWAVE - Platforma infrastruktury na żądanie (IaaS), w ramach której można uruchomić, przetwarzać lub przechowywać dowolne zasoby - stronę WWW, aplikację biznesową, projekt startupowy lub rozwiązanie korporacyjne. - Środowiska serwerowe w chmurze (OCI), - Bezpieczny oraz szybki system przechowywania i przetwarzania danych (OVS, OCS), - Środowiska bazodanowe i aplikacyjne. - Market aplikacji - Coca-Cola, Pajacyk.pl, TUI, Mediporta, Grupa Pracuj.pl

6 Model chmury wg NIST

7 Zarządzanie ryzykiem w chmurze IaaS PaaS SaaS Interfejs Interfejs Interfejs Aplikacja Aplikacja Aplikacja Dzierżawca Oprogramowanie pośredniczące Systemy operacyjne Oprogramowanie pośredniczące Systemy operacyjne Oprogramowanie pośredniczące Systemy operacyjne Dostawca Hypervisor Przetwarzanie i składowanie Hypervisor Przetwarzanie i składowanie Hypervisor Przetwarzanie i składowanie Sieć Sieć Sieć

8 Zarządzanie ryzykiem w chmurze IaaS PaaS SaaS Interfejs Interfejs Interfejs Aplikacja Aplikacja Aplikacja Dzierżawca Oprogramowanie pośredniczące Systemy operacyjne Oprogramowanie pośredniczące Systemy operacyjne Oprogramowanie pośredniczące Systemy operacyjne Dostawca Hypervisor Przetwarzanie i składowanie Hypervisor Przetwarzanie i składowanie Hypervisor Przetwarzanie i składowanie Sieć Sieć Sieć

9 Zarządzanie ryzykiem w chmurze zarządzana przez: w posiadaniu: umieszczona : Dostępna i wykorzystywana przez : Publiczna Dostawca (Third Party Provider) Dostawca (Third Party Provider) Na zewnątrz (Off-Premise) Niezaufana strona Prywatna/ Współdzielona Lub Organizacja Organizacja Wewnątrz (On-Premise) Zaufana strona Dostawca Dostawca Na zewnątrz Hybrydowa Zarówno Organizacja jak i Dostawca Zarówno Organizacja jak i Dostawca Zarówno Wewnątrz jak i Na zewnątrz Zarówno Zaufana i Niezaufana strona

10 Migracja do chmury Krok 1 co przenosimy Usługi, procesy, dane, aplikacje Krok 2 co chronimy Poufność, dostępność, integralność Krok 3 zgodność Normy, regulacje, standardy Krok 5 ocena ryzyka Krok 6 - architektura Krok 9 - umowa Krok 10 - uruchomienie Uruchomienie usług w wersji produkcyjnej Czas, koszty, kary vs korzyści Analiza modelu chmury i dostawcy Komunikacja, prawo do audytu, odpowiedzialność Krok 4 jak chronimy Ludzie, procesy, technologia Krok 7 - Środowisko Konfiguracja, kopie zapasowe Krok 8 - testy Wydajność, bezpieczeństwo, funkcjonalność Krok 11 - współpraca Komunikacja, rozwiązywanie problemów, reagowanie na incydenty

11 Działania operacyjne CSA Guidance v.3.0 Architektura chmury Nadzór i zarządzanie ryzykiem Prawo i informatyka śledcza Zgodność i audyt Zarządzanie informacją i ochrona danych Przenaszalność i interoperacyjność Zarządzanie ciągłością i plany awaryjne Centrum danych i zarządzanie operacjami Zarządzanie incydentami Bezpieczeństwo aplikacji Zarządzanie w chmurze Szyfrowanie i zarządzanie kluczami Zarządzanie własnością, tożsamością i dostępem Wirtualizacja Security as a Service SP R3/R4 cloudsecurityalliance.org/guidance

12 Open Certification Framework

13 CSA STAR w OKTAWAVE - SPRZEDAŻOWY I MARKETINGOWY Przewaga nad konkurentami sprzyjająca rozwojowi organizacji. Większa pewność klientów związana z bezpieczeństwem danych w chmurze obliczeniowej. - ZARZĄDCZY Dzięki certyfikatowi wzrasta świadomość pracowników w obszarze bezpieczeństwa informacji. Sprzyja to stałemu i wspólnemu usprawnianiu procesów w organizacji. - OPERACYJNY Udoskonalone zarządzenie ryzykiem. Określenie słabych stron wymagających uwagi. Identyfikacja i ochrona kluczowych procesów biznesowych przed zagrożeniami i konsekwencjami zdarzeń. - PRAWNY Zapewnienie zgodności działań z przepisami prawnymi. Lepsze zrozumienie i spełnienie oczekiwań klienta.

14 DZIĘKUJĘ ZA UWAGĘ bezpiecznachmura Cloud Security Alliance Polska 14