Prečo sa cloud podobá olympijskému bazénu? (4.časť miniseriálu)

Predchádzajúci článok (Cloud – stavebné prvky a hranice zodpovednosti) približuje stavebné prvky cloudu, ktoré je možné využiť v súlade s našimi potrebami využiť služby, ktoré cloud prostredie poskytuje. Niekedy potrebujeme využiť len infraštruktúrne služby, t.j. pamäťový a procesorový výkon, alebo úložisko, inokedy je potrebné využiť skôr komplexnejšie služby. V závislosti od typu zapojených  služieb sa posúva hranica zodpovednosti za využitie služieb, ich nastavovanie, ale aj iniciovanie bezpečnostných funkcií buď smerom k odoberateľovi služby (ten kto službu čerpá je zodpovedný za jej bezpečné nastavenie), alebo smerom k poskytovateľovi (zodpovedný je poskytovateľ) 

Napr. v prípade prenájmu jedného virtuálneho počítača je bezpečnosť nastavenia a prevádzky budúceho riešenia alebo aplikácie v našich rukách. Ak však odoberáme celú hotovú službu (napríklad emailové služby), potom veľká časť zodpovednosti za prevádzku, riadenie a bezpečnosť služby prechádza na poskytovateľa. Avšak, v našich rukách zostane analýza funkčnosti a bezpečnosti služby, a riadenie prístupov a práce našich používateľov. Zároveň však je nevyhnutné počítať s tým, že poskytovateľ predáva a teda poskytuje rovnaký systém alebo službu viackrát. Potom je potrebné mať na pamäti, že priestor, ktorý využívame leží v oveľa väčšom a zároveň zdieľanom bludisku informačno-komunikačných technológii. Tým, že sa rozhodneme používať cloud službu v zdieľanom prostredí, sa zároveň spoliehame na správnosť využívania zdieľaného priestoru, pretože klient/odberateľ služby, teda nikto z nás, nevie úplne overiť funkčnosť a bezpečnosť tohoto priestoru. To, čo je možné pochopiť, je spôsob zdieľania systémových priestorov v cloude, ktorého architektúra je štandardizovaná a opakuje sa pre rôzne cloudové služby (štandardizované služby nazývame aj „servisný katalóg“).  Toto poznanie nás bude sprevádzať v ďalších článkoch, kde sa budeme postupne zaoberať riadením rizík spojených s používaním služieb v cloude.

Požiadavky na bezpečnosť Cloud služieb

Aby bolo možné pokryť vyššie uvedené okruhy, je potrebné uvedomiť si, čo je našim cieľom, prečo stojíme pred rozhodnutím používať, resp. nepoužívať konkrétnu Cloud službu, aký je účel jej využívania.

Najčastejšou motiváciou využívať Cloud služby je predpoklad ich nízkej obstarávacej ceny.

Jednoznačne najvyššou hodnotou, ktorú treba mať na zreteli pri posudzovaní kvality Cloud služby z pohľadu bezpečnosti sú informácie (dáta) a miera ich citlivosti, ktorá priamo definuje potrebu ich väčšej alebo menšej ochrany. Platí premisa: „Čím citlivejšie dáta, tým je požiadavka na ich ochranu silnejšia.“

Dáta uložené alebo spracovávané v Cloude sú dislokované, teda sú mimo našej kontroly z pohľadu ich fyzického umiestnenia. Ich ochrana musí byť aspoň taká dobrá, ako keby boli umiestnené „doma“, ak nie vyššia. Paradoxom je, že v niektorých Cloud prostrediach je skutočne možné mať k dispozícii také bezpečnostné funkcie, ktoré nám zabezpečia vyššiu mieru ochrany v porovnaní s domácim dátovým centrom (DC).

Prečo je to tak?

Najčastejšie z ekonomických dôvodov. Tu sa ukazuje jeden z hlavných prínosov faktoru „zdieľania“: finančné náklady náročných bezpečnostných funkcií, ktoré sú ekonomicky neúnosné pre jedného zákazníka, sa rozdelia medzi tých, ktorí službu zdieľajú. Vďaka tomu sa pre odberateľov služby stane dostupnejšia, a jej využitím získajú bezpečnostný prvok, ktorý si „doma“ dovoliť nemôžu.

Aké sú teda požiadavky na bezpečnosť?     

