Současný způsob provozování ICT má tendenci vázat služby na konkrétní hardware s konkrétními vlastnostmi a parametry. Pro účely tohoto článku budeme vycházet z modelu cloudu, při kterém se spojí větší množství individuálních výpočetních, úložných a komunikačních kapacit (zdrojů) v reálném čase za účelem poskytování služeb. Tento pohled přináší paradigma cloudu, ve kterém virtualizace a její řízení umožňuje dynamicky, on demand, a granulovaně sdružovat a realokovat zdroje na různé úrovni modelů služeb. Pojďme si je stručně představit:

• Infrastruktura jako služba (Infrastructure as a Service, IaaS) – v tomto případě se poskytovatel služeb zavazuje poskytnout infrastrukturu formou služby, typicky je tato služba zajišťována s využitím virtualizace. Hlavní výhodou tohoto přístupu je to, že se o provoz infrastruktury a činnosti s tím spojené, stará poskytovatel služby. Typicky se jedná o virtuální stroje/servery, úložiště, load balancery, sítě/vlany.
• Platforma jako služba (Platform as a Service, PaaS) – poskytovatel se zavazuje vedle provozu IaaS také dodávat služby spojené s provozem platformy pro zajištění chodu a vývoj aplikací. Typicky se jedná o provoz operačních systémů pro aplikační a databázové servery, webové servery, vývojové API apod. Zákazníkovi tak odpadá potřeba zajišťovat činnosti spojené s provozem platformy pro běh jeho aplikací.
• Software jako služba (Software as a Service, SaaS) – zákazník si od poskytovatele služby SaaS pronajímá aplikace a ty jsou dodávány formou služby. Zákazníci si tedy kupují přístup k aplikaci, ne aplikaci samotnou. Poskytovatel služby zajišťuje provoz služby a celý životní cyklus aplikace a zákazníkovi tak odpadají veškeré činnosti s tím spojené. Typicky se jedná o služby jako e-mail, Dropbox, komunikační aplikace (např. sociální sítě).

Tyto abstraktní služby je možné přesně parametrizovat (kvantifikovat a kvalifikovat), což umožňuje jejich efektivnější alokaci, řízení a fakturaci. Jako službu je možné využívat například i bezpečnost ve formě Security as a Service (SECaaS), například ve formě řízení přístupu, vynucování a monitorování síťového provozu, řízení kontinuity provozu apod. Je důležité podotknout, že samotná virtualizace není cílem, nýbrž prostředkem k budování ICT na základě paradigmatu cloudu. Virtualizace infrastruktury je pouze technologie, která umožňuje používat zdroje ICT formou, která se nabízí pro jejich dynamické a řízené přidělování v abstraktních jednotkách, nezávislých na konkrétním cíli, kterým je provozování služby. Tyto abstraktní jednotky nejsou definovány konkrétními parametry HW, ale vlastnostmi vyšší úrovně, které jsou mnohem méně závislé na konkrétních HW, případně SW implementacích. Například pro IaaS jsou těmito abstraktními jednotkami:

• virtuální výpočetní výkon (vyjádřený počty cyklů za s),
• virtuální úložný prostor (vyjádřený v Bytech, rychlostí přenosu v B/s),
• virtuální síťová konektivita (vyjádřena rychlostí přenosu v B/s).

Způsob nasazení cloudů

Na úrovni modelů nasazení existují cloudy veřejné, hybridní a privátní. Privátní cloud je charakteristický tím, že je využíván pouze jednou organizací nebo umožňuje kompletní izolaci od jiných organizací. Privátní cloud je tedy definován oddělením, ne umístěním, vlastnictvím nebo odpovědností za provoz. Může být proto provozován buď ve vlastním datacentru organizace, outsourcovaný ve vlastním datacentru nebo přímo u poskytovatele cloudových služeb (Cloud Service Provider, CSP). Rozdíly se mohou vyskytovat i ve vlastnictví HW, které může být v rukou zákazníka, poskytovatele, nebo kombinací obou možností. Při oddělení (izolaci) privátního cloudu na úrovni dedikovaného HW se snižuje škálovatelnost a flexibilita alokace nových zdrojů (často řízena samotným zákazníkem nebo on demand). V případě izolace na úrovni logické (VPN, virtuální stroje, kontexty, kontejnery) se sice teoreticky snižuje bezpečnost, flexibilita alokací se ale zvyšuje. Takovým cloudům se říká virtuální cloudy. Jejich zdroje (včetně správy) nejsou dedikované, ale pouze virtuálně oddělené od ostatních zdrojů (vlastnost: kompartmentace).

