Jak bezpečný je cloud?

LinkedIn Andres Bang, Juniperův Gary Clark, Akamaiho Tom Leighton, Gordon Ritter z Emergency Capital a Cristina Alesci z Bloombergu

Jak bezpečný je cloud? Řada panelistů na minulém týdnu na Bloomberg Enterprise Technology Summit hovořila o této otázce, zejména v návaznosti na odhalení Snowdena a porušení cíle. Většina z nich byla býčí o možnosti poskytovatelů veřejných cloudů nabídnout lepší zabezpečení než téměř jakákoli interní datová služba. Přesto i ti nejoptimističtější uznali, že mnoho podniků se cítí pohodlněji s větší kontrolou nad svými údaji.

Například Andres Bang, vedoucí oddělení globálního prodeje a provozu pro LinkedIn, uvedl, že jeho firma je velkým zákazníkem veřejných cloudových služeb a jako taková je na takových prodejcích závislá. Ale řekl, že společnost uchovávala informace o svých členech v soukromém cloudu, takže měla větší kontrolu. Gary Clark, IT CTO společnosti Juniper Networks, uvedl, že vidí, že se mnoho IT oddělení vyvíjí na makléře cloudových služeb, s 80 procenty nebo více jejich aplikací v cloudu a zbytek v soukromém cloudu. Obecně řečeno, viděl společnosti, jak si uchovávají své nejvíce soukromé informace interně.

Podle Toma Leightona, generálního ředitele a spoluzakladatele společnosti Akamai Technologies je v závislosti na bezpečnosti v datovém centru model, který se chystá selhat. Nestačí se bránit pouze produkty v datovém centru; musíte zachytit a zpracovat, než se dostane do datového centra.

CIA: Jsi „jen tak silný jako tvůj nejslabší článek.“

Gus Hunt, bývalý technický ředitel pro CIA

Gus Hunt, bývalý hlavní technologický ředitel pro Ústřední zpravodajskou agenturu (CIA) a současný generální ředitel společnosti Hunt Technology, poznamenal na dalším zasedání Gus Hunt, že všichni poskytovatelé cloudových služeb mají „opravdu vynikající“ zabezpečení, protože to potřebují k přilákání zákazníků. Mluvil o tom, jak CIA používá Amazonův mrak, i když ve zvláštní kopii, kterou Amazon spravuje za zdmi CIA (které jsou zase chráněny zbraněmi a jiným fyzickým zabezpečením).

Poznamenal však, že bezpečnost je „pouze tak silná jako vaše nejslabší článek“. Vysvětlil, že pokud máte pracovní vytížení se zranitelností na vrcholu poskytovatele cloudu, tato zranitelnost nadále existují. Chyba zabezpečení v jednom pracovním zatížení však neovlivňuje ostatní v cloudu. Takže, řekl, zajištění vašeho vlastního pracovního zatížení zůstává kritickým úkolem.

Hunt řekl, že bezpečnostní problém se stává „nepřekonatelně těžkou a obtížnou věcí“, a řekl, že pro každou jednotlivou společnost bylo opravdu těžké zjistit, jak se chránit. Takže viděl vzestup společností poskytujících služby v oblasti zabezpečení, které budou instrumentovat vaši síť a ovládat zabezpečení. Řekl však, že se jednalo o „závod ve zbrojení bez tření“, kdy se informace okamžitě sdílejí o věcech, jako je malware, což je stále obtížnější.

Nakonec řekl, že se budeme více zaměřovat na ochranu dat než na sítě. „Jsou to data, hloupé, “ řekl. Musíme to udělat, aby bylo těžké najít data. Pokud však někdo projde, musí být rychle odhalen a opraven.

V dlouhodobém horizontu Hunt řekl, že lidé získají větší kontrolu nad svými daty a jejich soukromím, a to díky technikám, jako je šifrování a dešifrování a schopnost falešných míst. To je skvělé pro soukromé občany, řekl, ale představuje velké výzvy pro vymáhání práva. "Budete mít možnost ovládat svá data do bodu jemného zrna."

