V súčasnom digitálnom svete je využívanie cloudových technológií takmer nevyhnutnosťou pre firmy aj jednotlivcov. Témou, ktorá sa s tým prirodzene spája, je bezpečnosť uložených dát. Hoci sa môže zdať, že prenesením dát do cloudu prenášame aj zodpovednosť za ich bezpečnosť, realita je zložitejšia. Tento článok sa podrobne zameria na to, ako bezpečne ukladať dáta v cloude, od základných princípov až po pokročilé úvahy.
Pochopenie cloudu a jeho implikácií
Podľa môjho názoru existuje veľmi málo firiem, ktoré nevyužívajú nejakú formu cloudu - či už vedome, alebo nevedome. Cloud totiž predstavuje službu, ktorú poskytuje ISP alebo akákoľvek tretia strana, a zároveň virtuálne dátové úložisko. Toto úložisko môže využívať firma alebo súkromný klient po vytvorení účtu a prístupe na server. Princíp cloud computingu je jednoduchý: internet umožňuje nahrávanie, prezeranie, spracovanie a sťahovanie dát zo servera. Kým niektoré spoločnosti nemajú problém s extrémne rýchlym prijímaním cloudových riešení, iné vykonávajú rozsiahle cloudové štúdie pre vyhodnotenie finančných, prevádzkových a bezpečnostných dopadov. Samozrejme, ani jeden zo spôsobov nie je ani dobrý, ani zlý a neexistuje jeden správny postup pre všetkých.
IT cloudy vytvárajú a sprístupňujú korporácie alebo poskytovatelia, ktoré sú vo všeobecnosti dostupné každému zainteresovanému používateľovi. Toto je základné kritérium pre rozdelenie na typy oblakov. Verejné cloudy, ako napríklad Microsoft Azure, Google Cloud alebo Amazon Web Services, poskytujú priestor na ukladanie dát všeobecne dostupným spôsobom. Okrem typov výpočtových cloudov existujú aj ich rôzne modely. Najjednoduchší je tzv. kolokácia, ktorá zahŕňa len prenájom miesta v serverovni s prístupom k elektrine a klimatizácii. Medzi ďalšie modely patria IaaS (Infrastructure as a Service), PaaS (Platform as a Service) a SaaS (Software as a Service).
Ukladanie informácií v cloude sa príliš nelíši od ich nahrávania na externý pevný disk. Rozdiel je však v tom, že cloudový disk používateľa je virtuálny a nie je fyzicky dostupný. Klient zdieľa server s ďalšími ľuďmi, pričom má k dispozícii určený priestor na disku. Ak je pre neho kapacita cloudu príliš malá, poskytovateľ služby zvyčajne ponúka možnosť dokúpiť priestor na serveri.
Kľúčové otázky pre posúdenie cloudovej bezpečnosti
Okrem zvýšenia efektivity a zníženia nákladov by cloudové riešenie z pohľadu bezpečnosti nemalo prinášať nové bezpečnostné riziká. Už pri tom, keď zvažujeme samotný cloud, by sme mali vedieť, aké máme nároky na bezpečnostné riešenia, nakoľko ich cena môže až dramaticky ovplyvniť efektívnosť z finančného pohľadu. Pre posúdenie cloudovej bezpečnosti by sme sa však mali zamyslieť minimálne nad nasledujúcimi otázkami:
Aké dáta bude cloud spracovávať?
Odpoveď na túto otázku považujem za absolútne kľúčovú. Determinuje totiž ako budeme celý cloud ďalej posudzovať. Iné požiadavky budeme mať na cloudového poskytovateľa, ak bude spracovávať marketingové materiály, ktoré sú často dostupné na stránkach spoločnosti, a iné požiadavky budeme mať na cloudového poskytovateľa, ktorý bude spracovávať autentifikačné prvky. Nezabúdajme ani na platnú legislatívu - napríklad legislatívny rámec GDPR upravuje aj fyzickú lokalitu dát. Povahu spracovávaných dát by sme mali teda posúdiť na základe citlivosti voči vlastnej organizácii a aj voči platnej legislatíve.
Aké nové hrozby a zraniteľnosti cloud prináša?
