- Debesų šifravimas apsaugo duomenis ramybės būsenoje, perdavimo metu ir, tam tikru mastu, naudojimo metu, taip sumažindamas galimų pažeidimų poveikį.
- Yra įvairių šifravimo modelių ir lygių (simetrinio, asimetrinio, serverio pusės, kliento pusės, ištisinio) su privalumais ir apribojimais.
- Raktų valdymas ir bendros atsakomybės modelis yra labai svarbūs, kad šifravimas būtų tikrai veiksmingas.
- Sluoksniuotas požiūris kartu su geriausia praktika ir mokymais leidžia pasinaudoti debesijos privalumais neaukojant duomenų saugumo.
Debesų kompiuterijos amžiuje informacijos saugumas tapo itin svarbus bet kuriai įmonei, vyriausybinei agentūrai ar specialistui, kuris saugo duomenis ne savo serveriuose. Debesų kompiuterija suteikia lankstumo, taupo išlaidas ir yra mastelio keitimo galimybė, tačiau ji taip pat atveria duris naujiems atakų vektoriams ir daug didesniam neskelbtinos informacijos atskleidimo tikimybei.
Šiame kontekste debesijos duomenų šifravimas yra pagrindinis elementas, skiriantis paprastą įsilaužimą nuo katastrofos. Jei pavogti duomenys yra tinkamai užšifruoti ir raktai lieka saugūs, grobis užpuolikui praktiškai bevertis. Todėl išsamus šifravimo veikimo principo, skirtingų galimų tipų, pagrindinių tiekėjų siūlomų variantų ir praktinių iššūkių supratimas nebėra tik „techninis“ klausimas: tai verslo strategijos dalis.
Kodėl debesijos duomenų šifravimas toks svarbus?
Šiuo atveju patikimas šifravimas veikia kaip paskutinė gynybos linija : net jei kam nors pavyksta gauti prieigą prie debesijos aplinkos, jis neturėtų galėti perskaityti ar naudoti informacijos neturėdamas tinkamų raktų. Iš tiesų, daugelyje reguliavimo sistemų ir geriausios praktikos vadovų manoma, kad užšifruotų duomenų nutekėjimas su gerai apsaugotais raktais nebūtinai turi būti klasifikuojamas kaip duomenų pažeidimas taip pat, kaip ir paprasto teksto nutekėjimas.
Šifravimas konvertuoja informaciją į neįskaitomą formatą (šifruotą tekstą), kurį galima atkurti tik naudojant teisingą iššifravimo raktą . Tai taikoma klientų duomenims (identifikatoriams, medicininiams įrašams, banko informacijai ir kt.), taip pat intelektinei nuosavybei, vidiniams dokumentams, pranešimams ir bet kokiam kitam jautriam turtui, saugomam debesijos paslaugose.
Be to, šifravimas palengvina atitiktį tokiems reglamentams kaip BDAR, HIPAA ir PCI DSS, kurie įpareigoja įdiegti technines kontrolės priemones, skirtas apriboti prieigą prie asmeninių ar konfidencialių duomenų . Daugelis reguliavimo institucijų aiškiai rekomenduoja naudoti šifravimą tiek saugojimo, tiek perdavimo metu kaip prioritetinę priemonę.
Duomenų būsenos debesyje ir kaip jos yra apsaugotos
Norint visapusiškai suprasti, kur taikyti apsaugą, naudinga atskirti tris pagrindines būsenas, kuriose informaciją galima rasti debesies aplinkoje, ir kaip šifravimas tinka kiekvienai iš jų.
Pirma, turime saugų duomenų saugyklą , t. y. duomenis, saugomus diskuose, duomenų bazėse, failų sistemose arba objektų saugojimo paslaugose. Tai apima viso tomo šifravimą, duomenų bazių šifravimą, failų lygio šifravimą ir tiekėjo valdomas šifravimo sistemas.
Antra, turime perduodamus duomenis , t. y. duomenis, keliaujančius viešaisiais arba privačiais tinklais tarp skirtingų vartotojų, programų, duomenų centrų arba debesijos paslaugų. Šiuo metu būtina naudoti saugius protokolus, tokius kaip TLS (SSL įpėdinis) arba IPsec, siekiant užtikrinti, kad kiekvienas duomenų paketas būtų apsaugotas jo kelionės metu.
