Czy w roku 2012 można już bezpiecznie trzymać dane w chmurach?

Niewątpliwie, aby firma mogła korzystać z chmury, odpowiedzi na te pytania muszą zostać udzielone, a dane o wiele bardziej zabezpieczone niż w środowisku sieci lokalnej. W Sieci bowiem, oprócz osób postronnych, są też hakerzy chętni do kradzieży danych gospodarczych, konkurencja, wirusy, trojany, prawnicy i organizacje zrzeszające twórców – wszyscy oni mogą doprowadzić do przecieków danych, przejęcia ich albo zablokowania usług. Dlatego też ważne jest upewnienie się, że wybrany dostawca chmury wie, jak bronić się przed tymi zagrożeniami z należną starannością.

Dostęp do chmury

Jeśli mielibyśmy umieścić dane w chmurze, ważne jest też to, abyśmy mieli łatwy do niej dostęp. Firma pracująca osiem godzin dziennie (albo nawet więcej w trybie pracy wielozmianowej) musi mieć pewność, że gdy rano wszyscy do niej przyjdą i włączą komputery, będą mieli dostęp do kontaktów do klientów, dokumentów i innych treści. W końcu, jeśli już wszystko przeniesiemy do chmury, chcielibyśmy móc na niej polegać bez posiłkowania się dokumentami papierowymi w stopniu, w jakim czynimy to teraz.
Zdecydowanie niedopuszczalna jest wtedy sytuacja utraty danych. Skoro dane nie będą miały odpowiedników papierowych, lokalnych, muszą być absolutnie bezpieczne. Najlepiej gdyby chmura dbała o integralność treści, tworzenie kopii zapasowych i przywracania w razie awarii.

W przypadku danych przechowywanych na dysku lokalnym ryzyko ich utraty jest duże bez odpowiedniego monitoringu. Przeniesienie ich do chmury powoduje, że mogą one być na wiele sposobów zabezpieczane, a stopień bezpieczeństwa zależy tylko i wyłącznie od tego, jak wysoki standard chce uzyskać firma. Jednocześnie uzyskanie takiego stopnia zabezpieczenia danych nie wymaga uciążliwych prac, od których starannego i regularnego wykonania zależy bezpieczeństwo całej firmy. Proces zabezpieczania danych przed utratą w chmurze jest o wiele prostszy do realizacji niż w biurze.

Jednocześnie z bezpieczeństwem danych u usługodawcy wiąże się bezpieczeństwo w kontekście ich przenoszenia. Powodem, dla którego firmy wolą stawiać własne serwery, jest to, że mają nad nimi całkowitą kontrolę. Mogą je przenosić, modyfikować i pobierać wedle uznania. Dla firmy chcącej przenieść dane do chmury ważne jest to, aby mogła w każdej chwili uwolnić się od usługodawcy, aby mogła pobrać swoje dane albo przenieść je do innej chmury.

Standardy przenoszenia danych między chmurami nadal są rozwijane. Obecnie jednak dla firmy jest ważne to, aby firma dostarczająca chmurę miała opracowane procedury przekazywania danych. Firma może chcieć zrezygnować z chmury i uzyskać swoje gigabajty danych – dostawca chmury musi wiedzieć, jak je dostarczyć. W końcu to nie jest jedna płyta DVD.

Gdy firma chce przenieść dane do innego usługodawcy, dostawca chmury musi mieć gotowe procedury przekazywania danych do innego usługodawcy, aby firma nie była uwięziona przez jednego dostawcę. Nie chodzi tutaj też o czyste dane, np. pliki, ale również dane programów księgowych, dane osobowe czy dane o kontaktach biznesowych. W ich przypadku może być potrzebne sprostanie pewnym normom odnośnie do migracji i przenoszenia albo udostępnienie przez usługodawcę w standardowym formacie obsługiwanym przez więcej usługodawców.

Dla przykładu firma Cal.pl przenosi dane ze swoich standardowych hostingów do chmury w trybie 1:1, podczas gdy przenoszenie danych z chmury Cal.pl do innej odbywa się za pomocą standardowych protokołów.

