Aktuálně se nabídka veřejných cloudů skládá jak z nabídky komoditních aplikací, které explicitně nezpracovávají citlivá data (např. e-mail, instant messaging a jiné nástroje pro spolupráci), tak z nabídky podnikových aplikací, které naopak s citlivými daty pracují. Pokud má ale cloud computing dostát všem podnikovým potřebám a zákonům či standardům pro nakládání s citlivými daty, bude muset začít řešit bezpečnost na mnohem vyšší úrovni, než je dosud běžné.

Klíčovým aspektem cloud computingu je postupné přesouvání jeho zabezpečení mimo kontrolu podniku směrem k poskytovateli cloudu, což samozřejmě vede k potřebám zásadních změn v pojetí a chápání informační bezpečnosti. Dostáváme se totiž k určitému typu sdíleného řízení bezpečnosti, které dnes sice přináší spíše více otázek než odpovědí, ale je nezbytné pro další rozvoj důvěryhodných vztahů mezi odběrateli a poskytovateli cloudových služeb.
Veřejný cloud vyžaduje takový bezpečnostní model, který spojí rozšiřitelnost, flexibilitu a otevřenost cloudu s požadavky na jeho bezpečnost a důvěryhodnost. Tak jak podniky postupně přesouvají svoje IT zdroje spolu s identitami svých uživatelů a podnikových dat do cloudu, musí akceptovat i to, že nad nimi ztrácí do určité míry kontrolu. Aby tak tedy mohli s klidným svědomím učinit, musí mít plnou důvěru v poskytovatele cloudu a současně mít možnost své procesy a události v cloudu monitorovat.

Těmi nejdůležitějšími procesy jsou z pohledu bezpečnosti řízení přístupu ochrana dat a shoda s předpisy a zákony, tzv. compliance. To jsou požadavky, které dnešní IT samozřejmě již řeší, ale pro cloud computing je třeba zajistit a ověřovat jejich vynucení také právě mimo interní IT, tedy všude tam, kam sdílíme své identity a data.

Identity

Správa identit, autentizační služby a federovaná identita hrají v bezpečnosti cloudu klíčovou roli. Ochrana identit zajišťuje integritu a důvěrnost dat a aplikací a současně je zpřístupňuje autorizovaným uživatelům. Podpora výše zmíněných funkcí jak pro uživatele, tak pro jednotlivé části infrastruktury je nedílnou součástí všech typů cloudu. Z pohledu řízení přístupu do cloudu je třeba se soustředit na následující:

Silná autentizace

Pokud má cloud sloužit k provozu podnikových aplikací, je třeba využít silnější autentizaci uživatelů místo již dávno překonaného uživatelského jména a statického hesla. Doporučením v této oblasti je použití již ověřených technologií pro silnou autentizaci (multifaktorová autentizace na bázi jednorázového hesla), federovanou (delegovanou) identitu pro důvěryhodné sdílení identit mezi různými subjekty a „risk-based“ autentizaci založenou na chování uživatele, kontextu a mnoha dalších faktorech. Vhodnou kombinací a vrstvením těchto autentizačních metod lze zajistit jak dodržení bezpečnostních SLA, tak jednoduchost použití pro všechny typy uživatelů.

Granulární autorizace

V cloudu, zejména v tom veřejném, určeném pro podnikové aplikace, je nutné velmi granulárně řídit jednotlivá přístupová práva uživatelů a jejich skupin, ideálně na bázi jejich rolí v podniku – „role-based authorization“. Tím hlavním důvodem je zde ochrana citlivých dat jednotlivých nájemců v rámci veřejného cloudu a s tím úzce související dodržení příslušných zákonů a předpisů.

Informace

V tradičním datovém centru je bezpečnost řešena nejen IT prostředky, ale současně fyzickým zabezpečením přístupu k hardwarové infrastruktuře. Tato bariéra ale s příchodem cloudu mizí. Místo stavění jiných bariér je třeba se soustředit na řízení bezpečnosti konkrétních informací. Data putující po cloudu i mimo něj tak mají vlastní zabezpečení, které je po celou dobu chrání. K dosažení této „information-centric“ bezpečnosti je třeba vyřešit:

Oddělení dat

Ve veřejných cloudech, kde se zpracovávají data mnoha nájemců, musí být data izolována. Virtualizace, šifrování a granulární řízení přístupu významně pomohou v izolaci dat mezi nájemci, jednotlivými skupinami či uživateli.

Granulární bezpečnost dat

Se zvyšující se citlivostí informací a jejich počtem se musí prohloubit i klasifikace dat a důslednost ve vynucování jejich výhradně oprávněného použití. Dnešní podniková datová centra tuto oblast dost často opomíjela, neboť byla vždy pod kontrolou daného podniku. V cloudu je ale bezpečnost dat tak kritická, že její granularitu musíme řešit už na úrovni souboru, tabulky, či sloupce v databázi. S tím také přichází inspekce dat (sledování obsahu), jejich tokenizace či šifrování a bezpečná správa šifrovacích klíčů po celý jejich životní cyklus.

Klasifikace dat

Nalézt v cloudu ideální poměr mezi uživatelským komfortem a požadavky na jeho zabezpečení není jednoduché. Důležitými kroky k nalezení toho správného poměru je klasifikace dat a fungující procesy pro jejich vyhledávání, monitoring toku a použití. V této oblasti významně pomáhají systémy pro vyhledávání a ochranu citlivých dat, tzv. data loss prevention.