Galiausiai, yra naudojami duomenys – tai duomenys , kuriuos programa apdoroja realiuoju laiku. Šios būsenos apsauga yra daug sudėtingesnė: galima naudoti homomorfinį šifravimą ar kitus pažangius metodus, kurie leidžia atlikti operacijas su užšifruotais duomenimis jų visiškai neiššifruojant, tačiau šiuo metu jie paprastai yra pernelyg neefektyvūs plačiai naudoti.
Kaip veikia debesies duomenų šifravimas
Praktiškai debesijos šifravimas nelabai skiriasi nuo kitose aplinkose naudojamo šifravimo . Pagrindinis mechanizmas susideda iš vieno ar kelių kriptografinių raktų generavimo, apibrėžimo, kas gali prie jų prieiti, ir užtikrinimo, kad visi įrašyti ar perduoti duomenys būtų užkoduoti pasirinktu algoritmu.
Paprastai, prieš saugant duomenis diske arba saugyklos talpykloje, sistema automatiškai juos užšifruoja atitinkamu raktu . Kai įgaliotai programai, vartotojui ar paslaugai reikia nuskaityti šiuos duomenis, sistema juos iššifruoja operatyviai, jei prieigos politikos tai leidžia.
Tinklo sraute kažkas panašaus nutinka ir su HTTPS, pagrįstu TLS. Kai klientas užmezga saugų ryšį su debesijos paslauga , derinami sesijos raktai ir kiekvienas duomenų paketas užšifruojamas, kad jei kas nors perimtų srautą, jis matytų tik nesuprantamą informaciją.
Daugelyje verslo paslaugų taip pat derinami keli saugumo lygiai: daugiafaktorinis autentifikavimas, skirtas jūsų tapatybei patikrinti, šifravimas, skirtas apsaugoti keliaujančius ar saugomus duomenis, ir detali prieigos kontrolė, skirta apriboti tai, ką galite daryti su tais duomenimis.
Pagrindiniai šifravimo tipai: simetriškas ir asimetrinis
Visa debesijos šifravimo ekosistema iš esmės remiasi dviem pagrindinėmis algoritmų šeimomis: simetriniu šifravimu ir asimetriniu šifravimu . Kiekvienas iš jų turi savo stipriųjų ir silpnųjų pusių, ir jie dažnai derinami.
Simetrinis šifravimas naudoja tą patį raktą tiek šifravimui, tiek iššifravimui. Įsivaizduokite labai paprastą pavyzdį: kiekviena žodžio raidė abėcėlėje perkeliama per kelias pozicijas. Žinant šį „raktą“, pranešimą galima užkoduoti ir dekoduoti. Realiame pasaulyje tokie algoritmai kaip AES tapo de facto standartu, nes jie siūlo labai aukštą apsaugą nuo „brute-force“ atakų ir kartu yra pakankamai greiti, kad galėtų apdoroti didelius duomenų kiekius.
Tačiau pagrindinė praktinė simetrinio šifravimo problema yra saugus rakto platinimas . Jei jį reikia siųsti internetu arba saugoti bendroje aplinkoje, kyla pavojus, kad užpuolikas gali jį perimti arba pasiekti, taip pakenkdamas visiems tuo raktu apsaugotiems duomenims.
Asimetrinis šifravimas bando išspręsti būtent šį iššūkį. Vietoj vieno rakto naudojama pora: matematiškai susietas, bet atskiras viešasis ir privatusis raktai. Viešuoju raktu galima dalytis be baimės, nes jis naudojamas tik šifravimui arba patikrinimui; privatusis raktas laikomas paslaptyje ir naudojamas iššifravimui arba skaitmeniniam pasirašymui.
Naudodamas šią schemą galiu publikuoti savo viešąjį raktą, kad bet kas galėtų užšifruoti man adresuotus pranešimus , bet tik aš, turėdamas savo privatųjį raktą, galėsiu juos perskaityti. Tokie algoritmai kaip RSA, DSA arba ECC naudojami tokiuose protokoluose kaip TLS, tiek saugiam simetrinių sesijos raktų mainams, tiek serverių autentifikavimui ir turinio pasirašymui.
Debesų šifravimo modeliai: kas šifruoja ir kur
Be algoritmų, yra dar vienas esminis klausimas: kur vyksta šifravimas ir kas kontroliuoja raktus . Debesų kompiuterijos aplinkoje paprastai skiriami trys pagrindiniai modeliai.