Důležitou složkou výkonnosti cloudu v případě jeho umístění u CSP je jeho komunikační propustnost WAN, pomocí které je zákazník ke cloudu připojen (do jisté míry to platí i pro konektivitu do internetu pro veřejné služby). Tyto typy sítí se často vyznačují zvýšenou latencí, chybovostí, kolísáním a sníženou propustností. V tomto případě se doporučuje využít technologií optimalizace WAN, které tyto nedostatky dokážou vyrovnat na úroveň lokální sítě.

Právní rámec cloudu

V současnosti neexistuje žádný „český“ ani „evropský“ cloud. Stejně tak neexistují jednotné směrnice pro ochranu dat nebo certifikace. Nicméně ředitelé IT jsou zodpovědní za dodržování bezpečnostních norem bez ohledu na to, zda se jejich data nachází ve vlastním datacentru nebo v cloudu. Nejdůležitějšími zákony národního právního řádu jsou v tomto ohledu:

• Zákon č. 101/2000 Sb., o ochraně osobních údajů
• Zákon č. 227/2000 Sb., o elektronickém podpisu
• Zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích)
• Zákon č. 262/2006 Sb., zákoník práce
• Zákon č. 89/2012 Sb., občanský zákoník
• Zákon č. 365/2000 Sb., o informačních systémech veřejné správy
• Zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti)

Zákon č. 101/2000 Sb. vychází z článku 10 odst. 3 Listiny základních práv a svobod a z transpozice směrnice Evropského parlamentu a Rady 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Z této směrnice 95/46 bylo například v rámci rozsudku Soudního dvora proti španělské pobočce společnosti Google nedávno odvozeno tzv. "Právo být zapomenut", ačkoliv územní působnost této směrnice je velmi vágní. Za osobní údaj je pro účely zákona považován jakýkoliv údaj, týkající se určeného nebo určitelného subjektu údajů, tj. takového, jehož identitu lze přímo nebo nepřímo zjistit na základě jednoho nebo více osobních údajů, aniž by to vyžadovalo nepřiměřené úsilí. Osobní údaje zpracovává jejich správce, který pro daný účel může zmocnit i někoho dalšího, tedy například i poskytovatele cloudových služeb. Zákon řeší ještě jeden důležitý termín a tím je citlivý údaj. Je to údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu a jakýkoliv biometrický nebo genetický údaj subjektu. V oblasti informační bezpečnosti se také poměrně často používá termín citlivý údaj, který může, ale nemusí být totéž, co citlivý údaj podle zákona. Například tajné firemní know-how jistě obsahuje pro vlastníka extrémně citlivé údaje, ty jsou však z pohledu zákona o ochraně osobních údajů naprosto nezajímavé. Z pohledu zákona na ochranu osobních údajů je podstatné, zda se osobní údaje zpracovávají v ČR, v jiném členském státě EU nebo mimo EU a zda s nimi do kontaktu přichází pouze poskytovatel cloudu nebo i externí subjekty. Další legislativní háčky pak mohou plynout z interních směrnic a podepsaných smluv se zákazníky či obchodními partnery.

Zvláštnosti převodu dat do USA

Zejména pro převod osobních údajů z EU do USA je možné aplikovat dohodu Safe Harbour z roku 2000, jež upravuje požadavky na ochranu soukromých údajů občanů Evropské unie v případě, že firmy působící na území EU tyto informace převádějí do USA. Problém spočívá zejména v tom, že v USA platí zákony, jako např. Patriot Act nebo tzv. FISA Amendments Act, které umožňují americkým (a potažmo i evropským) úřadům přístup k údajům v závislosti na sídle společnosti. Proto by uživatelé cloudu měli zkoumat a neustále sledovat organizační a vlastnickou strukturu poskytovatele cloudu a pro případ např. převzetí firmy mít smluvně zakotvenou doložku o výpovědi a smazání dat. Při uzavírání smluv s poskytovatelem cloudu se rovněž doporučuje používat tzv. standardních smluvních doložek, které zajistí odpovídající úroveň ochrany osobních údajů předávaných z EU do třetích zemí. Rozhodnutí stanoví povinnost členských států uznat, že společnosti či organizace, které ve svých smlouvách o předávání osobních údajů do třetích zemí používají takové standardní položky, zajišťují „odpovídající úroveň ochrany“ údajů.

