Безопасность «облака»: может быть больше двух мнений?!

Посетив не так давно очередное мероприятие, посвященное облачным вычислениям, где была отдельная секция по информационной безопасности, я окончательно убедился, что мир делится на две категории людей. Первая — люди, которые закрывают глаза на проблему облачной информационной безопасности. Им настолько нравятся маркетинговые «бантики» «облаков», эмоциональная составляющая настолько высока, что они готовы не обращать внимания на очевидную проблему только для того, чтобы как можно быстрее начать пользоваться модной технологией, которой у многих нет. Вторая категория — люди, настроенные очень пессимистично. Они считают, что «облака» — зло для безопасности данных. Однако, занимая критическую позицию, они не предлагают возможных решений. Периодически невольно возникает ощущение, что смысл этой позиции в привлечении внимания к себе в большей степени, чем к проблеме. Эти два лагеря «облачных» оптимистов и пессимистов привлекают к себе внимание аудитории, которая никак не может понять, что же с этим делать?

Попробую вас удивить — я предполагаю, что правы и те, и другие! Но для того чтобы извлечь практическую ценность из опасений одних и энтузиазма других, необходимо перестать делить ситуацию с безопасностью в «облаке» на белое и черное, т. е. либо совсем безопасно, либо совсем рискованно. Жизнь (реальность) предлагает гораздо большее разнообразие и красок, и подходов. Уверяю вас, присмотревшись к полутонам, есть возможность управлять информационной безопасностью, обеспечивать ее и пользоваться «облачными» преимуществами в полной мере.

Пожалуй, самый яркий пример подобного подхода — использование «облака» в качестве платформы для аналитических расчетов. Не секрет, что компании в процессе своей деятельности накапливают довольно большие массивы данных, которые обычно лежат мертвым грузом. Постепенно компании начинают учиться извлекать из этих данных выгоду, анализировать их, использовать результаты для оптимизации деятельности.

Предположим, большая компания, в которой работают тысячи сотрудников, обладает большим массивом ценных данных: не только анкетные данные сотрудников, но и объем зарплат и премий, предпосылки премий, например, командировки, работа в горячих точках или же просто государственные льготы. Ценность этой информации очевидна, хотя чаще всего не совсем понятно, какую пользу из нее можно извлечь. Для того чтобы попробовать использовать эти данные, провести их анализ, найти не лежащие на поверхности взаимосвязи, построить корреляции, нужны очень большие вычислительные мощности. Получается, чтобы попробовать эффективно использовать накопившиеся данные, нужно создать большую и дорогостоящую ИТ-инфраструктуру, которая будет востребована лишь раз в год, а ценность результатов для конкретной компании вообще может вызывать вопросы. Поскольку ни один руководитель не одобрит настолько грандиозные инвестиции в инфраструктуру, используемую раз в год, у компаний есть два пути. Первый, по которому идет большинство, — никогда не анализировать данные; второй — арендовать инфраструктуру для реализации конкретной задачи.

Безусловно, подобный подход для компании выгоден — вычислительные ресурсы используются только в тот момент, когда необходимы и оплата производится по факту использования. Лагерь оптимистов от информационной безопасности ликует! В то время как пессимистичное крыло вопрошает — как быть с конфиденциальными данными? Неужели в угоду экономии вы готовы поставить под угрозу столь ценную информацию?

И вот настало время искать точку соприкосновения, которая позволит воспользоваться «облаком» с полным комплектом преимуществ и не поставить под угрозу безопасность конфиденциальных данных. Например, можно обезличить данные — вместо фамилий указать номера и их уже можно обрабатывать вовне, они не представляют ценности. Все данные аналитического отчета будут ссылаться на номер сотрудника. В результате конфиденциальность полностью соблюдена.

Предвижу вопрос читателей, ради чего городить всю эту историю с обезличиванием данных? Какие результаты может получить компания? Практика показывает, что стоит. Например, недавно мы делали пилотный проект для одной компании, анализировали как раз зарплатные данные. И неожиданно нашли сотрудников, которым далеко за 80, а они не только получают высокую зарплату, но и регулярно ездят в командировки за полярный круг. Стало очевидно, что в компании есть «мертвые души». Так вот, провести анализ и получить корректные результаты можно и без фамилий. Достаточно понять, сотрудник под каким номером нас интересует, и соотнести его со списком фамилий.

Аналогичным образом можно анализировать работу с поставщиками, внутреннюю логистику территориально-распределенных компаний и т. д. Если научиться филигранно работать с данными, то можно использовать «облако» и не нарушать безопасность. Вплоть до того, что можно прекратить всякие споры о степени безопасности якобы безопасных решений в «облаке». Ведь рассуждения о технических средствах, которые применяются в «облаке», рано или поздно заходят в тупик. Например, никто не может предоставить российские сертификаты на отсутствие недекларированных возможностей в тех или иных средствах или на возможность обработки конфиденциальных данных определенной категории. Ведь 99% традиционно применяемых средств обеспечения информационной безопасности — это в зарубежные продукты. Учитывая эти факты, не очень конструктивно вести дискуссию об информационной безопасности в «облаке» с применением закрытых средств, лучше сосредоточиться на предварительной обработке данных перед попаданием в «облако» с целью обеспечения их конфиденциальности, даже в случае, если заказчик сомневается в безопасности этих данных во внешней среде.

Мои рассуждения не означают, что безопасностью в «облаке» не надо заниматься вообще. Ровно наоборот — надо, и будут появляться сертифицированные средства. В дальнейшем это, скорее всего, превратится в отдельную отрасль информационной безопасности, обеспечивающую обработку конфиденциальных данных на публичных вычислительных ресурсах. Возможно, даже появятся встроенные средства шифрования в аппаратные ресурсы «облака». Но это перспектива не завтрашнего дня. В то время как выгоды «облачного» подхода очевидны и доступны уже сегодня.

Думаю, что лидерами «облачной» эры станут те, кто научится интеллектуально и филигранно пользоваться виртуальными ресурсами, не нарушая конфиденциальности данных, уже сегодня, не дожидаясь развития соответствующих технических средств.

Руслан Заединов  http://i-business.ru/