Располагаясь в специализированных ЦОДах, данные находятся под комплексной защитой, их администрируют специалисты высокого класса. Выбирая облачного провайдера, клиенты все чаще наряду с ценообразованием ставят в приоритет компетенции в части ИБ. Вот несколько нюансов, которые помогут выбрать самое надежное с точки зрения безопасности облако.
«Облачное» просвещение
Готовность провайдера вести просветительскую работу говорит не только о его глубоких компетенциях, но и о заинтересованности в развитии рынка облачных услуг в целом. И мы на собственном опыте убеждаемся, насколько эффективной бывает такая деятельность.
Когда мы запускали первое облако в 2012 году в Белоруссии, недоверие к облачным технологиям было основным трендом. Тогда, на заре становления этого рынка, лояльность к облакам проявляли в основном те заказчики, кому пришел счет на серьезную сумму за расширение инфраструктуры или кто уже потерял свои данные с «надежного» компьютера под столом у бухгалтера. В основной же своей массе клиенты говорили о непонимании, где мы размещаем данные, кому передаем, что с ними делаем. Разъяснительную работу на тот момент приходилось вести всем облачным провайдерам, в том числе и нам: мы участвовали в конференциях, случалось, и сами их организовывали (причем не ради того, чтобы набрать лиды). Все это помогло облачным технологиям прочно занять свою нишу.
Но и сегодня в рядах потенциальных клиентов сохраняется некоторая степень беспокойства относительно хранения их данных «где-то на далеких серверах». И теперь наша задача – продолжать рассказывать о конкретных облачных решениях именно с точки зрения безопасности.
Наличие SaaS-предложений
Если клиента интересуют тяжелые и очень сложные продукты, а это случается нередко, ему стоит обратить внимание не на покупку виртуального сервера, а на полностью готовые услуги в облаке. Соответственно наиболее правильным будет, в том числе и с точки зрения безопасности, доверить свои данные провайдеру с развитой линейкой SaaS-предложений.
Логика здесь простая. Если компания разворачивает такой продукт самостоятельно, она делает это,либо игнорируя часть настроек (что ведет к снижению уровня безопасности), либо ей приходится принимать в штат дорогого администратора, который, пользуясь своей незаменимостью, в любой момент может потребовать повышения зарплаты. Те же самые продукты, предоставляемые облачными провайдерами по модели SaaS, позволяют сэкономить не только на стоимости внедрения и владения, но и на зарплате администратора. Это всегда самые последние версии, грамотная настройка, русификация и гарантированное соблюдение всех требований ИБ за гораздо меньшие, по сравнению с внутренним проектом, деньги.
Поддержка мультиоблачности
Мультиоблачность – тренд сегодняшнего дня. Для провайдеров стало очевидным: время борьбы за уникальных клиентов прошло, настала пора консолидации компетенций и ресурсов. В случае сбоя в считаные минуты происходит переключение с одной площадки на другую. Клиент получает более защищенное решение, а каждый из облачных операторов – еще одного клиента.
Мы только рады этому и рекомендуем клиентам обращаться к тем провайдерам, которым идея мультиоблачности не чужда, тем более есть разные сценарии ее реализации. Первый – реплицирование или зеркалирование, когда одни и те же данные лежат на разных площадках. Хранить в облаке копии данных и бекапировать – тоже остается актуальным. Вообще, есть хорошая формула «3-2-1»: резервных копий должно быть три, из них как минимум две должны располагаться в разных хранилищах, а одна территориально находиться в другом месте. Тогда клиент может быть уверен на 100%: что бы ни случилось, данные можно восстановить.
Чтобы определить необходимую клиенту степень резервирования, следует понимать, что технологически ограничений нет, но стоимость самих решений может отличаться в разы. Если компании критически важно, чтобы ее доступность сохранялась даже в случае форс-мажора (ведь некоторые банки, ретейлеры не могут ни на минуту остановиться без рисков для бизнеса), то действительно нужны разные операторы. Для большинства же компаний это избыточно, они могут себе позволить восстанавливать данные и пару суток.
Готовность к атакам злоумышленников
Арсенал злоумышленников постоянно пополняется новыми инструментами для атак. В ответ игроки антивирусного рынка активнее развивают и продвигают свои решения. При этом любой компании надо иметь в виду, что большинство продуктов уже содержит ИБ-функционал. У ноутбуков, например, есть встроенный модуль tpm-шифрования жесткого диска. В смартфонах предусмотрен доступ по отпечаткам пальцев. Если использовать средства защиты, которые поставляются с каждым смартфоном и ноутбуком, то внешний риск хакерских атак можно свести практически к нулю.
Однако весь ИТ-мир идет к упрощению таких операций. Случается, что предустановленные меры безопасности излишни – но тогда и дополнительно купленные антивирусы вряд ли помогут. Продукты, развернутые в облаках, всегда обновляются своевременно, их ИБ-функционал работает по полной.
Не менее важно понимать вектор атаки. Если некую компанию злоумышленники решат взломать, то, скорее всего, будут действовать изнутри. И лучший помощник здесь – не антивирус, а ограничение доступа к ресурсам по принципу «запретить все и разрешить только то, что нужно». Правило «запретить только некоторое» не работает: периодически в каждой компании появляются новые продукты, которые администраторы забывают добавить в запрещенный список. Провайдер облачных услуг должен быть готов вместе с клиентом обсудить все эти нюансы и помочь выстроить надежную защиту всех периметров.
Мониторинг ИТ-инфраструктуры как средство контроля
Пролить свет на состояние ИТ-инфраструктуры, в том числе в части безопасности, поможет ИТ-мониторинг. Но универсального чек-листа, как и универсальной таблетки, не существует. Зато есть пара моментов, на которые руководителям стоит обращать внимание.
Во-первых, проверять прежде всего поддержание всего парка и софта в актуальном состоянии. Должны своевременно устанавливаться все обновления, особенно в части безопасности. Все шифровальщики проходят по уже известным уязвимостям. Если системы обновлены, вероятность взломов очень мала.
Во-вторых, есть смысл доверить ИТ-мониторинг внешнему аудитору, который проверит организацию всех бизнес процессов, доступов, соблюдение регламентов. Пусть он попробует с учетом всех обнаруженных угроз и уязвимостей пройтись по всем портам и потом предоставит отчет. Это самый правильный подход.
В целом же безопасностью инфраструктуры, будь она в облаке или локальная, должен заниматься толковый айтишник, а еще лучше – специализированная компания, способная гарантировать качество выполняемых работ. Самое страшное, что может быть, – это приходящий специалист с почасовой оплатой. Именно в результате такой экономии на персонале многие системы часто остаются незащищенными. Если уязвимости, обнаруженные в ходе мониторинга, выявляются повторно при следующем сканировании – третьего случая ждать не надо. Даже малый бизнес так завязан сегодня на ИТ, что должен требовать от штатного ИТ-специалиста или сервисной компании строгого соблюдения четких обязательств.