Облака: сила и уязвимость

Продолжаем тему недавнего обзора переориентации облачного рынка. Мы уже увидели новые повороты и провалы этой истории, произошедшие из-за внешних изменений. Совершенно ясно, что нужно посмотреть на эту нишу шире: безопаснее ли облачное хранилище в принципе, и, если мы решили выбрать такой сервис, на что стоит обратить внимание?

Вопрос безопасности персональных данных как никогда актуален. Вдвойне – с точки зрения оператора обработки данных, а не пользователя. Абсолютно естественно, что в эпоху экономики услуг данные клиентов – это ваша репутация и будущее бизнеса.

К сожалению, практика показывает, что идеально справиться с защитой данных редко кому под силу.

Так, недавно стало известно, что у Delivery club утекла база данных клиентов. Компания подтвердила новость, в процесс вмешался Роскомнадзор. Утекли имена, номера телефонов, адреса доставки, IP-адреса... Клиенты по всей стране. Если все подтвердится, компании грозит штраф 60 – 100 тысяч рублей.

А еще за пару дней до этого РКН заблокировал ресурс-карту, где агрегировались утечки с визуализацией данных пользователей на карте. Там были «Яндекс. Еда», «Авито», «Билайн» и другие облачные сервисы и компании.

Утечка данных из «Яндекс.Еды», случившаяся в апреле по вине одного из сотрудников, стоила им 60 тысяч (и серьезнейших потерь репутации). А еще в конце апреля данные утекли у компании «Кока-кола».

Посмотрев на все эти случаи, мы точно можем сказать, что «и на старуху бывает проруха»: прорехи в информационной безопасности могут быть у всех.

К сожалению, информация, откуда произошли утечки - с сервера компании или облака - не распространяется. Но, по данным экспертов, большая часть корпораций выводит свои данные в облака, эта тенденция растет, как и востребованность облачных сервисов. Поэтому, допустимо предположить, что и данные утечки произошли из облачных сервисов. Несомненно, вопрос безопасности облачных платформ актуален. Но, как мы писали раньше, эта ниша сейчас несколько опустела. И при сохраняющемся запросе пользователей заполняться она будет новыми предложениями. Поэтому важно знать, на что обратить внимание при выборе облачного сервиса и работе с ним.

А зачем нам облака вообще?

Согласно данным экспертов, это нехилая экономия на IT: в среднем 8 %. Но очень малая часть компаний использует их по полной, а ведь это море гибких возможностей. Для маленьких компаний облачные решения очень выгодны с финансовой точки зрения: максимальную цену составляет работа с программами. Для больших компаний преимущества – устойчивость к сбоям, возможность гибкого администрирования, широкий доступ для пользователей. Упрощение администрирования – ключевой лайфхак облаков.

Итак, процедуры становятся мобильными благодаря отрыву реального от виртуального. Облака могут быть внешними – тогда вы пользуетесь хранилищем, которое дает вам провайдер. Либо внутренними – когда создаете облако для себя и своего бизнеса.

Но ключевая проблема – безопасность. И, пожалуй, именно это останавливает некоторые компании в решении пользоваться облаком.

Основные угрозы облачных сервисов, по сути - DDoS-атаки и взлом системы методом подбора паролей и последующий доступ к данным. Парадокс, но, по сути, риски у облаков такие же, как и у серверов: неверно настроенные права доступа, шифрование, небезопасные интерфейсы. При этом, как говорят эксперты, взлом сервера чреват худшими последствиями – облака, в отличие от сервера, позволяют блокировать доступ и быстрее восстановить безопасность, и поэтому предпочтительнее.

Что ж, мы выбираем облачное хранилище, и у нас есть два пути: сделать свое облако, или отдать провайдеру. Сегодня мы говорим о втором случае.

Мы решили довериться провайдеру.

Допустим, вы доверили все это провайдеру и отдали во внешнее облако. Тогда места, откуда могут украсть данные, множатся благодаря «аутсорсу»: теоретически, провайдер и все, кто имеют отношение к организации процесса, могут получить доступ, что чревато утечкой. Таким образом, становится ясно: вы должны быть уверены, что можете доверять провайдеру, отдавая данные в облако и пользуясь им в дальнейшем. Провайдеры, конечно, модернизируют системы, улучшая их и заботясь о репутации: это в их интересах.

Поговорим о возможностях внешних серверов.

С технической стороны, возможности современных технологий позволяют обезопасить облака. Благодаря особому шифрованию, можно сделать данные непрозрачными даже для провайдера: информация сразу после поступления в центр обработки данных (ЦОД) кодируется и с ней работаете только вы. Например, протокол TLS защищает файлы от прослушивания. Безопаснее шифровка на стороне пользователя облака: прямо на вашем устройстве. Файлы, которые загрузили в облачное хранилище под защитой, не расшифровываются на провайдерских серверах, ведь у них нет ключей шифрования. Значит, даже если кто-то получает доступ к серверу провайдера, не сможет их дешифровать.

То есть, если выбрать такую технологию, надежность повышается в разы. Также важно знать организацию хранения данных в ЦОДе: не все данные хранятся в одном месте, зачастую они рассредоточены по разным ресурсам, и это плюс. Хорошо сработает и усложненная аутентификация, а доступ можно защитить и токенами.

С другой же стороны, владельцу облака также выгодно ваше доверие и обеспечение сохранности данных: репутация – важная часть хорошего места на рынке. Но это уже тот вопрос, которым вы не можете управлять.

Вдвойне интересно, можем ли мы доверять провайдеру, у которого утекли данные (привет, «Яндекс» и «Билайн»)?

Оставшиеся на рынке сервисы условно можно поделить на те, которые работают по этому профилю давно (например, Мейл.ру), и те, кто отреагировал на запрос рынка: вырос спрос на облака – и мы сделали (операторы связи).