Lekerült-e a napirendről a felhős biztonság? Bár a felmérések szerint a visszatartó tényezők között háttérbe szorult, a válasz továbbra is egyértelműen nem! Ha egy vállalat a felhőbe költözik, mind a mai napig kulcskérdés, hogy milyen módon változik az IT-biztonsági megközelítés a vállalaton belül.

Egyértelműen csökkentek azok a (részben indokolatlan) félelmek, melyek többnyire a kontroll elvesztésével, például az IT-biztonság fölötti fennhatóság csökkenésével függtek össze. Ebben kétségtelenül nagy szerepe volt a felhőszolgáltatók (a továbbiakban CSP – Cloud Service Provider) edukációs tevékenységének, illetve azoknak a szolgáltatási modelleknek (pl. hibrid felhő), melyek bizonyos kritikus adatokat védő biztonsági rendszerek fölött meghagyták a teljes felhasználói kontrollt.

Mindezzel együtt azonban bonyolódott is a helyzet. Nehezebbé vált ugyanis meghatározni, hogy ki a felel a felhőbiztonságért: a szolgáltató vagy az ügyfél? Pontosabban: meddig terjed a CSP és meddig az ügyfél felelőssége?

Körvonalazódnak a szabványok és gyűlnek a jó gyakorlatok

Az összes jelentős felhőszolgáltatót tömörítő Cloud Security Alliance (CSA) oldalán olvasható: a felhőplatform biztonsága szempontjából az összes érdekelt fél együttműködése kritikus fontosságú. Csakhogy sem az érintettek tudása, sem a kérdésről kialakított véleménye nem egységes. Hiányoznak azok az iránymutatások, amelyek pontosan elmagyaráznák a feleknek, hogy a különböző felhős modelleknél (ezekről összeállításunk első részében írtunk) mi a CSP és mi az ügyfél kompetenciája. (Utóbbiak sokszor arról is túl kevés információval, tudással bírnak, hogy melyik felhős modellnél milyen eszközökkel és folyamatokkal növelhetik a biztonságot.)

Az okok csak részben kereshetjük az ügyfelek tájékozatlanságában, ugyanis – mint azt a CSA is megállapítja – a szolgáltatók között sem alakult ki teljes közmegegyezés arról, hogyan kell megvalósítani a megosztott felelősségre épülő biztonsági modellt. Pedig magára a modellre mint közismert fogalomra hivatkozik szinte mindenki. Csak egészen mást jelent például a Google-nél, az AWS-nél és egy regionális szolgáltatónál. A Cloud Security Alliance épp azért jött létre, hogy elindulhasson a szabványosítási folyamat. Létrehoztak többek között egy a szolgáltatók és ügyfeleik által is használható biztonsági keretrendszert, a Cloud Controls Matrixot, amely segít a felelősségi körök pontos meghatározásában.

Sík mezőben hármas út, jobbra, balra szertefut, a középső célra jut

Térjünk vissza az alapkérdéshez: kinek mi a teendője, hogy biztonságos legyen a felhő? Három lehetőség van: 1. elsősorban a CSP dolga a biztonság; 2. elsősorban az ügyfél felel a biztonságért; 3. a felelősség megoszlik a CSP és ügyfelei között. Bár sok ügyfél még mindig abban a tévhitben költözik felhőbe, hogy onnantól a biztonság teljes mértékben a CSP felelőssége, modelltől függően több kevesebb területen továbbra is az ügyfél vállára nehezednek bizonyos (és nagyon fontos) teendők. Ezt írja le az elosztott felelősségi modell, amely egyre általánosabban elfogadottá válik, ha pontos tartalma szolgáltatónként változik is.

Az alap durva megközelítésben az, hogy a CSP felel az infrastruktúráért, beleértve a szoftvert, a hardvert, a hálózatot és a létesítményeket (adatközpontok fizikai védelme illetéktelen behatolástól, természeti katasztrófától stb.). Az ügyfél pedig felel a tartalomért, konfigurálja és menedzseli a vendég operációs rendszer biztonságát (frissítések, biztonsági javítások telepítése stb.), az általa telepített alkalmazásokat, segédprogramokat, valamint a felhőszolgáltató által biztosított hálózatbiztonsági felügyeleti eszközöket. Az AWS megközelítőleg ezt követi: szolgáltatói kompetenciája az infrastuktúra szoftveres rétegéig terjed, onnantól pedig minden az ügyfél felelőssége az adatok kliensoldali és szerveroldali titkosításától és integritásellenőrzésétől a hálózati adatforgalom védelmén és a platformok, alkalmazások stb. menedzselésén át az ügyféladatokig. De az AWS külön felhívja a figyelmet, hogy a felelősség szolgáltatásonként változhat.