Pirmasis yra serverio pusės šifravimas . Šiuo atveju debesijos paslaugų teikėjas pats užšifruoja duomenis prieš juos išsaugodamas savo diskuose. Klientas deleguoja tiek šifravimo vykdymą, tiek, daugeliu atvejų, raktų valdymą paslaugų teikėjui, nors klientui dažnai siūlomos galimybės valdyti savo raktus (BYOK, kliento valdomi raktai ir kt.).
Antrasis modelis yra kliento pusės šifravimas . Taikant šį metodą, duomenys yra šifruojami kliento kompiuteriuose arba programose prieš juos įkeliant į debesį ir lieka šifruoti tol, kol ten saugomi. Paslaugų teikėjas niekada nemato informacijos atvirojo teksto formatu, o tai žymiai padidina konfidencialumą, tačiau kartu ir sudėtingesnį valdymą, o kartais ir tam tikrų pažangių paslaugų funkcijų praradimą.
Trečiasis modelis yra „ nuo galo iki galo“ šifravimas . Šiuo atveju duomenys šifruojami šaltinyje ir iššifruojami tik galutinėje paskirties vietoje, todėl jie lieka apsaugoti net ir paties teikėjo infrastruktūroje. Ši schema siūlo aukščiausią privatumo lygį, tačiau ją paprastai sudėtingiausia sukurti ir integruoti su kitomis debesijos paslaugomis.
Šifravimo ramybės būsenoje parinktys debesies aplinkoje
Kalbant apie saugomus duomenis, organizacijos gali rinktis iš kelių apsaugos lygių, dažnai derindamos kelis iš jų. Viešųjų debesų kompiuterijos paslaugų teikėjai, tokie kaip AWS, „Azure“, „Google Cloud“, ir saugojimo paslaugos, tokios kaip „Dropbox“, jau siūlo šifravimo ramybės būsenoje mechanizmus kaip standartą daugelyje savo produktų.
Įprastas variantas yra naudoti tiekėjo vietinius šifravimo sprendimus , kai infrastruktūra automatiškai šifruoja diskus, tomus ar saugyklas be jokių specialių kliento veiksmų. Tokiais atvejais raktų valdymą gali visiškai atlikti tiekėjas arba klientas gali turėti tam tikrų pritaikymo parinkčių.
Kitas plačiai paplitęs variantas yra „ atsinešk savo raktą “ (angl. „Bryne your own key“, BYOK) modelis. Šiuo atveju šifravimas lieka teikėjo rankose, tačiau organizacija išlaiko raktų, kurie generuojami ir tvarkomi per savo arba trečiosios šalies raktų valdymo paslaugą, kontrolę. Tai sustiprina duomenų suverenitetą ir palengvina atitiktį griežtai reglamentuotoje aplinkoje.
Taip pat įprasta įdiegti konkrečiai duomenų bazei skirtą šifravimą . Daugelis modulių siūlo skaidrų šifravimą lentelės arba duomenų failo lygmeniu, todėl net jei kas nors gauna prieigą prie pagrindinio disko, duomenų bazė lieka neįskaitoma be modulio saugomų raktų.
Dėl šios priežasties daugelis sprendimų remiasi visišku disko šifravimu (FDE) . Šis metodas apsaugo viską, kas saugoma diske, įskaitant laikinus failus, atsargines kopijas ir, virtualizuotų aplinkų atveju, visus virtualios mašinos atvaizdus.
Tais atvejais, kai įmonė diegia savo virtualias mašinas, ji gali pasinaudoti operacinėse sistemose integruotomis šifravimo galimybėmis , tokiomis kaip „BitLocker“ ar „DM-Crypt“, arba papildomais sprendimais, kad centralizuotai šifruotų tų virtualių mašinų diskus ir skaidinius.
Galiausiai, daugelis architektūrų renkasi programos lygio šifravimą . Čia pati programa nusprendžia, kokius duomenis šifruoti, kokiais raktais ir kada. Toks detalumas leidžia taikyti skirtingas politikas, priklausomai nuo informacijos tipo (pavyzdžiui, specialų laukų, kuriuose yra kredito kortelių duomenys, medicininiai įrašai ar komercinės paslaptys, šifravimą).
