Ποιος είναι υπεύθυνος για την ασφάλεια του cloud τώρα;

Η χρήση υπηρεσιών cloud σε πολλές περιπτώσεις κερδίζει υποστήριξη διαχείρισης. Ωστόσο, αυτή η έντονη στάση λείπει στα τμήματα πληροφορικής. Η έκθεση του Ponemon για το 2014 σχετικά με την κατάσταση του Endpoint Κίνδυνος υποδηλώνει ότι η χρήση του cloud computing, είτε υποστηρίζεται από επιχειρήσεις είτε καθοδηγείται από τους εργαζομένους, έχει αυξήσει την ανησυχία μεταξύ των ερωτηθέντων στην έρευνα - 19.001 επαγγελματίες πληροφορικής στις Ηνωμένες Πολιτείες. Η παρακάτω διαφάνεια δείχνει ότι το 44% των ερωτηθέντων (αύξηση κατά 16% από το 2012 έως το 2013) αναγνώρισε τη χρήση πηγών υπολογιστικού νέφους ως βασική μέριμνα. Το προσωπικό της ΤΠ ανέφερε πολυάριθμες ανησυχίες γύρω από το cloud computing.

Πηγή: Έκθεση για το Κίνδυνο κατάστασης τελικού σημείου 2014

Ποιος είναι υπεύθυνος για τα δεδομένα στο σύννεφο;

Η έκθεση Ponemon αντικατοπτρίζει μεγάλο μέρος των όσων αξιωματούχοι ασφαλείας ανέφεραν τα τελευταία χρόνια. Αυτό που με ενδιαφέρει είναι ποιος είναι υπεύθυνος; Ποιος φταίει αν συμβαίνει κάτι με δεδομένα της εταιρείας όταν βρίσκεται στο σύννεφο; Θα περίμενε κανείς όλα αυτά τα λόγια, αλλά δεν υπάρχει. Μικρές συζητήσεις για την ευθύνη ξεκίνησαν πριν από δύο ή τρία χρόνια. Εντούτοις, το "αγοραστής προσέξτε" ήταν το μόνο πραγματικό συμπέρασμα που εξήχθη.

Με την αύξηση του ενδιαφέροντος του προσωπικού πληροφορικής, ίσως είναι καλή ιδέα να δούμε αν άλλαξε κάτι στο τμήμα ευθύνης. Πίσω το 2012, συνέντευξη με αρκετά στελέχη του C-level. Κατά τη διάρκεια των συνεντεύξεων, ρώτησα ποιος θεωρούν ότι ήταν υπεύθυνος για την εξασφάλιση στοιχείων εταιρειών που κατοικούσαν σε cloud. Κάθε διευθυντής πίστευε ότι η ασφάλεια των δεδομένων δεν αποτελούσε πλέον ανησυχία τους, όταν τα δεδομένα ήταν σε διακομιστές κάποιου άλλου.

Το 2012 Businessweek άρθρο Ποιος είναι υπεύθυνος για την προστασία δεδομένων στο σύννεφο; από τη Sarah Frier επιβεβαίωσε την ανεύθυνη ψηφοφορία μου. Στο άρθρο αναφέρεται ο Mario Santana της Verizon Communication, ο οποίος δήλωσε: "Ορισμένες επιχειρήσεις πιστεύουν λανθασμένα ότι όταν επιλέξουν να αποθηκεύσουν δεδομένα σε εξωτερικούς διακομιστές, δεν χρειάζεται πλέον να ανησυχούν για τη διαφύλαξη αυτών των πληροφοριών".

Με βάση τα ευρήματα Ponemon και Businessweek, έγινε εμφανής η αποσύνδεση μεταξύ των στελεχών της C και των τμημάτων πληροφορικής το 2012. Γρήγορα προς τα εμπρός δύο χρόνια και ό, τι οι ηγέτες των επιχειρήσεων και οι επαγγελματίες της πληροφορικής λένε για την ασφάλεια και ποιος είναι υπεύθυνος για τα δεδομένα της εταιρείας που έχει ανατεθεί σε έναν πάροχο υπηρεσιών σύννεφο έχει αλλάξει.