Information rights management

IRM rozšiřuje model „information-centric“ bezpečnosti o možnost procesního řízení přístupových práv přímo na úrovni dokumentu, a to i v případech, kdy opustí cloudové prostředí a je uložen mimo něj.

Monitoring a audit

Prostředí všech systémů, ve kterých se pracuje s citlivými či jinak zákonem chráněnými informacemi, musí být z pohledu bezpečnosti kompletně monitorováno a pravidelně auditováno, ideálně pomocí řešení pro sběr a analýzu logů z daných systémů s reportingem do podnikového GRC (governance, risk, compliance) řešení pro řízení podnikových procesů a rizik. Zpracovávání citlivých dat v cloudu bude znamenat mnohem granulárnější bezpečnost na úrovni dat, a to po celý jejich životní cyklus, než jaká je dosavadní praxe.

Infrastruktura

Celá infrastruktura cloudu musí být už v jádru bezpečná, nezávisle na tom, zda stavíte privátní, či veřejný cloud. To vyžaduje:

• komplexní bezpečnost – cloud musí již být navržen jako bezpečný, postaven z bezpečných komponent, implementován dle odpovídajících bezpečnostních know-how, bezpečně komunikující s okolím a podporujícím potřebná bezpečnostní SLA,
• bezpečnou integraci – tam, kde dochází ke komunikaci mezi jednotlivými částmi cloudu, je třeba vynucovat dodržování bezpečnostních politik pro sdílení dat, aby byla zajištěna jejich integrita a důvěrnost.

Hlavní problémy řešení bezpečnosti v cloudu

Z hlediska přístupu k řešení bezpečnosti a souladu v cloudovém prostředí je nutné rozlišovat dvě oblasti cloudu: tzv. privátní neboli interní cloud (cloudové prostředí provozované interně ve své vlastní organizaci) a veřejný cloud (prostředí provozované externím poskytovatelem, kde lze dále rozlišovat podmnožiny IaaS, PaaS, SaaS atd.).

Bezpečnost v privátním cloudu

Řešení bezpečnosti a souladu v privátním cloudu nemusí být příliš složité – zjednodušeně vzato hlavní odlišností od tzv. klasického IT prostředí je především důsledná konsolidace a virtualizace veškerého prostředí. S tím následně souvisí větší důslednost při „virtuálním“ oddělování segmentů sítě, aplikací, databází, přístupových rolí, práv atd. Technicky vzato však v zásadě stačí vyřešit bezpečnost virtuálního prostředí jako nového prvku. To, co je složitější, je ověřit si, zda jsme na něco nezapomněli, a tzv. změřit míru splnění všech bezpečnostních doporučení. Nejsložitějším krokem potom bývá prokazování souladu (tj. zajistit prokazatelnost toho, že jsme splnili všechny požadavky a doporučení).

Bezpečnost ve veřejném cloudu

Ve veřejném cloudu se dostáváme do naprosto odlišné situace – do hry vstupuje „cizí“ hráč a otázky důvěry. Řešení bezpečnosti se částečně (v rozsahu závisejícím primárně na modelu Iaas, Paas nebo SaaS) dostává do zodpovědnosti cloudového poskytovatele. Důvěru v bezpečnost, zajišťovanou poskytovatelem, můžete získat při splnění dvou základních předpokladů: za prvé, když se budete moci dostatečně důkladně přesvědčit (nebo lépe trvale, průběžně přesvědčovat, dohlížet), co a jak přesně poskytovatel dělá, za druhé, když si budete moci sami do určité míry bezpečnost řídit.
Pokud se dnes podíváte na veřejně dostupné informace o tom, jak jednotliví poskytovatelé cloudových služeb zajišťují bezpečnost (tj. co vám slibují), je zjevné, že na jednu stranu sice slibují vysokou úroveň nasazení prostředků síťové a fyzické bezpečnosti, na druhou stranu však v naprosté většině daný popis nepostačuje ani zdaleka k tomu, abyste mohli do daného prostředí s klidným srdcem převést jakákoliv citlivá data, zejména ta podléhající zákonům, standardům či jiným předpisům (např. osobní údaje, kreditní karty atd.).
Jako nejlépe zpracované návody shrnující řešení bezpečnosti a souladu ve veřejném cloudu mohu doporučit následující dva zdroje:

• NIST – Draft SP 800-144 (Guidelines on Security and Privacy in Public Cloud Computing),
• Cloud Security Alliance (CSA) – Security Guidance for Critical Areas of Focus in Cloud Computing, Cloud-Specific Control Assessment (soubor 195 otázek, které byste měli položit cloudovým poskytovatelům).

Závěrečný souhrn

Cloud computing přináší pozitivní změnu do ekonomiky provozu datových center. Nicméně před opravdovým využitím cloudu pro podnikové účely je třeba vyřešit mnoho oblastí bezpečnosti, jako je silná autentizace, delegovaná (federovaná) autorizace, šifrování a správa klíčů, ochrana citlivých dat, monitoring a audit. Všechno jsou to součásti modelu pro zabezpečení identit, informací a infrastruktury platné nejen pro cloud, ale také pro služby IaaS (infrastructure as a service), PaaS (platform as a service) a SaaS (software as a service). Dobrou zprávou je, že všechna tato řešení jsou již dnes k dispozici a další se samozřejmě vyvíjejí a testují, aby mohly splnit stále náročnější požadavky trhu.

David Matějů
Autor působí v RSA, bezpečnostní divizi společnosti EMC.