Raktų valdymas: šifravimo Achilo kulnas
Stiprus šifravimas mažai naudingas, jei raktų valdymas yra katastrofiškas. Tikrasis sistemos saugumas labai priklauso nuo to, kaip kuriami, saugomi, bendrinami, keičiami ir sunaikinami duomenis saugantys raktai.
Geriausia praktika rekomenduoja naudoti aparatinės įrangos saugumo modulius (HSM) arba lygiavertes debesijos paslaugas, kad būtų generuojami ir apsaugoti pagrindiniai raktai, sumažinamas jų atskleidimas ir užkirstas kelias nekontroliuojamam jų eksportui. Šie HSM paprastai atitinka tokius standartus kaip FIPS 140-2, kurie patvirtina, kad modulis atitinka tam tikrus atsparumo fizinėms ir loginėms atakoms lygius.
Taip pat labai svarbu įdiegti periodinio raktų rotacijos politiką , kad net ir raktui pažeidus, atskleidimo laikotarpis būtų kuo trumpesnis. Tai apima raktų versijų valdymą ir užtikrinimą, kad istoriniai duomenys išliktų prieinami neprarandant atsekamumo.
Kitas svarbus aspektas yra raktų prieigos kontrolė . Ne kiekvienas administratorius turi turėti galimybę peržiūrėti, eksportuoti ar naudoti šifravimo raktus. Pareigų atskyrimas, mažiausių privilegijų principas ir kruopštus visų raktų operacijų registravimas yra būtini siekiant išvengti piktnaudžiavimo ar žmogiškųjų klaidų.
Tokios paslaugos kaip pagrindinių tiekėjų raktų valdymo paslaugos arba išoriniai raktų sprendimai (pavyzdžiui, debesies EKM) leidžia organizacijoms centralizuoti raktų valdymą ir nuspręsti, kur fiziškai yra raktai , kas gali juos naudoti ir kokiais tikslais, taip išlaikant didesnę pasitikėjimo grandinės kontrolę.
Ką siūlo pagrindiniai įmonių debesijos paslaugų teikėjai?
Pagrindiniai įmonių debesijos paslaugų teikėjai įtraukė šifravimą kaip pagrindinį saugumo mechanizmą į beveik visus savo sprendimus, tiek perduodamus, tiek saugomus, ir taip pat suteikia klientui galimybę žengti dar vieną žingsnį su savo raktais ar politikomis.
Šifravimo ramybės būsenoje srityje įprasta naudoti tokias technologijas kaip „BitLocker“, „DM-Crypt“, skaidrus saugyklos šifravimas arba paskirstytieji raktų tvarkytuvai , kurie užtikrina, kad klientų duomenys el. pašte, bendradarbiavimui, failų saugykloje ar verslo programų paslaugose išliktų apsaugoti, kol jie yra teikėjo duomenų centruose.
Perduodant duomenis, visi su klientu susiję ryšiai pagal numatytuosius nustatymus derasi dėl TLS seansų . Tai apima prieigą per naršyklę, darbalaukio programas, mobiliuosius klientus ir sinchronizavimo paslaugas, taip pat srautą tarp teikėjo duomenų centrų.
Be to minimalios bazės, daugelyje šių aplinkų organizacijos gali įjungti papildomą srauto tarp savo virtualių mašinų ir vartotojų šifravimą , pavyzdžiui, per virtualius privačius tinklus (VPN) su IPsec tarp įmonės tinklo ir debesies arba tarp virtualių mašinų tame pačiame virtualiame tinkle.
Be to, dažnai yra išplėstinių parinkčių, pvz., naudoti savo šifravimo raktus, saugomus teikėjo raktų saugyklose (kliento raktas, kliento valdomi raktai), el. pašto, bendradarbiavimo ir saugojimo paslaugoms, kad klientas galėtų geriau kontroliuoti prieigą prie informacijos.
Debesų šifravimas ir vietinis šifravimas: pagrindiniai skirtumai
Planuodami duomenų apsaugos strategiją, daugelis IT komandų svarsto, ar geriausia viską centralizuoti debesyje, laikyti vietoje, ar taikyti hibridinį metodą . Šifravimo požiūriu kiekvienas variantas turi savo niuansų.
Debesų šifravimo srityje vyrauja bendros atsakomybės modelis: teikėjas yra atsakingas už pagrindinės infrastruktūros, hipervizorių, aparatinės įrangos ir daugelio valdomų paslaugų apsaugą, o klientas – už savo duomenis, tapatybes, konfigūracijas ir programas. Tai reiškia, kad nors pagrindinis šifravimas teikiamas pagal numatytuosius nustatymus, įmonė turi pridėti savo sluoksnius ir politikas, kad padengtų savo atsakomybę.
