Nowe możliwości – nowe zagrożenia i wyzwania
Wraz z pojawieniem się nowej technologii dotyczącej magazynowania i przetwarzania danych – technologii chmur obliczeniowych (cloud computing), wirtualny świat wszedł w nową erę. Tradycyjne, fizyczne nośniki danych, takie jak twarde dyski, płyty CD czy pendrive'y są stopniowo wypierane przez dyski wirtualne o ogromnej pojemności i mocy obliczeniowej, obsługiwane przez ich operatorów, podczas gdy ich użytkownik, tylko ich używa. Jednakże, mimo iż bardzo bezpieczne dzięki permanentnej kontroli antywirusowej i antywłamaniowej możliwej dzięki stałemu podłączeniu do sieci gwarantującego błyskawiczne aktualizacje zabezpieczającego oprogramowania oraz automatycznej multiplikacji danych (innymi słowy tworzeniu kopii zapasowych), także chmury mogą potencjalnie stać się celem internetowych przestępstw.
Taki scenariusz spędza sen z powiek operatorom chmur, w tym takiemu gigantowi jak Amazon (AWS - Amazon Web Service). Specjaliści firmy Amazon stworzyli listę sześciu zasad zapewniających bezpieczeństwo danych użytkowników chmur, opartych o politykę „Zero Trust Privilege”, wyrażoną sloganem: "nigdy nie ufaj, zawsze weryfikuj, wymuszaj najmniejsze przywileje" dostępu, z wewnątrz lub na zewnątrz sieci.
O ile jednak wcześniejsze zalecenia dotyczą wszystkich bez wyjątku użytkowników sieci – zarówno prywatnych jak i przedsiębiorców oraz pracowników różnego rodzaju instytucji, o tyle poniższe wskazówki skierowane są przede wszystkim do przedstawicieli dwóch ostatnich spośród wymienionych wyżej podmiotów.
Sześć dobrych rad dla firm i instytucji
Rada pierwsza: w stosunku do haseł dostępu do kont Root – czyli kont mających pełną kontrolę nad systemami operacyjnymi, a zatem kluczowych dla działania chmur – należy zachować szczególną ostrożność. Hasła do tych kont powinny być skutecznie utajniane i przechowywane w bezpiecznych warunkach, a używane tylko wtedy, kiedy jest to bezwzględnie konieczne.
Rada druga: dbaj o odpowiedzialne użycie konta i jego zasobów. W przypadku kont współdzielonych (takich do których dostęp ma więcej niż jeden pracownik firmy/instytucji), należy wprowadzić zasadę pełnej odpowiedzialności rzeczonego pracownika za wszelkie konsekwencje wynikłe z nieprawidłowego użycia danych zapisanych na kontach współdzielonych. Świadomość potencjalnej odpowiedzialności za wszelkie popełnione błędy sprawi, że osoba dysponująca prawem dostępu do poufnych informacji będzie w większym stopniu troszczyć się o postępowanie zgodne z przepisami prawa oraz zasadami bezpieczeństwa.
Rada trzecia: paradoksalnie „im mniej tym lepiej”. Użytkownicy kont zawierających dane poufne powinni uzyskać dostęp tylko do tych informacji, które są im niezbędne do wykonania założonego zadania. Im mniej osób będzie miało dostęp do danych, które dla ich prawidłowej pracy są zbędne, tym mniejsze prawdopodobieństwo, że owe dane zostaną wykorzystane w sposób niepotrzebny lub niewłaściwy.
Rada czwarta: kontrola podstawą zaufania. Właściciele firm/kierownicy instytucji powinni dokładnie kontrolować, kto, kiedy, w jakim zakresie i w jakim celu uzyskiwał dostęp do poufnych informacji. Skuteczna pomocą mogą służyć programy monitorujące aktywność w sieci – w tym przypadku użycie kont zawierających wrażliwe dane.
Polecamy: Przewodnik po zmianach przepisów
Rada piąta: nawiązuje ona wprost do wspomnianej wyżej „zasady pierwszej”, a mianowicie zaleca stosowanie uwierzytelniania wieloczynnikowego. Zabezpieczenie stron www czy też konkretnych plików zawierających dane poufne jedynie przy użyciu hasła, może okazać się niewystarczające. Bardzo użyteczne może okazać się stosowanie dodatkowych kodów pozwalających na dostęp do konkretnych stron, a także szyfrowanie danych.
Rada szósta: należy stosować wspólny model zabezpieczeń. Mimo iż środowisko chmur obliczeniowych wydaje się (często całkiem słusznie, ponieważ pod pewnymi względami oczywiście jest) czymś zupełnie odrębnym niż od dotychczasowych sposobów gromadzenia i zabezpieczania danych informatycznych, nie należy uporczywie poszukiwać całkowicie nowych sposobów zabezpieczania zamieszczanych w nich danych, ale stosować te, które są już sprawdzone; gwarantujące maksymalny możliwy poziom bezpieczeństwa.
Ku przestrodze
Powyższe zalecenia, wskazówki nie wyczerpują oczywiście wszelkich metod gwarantujących maksymalny możliwy do uzyskania poziom bezpieczeństwa zamieszczanych w sieci danych. Niemniej stanowią istotny krok na drodze do ku stworzeniu takiego środowiska informatycznego, które z jednej strony znacząco zabezpieczy poufne dane przed ich przypadkową utratą, a z drugiej poważnie utrudni potencjalnym cyberprzestępcom nielegalne przechwycenie wrażliwych informacji.