Облачные вычисления: Оценка «облачных» рисков

Безопасно ли использовать общедоступное облако? Это основной вопрос об облачных вычислениях. Однако полный ответ зависит от четкого понимания степени допустимого риска в вашей организации. Понимание того, какой уровень риска является допустимым, зависит от оценки ваших требований к безопасности и насколько ценны ваши информационные активы — данные, приложения и процессы.

Только когда вы полностью уясните эти вопросы, можно принимать обоснованное решение о том, какие модели развертывания и модели предоставления услуг соответствуют вашим потребностям и допустимому риску. Прежде чем принять общедоступную или гибридную модель важно определить свои информационные активы. Любой выбор будет включать в себя как минимум некоторое снижение контроля над тем, каким образом эта информация будет защищена, и где она может находиться (место хранения и юрисдикция). При внутрикорпоративном хостинге и наличии локальных частных облаков требуются дополнительные усилия по организации инфраструктуры облаков.

И не забывайте, что сумма ваших информационных активов не ограничивается информацией или данными. Приложения и процессы могут легко оказаться столь же жизненно важными, как сама информация. Во многих сферах, таких как аналитика и финансы, используемые алгоритмы и программы часто являются собственностью и строго секретными для организации. Их раскрытие может повлечь катастрофические потери для организации.

Оцените свои риски

Начнем с краткого анализа рисков. Необходимо ответить на следующие вопросы:

• Категория угрозы: что может случиться с вашими информационными активами?
• Воздействие угрозы: насколько это может быть серьезным?
• Повторяемость угрозы: как часто это может происходить?
• Фактор неопределенности: насколько вы уверены в своих ответах на приведенные выше три вопроса?

Основная проблема в оценке рисков является неопределенность, выраженная в терминах вероятности. Что действительно нужно знать, так это то, что делать со всем этим (предпринимать контрмеры или минимизировать возможные потери при реализации рисков). После проведения анализа и изучения рисков, можно задать несколько дополнительных вопросов:

• Минимизация последствий рисков: что можно предпринять, чтобы уменьшить риск?
• Стоимость и последствий: во что обойдется минимизация последствий рисков?
• Соотношение стоимости минимизация последствий и получаемых преимуществ: является ли минимизация последствий экономически эффективной?

Нужно понимать, что эти три вопроса в большей степени риторические, когда речь идет об общедоступном облаке, если его сравнивать с частными или гибридными облачными решениями. В общедоступном облаке вы получаете то, за что платите. Провайдеры облачных вычислений частично несут ответственность за ответы на эти три вопроса. Кроме того, эти вопросы также менее актуальны для SaaS-сервисов (Software as a Service), чем для PaaS-сервисов (Platform as a Service), но еще более актуальны для сервиса IaaS (Infrastructure as a Service).

Информационные активы и риски

Главное в рисках — их неопределенность. Это обстоятельство требует чуть более подробно проанализировать информационные активы. Выявление информационных активов может оказаться сложной задачей, особенно с учетом принципа применимого к цифровому контенту принципа «создается один раз, а копируется бесконечно».

Обычная организация редко достаточно надежно контролирует свою информацию. Часто это подразумевает минимальную гарантию того, что не существует других копий того или иного фрагмента данных. С точки зрения защиты цифровых данных это далеко не самый лучший вариант. Однако в большинстве организаций существует много других проблем управления собственными информационными активами.

Планируя перенос информационных активов в облако, нужно быть уверенным к правильности классификации информации по типам. К сожалению, здесь в основном и заключается проблема. Это может быть не так уж и плохо, если наши вычислительные системы принудительно осуществляют маркировку информации, но обычно это не делается. Информационная маркировка в большинстве компьютерных систем основана на реальных процессах физических лиц, которым нужен соответствующий допуск к информации.

В организации такой контроль обеспечивается путем классификации информации и дополнительных соглашений (например, «информация только проекта X»). Существующих мер контроля как правило недостаточно для предотвращения цифрового дублирования и преднамеренной или непреднамеренной утечки информации.

Памятуя триаду факторов безопасности (конфиденциальность, целостность и доступность), можно задаться рядом целевых вопросов об информационных активах вроде того, что может последовать, если:

• Информационные активы будут раскрыты?
• Информационные активы будут изменены внешним субъектом?
• Информационные активы будут подделаны?
• Информационные активы станут недоступными?

Если ответы на эти вопросы вызывают озабоченность в связи с тем, что риск неприемлемо высок, можно решить проблему путем размещения конфиденциальных данных в частном облаке (и избежать новых рисков). Используйте общедоступное облако для хранения конфиденциальных данных, риск потери которых не так критичен. Но реализация частного облака не отменяет необходимости в соответствующих средствах контроля.