Priešingai, naudojant vietinį šifravimą , organizacija kontroliuoja absoliučiai viską: aparatinę įrangą, programinę įrangą, raktus, procesus ir žmones. Tai leidžia labiau pritaikyti ir labai tiksliai kontroliuoti, tačiau taip pat reikia daugiau investicijų į įrangą, licencijas, priežiūrą ir specializuotą personalą.
Kalbant apie mastelio keitimą, debesija leidžia greitai pritaikyti šifravimo pajėgumus prie didėjančių duomenų kiekių, nereikia pirkti ir diegti naujos įrangos. Vietinėse aplinkose kiekvienas mastelio keitimas reikalauja planavimo, įsigijimo ir fizinio diegimo.
Kalbant apie sąnaudas, debesijos kompiuterija paprastai veikia pagal mokėjimo už naudojimą arba prenumeratos (OpEx) modelius, o vietiniai sprendimai, be nuolatinių priežiūros išlaidų, apima dideles pradines išlaidas aparatinei ir programinei įrangai (CapEx).
Todėl daugelis organizacijų renkasi hibridinį modelį : svarbiausius arba griežčiausiai reguliuojamus duomenis jos laiko kontroliuojamose infrastruktūrose, o debesijos teikiamais privalumais naudojasi mažiau jautriems arba dinamiškesniems darbo krūviams, abiejuose pasauliuose taikydamos tinkamą šifravimą ir saugumo kontrolę.
Daugiau nei rinkodara: stiprus šifravimas ir failų sinchronizavimas
Rinkoje padaugėjo debesijos saugyklų paslaugų, kurių pagrindinis pardavimo argumentas yra itin patikimas, netgi post-kvantinis , šifravimas. Nors stiprus serverio šifravimas yra būtinas, labai svarbu suprasti tikruosius daugelio diegimų trūkumus.
Kai veikimo modelis remiasi virtualiais diskais arba aplankais, sinchronizuotais tarp debesies ir vartotojų kompiuterių ( debesis, palyginti su USB atmintine ), failai paprastai saugomi keliuose vietiniuose įrenginiuose. Jei aštuoni įmonės darbuotojai sinchronizuoja bendrinamą aplanką, bus bent devynios šių dokumentų kopijos: viena labai gerai apsaugota debesyje ir aštuonios kopijos vartotojų kompiuteriuose be tokio apsaugos lygio.
Šiame kontekste, kad ir koks įspūdingas būtų debesijos šifravimas, įsilaužimas, kenkėjiška programa ar nešiojamojo kompiuterio vagystė bet kuriame sinchronizuotame įrenginyje gali atskleisti duomenis nepažeidžiant tiekėjo šifravimo . Rinkodara daugiausia dėmesio skiria serverio kriptografiniam stiprumui, tačiau praktiškai silpniausia grandis paprastai yra galinis taškas.
Siekdamos išspręsti šią problemą, kai kurios alternatyvios platformos siūlo modelius, kurie nesiremia nuolatiniu aplankų sinchronizavimu . Užuot kopijavus visą disko turinį visuose įrenginiuose, programa leidžia vartotojams tiesiogiai atidaryti ir redaguoti debesyje saugomus failus, iššifruoti failą redagavimo metu ir ištrinti vietinę kopiją baigus procesą.
Tokiu būdu ypač jautrus aplankas (kuriame yra asmeniniai duomenys, finansinė informacija ar svarbūs dokumentai) gali būti saugomas tik užšifruotame debesyje, o atidarius failą iššifruojamas tik jis, nepaliekant jokių nuolatinių pėdsakų kompiuteryje . Sinchronizavimas, jei naudojamas, tampa neprivalomas ir apsiriboja tais aplankais, kuriems jis iš tikrųjų suteikia vertės.
Kliento pusės šifravimo įrankiai debesijos paslaugoms
Jei mėgstate naudotis populiariomis paslaugomis, tokiomis kaip „Dropbox“, „Google“ diskas, „OneDrive“ ar panašios , bet nenorite, kad tam tikri dokumentai būtų saugomi jose paprasto teksto formatu, praktiška alternatyva yra pridėti savo šifravimo sluoksnį kliento pusėje.
