Bezbedna kancelarija u oblaku

Cloud computing odnosno oblak je iz korena promenio način na koji danas funkcioniše IT, kako u poslovnom okruženju, tako i običnih korisnika. Prednost ovakvog pristupa je višestruka, a glavna prednost jeste dostupnost podatka sa različitih lokacija (bez obzira da li se nalazite u kancelariji, svojoj kući ili na službenom putu van zemlje). Druga važna prednost oblaka jeste što podacima možete pristupati sa različitih vrsta uređaja koje koristite i to bez obzira na to koji operativni sistem koristite (mobilni telefoni - android, iphone, različite vrste tableta, laptopovi...). Sa poslovnog aspekta navedene prednosti su veoma pozitivne stvari vezane za prednosti korišćenja ove tehnologije jer jedan od efekata svakako jeste mogućnost velike uštede na IT troškovima kompanije. Ovde pre svega mislim zbog toga što se u ovom modelu neko drugi brine o Vašim podacima (pružalac usluga - Cloud provider), a sa druge strane i korisnici mogu sa jeftnijih uređaja da koriste resurse (ne moraju svi da imaju jake računare sa snažnim procesorima i dosta RAM memorije kako bi koristili ovu tehnologiju). Međutim postoje i sigurnosni problemi na koje želim da ukažem ovim postom, kao i na to koje podatke treba prebaciti u Cloud a koje ne. Pa da krenemo redom, prvo da vidimo koji sve modeli oblaka postoje.

Modeli oblaka

E sada kada smo objasnili koje su prednosti, potrebno je znati da postoje tri osnovna modela servisa u svakom cloud okruženju i svaki od navedenih modela ima različit uticaj na bezbednost podataka u cloud‑u i ne postoji mera bezbednosti koja je univerzalno primenjiva na sva tri modela. Postoje sledeći modeli:

- Infrastruktura kao servis (IaaS) - ovo je model u kome se iznajmljuje čitava infrastruktura, što podrazumeva virtualne računare, ali ne samo to već i mrežnu opremu i uređaje

- Platforma kao servis (PaaS) - predstavlja model u kome se iznajmljuje virtualni računar sa određenom količinom procesora i radne memorije, koje je moguće vrlo lako kroz pretplatu povećavati ili smanjivati u zavisnosti od potreba

- Softver kao servis (SaaS) - najčešće primenjivani model u kome se iznajmljuje sam program odnosno softver. Tipični primeri ovakvih usluga jesu MS Office 365 sa čuvanjem podataka na One Drive ili besplatna rešenja kao što su Dropbox i Google Drive. Osnovna ideja jeste da se program nikada ne kupuje, već da se plaća po broju sati korišćenja ili se plaća paušalno dogovorena cena na mesečnom ili godišnjem nivou, što je mnogo fleksibilnije od toga da morate kupiti čitavu aplikaciju i onda brinuti o licencama ili o ažuriranjima verzije.

Koje podatke čuvati na Cloud-u?

Neke vrste podataka su isuviše osetljive za smeštaj u oblak. Tu pre svega spadaju poverljivi poslovni podaci kao što su podaci o klijentima na primer. Međutim postoje različite varijante Cloud-a pa se postavlja pitanje koji je pravi model za Vaše poslovanje. Kod public cloud-a situacija je takva da više korisnika deli isti prostor za skladištenje podataka i tu je bezbednost na mnogo nižem nivou (Dropbox, Google Drive).

Bekap, disaster recovery i business continuity

Nešto što predstavlja stalnu boljku IT stručnjaka u kompanijama jeste šta raditi ako dođe do gubitka podataka, odnosno kako sistem što pre vratiti u stanje rada. Ovde je bitno istaći i da je ovo jedna od najskupljih i najzahtevnijih stvari jer se dostupnost poslovnih podataka ne sme dovoditi u pitanje. Cloud provajder mora da ispuni određene standarde i mora imati izuzetno veliku dostupnost, što podrazumeva i pristup podacima posle poplava, zemljotresa, nestanka električne energije i slično. Oblak predstavlja idealno mesto za skladištenje poslovnih podataka zbog svega navedenog. Troškovi su daleko manji od kupovine dodatnih resursa za čuvanje podataka i možda čak i održavanje sekundarne lokacije. Ukoliko dođe do bilo kakvog problema, svi podaci se nalaze u oblaku, tako da čak i sekundarna lokacija iako postoji, ne mora imati kopiju podataka jer je oblak dostupan i sa te lokacije.

Zašto čuvati podatke u oblaku?

Danas je većina cloud provajdera sertifikovana za poslove koje rade i trude se da steknu i očuvaju dobru reputaciju zbog starih i novih klijenata. To znači da su spremni da ispune određene standarde koji vam odgovaraju i koje vi verovatno ne možete tako lako ispuniti i dostići kao kompanija. Izbor cloud provajdera je stvar poverenja i to se mora graditi tokom vremena. Cloud provajderi takođe uglavnom imaju dobro opremljene data centre, adekvatnu logistiku i visokokvalifikovano IT osoblje, što mala i srednja preduzeća u Srbiji sebi teško mogu da priušte na tom nivou. Ovde treba voditi računa da je i dalje najveća odgovornost na korisniku jer ne znači puno ako Cloud provajder vodi računa o svim ostalim stvarima, a korisnik ne zaštiti svoj pristup Cloud-u. Pošto je ovo posebno bitna tema, u nastavku slede neka uputstva kako biti bezbedan u oblaku.

