Er der nogen risiko ved Cloud Computing?

Ja ? i allerhøjeste grad.

Som jeg ser det, er det såmænd ikke fordi Cloud Computing er specielt farligt eller dumt ? men som alle andre forhold i livet kan man komme rigtigt galt afsted hvis man ikke tænker sig om og forbereder sig ordentligt inden man kaster sig ud i det.

Som jeg ser det, er risikoen ved at vælge at outsource sin drift til en cloud computing leverandør større end ved mere traditionel outsourcing - altså hvor man som firma dumper alle sine servere ved en der lover at tage sig af dem ? men der kan til gengæld være en langt større besparelse involveret. Dette er især tilfældet ved hosting af firmaets mail, hvor der kan være meget at spare ved at omlægge virksomhedens mail til eks. Google Mail.

I relation til risiko er det der gør risikoen større end ved 'traditionel' outsourcing at der pludseligt kommer langt flere faktorer ind som der skal tages hensyn til.

Dette indlæg kommer til at handle om de ekstra faktorer. Flere af dem er også en faktor ved traditionel outsourcing ? blot i mindre grad.

  • Hvem tilgår dine data? Da data opbevares udenfor virksomheden, udgør dette i sig selv en risiko. Derfor er det vigtigt at vide hvem der har adgang til dine data og hvordan. Bed leverandøren om medarbejderlister og baggrundsdata om personerne, hvis du ikke har fuld tiltro til leverandøren.
  • Compliance i relation til PCI, DS484, ISO27000 - og virksomhedens egen IT-sikkerhedspolitik. Sikkerheden og integriteten i de data der ligger i skyen er ultimativt virksomhedens eget ansvar. Derfor bør man sikre sig at der foreligger en revisionserklæring på at leverandørens procedurer og forretningsgange overholder de sikkerhedsstandarder og politikker som virksomheden selv skal overholde, eller vurder om disse eventuelt skal justeres i forhold til hvad der er realistisk at forlange af sin leverandør.
  • Datas placering. Ved en global leverandør af cloud computing med en kompleks infrastruktur kan der herske usikkerhed om hvor præcist ens data befinder sig rent fysisk. Det har betydning fordi der er forskel på de enkelte landes og regioners krav til datahåndtering. Få derfor en erklæring fra leverandøren om at dansk lov opretholdes, og at data opbevares fysisk på servere indenfor EU hvis dette påkræves.
  • Data er adskilt fra andre kunders. Undersøg hvad leverandøren gør for at holde kunders data adskilte. Kryptering af data kan afhjælpe problemet, men er ikke nødvendigvis tilstrækkeligt til at løse alle problemer - sker der uheld kan data ikke tilgås, og er dermed tabt hvis backupproceduren er fejlet. Få leverandøren til at levere dokumentation for at krypteringsmetoden er anerkendt og testet af specialister på området, og at leverandøren følger anerkendte principper og procedurer for nøglehåndtering.
  • Disaster recovery. Leverandøren skal dokumentere at de har en plan og procedurer for disaster recovery, og at disse er implementeret, således at virksomheden påvirkes mindst muligt af uheld hos leverandøren.
  • Undersøgelser i forbindelse med lovbrud. Effektiv logning og undersøgelse af logs i forbindelse med eventuelle lovbrud er specielt vanskelig i cloud computing miljøer grundet disses kompleksitet. Derfor bør leverandøren kunne dokumentere at de ved sikkerhedsmæssige hændelser har udforsket denne tilstrækkeligt.
  • Konkurs og datas overlevelse. Hvis leverandøren går konkurs skal virksomheden have sikkerhed for at deres data er tilgængelige, og at de ikke kommer i uautoriserede personers varetægt. Spørg derfor leverandøren om hvad deres procedurer er for en sådan situation, og i hvilket format virksomheden får sine data tilbage i.
  • Leverandør lock-in. Cloud computing er en relativt ny og umoden teknologi. Der er derfor ikke indført fælles standard for cloud computing arkitektur og interfacet imellem virksomheden og leverandøren. Virksomheden risikerer derfor i værste fald at have sin infrastruktur bundet op på én enkelt leverandør.
  • Modenhed. Cloud computing leverandørers produkt udvikler sig hurtigt og nye features tilføjes konstant. Secure Development LifeCycle (SDLC) og nye features der konstant skal udvikles og frigives er en rigtig dårlig kombination. Risikoen for sikkerhedsmæssige sårbarheder er derfor stor.

