Prinášame vám ďalší článok, ktorý sa venuje bezpečnosti cloudov. V predchádzajúcich článkoch sme hovorili o tom, že faktor zdieľania zdrojov poskytovaných a využívaných vo forme cloud služieb môže mať ekonomický prínos (Economy of the Scale). Zároveň však prináša zdieľanie zodpovednosti za správne a bezpečné používanie cloud služieb. Nielen poskytovateľ cloud služby je zodpovedný za jej bezpečné prevádzkovanie, ale aj odberateľ má povinnosť dodržiavať isté pravidlá bezpečného správania sa v cloudovom prostredí. Nevhodné, alebo nezodpovedné používanie cloudových zdrojov a služieb môže mať dopad na bezpečnosť či už používania cloudových služieb, alebo spracovania citlivých dát v cloudovom prostredí. Rovnako ako nezodpovedné správanie sa v živote, aj nezodpovedné správanie sa v cloudovom prostredí nás vystavuje riziku.
V predchádzajúcich článkoch sme si pripomenuli niektoré vybraté základné bezpečnostné požiadavky, pričom predpokladáme, že ich cloud služby majú, napríklad:
- miesto uloženia a spracovania dát je len v dohodnutých dátových centrách alebo lokalitách (napr. v rámci Európskej únie),
- je nasadené vhodné a dostatočné oddelenie (segregácia) dát rôznych odberateľov cloud služieb,
- cloud umožňuje kontrolovateľný a neobmedzený prístup k vypublikovaným dátam a službám,
- vlastnosti cloud služieb preukazujú súlad s požiadavkami legislatívy a regulátorov ak je takýto súlad požadovaný,
- cloudová služba má schopnosť zabezpečiť dostupnosť, integritu a dôvernosť dát, napríklad využitím techník
- šifrovania (zamedzenia čitateľnosti dát pre toho, kto nemá prístup k šifrovaciemu kľúču)
- riadenia prístupu k dátam (len oprávnený používateľ uvidí dáta, aj to len tie, na ktoré má povolenie)
- auditovania (získavanie záznamov o tom, čo sa s dátami stalo – stopovanie/trekovanie)
- redundancie (vytváranie tieňových služieb, ktoré sú schopné prevziať úlohu primárnej služby ak z akýchkoľvek dôvodov vypadne, alebo sa stane nedostupnou)
- cloudová služba má schopnosť manažovať a monitorovať služby aplikácií v cloude s cieľom predchádzať neželaným výpadkom, alebo rôznym prevádzkovým a bezpečnostným incidentom
V ideálnom prípade cloudová služba spĺňa všetky, alebo väčšinu vyššie spomenutých bodov technicky aj zmluvne, a zároveň má zákazník možnosť to aj skontrolovať. Avšak v skutočnosti nie vždy je možné jednoducho splniť všetky body. Niektoré môžu byť extrémne nákladné alebo pre danú službu nedostupné. Potom má zákazník dve možnosti, buď od zmluvy odstúpiť, alebo nájsť náhradné riešenie, resp. inú cestu. Alternatívnou možnosťou ako sa vysporiadať s nesplnením vyššie uvedených požiadaviek – pokiaľ sú z rôznych dôvodov povinné – je transformovať ich do riadenia rizík používania tej-ktorej cloudovej služby. Avšak, v niektorých prípadoch, kedy dochádza k spracovávaniu alebo ukladaniu dát s nízkou úrovňou citlivosti v cloude, nie je nevyhnutné aby daná cloud služba všetky vyššie uvedené požiadavky spĺňala.
Najmä pri spracovávaní citlivejších informácií nie je možné od niektorých požiadaviek upustiť. Pokiaľ požadované bezpečnostné funkcie aplikácia alebo služba v cloude nemá, ani nie je možné ich na požiadanie doplniť, a zároveň nie je možné konkrétnu cloudovú službu nepoužívať, potom riziko takéhoto – nie úplne bezpečného – použitia cloudovej služby treba identifikovať a zhodnotiť jeho možný dopad pre prípad, ak by sa zhodou okolností materializovalo, t.j. stalo sa reálnym (veľmi podobne, ako pri výbere stravovacieho zariadenia hodnotíme aká je jeho úroveň a kvalita, pretože sa nechceme jedlom priotráviť, resp. ak nám lekár prikáže dodržiavať diétu, hľadáme stravovacie zariadenie, ktoré požiadavky spĺňa).
