Берестяная грамота. Как корпоративные секреты воруют через облака

Вечером 4 июля пользователи облачных хранилищ Google и Яндекс обнаружили файлы с личными данными в открытом доступе. Новость вызвала резонанс и возмущение. Хотя пока не ясно, насколько это справедливо: в индексацию попали данные с доступом по ссылке или настройкой «общедоступно для поиска и просмотра». И тем не менее факт остается фактом: конфиденциальность была нарушена. И, увы, это слабое место облачных технологий. Обратная сторона медали О том, как удобны облака, мы знаем на личном опыте. Хотя бы потому что легко обращаемся к своим данным с любого гаджета. Преимущества же технологий для бизнеса масштабированы: компании могут обрабатывать и хранить огромные массивы информации, не закупая дорогое оборудование и лицензии на ПО. Физические сервера принадлежат провайдеру, он заботится о том, чтобы работа была безотказной и мощностей было достаточно. Но проблема в том, что вы отдаете данные провайдеру без возможности повлиять на него. Например, убедиться, что настройки приватности достаточные или в инфраструктуре не появилось дыр в результате технических сбоев. Огромные вычислительные мощности и секреты фирм привлекают хакеров. И в конце концов никто не отменял человеческий фактор: данные могут слить сотрудники провайдера или ваш подрядчик. Конечно, гипотетически угроза существует всегда. Даже если будете хранить информацию у себя, можете столкнуться с утечкой, как и провайдер. Но хотя бы будете контролировать ситуацию. Минимизируем риски: аренда Вариант более безопасный, чем общедоступные облака, — платные сервисы. То есть вы арендуете пространство у провайдера, а тот дает гарантию, что защитит ваши данные. Не факт, конечно. В 2017-м из облаков Amazon в сеть утекли тысячи файлов с личной информацией военных, полицейских, сотрудников спецслужб и подразделений ООН. Виновником оказался подрядчик — компания по подбору персонала, которая использовала Amazon для пересылки резюме. И таких историй много. Тем не менее, если возникнет проблема, вам никто не скажет: «У нас бесплатный сервис. Не хотите — не пользуйтесь». Подобных предложений на рынке масса, в разном ценовом диапазоне. Но при выборе стоит помнить о триаде безопасной ИТ-инфраструктуры: доступность, конфиденциальность, целостность. Обеспечение этих условий стоит денег. И чем дешевле сервис, тем больше вендоры пренебрегают принципами безопасности. Бизнес, работающий со слишком чувствительными данными, — скажем, предприятия, ведущие военные разработки или геологоразведка, — не могут так рисковать. Но если с уровнем критичности данных проще — платные облака вполне приемлемы. Вариант незаменим для стартапов, которые сначала хотят встать на ноги, и только после — тратиться на аппаратные и программные средства. Хочешь сделать хорошо — сделай сам Я имею в виду собственное облачное хранилище. Это самый безопасный вариант, который используют все больше компаний, чувствительных к утечкам информации. Цену вопроса и сложность реализации диктуют потребности. Данные какого формата и объема нужно хранить? Есть ли принципиальные требования к приему и скорости обработки? Какой тип шифрования необходим? Критериев и нюансов слишком много, чтобы сориентировать по цене. Как человек из безопасности — сферы, где цветет паранойя, — могу сказать, что сервера покупают даже для домашнего пользования. «Железо» с нужным программным обеспечением и объемом в 2 Тбайт можно купить за 16 000 рублей. Этого может хватить и компании до 50 сотрудников, которая работает с текстовыми данными. Но чем больше организация и серьезнее требования, тем дороже обходится возможность собственноручно управлять частным облаком с высокой степенью защиты. После покупки оборудования придется потратиться на внедрение и обеспечение функционирования. Отдельной статьей расходов станет поддержка среды. Если раньше безотказность гарантировал провайдер, то теперь обеспечивать ее придется своими силами: понадобятся генераторы на случай отключения электроэнергии и специалисты для обслуживания системы — в штат. На одном из предыдущих мест работы мы просчитывали стоимость перехода на собственную облачную среду. Сумма проекта — для компании штатом около 500 человек и критически важной информацией – приближалась к $10 000. Разделяй и властвуй Раз уж конфиденциальность стала злободневной темой, на рынке облачных технологий появились интересные предложения: хранение информации в странах, откуда нет выдачи. Например, в Израиле. АНБ или ФСБ — не суть важно; любой запрос на раскрытие данных останется неудовлетворенным, — обещают провайдеры. Но независимо от того, какие облака выберет ваша компания, советую разделять данные и все критически важное оставлять внутри. Потому что самый безопасный компьютер — отключенный от Сети. То же, что отправляется в цифровое пространство, стоит шифровать. Чтобы информация была бесполезна, если все же утечет. Делать это можно бесплатными средствами, например, классическими архиваторами, или платными инструментами. Обеспечение безопасности — процесс непрерывный Единожды наладить все процессы и забыть о безопасности — шаг в никуда. Мало организовать частное облако, нужно контролировать работу сотрудников и проводить ИБ-ликбезы. Если персонал привык пользоваться гугл-диском, например, копировать документы, чтобы поработать из дома или в командировке, он будет им пользоваться и дальше. Или сегодня прислушается к правилам безопасности, а завтра решит, что ничего страшного не случится и снова использует общедоступное облако. Потому контроль необходим. Контролировать использование сторонних сервисов, в том числе и облачных хранилищ, можно с помощью DLP-систем. Специальные политики безопасности сообщат, если кто-то из работников выгрузит рабочий файл в облако, а при определенных настройках программа заблокирует загрузку. Я говорю о превентивных мерах, поскольку после утечки исправить можно немногое. Если данные, охраняемые законом, разойдутся в Сети, вы сможете воспользоваться правом на забвение, например, обратившись в Яндекс или Google. Но даже если удастся отстоять права, информация удалится из поисковой выдачи, а не с источников, по которым разошлась. А если она попадет в нужные руки, то компания и вовсе сосредоточится на работе с последствиями. Одним словом, проще не допустить.