الفبای امنیت ابری
به گزارش تفطن، شرکت ها و افراد به طور مشابه بدون اینکه درکی از ابر داشته باشند، از خدمات آن استفاده می کنند و این سرویس ها همیشه در سطح تجاری از امنیت مورد انتظار برخوردار نیستند.
به گزارش خبرنگاران به نقل از ایتنا،تصمیم ندارید از ابر استفاده کنید؟ کمی بیشتر فکر کنید.
شرکت ها و افراد به طور مشابه بدون اینکه درکی از ابر داشته باشند، از خدمات آن استفاده می کنند و این سرویس ها همیشه در سطح تجاری از امنیت مورد انتظار برخوردار نیستند. باور ندارید؟ به این لیست نگاهی بیندازید:
دراپ باکس (www.dropbox.com/) دارای نسخه های مصرفی و تجاری سرویس فضای ذخیره ای ابری است و سرویس باکس (www.box.com/home/) نیز همین طور عمل می کند. تعداد زیادی از مردم و شرکت ها مایل هستند از نسخه های رایگان این خدمات بهره ببرند؛ اما از امنیتی که نسخه های سازمانی برای حفاظت از اطلاعات برخوردار هستند، بهره مند نمی شوند. این سرویس های رایگان قابل مدیریت نیستند و نمی توان آنها را رمزنگاری کرد و به این ترتیب آسیب پذیر شده و ممکن است در دست افراد نامناسب بیفتند.
شرکت Evernote (https://evernote.com/)، فراهم کننده فضاهای کاری که تقریباً در میان همه پلتفرم ها قابل استفاده هستند، خدمات خود را به سه شکل عرضه می کند: سرویس رایگان، سرویس برتر، و سرویس تجاری. تنها کاری که باید بکنید، این است که حدس بزنید کدام یک از این گزینه ها برای شما مناسب هستند.
سرویس OneDrive (https://onedrive.live.com/about/en-ca/)، سرویس فضای ذخیره ای ابری مایکروسافت است که با Office 365، Windows 8.x، Windows 10، Windows Phone و تقریباً هر چیزی دیگری که مایکروسافت این روزها ارائه می دهد، پیوند دارد. در حال حاضر، OneDrive دو گزینه دارد: یکی سرویس رایگان برای مصرف کنندگان، و دیگری نسخة پولی. البته از آنجا که کاربران هم استفادة شخصی و هم استفادة تجاری می کنند، نسخة رایگان بیشتر از آنچه که باید، مورد استفاده قرار می گیرد.
سرویس Google Drive (www.google.com/drive/)، سرویس فضای ذخیره ای رایگان گوگل است و می توانید فایل های خود را در میان همة وسایل خود، همزمان (sync) کنید. این سرویس به شما اجازه می دهد تا اسناد کاغذی تان را اسکن کنید، آنها را در فضای ابر قرار دهید و با دیگران هم خوانی (share) کنید. اما از آنجا که این یک سرویس مصرفی است، قابل مدیریت نیست. البته با پرداخت حق اشتراک، می توانید از سرویس Google Drive for Work استفاده کنید و از ویژگی های مناسب آن در حوزة کاربردهای تجاری خود بهره مند شوید.
کاربران اپل نیز دارای حساب های کاربری iTunes هستند و از گوشی های خود فایل پشتیبان تهیه کرده و به سرویس اپل ارسال می کنند. حدس می زنید این فایل های پشتیبان در کجا نگهداری می شوند؟ بله درست است! در ابر؛ به ویژه در ابری با نام خاص iCloud.
سرویس Google Apps for Work (www.google.com/work/apps/business/)، که شامل Gmail نیز هست، توسط بسیاری از کسب وکارهای کوچک و بعضاً بسیار بزرگ مورد استفاده قرار می گیرد. ویرایش های پولی و تجاری این سرویس، خدمات امنیتی تا سطح FISMA-Moderate هم عرضه می کنند که برای ایمیل دولت فدرال در ایالات متحده، سرویسی استاندارد به شمار می رود. البته ویرایش های رایگانی هم وجود دارند همراه با اجزاء متنوع اما با امنیت کمتر.
همچنین، سرویس هایی همچون SnapChat، Instragram و Pinterest را هم درنظر بگیرید و البته حتماً Facebook و Twitter را هم که می شناسید که دیگر لازم نیست نامی از آنها ببریم. همگی آنها برای ذخیرة مقادیر زیادی از داده های جمع آوری شده، از فضای ابر استفاده می کنند.