Jedna z najväčších chýb, ktorú často môžeme vidieť pri posudzovaní cloudových poskytovateľov je, že firmy sa nezaoberajú vôbec novými potenciálnymi hrozbami a zraniteľnosťami, ktoré cloud prináša. Častá argumentácia, že sa jedná o renomovaného dodávateľa na svetovej úrovni, nevylučuje potenciálne nové hrozby a zraniteľnosti. Pri hľadaní potenciálnych hrozieb a zraniteľností by sme preto mali zamerať minimálne na nasledujúce oblasti:
- Interné hrozby: Ako rieši cloudový poskytovateľ oddeľovanie jednotlivých používateľov cloudu na úrovni organizácií? Aké má vnútorné procesy pre overovanie administrátorov? Ako rieši vyradenie starého HW? Sú dáta štandardne šifrované?
- Externé hrozby: Ako je zabezpečený prístup z vonkajšieho prostredia? Aké ochranné mechanizmy používa proti externým útokom, napríklad DDoS? Aké autentifikačné mechanizmy sú dostupné pre prístup do cloudového prostredia?
- Incidenty v minulosti: Aké bezpečnostné incidenty riešil tento cloudový poskytovateľ v minulosti? Ako komunikoval vzniknuté problémy v minulosti? Vydáva pravidelné správy o údržbe a problémoch?
Súlad s legislatívou
V každom prípade si overujte, či poskytovateľ disponuje potrebnými certifikáciami a preto si skratky PCI DSS, GDPR, ISO27001, SOC2, HIPAA niekam poznačte. Často krát je získanie potrebných certifikácií náročný proces a okrem toho, že sú v istých prípadoch nevyhnutnou podmienkou, taktiež pridávajú dôveryhodnosť samotnému cloudovému poskytovateľovi.
Hodnotenie rizika a kontrolné mechanizmy
Hoci existuje veľa prístupov, ako hodnotiť jednotlivé bezpečnostné riziká, vo svojej podstate väčšina prístupov zvažuje najmä pravdepodobnosť a dopad. Ak sme pri odporúčaní alebo neodporúčaní cloudu pre konkrétnu organizáciu nevedeli jednoznačne povedať, či je pre organizáciu prospešný alebo nie, tak pri hodnotení rizika je táto miera neurčitosti predpovede ešte väčšia.
Ak si zoberieme pravdepodobnosť naplnenia hrozby, tak isto existujú prípady, kedy sa riziko zmenší. Napríklad ak sme zastaranú infraštruktúru presunuli do moderného cloudového prostredia. Na druhej strane sa môže riziko aj zväčšiť. Ak sme relatívne dobre zabezpečenú vnútornú infraštruktúru či aplikáciu presunuli do cloudu s neadekvátnymi licenciami a znášame riziko útokov na celý cloud.
Pre korektné hodnotenie rizika je nutné zvážiť aj to, aké máme dostupné kontrolné mechanizmy. Bezpečnostné riziko môžeme napríklad znížiť zavedením dodatočných kontrolných mechanizmov. Môžete vyžadovať šifrovanie pre všetky dáta v Cloude, prístup len pomocou multifaktorovej autentifikácie, či rozšírenie súčasného programu vzdelávania v oblasti informačnej bezpečnosti.
Ako bezpečne ukladať dáta v cloude: Praktické kroky
Používate alebo uvažujete o používaní cloudového úložiska, ale máte pochybnosti, či je dostatočne bezpečné? Nie ste jediní. V prvom rade je dôležité uvedomiť si, že žiaden systém nie je dokonale bezpečný, a to platí aj pre cloud. Pri používaní cloudového úložiska odovzdávate svoje dáta tretej strane, takže o ich zabezpečenie sa nestaráte priamo vy. Na ochranu pred týmito rizikami ponúkajú poskytovatelia cloudových úložísk rôzne spôsoby zabezpečenia, akými sú heslá, dvojfaktorová autentifikácia či šifrovanie údajov.
Silné heslá a prístupové frázy
Hlavným stupňom zabezpečenia je výber silného hesla, s ktorým sa prihlasujete do svojho konta. Zvoľte heslo, ktoré má aspoň 16 znakov a je jedinečné len pre túto službu. Ak sa vám takéto heslo ťažko pamätá, zvoľte tzv. prístupovú frázu. Vyberte si frázu, ktorá je pre vás niečím výnimočná, nikto ju nepozná a nie je to ani známy výrok slávnej osobnosti.
Šifrovanie údajov
Údaje sú počas prenosu z počítača alebo iných zariadení do cloudu prekonvertované do nerozpoznateľnej alebo „šifrovanej“ formy. Zašifrovaný údaj sa objaví nečitateľný pre každého, kto sa ho pokúsi zobraziť. Šifrovanie sa považuje za jeden z najúčinnejších prístupov k zabezpečeniu údajov, pretože zašifrované údaje nie je možné dešifrovať bez dešifrovacieho kľúča.
