Securitatea în cloud: ce protejează furnizorul și ce rămâne în sarcina firmei

Furnizorul de cloud protejează infrastructura pe care funcționează serviciul, însă o parte dintre sarcinile de securitate rămân în grija companiei. Împărțirea responsabilităților diferă în funcție de ce se achiziționează și de tipul de administrare specificat în contract.

Cum se împart responsabilitățile

În mod obișnuit, furnizorul se ocupă de protecția fizică a centrului de date, de echipamente și de infrastructura care susține serviciul. Pentru restul, modelul de cloud ales face diferența.

La servere virtuale (IaaS), furnizorul administrează echipamentele fizice și tehnologia de virtualizare. Fără un serviciu suplimentar de administrare, echipa companiei se ocupă de sistemul de operare, aplicații, actualizări și reguli de acces. La o platformă pe care rulează aplicația (PaaS), furnizorul preia și administrarea unor componente software, dar dezvoltatorii rămân responsabili pentru codul propriu și configurările aflate sub controlul lor.

La o aplicație prin abonament (SaaS), precum un CRM, furnizorul întreține aplicația și infrastructura. Compania stabilește cine are acces, ce permisiuni primește fiecare și cum sunt partajate datele. Alocarea trebuie verificată pentru fiecare serviciu contractat.

Accesul, actualizările și rețeaua

Un furnizor nu știe automat dacă un angajat și-a schimbat rolul sau dacă s-a încheiat colaborarea cu agenția care administra site-ul. De aceea, compania are nevoie de un proces prin care accesul este acordat, modificat și retras la timp. Fiecare persoană ar trebui să aibă un cont propriu, iar autentificarea multifactor este recomandată mai ales pentru conturile cu drepturi extinse.

Trebuie verificate și integrările vechi, conturile tehnice și cheile API: ce date accesează, cine le gestionează și cum sunt revocate. Administratorii externi ar trebui să primească acces limitat în timp, iar intervențiile lor să fie înregistrate în jurnale de audit.

Multe vulnerabilități apar la granița dintre atribuțiile furnizorului și cele ale companiei. Dacă o aplicație de facturare rulează pe un server virtual, furnizorul actualizează virtualizarea, dar sistemul de operare poate rămâne neactualizat, dacă administrarea nu e inclusă în serviciu. Pentru fiecare componentă trebuie stabilit cine urmărește vulnerabilitățile, cine aplică actualizările și cum se verifică funcționarea după intervenție. La fel, un acces temporar pentru mentenanță are nevoie de o dată de închidere, altfel o excepție de câteva ore poate rămâne activă luni întregi.

Backup-ul și serviciile administrate

Faptul că aplicația rămâne online când se defectează un echipament nu înseamnă că orice fișier șters poate fi recuperat. Redundanța susține disponibilitatea, dar o ștergere sau o modificare greșită se poate propaga și în copiile folosite pentru ea. Trebuie verificat separat ce backup există, ce date include și cât timp sunt păstrate copiile.

Este recomandat și un test de restaurare, pentru că simpla confirmare a creării unui backup nu dovedește că aplicația va porni cu toate datele și configurările. Obiectivele de recuperare se stabilesc explicit: RPO arată intervalul de date care poate fi pierdut, iar RTO timpul în care serviciul trebuie restabilit. Un backup zilnic nu acoperă un RPO de o oră. Merită verificat și dacă un cont de administrator compromis ar putea șterge copiile.

Prin găzduirea administrată, sarcini de mentenanță, monitorizare și securitate pot fi preluate de specialiști, conform contractului. Înainte de alegerea pachetului, firma ar trebui să afle care componente sunt administrate, ce actualizări sunt incluse, ce evenimente se monitorizează și cine primește alertele, ce intervenții sunt automate și care cer aprobare, precum și timpii de răspuns, escaladarea și costurile suplimentare. În SLA, timpul de răspuns se verifică separat de angajamentele de remediere, iar confirmarea unei sesizări nu înseamnă rezolvarea ei.

Ce urmează

Firmele ar trebui să revizuiască împărțirea responsabilităților după fiecare schimbare: angajări noi, aplicații conectate sau servicii adăugate. Fiecare sarcină are nevoie de un responsabil și de un termen, iar relația cu furnizorul de un responsabil intern, care cunoaște aplicațiile importante și poate decide, de exemplu, o întrerupere temporară a unui serviciu în caz de urgență.

Sursa: start-up.ro