برای گزینش یک عرضه کننده خدمات ابری، برخی اصول اساسی وجود دارند ولی البته شما هم باید به وظایف خود آگاه باشید. برای مثال، اگر به اندازه کافی هشیار نباشید و اطلاعات درز پیدا کنند، ممکن است شرکت های بیمه پولی به عنوان خسارت به شما پرداخت نکنند.
شاید بسیاری از سازمان های تجاری علاقه مند باشند به فضای ابر مهاجرت کنند، اما این مسئله پیچیدگی های خاص خودش را هم به همراه دارد. مطمئناً فضای ابر، ظرفیتی تقریباً بی خاتمه در دسترس قرار می دهد و احتیاج برای ظرفیت درون سازمانی را کاهش می دهد؛ ولی باز هم این کار احتیاجمند آن است که به جزئیات دور از انتظاری هم توجه داشته باشیم.
یک نکته مهم این است که ایمن سازی مرکز داده های شما به اندازه کافی چالش برانگیز هست؛ اما دست کم در صورت مهاجرت به فضای ابر، خواه ناخواه، روی آنها کنترل مطلق خواهید داشت. البته وقتی که به ابر وارد می شوید، مسئله کنترل دیگر چندان برای شما چندان جدی نخواهد بود.
الکساندر راو (راهبر امنیت اطلاعات ملی در مؤسسة امنیتی Symantec در کانادا) می گوید: باید خیلی مراقب باشید تا اطلاعات حیاتی شرکت شما، به خارج از سازمان نشت پیدا نکند.
حتماً می پرسید چرا؟ چون محافظت از اطلاعات یک سازمان، به افراد، فرایندها و برنامه ها بستگی دارد. وقتی هم که اطلاعات را در اختیار یک طرف واسط قرار دهید، کنترل هر سه این عوامل حتی دشوارتر هم می شود. در چنین حالتی، بهتر است به جای تکیه به فرایندهای داخلی شناخته شده، به اسناد و توضیحات آنها در مورد نحوه کنترل شان اعتماد داشته باشید. اگر این کنترل ها چندان راضی کننده نباشند، کار حتی بدتر خواهد شد. اما در صورتی که از منابع داخلی به اندازة کافی مناسب برخوردار باشید، یک فراهم کننده مناسب خدمات ابر می تواند خیال شما را راحت کند.
البته چندین نوع ابر وجود دارند و بنابراین انواع مختلفی از فراهم کنندگان خدمات ابر در بازار حضور دارند و خدمات متنوعی ارائه می کنند؛ از تأمین زیرساخت محض گرفته تا فراهم کردن هر چیزی که برای اجرای یک برنامه احتیاج دارید. البته هر گزینه، مسائل امنیتی خاص خود را به همراه دارد.
مات آنتونی (قائم مقام گروه ارائه دهندة خدمات امنیتی Herjavec) خاطرنشان می کند با این که فراهم کنندگان خدمات ابر در حوزه امنیت دارای سابقة یکسان نیستند، اما مشتریان باید تا درجه ای اطمینان خاطر داشته باشند که مقیاس پذیری، فرایندهای بالغ و نیز بهترین پشتیبانی را دریافت می کنند. اما آنها هنوز هم باید دقیقاً بدانند که فراهم کننده چه چیزی عرضه می کند و اینکه چگونه با احتیاجهای سازمانی آنها جور در می آید.
در این راستا، الزامات بسیار مهم هستند. جان وایگلت (مدیر فناوری ملی در شعبة مایکروسافت واقع در کانادا) می گوید نخستین چیزی که هر شرکت علاقه مند به مهاجرت به فضای ابر باید در نظر داشته باشد، نگاه به دارایی های اطلاعاتی است و پی بردن به اینکه هر جزء از آن داده ها، تا چه حد حساس است.
او می گوید: باید روی خود داده ها تمرکز داشته باشید؛ فارغ از اینکه در چه جایی قرار دارند. اگر این اطلاعات نشت پیدا کنند، آیا روی کسب وکار شما هیچ تأثیری خواهند داشت؟ آیا تنها یک زحمت اضافی برای شما درست خواهند کرد یا اینکه موجب خواهند شد کسب وکار شما نابود شود؟ حتی رسیدن به این حد هم می تواند برای بسیاری از سازمان ها چالش برانگیز باشد، چرا که در تصمیم گیری مبنی بر اینکه آیا باید آن داده ها را در ابر قرار داد یا نه، عاملی بحرانی و تعیین کننده به شمار می فرایند. بنابراین، برای محافظت از اطلاعات سازمانی باید تدابیری اندیشید.
