Hvordan sikre datasikkerhet og personvern i en hybrid cloud dummies

Hybrid cloud-leverandører må sørge for sikkerheten og personvernet til dine data, men du er i siste instans ansvarlig for bedriftens data. Dette betyr at industri- og regjeringsforskrifter opprettet for å beskytte personlig og forretningsinformasjon fortsatt gjelder selv om dataene blir administrert eller lagret av en ekstern leverandør.

De tre sentrale problemområdene knyttet til sikkerhet og personvern i data i hybridskyen er

• Plassering av dataene dine

• Kontroll av dataene dine

• Sikker transport av dataene dine

Det er viktig å merke seg at noen eksperter mener at visse typer data er for følsomme for offentlig / hybrid sky. Dette kan inneholde høyt regulerte data, for eksempel medisinsk informasjon. Andre mener at hvis det riktige nivået av åpenhet og kontroll kan gis, kan forbrukerne beskyttes. Skyer som vertsregulerte data må oppfylle krav til overholdelse, for eksempel betalingskortindustrien Datasikkerhetsstandard (PCI DSS), Sarbanes-Oxley og HIPAA.

For mer informasjon om sikkerhet i skyen, sjekk ut Cloud Security Alliance.

Plasseringen av data i skyen

Etter at data går inn i skyen, har du kanskje ikke kontroll over hvor den er lagret eller hvordan den brukes. Tallrike problemer er knyttet til denne situasjonen:

• Spesifikke landlover: Sikkerhets- og forskrifter som regulerer data kan variere på tvers av forskjellige geografiske områder. For eksempel kan ditt lands juridiske beskyttelse ikke gjelde hvis dataene dine er plassert utenfor det. En utenlandsk regjering kan ha tilgang til dataene dine eller holde deg fra å ha full kontroll over dataene dine når du trenger det.

• Overføring av data over landegrensene: Et globalt selskap med datterselskaper eller partnere (eller klienter for det saks skyld) i andre land kan være bekymret for grenseoverføring av data på grunn av lokale lover. Virtualisering gjør dette til et spesielt vanskelig problem, fordi skyen leverandøren kanskje ikke vet hvor dataene er på et bestemt tidspunkt, heller.

• Sekundær bruk av data: I offentlige skyssituasjoner kan dataene dine eller metadata være sårbare for alternativt eller sekundært bruk av skygtjenesteleverandøren. Uten riktig kontroller eller servicenivåavtaler på plass, kan dataene dine brukes til markedsføringsformål. Det kan fusjoneres med data fra andre organisasjoner for slike alternative anvendelser.

Kontrollen av data i skyen

Du har eller kanskje ikke hørt begrepet CIA Triad .Nei, dette handler ikke om skjulte operasjoner. CIA står for konfidensialitet , integritet og tilgjengelighet . Disse tre attributter har eksistert lenge i verden av revisjon og styringskontroller; De er kritiske for data i skymiljøet av følgende årsaker:

• Fortrolighet: Bare autoriserte parter med de riktige rettighetene kan få tilgang til visse data; det er, det er ingen tyveri av dataene.

• Integritet: Data er riktig og ingen skadelig programvare (eller person) har endret den; det vil si at det ikke er noen manipulering av dataene.

• Tilgjengelighet: Nettverksressurser er tilgjengelige for autoriserte brukere.

Disse tre attributter er direkte relatert til kontrollerende data. Kontroller inkluderer retningslinjer for styring som er satt på plass for å sikre at dataene kan stole på. Integriteten, påliteligheten og konfidensialiteten til dataene dine må ikke overstå saken. Dette gjelder for sky-leverandører også.

Du må forstå hvilket nivå kontrollene skal vedlikeholdes av skyleverandøren og vurdere hvordan disse kontrollene kan revideres.

Her er et utvalg av forskjellige typer kontroller som er utformet for å sikre konfidensialitet, integritet og tilgjengelighet av dataene dine:

• Input validering kontroller for å sikre at all datainngang til et hvilket som helst system eller program er fullstendig, nøyaktig, og rimelig.

• Output forsoning kontroller for å sikre at dataene kan avstemmes fra inngang til utgang.

• Behandling kontroller for å sikre at dataene blir behandlet helt og nøyaktig i en applikasjon.

• Tilgang kontroller for å sikre at bare de som er autorisert til å få tilgang til dataene, kan gjøre det. Følsomme data må også beskyttes i lagring og overføring. Kryptering kan bidra til å gjøre dette.

• Gjenkjennelse (prosessen hvor anonymiserte personopplysninger er tilpasset sin sanne eier) kontrollerer at koder holdes på et separat sted for å forhindre uautorisert tilgang til å identifisere informasjonen på nytt.

• Endre styring kontroller for å sikre at data ikke kan endres uten riktig autorisasjon.

• Data ødeleggelse kontroller for å sikre at når data slettes permanent, slettes det fra alle steder - inkludert alle backup og redundante lagringssteder.

Konseptet med kontroller i skyen er så viktig at Cloud Security Alliance har satt sammen en liste over over 100 kontroller kalt Cloud Controls Matrix (CCM) for å veilede skyleverandører og hjelpe potensielle skyskunder til å vurdere den samlede risikoen for leverandøren.

Ditt firma trenger å utvikle og publisere et konsekvent sett med regler og retningslinjer for opprettelse, opptak, administrasjon, overføring, tilgang, lagring og sletting av konfidensielle og forretningskritiske data. Bruk teknikker som kryptering og tokenisering for å redusere eksponering for datatyveri og misbruk.

Sikker dataoverføring i skyen

Si at du har bestemt deg for å flytte noen av dataene dine til skyen. Når det gjelder datatransport, hold det to ting i tankene:

• Pass på at ingen kan fange opp dataene dine mens de beveger seg fra punkt A til punkt B i skyen.

• Kontroller at data ikke lekker (skadelig eller ellers) fra lagring i skyen.

I hybridskyen kan reisen fra punkt A til punkt B forekomme på noen måter: i et skymiljø, over det offentlige Internett mellom en bedrift og en cloud-leverandør, eller til og med mellom skyene.

Sikkerhetsprosessen kan inkludere segregistrering av dataene dine fra andre selskapers data, og krypterer den ved å bruke en godkjent metode. I tillegg kan det være lurt å sikre sikkerheten til eldre data som forblir hos en skytselger når du ikke lenger trenger det.

Et virtuelt privat nettverk (VPN) er en måte å administrere sikkerheten til data under transporten i et skymiljø. Et VPN gjør i hovedsak det offentlige nettverket ditt eget private nettverk i stedet for å bruke en dedikert tilkobling. Et godt designet VPN må inneholde to ting:

• A brannmur for å fungere som en barriere mellom det offentlige Internett og ethvert privat nettverk

• Kryptering for å beskytte dine sensitive data fra hackere; bare datamaskinen du sender den til, skal ha nøkkelen til å dekode dataene.

I tillegg til transport, i en hybridverden, vil det være kontaktpunkter mellom dataene dine og skyen. Derfor er det viktig å håndtere lagring og gjenfinning av disse dataene.