Tento text vznikl na základě přípravy na konferenci Trendy v internetové bezpečnosti 2011 , kde Ivan Kutil (autor článku) přednesl svůj příspěvek s názvem “Ohrožuje cloud computing citlivá data ve firmách?” — Filip Hráček
Cloud computing je v posledních letech velmi často skloňované téma mnoha IT odborníků. Samotné definice se různí a jsou proměnlivé v čase. Pro naše potřeby použijme verzi od Národního institutu standardů a technologií [1], jejíž verze ve volném překladu definuje cloud computing jako způsob poskytování sdílených škálovatelných zdrojů (výpočetní kapacita, úložiště, služby, aplikace,...), k nimž je přistupováno skrz síť a které jsou uživateli k dispozici ihned na vyžádání.
Cloud computing přináší řadu výhod, nejčastěji se mluví mluví o dvou oblastech - snižování nákladů a zvyšování efektivity . Oproti běžnému řešení IT nemusíte vlastnit servery a jiný hardware, který je často spojen s vysokými pořizovacími náklady a pozdějšími provozními náklady (správa, aktualizace, zálohování). Zvýšení efektivity se projevuje zejména při práci v týmu, kdy můžete společně pracovat na jedné verzi dokumentu. Veškeré soubory jsou navíc vždy k dispozici a nezáleží na tom zda se k nim připojujete ze svého domácího počítače, pracovního notebooku, mobilního telefonu na cestě nebo z tabletu v době schůzky.
Společnost Google na trhu Cloud computingu pro firemní využití působí zejména s produktem Google Apps , což je sada nástrojů pro komunikaci a spolupráci.
Tento nový přístup k řešení informatiky je především kompletní změnou paradigmatu, která s sebou nese i nutnou změnu myšlení. Při každé větší změně se objevuje plno otázek, které je třeba zodpovědět. Zde se otázky týkají hlavně dat, která už nejsou uložena lokálně uvnitř firmy, ale mimo ni u poskytovatele:
Kde se budou nacházet moje data?
Nemůžou se dostat ke konkurenci?
Budou ve větším bezpečí, než když je budu mít pod stolem?
Jde o zcela ospravedlnitelné obavy, ale nejde o nic neobvyklého a najdeme analogie i v minulosti - dnes už si také nedovedeme představit ukládání veškerých úspor doma “pod postel ”. Svěřujeme je raději bankám, protože za nás řeší ochranu a navíc nám díky pobočkám a bankomatům umožňují přístup k penězům nejen z domova. Nacházíme se v době tzv. informační společnosti, kdy informace hrají velmi důležitou roli a proto je logické, že se o ně bojíme.
Cílené interní úniky dat
Ač si to většina majitelů firem neuvědomuje, k nejnebezpečnějším ohrožením nepatří internetové útoky z venku, ale interní úniky dat - konkrétně prostřednictvím zaměstnanců. Denně mají přístup k datům, znají jejich hodnotu, umějí s nimi naložit a v případě ukončení pracovního poměru jsou schopni zkopírovat si je např. na USB flashdisk. Podle statistik společnosti GFI Software [2], 48% zaměstnanců připouští variantu, že by si při odchodu vzalo důvěrné firemní informace . To můžou udělat nejen jako pomstu, ale např. při zakládání nové firmy - cenné kontakty se do začátku mohou hodit. Dále vzpomeňme na nedávnou aféru WikiLeaks spojenou s únikem tajných vládních dokumentů. Ty se nedostaly na veřejnost cestou nabourání serverů z venku, ale interním únikem.
Může Cloud tomuto typu úniku zabránit? Částečně ano - pokud je zaměstnanec propuštěn, dokáže majitel firmy takřka ihned odebrat přístupová práva k nejdůležitějším dokumentům a emailové schránce. Jelikož se data neuchovávají na koncových zařízeních, není možné aby si je zanechal u sebe. Do budoucna lze jistě očekávat pokročilé řízení přístupu. Již dnes mohou administrátoři v Google Apps sledovat statistiky např. o využívání typů souborů.