سَندی برد (مدیر ارشد فناوری بخش سیستم های امنیتی در IBM) هم با این عقیده موافق است. او اظهار می دارد: هنوز مشتریان به فضای ابر، بهای زیادی نمی دهند. او ادامه می دهد: برخی از مردم نمی دانند چه چیزهای گران بهایی دارند. آنها باید قدر آن را بدانند. در غیر این صورت، باید ریسک از دست دادن آنها را به جان بخرند.
آنتونی می گوید از بسیاری جنبه ها، روش های امنیت ابر با روش هایی که برای محافظت از مراکز داده ها به کار برده می شوند، تفاوت چندانی ندارند. او خاطرنشان می کند: امنیت اطلاعات، به مناطق جغرافیایی وابسته نیست. بنابراین، فرایندها تغییر نمی کنند؛ چون در فضای ابر هستید، اما کارهایی را که در مورد ارزیابی مرکز داده های خود انجام می دهید، در فضای ابر هم باید انجام دهید. این کارها شامل حصول اطمینان از کنترل دسترسی ها و اجرای وارسی های امنیتی و نیز حصول اطمینان از امنیت کافی برنامه های کاربردی است. گزارشی که در ماه ژانویه (دی) سال جاری میلادی توسط متخصصان امنیت ابر در شرکت NetSkope منتشر شد، نشان می داد 88 درصد از برنامه های کاربردی مورد استفاده در آن سازمان از امنیت کافی برخوردار نیستند.
اما با روی آوردن به فضای ابر، یا دقیق تر بگوییم، فضای ابر عمومی (هرچند که می توانید در مرکز داده های خود یک ابر خصوصی هم داشته باشید)، امنیت فیزیکی مسئله چندان مهمی برای مشتریان سازمانی نخواهد بود. در واقع، این فراهم کننده خدمات است که باید امنیت را برای مراکز داده های خود فراهم کند و برقراری امنیت فیزیکی بر عهدة مشتری سازمانی نیست.
پاول لوئیس (مدیر ارشد فناوری در شرکت Hitachi Data Systems Canada) می گوید: عملاً همه در یک محیط ترکیبی و هیبریدی زندگی می کنند. ممکن است رهایی از برخی از برنامه های کاربردی قدیمی، دلیل مناسبی برای مهاجرت به فضای ابر نباشد، در حالی که توانایی داشتن در رسیدگی به حجم بالای کاری می تواند علت خوبی برای این کار باشد و با این وجود، ممکن است هنوز هم برنامه های مفید دیگری در مرکز داده های سازمانی اجرا شوند، اما لازم باشد به داده های مبتنی بر ابر دسترسی فراهم باشد. لازم به گفتن نیست که هریک از این برنامه ها و حالات، احتیاجمند الزامات امنیتی خاص خودش است.
برای مثال، برخی از کسب وکارها برنامه هایی کاربردی دارند که باید با مقرراتی همچون PCI، یا PIPEDA مطابقت داشته باشند، یا ممکن است محدودیت هایی در مورد انحصار داده ها داشته باشند. با اینکه مزیت اساسی ابر عمومی این است که اصلاً لازم نیست نگران باشید که داده های شما در چه مکانی سکونت دارند، اما اعمال هرگونه محدودیت برای مکان نگهداری، ممکن است حتی یافتن یک فراهم کننده خدمات ابر برای نگهداری اطلاعات را نیز با دشواری روبرو سازد. پیامد این مسئله این است که حتی تهیه فایل های پشتیبان و بازگردانی از حالت فاجعه نیز می تواند به همان دشواری باشد.
همچنین ممکن است عواقب امنیتی دامنگیر برنامه نویسان خانگی نیز نیز بشوند. به منظور اعمال ملاحظات امنیتی، در فضای ابر، برنامه های کاربردی باید مورد معماری دوباره قرار بگیرند. لوئیس می گوید: برنامه نویسان قدیمی در جهانی زندگی می کنند که دیگر لازم نیست در مورد امنیت هیچ نگرانی به خود راه بدهند. در واقع، او اشاره می کند که برخی اوقات این برنامه نویسان باید در مورد امنیت برنامه هایشان هم فکر کنند تا به خوبی کار کنند. اما این مسئله در یک محیط ابری غیرقابل قبول است.
آقای راو می گوید برای گزینش یک عرضه کننده خدمات ابری، برخی اصول اساسی وجود دارند ولی البته شما هم باید به وظایف خود آگاه باشید. برای مثال، اگر به اندازه کافی هشیار نباشید و اطلاعات شما درز پیدا کنند، ممکن است شرکت های بیمه ای پولی به عنوان خسارت به شما پرداخت نکنند.