Derfor ' at bestemme sig for om det er en god idé at outsource driften til en cloud er meget basal : Kan alle væsentlige risici afdækkes uden at besparelsen går tabt' På den måde er der som sådan ikke noget nyt ? det er et mantra for alle risikovurderinger.

Essensen i outsourcing er at tage livsnerven i en virksomhed og overlade den til andre ' derfor bør man forberede sig ordentligt og gennemtænke alle scenarier og situationer, vurdere risikoen ' ellers kan det gå rigtigt rigtigt galt.

Hvad syntes du' Har du erfaring og meninger du vil dele' så er det her stedet ! :)

Kommentarer (12)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Jesper Gødvad

Jeg synes du laver en god checkliste, men som du selv skriver er de enkelte punkter også en faktor ved traditionel outsourcing. Hvis alternativet er server hosting synes jeg egentlig ikke forskellene er store, men det er priserne til gengæld. Egentlig er det vel kun modenhed og placering der adskiller sig meget.

  • 0
  • 0
#2 Anonym

Som jeg læser listen (der i sig selv er glimrende), så er det mest karakteristiske at den overser det risikokoblende element. De fleste data tilhører ikke beslutningstagerne hvis der er tale om data om andre fordi de udgør en risiko for andre.

Vi er vidne til den samme type kobling af risici som gjorde finanskrisen så voldsom. Når det går galt går det rigtigt galt i stor skala. Det er uansvarligt hvis man ikke sørger for at isolere risikoen og det dækker denne liste IKKE - den afspejler en blind tro på at risikoen kan håndteres med aftaler uden indhold. Den overser samtidig at interessen i misbrug er voksende.

Bankerne troede også at de kunne outsource kundeservice indtil kriminaliteten via f.eks. salg af kundedata eskalerede. og det er den mildeste type af problemer her.

Hele denne lemminge-jagt på Cloud er stærkt præget af grådighed uden ansvarlighed eller omtanke.

  • 0
  • 0
#3 Klaus Agnoletti

@Jesper

Jeg læser det mere som om at hvis man vælger at outsource noget til en cloud som der er relativt lav risiko ved, f.eks. mail, så er risikoen den samme, fordelene langt større.. så hvis man kun outsourcer lav-risiko ting til clouden er man rimeligt safe :)

/k

  • 0
  • 0
#4 René Løhde

Hej Klaus,

Hvis jeg skulle komme med et par ekstra sikkerhedsråd til firmaer der overvejer CC, så vil det være at fokusere på de nye (svageste led?) der introduceres.

  1. Der er meget transport i CC: Derfor, tag ansvar for kanal og indhold - brug teknologier og leverandører der sikre uafviselighed og fortrolighed gennem multiple hubs og protokoller.

  2. Identitet og adgangskontrol: Hvadenten du er stor virksomhed som ønsker nye skaleringsmuligheder eller en softawareleverandør som laver multitenant SaaS løsninger, så vil det at flytte dele af kunders/medarbejderes arbejde ud i skyen give udfordringer med adgang og id. Derfor kig på om din leverandør forstår sig på Id Federation (passiv og aktiv) og/eller om de har en provisioneringsmulighed. Kig på om der er mulighed for rolle og adgang systemer og evt hvordan disse vedligeholdes bag egen firewall og ude i skyen og evt om de kan synkroniseres el. lign.

-René

  • 0
  • 0
#5 Anonym

Rene

Id federation er formentligt den enkeltstående største risikofaktor næst efter en IdP som antages at bygge accountability som man-in-the-middle.

Læg iøvrigt mærke til at SSO er ulovligt i henhold til dansk lovgivning fordi det gør IdP til en CA i modstrid med Lov om Digital Signatur.

Transportsiden er det mindste problem.

Klaus

Av - "vis man vælger at outsource noget til en cloud som der er relativt lav risiko ved, f.eks. mail, så er risikoen den samme, fordelene langt større.. så hvis man kun outsourcer lav-risiko ting til clouden er man rimeligt safe :)"

Lige indtil du skrev mail var vi enige - derefter dokumenterede du det modsatte. Blot fordi man endnu ikke har transparans i sikkerhedsproblemerne ved mail er det formentlig virksomheder og borgeres største sikkerhedsproblem.

Mail er det første du skal trække klient-side via end-to-end kryptering. Online storage er ok (gjort rigtigt hvilket slet ikke er så nemt), men ikke hvis det blotlægger systemet som f.eks. GMail gør det.

