Безопасность в облаках

Вчера встречались с одними крупными заказчиками, интересовались они конкретно услугами Rent-a-Rack. Услуга распространенная и с точки зрения провайдера не сложная. Но вот для заказчика это большой проект, требующий капиталовложений и следовательно заказчик основательно подходит к выбору оборудования и площадки. Долго беседовали просчитали пару вариантов, определились с географическим расположением, мощностями стоек, ценами.  И решили мы рассказать вкратце о нашей облачной инфраструктуре и продаже всего этого добра по схеме Iaas. В ходе беседы выяснили, что люди используют ту же платформу для виртуализации, ту же платформу для бэкапов, что и мы. Отлично, можно сделать гибридное облако и заменить капитальные расходы (покупка оборудования) на операционные (аренда вычислительных мощностей в облаке). Идея подхватилась, по доставались графики и диаграммы с расчетами предыдущих проектов, где наглядно было видно каковы затраты на владение инфраструктур разного типа. Всем стало понятно, что за не большие ежемесячные расходы клиент получает:

а) Резервную площадку

б) Возможность распределить подключение филиалов на несколько площадок (сокращение расходов на основной канал связи)

в) Возможность брать лицензии на программное обеспечение в аренду

г)  Возможность динамично управлять информационными ресурсами

Все было клево, все были счастливы, пока кто то из заказчиков не спросил «- А что на счет безопасности.?

Да все клево, вы же виделе какое оборудование у нас стоит, вы же видите, что сеть построена по фуншую и организован надежный периметр. «- Да нет, я про внутреннюю безопасность.?». А ну тут тоже все хорошо, видеться аудит всех действий администраторов, правами Администратор схемы наделен только один человек, логи собираются на сервер, доступ к которому имеет только один офицер безопасности. «- И что вы хотите сказать что Администратор схемы ни как не может изменить или скомпрометировать работу виртуальных машин клиента.?»

И тут я накосячил, ну сказал бы НЕТ, твердо и уверенно НЕТ НЕ МОЖЕТ. (Мы все равно живем в мире где то, что одному человеку кажется правильным, системным, для другого всего лишь инструмент в достижение цели.)  Но во мне прозвучал звоночек, тот что мне достался в виде практического опыта по работе в информационной безопасности. Он не позволили мне обнадежить людей, он сказал «- Конечно же от людей с такими полномочиями защитится очень трудно, это нужно сесть возле него и следить, правда ни кто не отменял старый добрый сговор.»

Все, облака не продались, клиент вышел после диалога с твердой уверенностью что это ДЫРА, правда не очень понятно, откуда люди черпают уверенность по поводу своих Администраторов и систем ИБ. Не понятно, но как я говорил раньше, все от мировоззрения, кто то строит планы по колонизации других планет (систем), понимая что земля не вечна, а кто то пристегивает к столбу велосипед с кодовым замком с паролем (1234) и чувствует что сделал все необходимое, для обеспечения безопасности.

Касательно критичной информации в локальном или публичном облаке, нужно все шифровать, использовать различные криптосистемы, при чем самому их контролировать и понимать как они работают, следить за соблюдением правил хранения ключей, а то ведь опять таки плохой человек может использовать свои полномочия и использовать ключ в корыстных целях. В рамках крупного бизнеса это не возможно, все опять только на страшилках по уголовной ответственности и административным наказаниям, но люди нарушающие правила (закон) были есть и будут.

Ваша безопасность, в рамках вашего понимания, от всего не обезопаситься, можно лишь пробовать изучать вопрос и уменьшать вероятность угрозы.