Dvojfaktorové overenie (2FA)
Dôležitým znakom vyššej úrovne zabezpečenia je aj dvojfaktorové overenie, tzv. 2FA. Po prihlásení do vášho účtu budete vyzvaní, aby ste napríklad vložili autentifikačný kód. Toto pridáva ďalšiu vrstvu ochrany, pretože aj keby útočník získal vaše heslo, bez druhého faktora (napr. kódu z vášho telefónu) sa k vašim dátam nedostane.
Výber spoľahlivého poskytovateľa
Pred výberom cloudovej služby si overte, kto je jej poskytovateľom. Odporúčame, aby ste si pred výberom služby vyhľadali, či poskytovateľ nemal v minulosti problémy so zabezpečením, zraniteľnosťami a poskytovaním aktualizácií a ak áno, zistite, akým spôsobom k nim pristupoval.
Pozorne čítajte zmluvné podmienky
Dokument, ktorému už tradične nikto z nás nevenuje dostatočnú pozornosť, pritom môže obsahovať dôležité informácie, ktoré hľadáte o cloudovom úložisku, ale zároveň vás môže upozorniť na podozrivé narábanie s osobnými údajmi. Ako každá služba, aj prístup do cloudu je upravený zmluvou.
Náklady a veľkosť úložiska
Cloudové služby sú obľúbeným nástrojom, pretože už nie je potrebné použiť externý USB kľúč alebo disk. S veľkosťou úložiska však súvisia aj náklady, ktoré treba vynaložiť pri používaní týchto služieb. Mnohé voľne dostupné a bezplatné cloudové úložiská poskytujú pomerne vysokú mieru zabezpečenia, no veľkosť úložiska je často nepostačujúca. Ak potrebujete uložiť väčšie súbory, treba si za to priplatiť. Bežne dostupné cloudové úložiská poskytujú svoje služby za veľmi výhodné ceny, ktoré sa začínajú už na hodnote 0,99 €. Pritom platí pravidlo, čím väčší priestor chcete využívať, tým vyššiu sumu budete musieť zaplatiť.
Vaša rola pri zabezpečení dát v cloude
Aj keď primárnu zodpovednosť za ochranu vašich dát v cloudových úložiskách má jeho prevádzkovateľ, k bezpečnosti môžete prispieť aj vy. Používajte spoľahlivý bezpečnostný softvér na všetkých zariadeniach, cez ktoré sa do cloudového úložiska prihlasujete (počítač, mobil s operačným systémom Android, Android Smart TV). Uistite sa, že brána firewall je vždy zapnutá. Pravidelne aktualizujte operačný systém vašich zariadení. Zabezpečte vaše konto na úložisku unikátnym, dlhým a silným heslom a dvojfaktorovou autentifikáciou.
Zabezpečte vaše zariadenia dostatočne silnými heslami - PIN, touch ID, uzamknutie kódom alebo vzorom a nastavte si automatické uzamknutie zariadenia po určitom čase. Nikdy nezdieľajte svoje prihlasovacie údaje, a to ani v prípade, ak niekto tvrdí, že je z technickej podpory danej služby. Dobre si overte, kto je na druhej strane, pretože môže ísť o spôsob útoku pomocou techník sociálneho inžinierstva. Dávajte si pozor na to, čo všetko si do úložiska nahráte.
Bezpečné pripojenie a obmedzenia cloudu
Nezabudnite, že na to, aby ste sa dostali k svojim súborom na cloudových úložiskách, potrebujete internetové pripojenie. Dbajte preto na to, aby ste sa pripájali len prostredníctvom dôveryhodnej a spoľahlivej siete. Je dobré si tiež uvedomiť, že ak sa budete nachádzať na mieste, kde nie je dobrý prístup na internet, nebudete môcť otvoriť žiadny z dokumentov, ktoré ste si uložili v cloude.
Kedy a ako pre koho?
Tak ako nie je jedna veľkosť pre všetkých, nemôžeme od stola jednoducho rozhodnúť, pre ktoré firmy a za akých podmienok má zmysel uvažovať nad migráciou dát, aplikácií, infraštruktúry, či všetkého uvedeného do cloudu. Je nutné dať si na misky váh, a to prípad od prípadu, všetky výhody a nevýhody, ktoré cloud so sebou prináša. Kým sa tam vyberiete.