  • 0
  • 0
#6 Klaus Agnoletti

Hej Stefan,

Så lad mig forklare mig selv. For nogle virksomheder er mail noget der ikke er den store riskko ved. Hvis det er tilfældet, kan man starte med at flytte mail til en cloud computing leverandør. Er mail derimod noget der betyder meget for virksomheden, og som introducerer en stor risiko, så bør man nok færsøge sig med andet.

Det er ikke muligt at eksemplificere uden at støde på virksomheder hvor eksemplet ikke er dækkende - og det er sådan set heller ikke meningen. Hvis man gerne vil, så kan man godt forstå mine eksempler sådan som de virkeligt er ment.

/k

  • 0
  • 0
#7 Jesper Gødvad

@Stephan og Klaus

Jeg tænker måske alt for pragmatisk, men hvad angår mail, så sammenligner ser jeg de to alternativer som - Hosted hardware hvor vi "selv" vedligeholder mailserveren - Cloud computing, f.eks. GMail. Selvom vi betaler meget mere for den første løsning kan jeg ikke se den i praksis er mere sikker. Med sikkerhed tænker jeg naturligvis også på oppetid, backup osv. Hvilke problemer er det, der er så meget mere relevante ved CC?

  • 0
  • 0
#8 Klaus Agnoletti

@Jesper

Ved en cloud computing hostet mail er risikoen større - det er den, som jeg ser det, bl.a. fordi risikoen for at andre kunder kan få uautoriseret adgang til din mail fordi de er i samme miljø, er større. Ved en mere traditionel outsourcing deler man typisk ikke mailserver, og adskillelsen imellem kunder er ikke kun 'logisk' (hvis man altså kan kalde det det).

Som jeg skriver, er risikoen ved Cloud computing større fordi der bare er flere ting at overveje og tage med i sin risikovurdering.

/k

  • 0
  • 0
#9 Jesper Gødvad

@Klaus

Ja, jeg er for så vidt enig i dit eksempel, men hvad med risikoen for manglende/fejlagtig backup på lige netop "min" server kontra cloud-leverandørens generelle løsning. Cloud-leverandørens generelle sikkerhed får formentlig også mere opmærksomhed end sikkerheden på lige netop min server, ligeledes er der patching af standardsoftware hos cloud kontra på min server, osv. osv.

  • 0
  • 0
#10 Klaus Agnoletti

@Jesper

Hos en seriøs cloud leverandør som du har købt en PaaS (platform as a service) må man forvente at 'din' server konfigureres efter samme baseline som alle andre (det er sikkert en VMWare skabelon eller lignende der klones til et antal helt ens servere der så udlejes), og at patching på samme måde foregår automatisk og strømlinet. Derfor anser jeg ikke din bekymring som et stort problem. Du bør dig selvfølgeligt få dokumentation fra leverandøren om hvordan deres procedurer på området er, således at det ikke er en eller anden potentiel fejlbehæftet, manuel proces.

/k

  • 0
  • 0
#12 Anonym

Jesper skrev

Hvilke problemer er det, der er så meget mere relevante ved CC?

Hej jesper.

Du falder i den typsiek førsteordensfælde, dvs. ser kun på de umiddelbart absolutte størrelser. Cloud-leverandøren er "større"=bedre sikkerhed.

Måske på visse punkter, men der er mindst 3 helt afgørende problemer ved den betragtning.

a) Perimetersikkerhed er stendød. Se f.eks. Hemmelighed 4 her på en liste som jeg er meget enig i. http://www.computerworld.dk/art/52671?page=2

b) Risikokoncentrationen gør hele forskellen. Det risikoskabende er dataindholdet og koblingen. Cloud er meget tæt på online og metoderne til at begå kriminalitet på basis af data udvikles hastigt selvom vi parallelt den desideret naive "facebook"-style som ignorerer sikkerhed.

c) Interessen vinder over behov og retten. Du kan ikke tale cloud/outsourcing uden at huske på at 3. parts providers har interesser som konflikter med både service provider og specielt services providers kunder, dvs. online for interesserne.

Spørgsmålet er ikke cloud-computing eller ej, men hvordan. Og her svigter sikkerhedsdiskussionen ofte ved at antage tillid og "estimere" i stedet for at forebygge og erkende at med øget risiko kræves tilsvarende løsninger. Du kender godt løsningerne. F.eks. at sikre at der ikke kommer personhenførbare data i Cloud.

  • 0
  • 0
Log ind eller Opret konto for at kommentere