В таких условиях есть несколько возможностей:

• За счет сочетания размещения несекретных данных в публичном облаке и развертывания внутрикорпоративных систем для размещения конфиденциальных данных можно сэкономить определенные средства, не повышая уровня риска.
• Там, где использование частного облака не вызывает новых рисков для информационных активов, применение гибридного или публичного облака может создавать новые риски.
• Переход от традиционной модели информационных технологий к модели частного облака может уменьшить риски.

Эти разумные варианты призваны сбалансировать ценность информационных активов и обе модели развертывания и предоставления услуг.

Секретность и конфиденциальность

Помимо этих рисков для информационных активов, бывает так, что переработка, хранение или передача данных должны подчиняться определенным правилам, предписанным регулирующими органами. Когда данные подпадают под такие ограничения, выбор типа облака (будь то частного, публичного или гибридного) зависит от уверенности в том, что поставщик полностью отвечает этим требованиям. В противном случае вы рискуете нарушить требования конфиденциальности, а также законодательные и юридические требования.

Такая обязанность обеспечения безопасного управления данными обычно ложится на арендатора или пользователя. Требование обеспечения информационной безопасности являются очень важными, когда речь идет о конфиденциальности, безопасности бизнеса и государства.

В инфраструктурах облачных вычислений нарушения конфиденциальности происходят достаточно часто, чтобы вызвать озабоченность при использовании какой бы то ни было системы — облачной или традиционной. Это особенно справедливо, когда вы осуществляете хранение, обработку или передачу особо конфиденциальной информации, такой как финансовые или медицинские данные.

В 2010 году было несколько случаев раскрытия конфиденциальной информации, которые произошли в нескольких облачных сервисах, в том числе в Facebook, Twitter и Google. Поэтому забота о неприкосновенности частной жизни в облачной модели не является принципиально новой.

Поскольку аренда облака не избавляет от необходимости брать на себя юридические обязательства по конфиденциальности — в этом смысле никаких отличий от традиционных систем хранения нет. Вы точно так же не станете хранить подобную информацию на сервере, где не предусмотрено надлежащего контроля, как и не выберите поставщика облачных сервисов без проверки того, что они отвечают аналогичным критериям защиты данных при хранении, передаче или обработке.

Это не значит, что политика может требовать вообще исключить какого бы то ни было поставщика внешних служб управления вашей информацией, в том числе облачных. И хотя может складываться ощущение, что компьютер на вашем столе безопаснее, чем тот, который находится в общедоступном облаке, если не предпринимать надлежащих технических и процедурных мер предосторожности при использовании настольного компьютера, его безопасность может быть значительно ниже, чем безопасность облака.

Управление данными

Необходимо осознавать, что безопасность конфиденциальных данных и управления ими — две разных проблемы. В рамках процедуры полной юридической проверки необходимо иметь полное понимание процесса управления конфиденциальностью, а также руководящих принципов обеспечения безопасности поставщиком сервисов.

Обработка информации подчиняется законодательству о неприкосновенности частной жизни. Другие виды бизнес-информации и все, что связано с национальной безопасностью, подчиняется гораздо более жестким правилам и законам. Безопасность государственной информации и процессов ее обработки регулируется строгим и развитым сводом законов, правил и руководств.

Хотя облако представляет собой относительно новую модель, изложенного в этой статье достаточно, чтобы понять, что никакая секретная информации не должна храниться в общедоступном облаке. Вызывают озабоченность другие государственные структуры, которые не работают с конфиденциальными или секретными данными.

Достаточно сказать, что при изучении возможности использования общедоступного облака существует много различных и самостоятельных сфер деятельности — от правительств государств до местных органов власти. Так как размер и количество уровней в государственных структурах значительно, более разумным кажется использование ряда «коммунальных» облаков — это позволяет избежать применения публичных облаков и связанных с ними проблем.

С другой стороны, если государственные структуры используют публичное облако, то этот сервис должен в полной мере отвечать интересам арендатора и обеспечивать выполнение всех правил и заонов. Вполне возможно, что арендатор может реализовать дополнительные меры контроля безопасности, которые отвечают нормативным или законодательным требованиям, даже если лежащие в основе облака общедоступные IaaS- или PaaS-сервисы не полностью отвечает этим требованиям.

Однако вы должны понимать, что набор дополнительных средств управления, которые могут добавляться арендатором, ограничен и не всегда позволяет закрыть пробелы в некоторых публичных облачных сервисах. Какую бы модель облака вы не выбрали, не упускайте из виду вопросы безопасности.