Tým, ako identifikovať hrozbu, následne rozpoznať riziko ktoré z hrozby vyplýva, vyhodnotiť pravdepodobnosť toho, že sa hrozba naplní a riziko sa pretaví do určitého dopadu sa zaoberá metodika riadenia rizík. Cieľom tohto článku nie je zahĺbiť sa do metodiky samotnej, ale poukázať na niektoré najčastejšie sa vyskytujúce riziká používania cloud služieb, s ktorými sme sa mali možnosť stretnúť a zhodnotiť možnosti minimalizácie dopadov týchto rizík (risk mitigation).
Napriek tomu, že sa tento článok nevenuje metodike riadenia rizík, pre potreby pochopenia možnej rizikovosti používania cloud služieb je nutné spomenúť niekoľko dôležitých pojmov, bez ktorých sa pri identifikácii rizík a ich možných dopadov nezaobídeme:
Citlivosť dát
Dáta – v závislosti od ich povahy alebo obsahu – majú rôznu úroveň citlivosti. Niektoré sú verejne prístupné, iné sú predmetom tajomstva. Poznáme niekoľko úrovní citlivosti dát:
- Verejné – dáta, ktoré nie sú citlivé, každý môže mať k nim prístup
- Interné – dáta, ktoré sú dostupné uzavretej spoločnosti alebo skupine, napr. vnútro-firemné informácie, ktoré sú dostupné všetkým zamestnancom, avšak na verejnosť nepatria
- Citlivé – dáta, ktoré sú predmetom ochrany, väčšinou sú k dispozícii len definovaným oprávneným osobám a ich prezradenie môže spôsobiť napríklad prezradenie obchodného tajomstva, poškodenie dobrého mena, alebo sa môže jednať o údaje, ktoré sú predmetom ochrany zo zákona ako napríklad zákon o ochrane osobných údajov (Zák 18/2018 z.z.) alebo obchodný zákonník a pod.
- Veľmi citlivé – dáta, ktoré sú predmetom utajenia či už z legislatívnych, alebo aj iných dôvodov, môžu mať strategický význam pre spoločnosť, organizáciu alebo záujmovú skupinu. Ich prezradenie môže spôsobiť závažné dopady na ľudí, zdravie alebo majetok
Pri identifikácii rizík je prvoradé pochopiť, s akými dátami máme dočinenia, t.j. dáta ktorej úrovne citlivosti sa v cloud službe alebo aplikácii majú spracúvať. Úroveň citlivosti dát definuje rozsah a mieru ochranných a bezpečnostných opatrení, ktoré má mať cloud služba, pomocou ktorej chceme dáta spracovávať, alebo v ktorej chceme dáta ukladať.
Skôr, ako sa rozhodneme vyžívať konkrétnu cloud službu, je dôležité posúdiť nielen citlivosť dát, ktoré do cloudu vložíme, ale aj bezpečnostné funkcie, ktoré má cloudová služba k dispozícii. Máme na mysli existujúce bezpečnostné funkcie cloudovej služby, ale aj tie, ktoré sme sami schopní ovplyvniť tak, aby bolo celé použitie dostatočne bezpečné (služby, ktoré sami zapneme, alebo inak nastavíme – napríklad nastavenie dostatočne silného používateľského hesla).
Pri hodnotení cloud služby sa môže stať, že zistíme, že ochranné funkcie aplikácie v cloude sú do takej miery nedostatočné, že sa rozhodneme radšej danú službu nepoužívať, než by sme mali podstúpiť príliš veľké riziko, ktoré by mohlo viesť k neprimeraným negatívnym dopadom. Toto sa stáva hlavne pri SaaS službách (viď. SaaS – Software-as-a-Service v článku Cloud – stavebný prvok firiem), ktoré sú stavané tak, že miera možnosti ovplyvniť ich bezpečnosť zo strany odberateľa je takmer nulová.