– mówi Michał Trziszka z Cal.pl.

Co firmy chmurowe robią żeby się chronić?

Dostawcy chmur w różny sposób chronią dane, które przechowują. Znajomość tych metod pozwala w dużym stopniu ocenić bezpieczeństwo rozwiązania. Po pierwsze, liczy się sposób, w jaki fizycznie chronione są serwery. Gdzie zostały one zlokalizowane? Czy dostęp do nich mają jedynie zaufane osoby po potwierdzeniu swojej tożsamości? Jak pomieszczenia serwerowe zabezpieczone są przed pożarem i innymi kataklizmami? W jaki sposób dostarczany jest i zabezpieczany prąd oraz dostęp do Internetu?

Dla przykładu: serwerownia Cal.pl wyposażona jest w agregaty prądotwórcze, zasilanie awaryjne, awaryjne systemy gaśnicze, a dostęp dla nieautoryzowanych osób jest zakazany.

– opowiada Michał Trziszka z Cal.pl.

Ponadto, ważne jest to, co robi usługodawca, by ratować dane w przypadku awarii. Czy i jak dyski serwerów są monitorowane na wypadek awarii? Czy tworzone są sumy kontrolne i kopie zapasowe? Czy kopie znajdują się fizycznie na innych maszynach, najlepiej w innej lokalizacji, tak aby w przypadku np. pożaru nie utracono kopii? Czy jeśli jedno centrum danych ulegnie awarii, jest kto przejąć po nim zadania? Jeśli miejsce przechowywania i dostępu do serwerów jest zabezpieczone fizycznie, trzeba też spojrzeć na bezpieczeństwo informatyczne w dwóch aspektach:

• po pierwsze, nawet jeśli ktoś będzie miał dostęp do dysków serwera, nie może móc ich odczytać, a więc dane muszą być odpowiednio dobrze szyfrowane, aby nawet w przypadku kradzieży nie zostały odczytane,
• po drugie, dane między serwerami a pracownikami wędrować będą przez publiczne łącza Internetu. Mogą one być podsłuchiwane zarówno w pobliżu firmy, serwerowni albo w dowolnym węźle je przesyłającym. W przypadku publicznego Internetu treści o tym, jakie strony oglądamy czy jakie e-maile wysyłamy, często wędrują w postaci jawnej możliwej do odczytania. W przypadku danych firmowych tak być nie może. Wszystkie dane muszą być szyfrowane i to w stopniu uniemożliwiającym złamanie zabezpieczeń w najbliższej, dającej się przewidzieć, przyszłości.

Na szczęście jest kilka sposobów, aby ocenić, jak bardzo usługodawca zadba o dane firmowe, zanim skorzystamy z jego usług. Jak można sprawdzić usługodawcę?

Na ocenę usługodawcy wpływają aspekty wewnętrzne i zewnętrzne jego funkcjonowania. W skład tych pierwszych należy zaliczyć takie, które odnoszą się również do innych firm: jak długo funkcjonuje ona na rynku i czy zatrudnia nowe osoby. Te dane potrafią pokazać nam, na ile daje ona szanse na długotrwałą współpracę.

Dalej należy sprawdzić, czy usługodawca przeprowadza audyty swoich usług. W ten sposób inna firma potwierdza pewien standard pracy. Na rynku istnieją też różne certyfikaty, które usługodawca może uzyskać po wdrożeniu odpowiednich norm, również odnośnie do hostingu w chmurze.

Jakiś pogląd na działanie firmy mogą dać również artykuły prasowe, ale należy do nich podchodzić sceptycznie. Czy firma doświadczała wcześniej naruszeń bezpieczeństwa albo wycieków? Jak reagowała w takich sytuacjach? W jaki sposób sprawę komentowali jej klienci? Czy firma ma dobre wyniki dostępności w badaniach realizowanych przez firmy zewnętrzne? Te dane można zebrać samemu i uzyskać pewien obraz działania przedsiębiorstwa.

Teraz przyjrzyjmy się poszczególnym dostawcom chmury w Polsce i na świecie.