Dvostepena i biometrijska provera

Da bi sprečili ili bar otežali posao hakerima, koji pokušavaju da pristupe našim podacima, možemo koristiti sledeće dve tehnologije:

- Dvostepena verifikacija (2 step verification) - tehnologija koja omogućava korisniku da pored korisničkog imena i šifre uvede i drugi stepen provere, što je uglavnom SMS poruka sa pristupnim parametrima, koja stiže na unapred prijavljen broj telefona. Na ovaj način čak i da neko sazna vašu lozinku za pristup, neće moći da pristupi nalogu ako nema mogućnost da na vaše telefonu vidi parametre koji su stigli u SMS poruci. Većina cloud provajdera nudi ovu mogućnost, odavno je uvedena od strane kompanija Google i Apple a vrlo brzo posle toga i Dropbox pruža ovakvu mogućnost.

- Biometrijska provera (biometric verification) - tehnologija koja se može koristiti kao dodatni faktor provere i koja se bazira na otisku prsta ili zenice oka korisnika. Postoji još pored ovoga dosta različitih vrsta biometrijske provere, ali zbog jednostavnosti otisak prsta je nešto što se najčešće susreće u praksi. Veliki broj poslovnih laptop računara već ima ugrađen čitač otiska prsta kao sastavni deo, tako da ovo još dodatno olakšava primenu ove tehnologije.

Bezbednost radne stanice

Bez obzira što se podaci u ovakvom poslovanju većinom čuvaju u oblaku potrebno je i dalje voditi računa o bezbednosti samog računara sa kog pristupamo oblaku. To podrazumeva minimum sledeće:

• ažuriran operativni sistem najnovijim zakrpama
• instaliran i ažuriran antivirus program
• dobro podešen softverski firewall
• VPN klijent za pristup

Procedure za korisnike

Pored bezbednosti uređaja sa kog se pristupa potrebno je obezbediti i procedure za korisnike koji koriste ovakvo okruženje. Međutim izuzetno je bitno da korisnici budu upoznati sa tim procedurama kao i sankcijama u slučaju kršenja istih. Ovo je nešto što bi trebalo uraditi u kompanijama mnogo pre početka korišćenja oblaka u poslovanju. Ukoliko ne postoje ljudi u kompaniji koji su upoznati sa ovim, potrebno je obavezno angažovati stručne konsultante koji imaju iskustva sa ovom temom, kako bi se pokrilo sve što je potrebno sa tehničke i pravne strane. Ovde je posebno bitno da postoje definisane procedure bekapa podataka, povratka posle katastrofe (disaster recovery) i kontinuiteta poslovanja (business continuity) jer one mogu ugroziti poslovanje kompanije.

Da li da koristim Cloud u poslovanju ili ne?

Bitno je istaći da pošto su svesni rizika, provajderi koji nude ovakve usluge veoma ozbiljno shvataju opasnosti koje vrebaju u ovom modelu poslovanja. Tako da čak i u slučaju da se desi neki neželjeni upad u sistem, to ne znači da su podaci hakerima dati „na tanjiru“. Oni se šifruju i gotovo je nemoguće dešifrovati ih u nekom razumnom vremenskom periodu (ono što ovde stvara još dodatne zabune jeste veliki broj vesti koje se brzo šire internetom kako je došlo do kompromitovanja velikog broja podataka što uglavnom nije tačno već su uzete samo heš vrednosti lozinki i veliko je pitanje da li se i na koji način stvarno mogu razbiti).

Ono što predstavlja izuzetno korisnu stvar jesu aplikacije koje se koriste direktno u oblaku, kao što su na primer Office 365 ili Google Docs. Na ovaj način drastično je olakšana kolaboracija, odnosno zajednički rad na dokumentima koji se pored toga što su dostupni za izmenu od strane više korisnika sa mogućnošću praćenja izmena, takođe i sačuvani direktno u oblaku.

Zaključak

Potpuno je jasno da rad u cloud okruženju donosi niz prednosti u odnosu na rad sa izolovanim računarima ili računarima koji su povezani u neku vrstu računarske mreže. Naravno, potrebno je biti obazriv i voditi računa o svemu, ali ne treba da postoji paranoja i odbacivanje ovakve tehnologije, koja će se u budućnosti svakako sve više razvijati i doneti niz novih prednosti. Ukoliko želimo da iskoristimo sve te prednosti koje su već dostupne ili će tek biti, moraćemo da koristimo cloud okruženje, a da bi to radili u koliko toliko bezbednom okruženju, moraćemo i da poštujemo i neka pravila.