Tokie sprendimai kaip „Boxcryptor“ arba vadovai, skirti failams debesyje šifruoti naudojant „Cryptomator“, veikia kaip savotiškas „vidurinis sluoksnis“ tarp jūsų sistemos ir debesies saugyklos. Idėja paprasta: programinė įranga sukuria loginį diską jūsų kompiuteryje ir skaidriai užšifruoja viską, ką išsaugote tam tikruose aplankuose, kad net jei tie failai sinchronizuojami debesyje, tai, kas pasiekia teikėją, jau būtų užšifruota.
Vienas iš šių įrankių privalumų yra tai, kad galite ir toliau bendrinti aplankus ir failus su kitais vartotojais, išlaikydami bendradarbiavimo ekosistemą, tačiau su papildoma apsauga, kuri nepriklauso nuo debesijos paslaugų teikėjo. Kai kuriais atvejais yra nemokamų apribojimų (pavyzdžiui, tam tikras užšifruotų gigabaitų skaičius), leidžiančių išbandyti sprendimą nemokamai.
Kitos alternatyvos, tokios kaip „Viivo“, „Cloudfogger“ ir „Crypsync“ , taiko panašius metodus, teikdamos kliento pusės šifravimą, papildantį debesies saugyklos saugumą. Taip pat yra tokių sprendimų kaip „Hippo“, skirtų šifruoti vietinius failus ir apsaugoti duomenis, bendrinamus per socialinius tinklus ar debesijos paslaugas, naudojant stiprius raktus ir nereikalaujant sudėtingų diegimų.
Visais šiais atvejais logika ta pati: nepasikliaukite vien teikėjo šifravimu ir patys kontroliuokite, kas gali iššifruoti informaciją, kad net ir debesijos paslaugos pažeidimo atveju pavogti duomenys liktų neįskaitomi.
Debesų duomenų šifravimo privalumai
Geros šifravimo schemos įdiegimas debesyje suteikia daug aiškių privalumų, kurie neapsiriboja vien techniniu saugumu ir tiesiogiai veikia verslo riziką.
Pirmasis – sumažinti galimo duomenų saugumo pažeidimo poveikį . Jei užpuolikas gauna prieigą tik prie užšifruotos informacijos ir neturi jokio pagrįsto būdo gauti raktų, tikroji tų duomenų vertė artėja prie nulio. Daugeliu atvejų tai gali padėti sutaupyti išlaidų, sumažinti reputacijos žalą ir išvengti teisinių pranešimų įsipareigojimų.
Antra, šifravimas veikia kaip papildomas prieigos kontrolės mechanizmas . Tik tie asmenys, programos ar paslaugos, turintys teisingą raktą, gali peržiūrėti duomenis paprastu tekstu. Tai veikia kaip antras filtras prie tradicinių naudotojų leidimų ar prieigos kontrolės sąrašų.
Kitas svarbus privalumas yra duomenų vientisumo apsauga . Daugelyje šifravimo algoritmų ir veikimo režimų yra mechanizmai, skirti aptikti neleistinus pakeitimus, kad jei kas nors bandytų pakeisti užšifruotą failą, sistema galėtų nustatyti, kad jis buvo pakeistas.
Atitikties reglamentams požiūriu, šifravimas padeda laikytis įstatymų ir saugumo standartų , reikalaujančių techninių apsaugos priemonių asmens, klinikiniams ar finansiniams duomenims apsaugoti. Tai ypač aktualu tokiuose sektoriuose kaip sveikatos apsauga, bankininkystė, viešasis administravimas ir švietimas.
Su debesies šifravimu susiję iššūkiai ir rizika
Nepaisant visų privalumų, šifravimas nėra stebuklinga priemonė. Tinkamas jo įdiegimas reikalauja tam tikrų techninių, operacinių ir projektavimo iššūkių , į kuriuos reikėtų atsižvelgti nuo pat pradžių.
Vienas iš jų yra našumo išlaidos . Šifravimas ir iššifravimas eikvoja procesoriaus resursų, atminties ir kai kuriais atvejais sukelia papildomą delsą. Daugumoje šiuolaikinių scenarijų poveikis yra priimtinas, tačiau našumui jautriose programose arba tose, kuriose yra didžiuliai duomenų kiekiai, gali tekti optimizuoti architektūras ir tinkamai parinkti išteklių dydį.
