Przedsiębiorstwa coraz śmielej lokują swoje zasoby w środowiskach cloud, w tym w chmurach publicznych. Trafiają tam również rozwiązania z zakresu bezpieczeństwa oferowane przez uznanych dostawców. Nasuwa się więc uzasadnione pytanie: jak popularyzacja chmury wpływa na zagadnienia związane z bezpieczeństwem? Dyskutowano o tym podczas konferencji „Advanced Threat Summit 2019”. Kwestia bezpieczeństwa danych w chmurze publicznej stała się ostatnio jednym z najważniejszych zagadnień współczesnego IT. Analitycy Gartnera sugerują, że chmura obliczeniowa, obok automatyzacji, to obszar, wokół którego będą koncentrować się wydatki IT w najbliższych latach. Z raportu Cisco „2020 Global Networking Trends”, w którym firma powołuje się na dane Uptime Institute, wynika, że do 2021 r. 50% wszystkich obciążeń znajdzie się poza firmowym centrum danych. Jednocześnie 53% cyberataków będzie powodować straty przekraczające 500 tys. USD. W lipcu br. ujawniono, że w wyniku działania hakera wyciekły dane milionów osób. Sprawa, w której częścią winy obarczono inżyniera systemowego zatrudnionego przez AWS, wciąż nie została do końca wyjaśniona. Firmy oraz amerykański Departament Sprawiedliwości, a ostatnio nawet amerykański Kongres, spierają się, czy winę ponosi bank, który źle skonfigurował firewall, czy też w systemie zabezpieczeń AWS istniała luka oraz czy firma zrobiła wszystko, żeby ochronić swojego klienta. Niezależnie od ostatecznego wyniku sporów historia Capital One i AWS pokazuje, że niezwykle istotne jest, żeby wszyscy zdawali sobie sprawę, że w chmurze publicznej obowiązuje model współdzielonej odpowiedzialności. Zgodnie z nim dostawca odpowiada tylko za niektóre warstwy rozwiązania – ochrona aplikacji i danych spoczywa na ich właścicielu.

Tym, co najbardziej napędza dyskusje, są spektakularne wycieki lub włamania do systemów zlokalizowanych w chmurze. Przykładem jest historia Capital One, jednego z największych amerykańskich banków, który stał się ofiarą ataku na serwer hostowany przez AWS.

Nowe podejście Dostawcy chmury zdają sobie doskonale sprawę, że ich przychody zależą od tego, czy zyskają i utrzymają zaufanie klientów. Dlatego zabezpieczenie własnej infrastruktury i oferowanych usług jest dla nich kluczowe. I nie są to jedynie słowa, za którymi nie idą czyny: dostawcy dokonują znaczących inwestycji w tym obszarze. Dużo większe problemy pojawiają się po stronie, za którą odpowiedzialni powinni być użytkownicy. Dowodzą tego rozmaite raporty pokazujące, że przedsiębiorstwa mają spore zaległości w kwestii zabezpieczania chmury, i to niezależnie, czy mówimy o chmurze publicznej, prywatnej czy hybrydowej. Przykładowo z raportu „2019 Cloud Adoption” opracowanego przez Bitglass wynika, że zaledwie 34% firm wdrożyło mechanizmy pojedynczego logowania SSO (Single Sign-On). Powód? Organizacje mają zbyt wiele wykorzystywanych od lat aplikacji, które nie obsługują nowoczesnych protokołów tożsamości. Podejście jednak się zmienia. Choć dotychczas uwaga ekspertów koncentrowała się głównie na kontroli dostępu do danych, to teraz, w miarę jak do chmury trafia coraz więcej krytycznych obciążeń biznesowych, spojrzenie na bezpieczeństwo się zmienia. Kluczowego znaczenia nabierają dzisiaj: szyfrowanie komunikacji, zaawansowana analityka, a także pozyskiwanie najnowszych informacji o ryzyku i zagrożeniach, czyli threat intelligence oraz możliwości błyskawicznego reagowania na incydenty. Według Pascala Geenensa ochrona aplikacji biznesowych w chmurze staje się coraz trudniejszym, bardziej skomplikowanym wyzwaniem. W kontekście rosnącej liczby i złożoności rozproszonych usług oraz aplikacji bazujących na zewnętrznych i wewnętrznych API, a także coraz większej liczbie zautomatyzowanych, wyrafinowanych ataków potrzeba nowych rozwiązań ochrony aplikacji i interfejsów API, które bazują na analizie behawioralnej, algorytmach uczenia maszynowego wzbogaconych threat intelligence czasu rzeczywistego.

Według Gartnera powodem 80% wycieków danych i włamań do chmury w 2020 roku będą: niewłaściwa konfiguracja, błędnie przypisane uprawnienia oraz zagrożenia wewnętrzne, a nie podatności w systemach dostawców.

Chmura tak, ale nie zawsze Korzyści płynące z wykorzystania rozwiązań chmurowych sprawiają, że stały się one dzisiaj praktycznie nieodzownym elementem inicjatyw technologicznych i biznesowych. Czy to oznacza, że już wkrótce firmy będą się tłumaczyć, dlaczego nie korzystają z usług cloud? Tak został sformułowany temat dyskusja panelowej, w której dwa zespoły ekspertów spierały się o to, czy w perspektywie kilku najbliższych lat trzeba będzie mieć dobry powód, żeby dane przechowywać we własnych środowiskach IT, zamiast robić to w chmurze.

Decyzja o migracji do chmury zależy od wielu czynników. Jest uwarunkowana kwestiami ekonomicznymi, wynikami analizy ryzyka, oceną szans i zagrożeń, a także regulacjami prawnymi oraz możliwościami zapewnienia zgodności z nimi.

Narzędzia i plany awaryjne

Migracja do chmury to zawsze podróż. Wyruszając w nią, trzeba opracować plan B do wykorzystania w sytuacji, kiedy trzeba będzie wrócić do środowiska on-premise.