او توصیه می کند که بهتر است در پی دریافت گواهینامه PCI 3.0 باشیم که تأکید بیشتری روی طرف های واسط و امنیت ابر دارد. او همچنین، دریافت دیگر گواهینامه ها مانند ISO 27001، EU 95/46 EC، PCI-DSS، ISO 27002، BS7799، ASIO-4، FIPS Moderate، BS10012، SSAE-16/SOC2 را نیز توصیه می کند. بنا به توصیه وی، کارکنان نیز بهتر است دارای مدرک رسمی همچون گواهینامة دانش امنیت ابر (CCSK) از سوی اتحادیة امنیت ابر (https://ccsk.cloudsecurityalliance.org) باشند.
می دانید شبکه امروزی شبیه به چه چیزی است؟ تصور کنید یک کنترل گر ترافیک هوایی دارید و آن را در تمام هواپیماها قرار داده اید و همة این هواپیماها با یکدیگر به برقراری ارتباط می پردازند. این همان شبکة امروزی است.
در دنیای ابرها، سه مدل عمده برای به کارگیری آنها وجود دارند: ابرهای خصوصی، عمومی و ترکیبی. ابر خصوصی تنها برای یک سازمان درنظر گرفته و استفاده می شود و ممکن است در مرکز داده های خود شرکت، یا یک مکان دیگر استقرار داشته باشد و همچنین ممکن است توسط کارمندان سازمان یا یک شرکت واسط مدیریت شود. اما در هر صورت، سازمان مسئولیت همه چیز را برعهده دارد؛ از جمله امنیت ابر.
ابر عمومی، یک فضای مشترک است؛ مانند Amazon AWS که توسط فراهم کننده در مرکز داده های خودش پیاده سازی می شود، از آن برای چندین مشتری بهره می گیرد و دسترسی به آن از طریق اینترنت امکان پذیر است. مشتری هیچ کنترلی بر زیرساخت ابر عمومی ندارد.
ابر ترکیبی متشکل است از ترکیبی از هر دو ابر عمومی و خصوصی که به هم اتصال پیدا می کنند و بنابراین اطلاعات میان آنها قابل تبادل است. تمام خدمات ابر یکسان نیستند و سه نوع اصلی از این خدمات وجود دارند که انتخاب نوع مناسب برای کسب وکار شما، اهمیت ویژه دارد.
زیرساخت به عنوان یک سرویس (IaaS)، ابتدایی ترین سطح ممکن از این خدمات است و همه آنچه که در اختیار قرار می دهد، زیربنای مرکز داده ها و سخت افزار مورد احتیاج می باشد: سرورها (واقعی و مجازی)، فضای ذخیره ای، و شبکه. شما سیستم عامل و نرم افزارهای لازم را فراهم می سازید و بعد سکان را در دست می گیرید. بنابراین، مسئله بعدی شما، امنیت است که البته با امنیت مورد احتیاج برای مکان فیزیکی مرکز داده ها تفاوت دارد. مثالی که می توان از آن یاد کرد، EC2 از آمازون است.
پلتفرم به عنوان یک سرویس (PaaS)، حالت بعدی از خدمات است و در قسمت میانی قرار می گیرد و مانند IaaS، محیط فیزیکی را فراهم می سازد؛ اما لایه های سیستم عامل و نرم افزارهایی همچون محیط های برنامه نویسی، پایگاه داده ها و وب سرورها را نیز در اختیار قرار می دهد، به طوری که کاربران بتوانند راهکارهای خودشان را توسعه بدهند.
در هنگام استفاده از این سرویس، کاری که شما باید انجام بدهید، این است که برنامه ها و داده های خود را ایمن سازی کنید. خدمات Microsoft Azure و نیز Force.com، هر دو در این دسته قرار می گیرند و PaaS تأمین می کنند.
گزینة نرم افزار به عنوان یک سرویس (SaaS) از همه چیز مراقبت می کند: سخت افزار، نرم افزار، شبکه، و همه چیزهای دیگر. همه آنچه که شما باید انجام دهید، این است که (معمولاً از طریق یک مرورگر وب) وارد شوید و از نرم افزار استفاده نمایید. در این حالت، کنترل چندانی در مورد تجهیزات ندارید. خدمات Salesforce.com، Cisco WebEx، و Citrix GoToMeeting سه نمونه از سرویس های SaaS پولی هستند.
منبع: جام جم آنلاین