Iniciativy a svazy

EU v loňském roce iniciovala projekt Cloud for Europe, který má do konce listopadu 2016 vytvořit společný evropský rámec pro cloud computing.

Cloud Security Alliance (CSA) od roku 2010 vyvíjí tzv. Cloud Trust Protocol (CTP), který má umožnit uživatelům cloudu prověřovat úroveň bezpečnosti. CTP se skládá z 23 kritérií týkajících se bezpečnostní transparentnosti v cloudu, jako např. konfigurace, slabin, přístupu, autorizace, bezpečnostních politik, ručení a obchodních podmínek. K tomu jsou určeny nástroje jako Cloud Audit, Cloud Control Matrix (CCM) a Consensus Assessments Initiative Questionnaire (CAIQ). Ambicí je v budoucnu v reálném čase sledovat bezpečnostní úroveň služby poskytovatele cloudu. CTP má být v podstatě kontinuální monitorovací mechanismus a poskytovat garance na úrovni certifikace v rámci Open Certification Framework.

Smlouvy s poskytovatelem cloudu

Jen málokdo si uvědomuje, že těch několik kliknutí při aktivaci freemailových schránek bylo vlastně uzavřením cloudové smlouvy. To samozřejmě platí pouze pro případ jednoduché aplikace pro soukromé osoby ve veřejném cloudu. V případě smlouvy typu SLA by měla smlouva upravovat minimálně:

• rozsah, způsob a účel sběru, zpracování a využití osobních dat,
• druh dat, cíle a opatření k jejich ochraně,
• změna, výmaz a uzamčení dat,
• všechny procesy správy služeb a reportování,
• opatření na ochranu dat ze strany odběratele,
• povinnosti, součinnost a možnosti přístupu vůči druhé smluvní straně,
• reakce na bezpečnostní incidenty a příslušné povinnosti,
• doložka o vrácení přenechaných nosičů dat a výmazu všech dat uložených u poskytovatele (ve všech jeho datacentrech) cloudu po ukončení smlouvy.

Bezpečnost – kde se nacházíme

Dle průzkumu Ponemon Institute, v němž bylo dotazováno 613 profesionálů z oblasti IT a bezpečnosti, se 36 % business kritických aplikací a 30 % business informací již nachází v cloudu. Problém je, že u poloviny aplikací si to IT vůbec neuvědomuje a třetina informací není pro IT viditelná.

Společnost Netscope zabývající se bezpečností cloudových aplikací tvrdí, že v cloudu v současnosti existuje víc než 5 tisíc aplikací typu enterprise. Zároveň její průzkum zjistil, že 72 % businessu nevěří, že cloudoví poskytovatelé dodržují zákony a předpisy na ochranu dat. Jen polovina dotazovaných profesionálů v Evropě (a čtvrtina v USA) se vyjádřila, že dokážou účinně ochránit aplikace a data v cloudu. Zároveň bylo zjištěno, že očekávaný ekonomický dopad v případě bezpečnostního průniku se ztrojnásobuje, pokud se odehrál v cloudu. Tento jev je znám jako multiplikační efekt cloudu.

Cloudové řešení s sebou přináší rizika, jež musí firma pečlivě zvážit. Pro některé může být zásadním problémem nedostupnost cloudu z důvodu výpadku internetu nebo výpadku služby přímo na straně jejího provozovatele. Pro jiné bude důležitou roli hrát otázka legislativy spojená s právní ochranou dat nahraných do cloudu. Jsou uložena v Rusku, v Německu nebo ve Spojených státech amerických? Jaké zákony je tedy v konečném důsledku vlastně chrání? S tím pochopitelně úzce souvisí problematika zachování důvěrnosti dat, protože, jak už bylo zmíněno, některé země jsou podstatně zvědavější než jiné. Při současném stavu absence mezinárodní legislativy vztahující se k datům uloženým v cloudu, je tedy zajištění jejich bezpečnosti diskutabilní a do budoucna bude jistě představovat výzvu.

Milan Balážik Autor pracuje jako architekt technických řešení ve společnosti Corpus Solutions.