Zmírňující riziko a „Snowdenův efekt“

Wade Baker z Verizon Enterprise Solutions, Mike K. Brown z BlackBerry, Dr. Burt Kaliski ml. Z VeriSign, John N. Stewart z Cisco

John N. Stewart, ředitel bezpečnosti společnosti Cisco, poznamenal, že jedním problémem je, že nemáme dobrou definici dobrého nebo špatného v podnikovém zabezpečení, takže je obtížné porovnat zabezpečení poskytovatele cloudu s podnikovým cloudem. A Wade Baker, ředitel pro výzkum a zpravodajství ve společnosti Verizon Enterprise Solutions, uvedl, že ačkoli se mohou v cloudu vyskytnout bezpečnostní problémy, často na tom nezáleží, protože je to zřídka způsobeno cloudem.

Burt Kaliski, technický ředitel společnosti VeriSign, také vynalezl koncept přechodu k „informačnímu přístupu“, se spoustou mechanismů ochrany, ale většinu z toho neviděl pro koncového uživatele.

Podle Stewarta cloudová bezpečnost přináší do popředí „každý hřích, který jsme nevyřešili“, přičemž cituje takové problémy, jako je problém uživatelských jmen a hesel. Řekl, že společnosti se příliš soustředily na obvod - „tvrdou křupavou venku“ - nikoli na střed svých dat, a to se muselo změnit. Poznamenal, že ochrana dat získala u DRM špatnou pověst, ale mohla by se ukázat jako velmi důležitá. Varoval však: „Většina uživatelů se nestará o rizika, starají se o to, aby svou práci provedli nejefektivnějším způsobem.“

Kaliski řekl, že existuje mnoho dalších důležitých faktorů v podnikové bezpečnosti, včetně dobré správy informací, se zaměřením na důvěru všech prvků v systém, audit a správu klíčů.

Všichni se shodli na tom, že „Snowdenův efekt“ upozornil na bezpečnostní otázky, protože mnoho mezinárodních spotřebitelů nyní považuje USA za zlo, zatímco jiní si myslí, že to znamená, že USA vědí, jak věci napravit.

Raimund Geny Trend Micro, Rick Howard z Palo Alto Networks, Cedric Leighton dříve z NSA, Michael Riley of Bloomberg News

Následovalo další zasedání, jenž se týkalo dopadu Snowdenu, přičemž hlavní obavou bylo, že to vedlo k „tribalizaci internetu“, uvedl plukovník Cedric Leighton, bývalý náměstek ředitele pro výcvik v NSA a nyní generální ředitel Cedric Leighton Associates. Poznamenal, že internet byl navržen tak, aby byl globální, ale nyní kromě „velkého čínského firewallu“ slyšíme například „německý mrak“ nebo „švýcarský mrak“. Snowdenova zjevení posloužila jako výmluva k znovuznárodnění věcí, řekl, a to způsobuje značnou nedůvěru vůči světu a internetu, což má mnoho nezamýšlených důsledků.

Raimund Genes, hlavní technologický ředitel Trend Micro, poznamenal, že Snowden také zahájil diskusi o bezpečnosti obecně. "Pokud může Snowden dostat dokumenty z NSA, co to říká o našem oboru?" zeptal se. Mluvil o tom, jak těžké bylo důvěřovat interním dodavatelům a potřebě vytvořit bezpečnější internet obecně, řekl, že si myslel, že vláda hraje roli.

Souhlasil s tím, že „internet byl vytvořen tak, aby byl globální“, a prohlásil, že některá nová evropská pravidla určená k uchovávání údajů v původní zemi nebo regionu jsou směšná.

Zatímco on a Leighton se shodli, že vláda bude hrát roli při zvyšování bezpečnosti internetu, Rick Howard, generální ředitel bezpečnosti společnosti Palo Alto Networks, řekl, že celý incident dokázal, že průmysl odvádí dobrou práci v zajišťování bezpečnosti, a uvedl prodejce jako musí být lepší, pokud jde o zabudování zabezpečení do více řešení. „Zákazníci budou muset být zajištěni bez ohledu na to, co vláda dělá, “ řekl.