1. Bezpečnosť uloženia alebo spracovania dát v Cloude musí byť porovnateľná, alebo vyššia ako v  domácom dátovom centre (on-prem)
2. Dáta majú byť uložené alebo spracovávané v dátových centrách, ktorých fyzické umiestnenie je v krajinách s dostatočnou úrovňou ochrany[2]
3. Dáta jedného odberateľa majú byť primerane (v závislosti od ich citlivosti) oddelené, presnejšie: izolované od ostatných odberateľov. Cieľom tejto požiadavky je zamedziť neoprávnenému zdieľaniu alebo miešaniu dát rôznych zákazníkov (detaily viď nižšie: Izolácia dát v Cloude)
4. Prístup k dátam má byť riadený a kontrolovateľný. K dispozícii majú byť také opatrenia, vďaka ktorým je možné zabezpečiť, aby sa k dátam dostal len oprávnený používateľ, poprípade len z presne určeného zariadenia (vizualizácia viď Obr. 1 a 2 – turnikety pre vstup do bazéna)
5. Poskytovateľ Cloud služby musí byť schopný preukázať sa výsledkami hodnotenia bezpečnosti jeho služieb vykonané treťou stranou – akreditovaným subjektom (bezpečnostný audit, penetračný test, certifikát o súlade s normami ako sú ISO/IEC 27001 a 27018, EUMC, GDPR a pod.)
6. Poskytovateľ cloudovej služby musí byť schopný zabezpečiť súčinnosť v prípade potreby službu opustiť, a to najmä vrátenie dát zákazníkovi, korektné vymazanie dát z prostredí Cloud služby a vierohodné doloženie skutočného stavu odstránenia dát odberateľa z úložísk poskytovateľa
7. Cloudová služba musí byť poskytovaná v súlade z legislatívnymi požiadavkami v relevantných prípadoch
8. Cloudový poskytovateľ musí poznať dostupnosť svojich, cloudových služieb (napr. hodnota miery dostupnosti v percentách) vrátane zálohovania dát, prípadne dostupnosť alternatívnych záložných služieb a zdrojov a musí vedieť preukázať deklarované parametre napr. historickými štatistickými ukazovateľmi (príklad zo života: vie poskytnúť ďalší bazén v aqua-parku, ak práve jeden konkrétny nie je v prevádzke)
9. Cloudový poskytovateľ musí mať schopnosť zabezpečiť monitorovacie možnosti a incident manažment (plavčík v Aqua-parku)

          Pozn. zoznam nie je úplný, vybraté sú najfrekventovanejšie  požiadavky

Plnenie vyššie uvedených požiadaviek samozrejme nemusí byť 100%-né. Avšak, nesplnené požiadavky sa následne pretransformujú do rizík používania tej-ktorej Cloud služby. V niektorých prípadoch, kedy dochádza k spracovávaniu alebo ukladaniu dát ktorých úroveň citlivosti je nízka, nie je nevyhnutné aby daná Cloud služba spĺňala všetky požiadavky, od niektorých je možné upustiť.

Izolácia dát v Cloude

Požiadavka na izoláciu dát nie je nová, špeciálne v prípade cloudu je veľmi striktná. Osobitný prístup ku izolácii dát je najmä v oblasti tzv. regulovaného biznisu, akým sú napríklad finančné domy.

Čo je to izolácia dát?

Je to schopnosť poskytovateľa cloudovej služby zabezpečiť technologickými alebo aplikačnými funkciami oddelenie dát jedného odberateľa Cloud služby od iného (dáta sa v žiadnom prípade nesmú pomiešať).

Túto požiadavku je možné vizualizovať si napr. pomocou olympijského, plaveckého bazéna, využijeme priblíženie pomocou normálnych plaveckých dráh a plaveckých dráh s do istej miery prehnaným, teda úplným rozdelením, viď Obr. 1 a 2

Kým plavci na obr. 1 sú vďaka prehnaným mantinelom oddelení tak, že prejsť do dráhy suseda môžu len ťažko a za vynaloženia relatívne veľkého úsilia, tí, ktorí sú oddelení len štandardným spôsobom (obr. 2) to až také ťažké mať nebudú.

V jazyku IT sveta: je potrebné vybrať (alebo mať k dispozícii) také technologické alebo aplikačné prostriedky, aby bolo možné zaistiť dostatočne spoľahlivé oddelenie dát. Pričom výber takéhoto prostriedku je ovplyvnený úrovňou citlivosti dát, ktoré potrebujeme spracovávať alebo ukladať v Cloude. Čím citlivejšie dáta, tým striktnejšia technika alebo technológia má byť použitá.   Zároveň platí, že čím striktnejšie oddelenie, tým viac vzrastú náklady za cloudové technológie, pretože bude stále ťažšie tieto technológie zdieľať medzi používateľmi.

Vysvetlili sme si, prečo je dôležité vedieť ako sú dáta uložené a prečo je potrebné mať neustále na pamäti, že cloud je dobrý sluha. Je plný užitočných príležitostí a nástrojov, ktoré nám pomôžu rýchlejšie rozbehnúť biznis za primerané alebo nízke náklady. Avšak neustále je potrebné pamätať si, že systém je založený na princípe akvizície veľkého počtu odberateľov a zdieľania techniky, technológií, priestoru a nákladov. Pre lepšiu predstavivosť sme si predstavili dva príklady, a to úplne oddelené dráhy olympijského bazéna, kde je každý sám za seba, vo svojej vode a vo svojom prostredí, v ktorom si môže robiť čo chce. A na druhej strane normálne plavecké dráhy bežného plaveckého bazéna, kde svojvoľnú činnosť športovca pocítia aj v inej dráhe. Tento princíp na jednej strane môže pomôcť, však na strane druhej môže vytvárať predpoklady pre nové riziká. O rizikách v súvislosti s cloudom si povieme v ďalších dieloch seriálu.

[2] https://dataprotection.gov.sk/uoou/sk/content/prenos-do-krajin-zarucujucich-primeranu-uroven-ochrany