Τι είναι διαφορετικό το 2014;

Τον Απρίλιο του 2014, το Ινστιτούτο Ponemon κυκλοφόρησε το τρίτο ετήσιο πρόγραμμά του για τη μελέτη κρυπτογράφησης σύννεφων που χρηματοδοτείται από την Thales e-Security. Η έρευνα του Ponemon διερεύνησε 4.275 διευθυντές επιχειρήσεων και πληροφορικής στις Ηνωμένες Πολιτείες, το Ηνωμένο Βασίλειο, τη Γερμανία, τη Γαλλία, την Αυστραλία, την Ιαπωνία, τη Βραζιλία και τη Ρωσία. Η κύρια ώθηση της έρευνας ήταν η εξέταση του τρόπου με τον οποίο οι οργανισμοί προστατεύουν τα δεδομένα τους όταν παρέχονται σε παρόχους υπηρεσιών cloud.

Οι ερευνητές του Ponemon ζήτησαν από τους συμμετέχοντες δύο ερωτήματα που είναι σημαντικά για αυτή τη συζήτηση:

• Ποιο ποσοστό των οργανισμών μεταφέρει ευαίσθητα ή εμπιστευτικά δεδομένα σε εξωτερικές υπηρεσίες που βασίζονται σε cloud;
• Ποιος είναι περισσότερο υπεύθυνος για την προστασία ευαίσθητων ή εμπιστευτικών δεδομένων που μεταφέρονται σε πάροχο υπηρεσιών που βασίζεται σε σύννεφο;

Πρώτον, ας δούμε το ποσοστό των οργανισμών που στέλνουν ευαίσθητα και εμπιστευτικά δεδομένα στους παρόχους υπηρεσιών cloud. Η παρακάτω διαφάνεια δείχνει ότι για το έτος έρευνας του 2013, το 53% των ερωτηθέντων μεταβίβασε ευαίσθητα δεδομένα στο νέφος, το 36% θα το πράξει εντός δύο ετών και το 11% δεν θα χρησιμοποιούσε παρόχους υπηρεσιών cloud. Αυτό που είναι ενδιαφέρον είναι ότι τα αποτελέσματα για τα τελευταία τρία χρόνια παρέμειναν παρόμοια.

Πηγή: Τάσεις στην κρυπτογράφηση σύννεφων

Στη συνέχεια, για το έτος ερευνών του 2013, ποιος ήταν ο πλέον υπεύθυνος για την προστασία ευαίσθητων ή εμπιστευτικών δεδομένων που μεταφέρθηκαν σε πάροχο υπηρεσιών που βασίζεται σε σύννεφο; Εξαρτάται. Οι συμμετέχοντες στην έρευνα δήλωσαν ότι η ευθύνη εξαρτάται από τον τύπο της υπηρεσίας cloud που παρέχεται - SaaS ή IaaS / PaaS. Η παρακάτω διαφάνεια απεικονίζει τις απόψεις των ερωτηθέντων σχετικά με το ποιος ήταν υπεύθυνος όταν μια εταιρεία χρησιμοποίησε ένα περιβάλλον SaaS. Το 2013, το 54 τοις εκατό είδε τον πάροχο cloud ως υπεύθυνο για την ασφάλεια και 24 τοις εκατό είδαν τους χρήστες cloud-service ως υπεύθυνοι, ενώ το 19 τοις εκατό πίστευαν ότι η ευθύνη πρέπει να μοιραστεί. (Μάθετε περισσότερα στην επιλογή μεταξύ IaaS και PaaS: Τι πρέπει να ξέρετε.)

Πηγή: Τάσεις στην κρυπτογράφηση σύννεφων

Η επόμενη διαφάνεια απεικονίζει τη γνώμη του ερωτηθέντος σχετικά με το ποιος ήταν υπεύθυνος όταν μια εταιρεία χρησιμοποιεί ένα περιβάλλον IaaS / PaaS. Το 2013, το 47 τοις εκατό θεωρούσε την ασφάλεια ως κοινή ευθύνη, 26 τοις εκατό θεωρούσαν τους χρήστες cloud-service υπεύθυνους και το 22% θεωρούσε ότι ήταν ευθύνη του φορέα παροχής υπηρεσιών cloud.

Πηγή: Τάσεις στην κρυπτογράφηση σύννεφων

Η κατώτατη γραμμή? Τα πράγματα έχουν αλλάξει. Φαίνεται ότι η στάση "buy beware beware" έχει ωριμάσει σωστά μαζί με τα προϊόντα cloud-service. Αλλά, όπως μου είπε ο δικηγόρος του Internet-savvy, οι ευθύνες καθορίζονται από τις συμβάσεις, τίποτα περισσότερο ή τίποτα λιγότερο. Αυτό είναι κάτι που πρέπει να θυμάστε όλοι όσοι ασχολούνται με τις υπηρεσίες cloud.