Kita svarbi problema yra priklausomybė nuo raktų valdymo . Jei raktas pametamas be atsarginės kopijos arba jei jį sauganti sistema sugadinama, susiję užšifruoti duomenys gali tapti visam laikui neprieinami. Tas pats pasakytina ir apie tai, jei raktas patenka į užpuoliko rankas: viskas, kas juo apsaugota, yra pažeidžiama.
Taip pat reikia atsižvelgti į tiekėjo priklausomybės riziką . Jei naudojate labai specifinius patentuotus debesijos paslaugų teikėjo šifravimo sprendimus, platformų keitimas, kelių debesų aplinkos sukūrimas arba trečiųjų šalių paslaugų integravimas gali tapti daug sudėtingesnis.
Galiausiai, negalima pamiršti žmogiškųjų ir organizacinių veiksnių . Daugelis įmonių nepakankamai įvertina savo atsakomybę debesijos modelyje ir klaidingai mano, kad už visą saugumą atsakingas paslaugų teikėjas. Mokymų stoka, prasta įgaliojimų suteikimo praktika arba aiškios politikos nebuvimas gali pakenkti bet kokiai kriptografinei schemai, kad ir kokia patikima ji būtų.
Geriausia praktika, kaip išmintingai įdiegti debesies šifravimą
Norint iš tikrųjų išnaudoti debesijos šifravimo potencialą ir išvengti nemalonių staigmenų, patartina laikytis tam tikrų gairių, kurios padėtų jį nuosekliai integruoti į organizacijos kibernetinio saugumo strategiją.
Pirmas žingsnis – inventorizuoti ir klasifikuoti duomenis : kokia informacija saugoma arba apdorojama debesyje, kur ji yra, kas ją naudoja ir koks jos jautrumo lygis. Ne viskam reikalingas vienodas apsaugos lygis, todėl ši klasifikacija padės nustatyti pastangų prioritetus.
Tuomet patartina pasirinkti tinkamiausią šifravimo modelį kiekvienam naudojimo atvejui : serverio, kliento arba „nuo galo iki galo“, taip pat konkrečias technologijas (FDE, programos lygio šifravimą, duomenų bazės šifravimą ir kt.). Nėra prasmės pernelyg komplikuoti aplinkos, jei rizika to nepateisina, tačiau taip pat neverta ir apsiriboti ypač jautriais duomenimis.
Lygiagrečiai turi būti sukurta ir įdiegta patikima raktų valdymo politika , apibrėžianti, kaip generuojami raktai, kas juos gali naudoti, kaip jie saugomi, kada jie rotuojami ir kaip jie sunaikinami. Idealiu atveju tai turėtų palaikyti raktų valdymo paslaugos arba pripažintus sertifikatus turintys HSM.
Kita svarbi praktika – reguliariai stebėti ir audituoti šifravimo ir pagrindinių operacijų naudojimą . Tai apima prieigos, konfigūracijos pakeitimų, nepavykusių bandymų ir visų kitų svarbių įvykių registravimą, kad būtų galima aptikti anomalijas ir įrodyti atitiktį reikalavimams išorinių auditų metu.
Mokymai taip pat atlieka svarbų vaidmenį. Svarbu, kad techninis personalas ir vartotojai, turintys prieigą prie neskelbtinos informacijos, suprastų, kodėl tam tikri duomenys yra šifruojami, kaip su jais elgtis ir kokių praktikų vengti (pavyzdžiui, dalytis raktais arba juos saugoti nesaugiose vietose).
Galiausiai, renkantis debesijos paslaugų teikėją arba šifravimo sprendimų teikėją, būtina peržiūrėti jų saugumo istoriją, sertifikatus, skaidrumą ir įsipareigojimą atviriems standartams , kad neužstrigtumėte ties technologijomis, kurios trukdo tolesnei architektūros raidai.
Jei debesija kruopščiai suprojektuota, derinant patikimą šifravimą, gerą raktų valdymą, prieigos kontrolę, nuolatinį stebėjimą ir tinkamus mokymus, ji gali tapti dar saugesne aplinka nei daugelis vietinių infrastruktūrų, tuo pačiu leisdama pasinaudoti visais jos lankstumo, mastelio keitimo ir sąnaudų mažinimo privalumais, nepaliekant neapsaugoto vertingiausio organizacijos turto: jos duomenų.