Príklady rizík cloudových služieb
Názov rizika: Nevyhovujúce umiestnenie dát
Popis:
Dáta spracovávané cloudovou službou sú trvalo umiestnené v dátovom centre, ktorého geografická lokalita nie je vyhovujúca. Jedná sa o uloženie dát v dátovom centre, ktoré je fyzicky umiestnené v krajine s tzv. nedostatočnou úrovňou bezpečnosti (viď. https://dataprotection.gov.sk/uoou/sk/content/prenos-do-krajin-zarucujucich-primeranu-uroven-ochrany)
Návrh na zníženie dopadu rizika:
Pokiaľ je to možné, zmluvne dohodnúť využitie DC umiestneného vo vhodnej lokalite, nemeniteľnosť tohto umiestnenia, a dohodnúť metódu kontroly uplatňovania dohodnutej podmienky. Zároveň technicky zabezpečiť nastavenie využívania vhodného regiónu umiestnenia DC (napr. zvoliť región EU, alebo konkrétne mesto v rámci EU v nastaveniach služby).
Názov rizika: Nedostatočná ochrana dát v úložisku
Popis:
Dáta uložené v permanentnom úložisku cloudovej služby nie sú dostatočne chránené, pretože nie je adekvátne obmedzená ich čitateľnosť.
Návrh na zníženie dopadu rizika:
Ochrana dát v úložisku môže byť zvýšená využitím šifrovania, t.j. metódy utajenia – „znečitateľnenia“ obsahu, ktorá umožní zobraziť dáta v čitateľnom tvare len vtedy, ak je k dispozícii kľúč na rozšifrovanie dát. Existuje viacero možností, ako zrealizovať šifrovanie. Účinnosť ochrany dát šifrovaním je závislá od metódy ochrany samotného šifrovacieho kľúča. Pozn. Pokiaľ vhodným spôsobom neumiestnime a neochraňujeme šifrovací kľúč, metóda je neúčinná. Naviac, zapnutie šifrovania môže mať ďalšie negatívne dopady, napr. zníženie výkonnosti celej aplikácie.
Názov rizika: Nevyhovujúce zálohovanie dát
Popis:
Dáta spracovávané cloud službou nie sú zálohované vôbec, alebo sú zálohované nevhodným spôsobom (t.j. sú prenášané do neschválenej lokality dátového centra, napríklad mimo krajín s dostatočnou úrovňou bezpečnosti)
Návrh na zníženie dopadu rizika:
Toto riziko je možné minimalizovať zvolením vhodnej stratégie zálohovania. Pri voľbe spôsobu zálohovanie je dôležité určiť frekvenciu a rozsah zálohovania, vhodné umiestnenie zálohy a spôsob a frekvenciu testovania kvality a spôsobilosti, resp. platnosti zálohy.
Zálohovanie môže byť v niektorých prípadoch dizajnovou súčasťou cloud služby, čo znamená, že spôsob a frekvencia zálohovania je prirodzenou súčasťou služby samotnej (ponúka ju dodávateľ cloudu), len je potrebné ju zapnúť, t.j. inicializovať vykonávanie zálohovania, poprípade zvoliť frekvenciu a miesto uloženia. V takomto prípade vykoná zálohu poskytovateľ v súlade s dohodnutými alebo zvolenými parametrami. Zároveň je dôležité ukotviť spôsob a metódu zálohovania v zmluvných podmienkach, rovnako ako aj metódu kontroly platnosti zálohy.
Život s cloudovými službami má svoje riziká. V článku sme zhrnuli základné požiadavky na cloud z pohľadu bezpečnosti a to, že nesplnenie našich požiadaviek prináša riziká. Riziká je možné zmierňovať, alebo s nimi žiť. Pre lepšie pochopenie rizík v cloude sme priniesli niekoľko príkladov rizík cloud služieb.
Kolotoč zmien v cloud službách je skutočne veľmi rýchly, a zmeny sa realizujú so skutočne vysokou frekvenciou. Avšak, nie všetky zmeny sú užitočné a prínosné. Niektoré zmeny sú do takej miery nevyhovujúce, že prinášajú potrebu cloud službu opustit. Rovnako ako na rizikovosť cloud prostredia je potrebné byť pripravený aj na potrebu z tohto prostredia odísť, t.j. mať pripravenú tzv. exit stratégiu, alebo exit plán. A tejto téme sa budeme venovať v nasledujúcej časti miniseriálu.
Vyjadrite váš názor v komentároch