Obr.1 Vizualizace počtu prohlížených a vytvořených dokumentů dle typů
Náhodné interní úniky dat
Druhou kategorii interních úniků dat, jsou ty způsobené lidskou chybou a nechtěným jednáním. Mezi nejčastější projevy patří ztráty fyzických zařízení. Dle RSA [3] až 79% zaměstnanců opouští pracoviště s daty na USB , laptopu nebo smartphonu. Flashdisky se díky svým malým rozměrům často ztrácí - stejná statistika RSA [3] hovoří o tom, že se to stalo každému desátému uživateli.
Další rizikovou skupinou jsou notebooky. Mediaresearch společně s Intelem [4] provedli průzkum mezi 226 českými firmami. Ztrátu notebooku zaznamenalo 45% dotazovaných firem , z nichž většina považuje za větší nebezpečí ztrátu dat než ztrátu samotného zařízení. Hodnota pohřešovaného zařízení byla v průměru odhadnuta na 35 795 Kč, kdežto hodnota ztracených dat na 180 909 Kč.
K dalšímu běžnému chování zaměstnanců patří odesílání souborů na soukromé emailové adresy. Toho se dopouští až 64% zaměstnanců, z nichž většina své chování obhajuje tvrzením, že k dokumentům chtějí mít přístup i z domova [3].
I zde Vám Cloudové řešení může pomoci. Pokud si ukládáte soubory na jedno místo (např. do Google Dokumentů), nepotřebujete soubory přenášet a minimalizujete tím množství koncových zařízení, na kterých jsou uloženy. Můžete definovat pravidla přístupu v podobě minimální délky hesla nebo dvoufaktorové autentizace, kdy se uživatel přihlašuje podobně jako do internetového bankovnictví prostřednictvím kódu z mobilního telefonu. Problematika je více rozepsána v článku o bezpečnosti Google Apps.
Závěr
Cloud computing tedy nepřináší jen snižování nákladů a zvyšování efektivity, ale i bezpečnější přístupu k datům. Ač se můžeme dočíst o výpadcích, často se jedná jen o zkreslený úhel pohledu. Dostupnost Gmailu byla v loňském roce 99,984% a ruku na srdce zda je takto dostupný i Váš IT systém. Žádná z technologií není stoprocentní, jde jen o správné nastavení procesů pro eliminaci rizik spojených s výpadkem a definici postupů a chování v době po incidentu.
Mediální atraktivita výpadků Cloudových řešení lze velmi dobře srovnat s leteckou dopravou, která patří ke statisticky nejbezpečnějším typům přepravy, ale jakýkoliv pád letadla budí velkou pozornost vzhledem k velkým škodám, které napáchá. Oproti tomu smrtelné automobilové nehody se dějí všude a neustále a takový rozruch už nebudí. Podobně je tomu u Cloudu - když se něco stane, budí to okamžité mediální reakce, ale o tom že lokálních výpadků a ztrát dat je ve stejnou dobu mnohem více, se už nikde nepíše.
Jedinou cestou při změně paradigmatu je změna našeho myšlení.
Zdroje
[1] http://csrc.nist.gov/groups/SNS/cloud-computing/cloud-def-v15.doc
[2] Robert Houser, Desatero uživatele IT: V roce 2011 budu žít opět nebezpečně!, Securityworld, 1/2011
[3] Jsou zaměstnanci opravdu bezpečnostním rizikem?, Securityworld 4/2008
[4] http://channelworld.cz/sluzby/mediaresearch-a-intel-45-firem-v-cr-zaznamenalo-ztratu-notebooku-3367
Ivan Kutil (@codeas )
Autor působí ve firmě AppSatori jako architekt Google služeb
2 komentáře :
Ta analogie s bankou mi přijde poněkud nešťastná... Bance svěřujeme peníze, ta se nám o ně stará, ale zároveň je i investuje a poskytuje dalším lidem, sem tam je někdo ztratí nebo ukradne... pokud s tímhle chce někdo srovnávat cloud tak se nemůže divit, že mají lidi obavy o bezpečnost dat...
SendiMyrkr: V tom srovnání jde předpokládám především o princip možnosti přístupu k penězům x datům - tedy odhmotnění. Navíc je s tím spojená specializace poskytovatele - srovnatelné zabezpečení bank a data center. Rozhodně ale nejde o srovnání business modelu banky a cloud providera.
Okomentovat