Облака: сила и уязвимость
Продолжаем тему недавнего обзора переориентации облачного рынка. Мы уже увидели новые повороты и провалы этой истории, произошедшие из-за внешних изменений. Совершенно ясно, что нужно посмотреть на эту нишу шире: безопаснее ли облачное хранилище в принципе, и, если мы решили выбрать такой сервис, на что стоит обратить внимание?
Вопрос безопасности персональных данных как никогда актуален. Вдвойне – с точки зрения оператора обработки данных, а не пользователя. Абсолютно естественно, что в эпоху экономики услуг данные клиентов – это ваша репутация и будущее бизнеса.
К сожалению, практика показывает, что идеально справиться с защитой данных редко кому под силу.
Так, недавно стало известно, что у Delivery club утекла база данных клиентов. Компания подтвердила новость, в процесс вмешался Роскомнадзор. Утекли имена, номера телефонов, адреса доставки, IP-адреса... Клиенты по всей стране. Если все подтвердится, компании грозит штраф 60 – 100 тысяч рублей.
А еще за пару дней до этого РКН заблокировал ресурс-карту, где агрегировались утечки с визуализацией данных пользователей на карте. Там были «Яндекс. Еда», «Авито», «Билайн» и другие облачные сервисы и компании.
Утечка данных из «Яндекс.Еды», случившаяся в апреле по вине одного из сотрудников, стоила им 60 тысяч (и серьезнейших потерь репутации). А еще в конце апреля данные утекли у компании «Кока-кола».
Посмотрев на все эти случаи, мы точно можем сказать, что «и на старуху бывает проруха»: прорехи в информационной безопасности могут быть у всех.
К сожалению, информация, откуда произошли утечки - с сервера компании или облака - не распространяется. Но, по данным экспертов, большая часть корпораций выводит свои данные в облака, эта тенденция растет, как и востребованность облачных сервисов. Поэтому, допустимо предположить, что и данные утечки произошли из облачных сервисов. Несомненно, вопрос безопасности облачных платформ актуален. Но, как мы писали раньше, эта ниша сейчас несколько опустела. И при сохраняющемся запросе пользователей заполняться она будет новыми предложениями. Поэтому важно знать, на что обратить внимание при выборе облачного сервиса и работе с ним.
А зачем нам облака вообще?
Согласно данным экспертов, это нехилая экономия на IT: в среднем 8 %. Но очень малая часть компаний использует их по полной, а ведь это море гибких возможностей. Для маленьких компаний облачные решения очень выгодны с финансовой точки зрения: максимальную цену составляет работа с программами. Для больших компаний преимущества – устойчивость к сбоям, возможность гибкого администрирования, широкий доступ для пользователей. Упрощение администрирования – ключевой лайфхак облаков.
Итак, процедуры становятся мобильными благодаря отрыву реального от виртуального. Облака могут быть внешними – тогда вы пользуетесь хранилищем, которое дает вам провайдер. Либо внутренними – когда создаете облако для себя и своего бизнеса.
Но ключевая проблема – безопасность. И, пожалуй, именно это останавливает некоторые компании в решении пользоваться облаком.
Основные угрозы облачных сервисов, по сути - DDoS-атаки и взлом системы методом подбора паролей и последующий доступ к данным. Парадокс, но, по сути, риски у облаков такие же, как и у серверов: неверно настроенные права доступа, шифрование, небезопасные интерфейсы. При этом, как говорят эксперты, взлом сервера чреват худшими последствиями – облака, в отличие от сервера, позволяют блокировать доступ и быстрее восстановить безопасность, и поэтому предпочтительнее.
Что ж, мы выбираем облачное хранилище, и у нас есть два пути: сделать свое облако, или отдать провайдеру. Сегодня мы говорим о втором случае.
Мы решили довериться провайдеру.
Допустим, вы доверили все это провайдеру и отдали во внешнее облако. Тогда места, откуда могут украсть данные, множатся благодаря «аутсорсу»: теоретически, провайдер и все, кто имеют отношение к организации процесса, могут получить доступ, что чревато утечкой. Таким образом, становится ясно: вы должны быть уверены, что можете доверять провайдеру, отдавая данные в облако и пользуясь им в дальнейшем. Провайдеры, конечно, модернизируют системы, улучшая их и заботясь о репутации: это в их интересах.
Поговорим о возможностях внешних серверов.
С технической стороны, возможности современных технологий позволяют обезопасить облака. Благодаря особому шифрованию, можно сделать данные непрозрачными даже для провайдера: информация сразу после поступления в центр обработки данных (ЦОД) кодируется и с ней работаете только вы. Например, протокол TLS защищает файлы от прослушивания. Безопаснее шифровка на стороне пользователя облака: прямо на вашем устройстве. Файлы, которые загрузили в облачное хранилище под защитой, не расшифровываются на провайдерских серверах, ведь у них нет ключей шифрования. Значит, даже если кто-то получает доступ к серверу провайдера, не сможет их дешифровать.
То есть, если выбрать такую технологию, надежность повышается в разы. Также важно знать организацию хранения данных в ЦОДе: не все данные хранятся в одном месте, зачастую они рассредоточены по разным ресурсам, и это плюс. Хорошо сработает и усложненная аутентификация, а доступ можно защитить и токенами.