Dane w chmurze: 5 porad dla początkujących

Przeczytaj także: Europa w cyberzagrożeniu: złośliwe oprogramowanie spada z chmury

Co łączy firmy Apple, Amazon i Microsoft? Wszyscy trzej giganci technologiczni, uznawani za wzorzec do naśladowania wśród dostawców usług w chmurze, musieli zmierzyć się z udanymi atakami hakerów na ich zasoby. Firma Apple trafiła na pierwsze strony gazet w wyniku wycieku prywatnych zdjęć gwiazd korzystających z usługi iCloud (tzw. celebgate). Brytyjskie przedsiębiorstwo Code Spaces zostało w ubiegłym roku zmuszone do zakończenia działalności po szantażu ze strony hakerów, którzy w efekcie usunęli kluczowe dane z konta firmy w usłudze Amazon Web Services. W 2013 r. wygaśnięcie certyfikatu SSL w usłudze Microsoft Azure umożliwiło hakerom wyłączenie Xbox Live i wielu innych usług udostępnianych w chmurze. Przypadki te dowodzą, że wybór znanego dostawcy usług w chmurze nie gwarantuje pełnej ochrony.

Przed decyzją o wejściu do środowiska chmury warto sprawdzić pięć poniższych punktów dotyczących bezpieczeństwa:

1. Znajomość segmentów chmury

Każde wdrożenie typu chmura składa się z trzech segmentów: dostawcy chmury, operatora sieci i przedsiębiorstwa. Chmurę należy traktować jak rozszerzenie korporacyjnego centrum przetwarzania danych. Trzeba więc zadać sobie pytanie: czy we wszystkich trzech segmentach można zastosować standardowy zestaw usług i reguł bezpieczeństwa? Gdzie tkwią potencjalne luki w zabezpieczeniach?

Podczas wybierania dostawcy chmury warto zapytać go o świadczone przez niego usługi bezpieczeństwa i współpracujących z nim dostawców zabezpieczeń. Chmura to środowisko dynamiczne, wymagające regularnego aktualizowania architektury zabezpieczeń w celu dotrzymania kroku najnowszym zagrożeniom.

Warto się również dowiedzieć, jakie są granice w ramach wspólnego modelu zabezpieczeń oferowanego wraz z usługą przetwarzania w chmurze. Dobrze jest znać zakres obowiązków dostawcy chmury i swoich własnych. W przypadku niektórych usług przetwarzania w chmurze, takich jak IaaS, to przedsiębiorstwo odpowiada za ochronę swoich aplikacji i danych w chmurze. Dlatego trzeba wiedzieć, jakie urządzenia i produkty zabezpieczające oferuje dostawca chmury i na wdrażanie jakich rozwiązań zezwala.

2. Nowe aplikacje, nowe umocnienia

Gdy firma jest gotowa na przeniesienie określonej aplikacji do chmury, przed zrobieniem finalnego kroku powinna rozważyć dodanie nowych umocnień do istniejących zabezpieczeń w obszarze uwierzytelniania i logowania do aplikacji.

Aby lepiej zabezpieczyć dostęp do danej aplikacji w chmurze, potrzebny jest precyzyjny schemat dostępu do danych. Można go stworzyć przez powiązanie uprawnień dostępowych z rolami, stanowiskami w przedsiębiorstwie i projektami. W ten sposób powstanie dodatkowa warstwa, zwiększająca ochronę, jeśli hakerzy wykradną dane uwierzytelniające personelu.

Przejmowanie kont może wydawać się sprawą podstawową, jednak stowarzyszenie Cloud Security Alliance w dalszym ciągu wymienia to dobrze znane naruszenie bezpieczeństwa jako jedno z głównych zagrożeń dla użytkowników chmur. Aby lepiej zabezpieczyć proces logowania, warto zastanowić się nad dwustopniowym uwierzytelnianiem czy używaniem haseł jednorazowych. Dobrze jest też wymagać od użytkowników zmiany identyfikatorów przy pierwszym logowaniu.