אבטחת מידע בעידן מחשוב הענן

כמעט שלא צריך להזכיר לאנשי התחום כמה פופולרי ומשמעותי הפך תחום מחשוב הענן בשנים האחרונות. כולם נמצאים "בענן". אם המשתמשים הפרטיים משתמשים בשירותי ענן חינמיים וגלובליים כמעט בלי להרגיש, גם יותר ויותר גורמים במגזר העסקי למדו להעריך את הפוטנציאל בתחום ולגלות את היתרונות הטמונים בו. יתרונות מחשוב הענן רבים מאוד, ולא נעסוק בהם בהרחבה. בקצרה נזכיר את הגמישות הגדולה באופני השימוש, שמאפשרת התאמה מירבית בין צרכי הלקוח לשירות שהוא מקבל; וכמובן, את החיסכון הגדול במשאבים, כלכליים או אנושיים, שמתקיים לאור העובדה שכל תחומי האחזקה, תחזוקה, טיפול, אבטחה, מעקב, גיבוי וכן כהנה וכהנה, מטופלים על ידי גורם אחר.

 

אתגרי האבטחה

עם זאת, נחשבים לעיתים שירותי מחשוב הענן או אחסון האתרים ככאלו בהם רמת אבטחת המידע נמוכה יותר. שערוריות אבטחת מידע שהגיעו לכותרות בחודשים ובשנים האחרונות, החל מויקיליקס, עבור בפריצה למחשבי סוני וכלה בהדלפות מחברת הסייבר Hacking Team האיטלקית, אף הגבירו את המודעות לנושא אצל כל בעלי העניין. כאשר עושים שימוש בשירותי מחשוב ענן, החברות כבר לא יכולות להסתפק בהצבת גדרות מתוחכמות מסביב לשרתיהן. אם כן, האתגר הראשון הוא ההתמודדות עם מידע המבוזר במדינות שונות, בידי ארגונים שונים ובצורות שונות. שנית, בעת שימוש במחשוב ענן בעולם המודרני, מרבית העובדים נגישים למידע ממגוון מכשירים (נייחים וניידים), ובמשך רוב שעות היום. הניסיון לאזן בין הצורך בנגישות הזאת לבין הקשיים שהיא מעוררת, כדוגמת הקושי ליישם מדיניות שימוש אפקטיבית בקרב העובדים, הוא אתגר משמעותי. ככלל, אבטחת המידע בחברה הפתוחה לחלוטין לאינטרנט, המשתמש במספר רב של שירותי אחסון אתרים, דורשת פתרונות מורכבים.

 

שותפות באבטחה

למעשה, האחריות על האבטחה נופלת במידה רבה גם על צד הלקוח. אמנם כן, בראש ובראשונה ספקי שירותי הענן ואחסון האתרים נושאים בעיקר הנטל. ראשיתו היא האבטחה הפיזית לה דואג ספק השירות: כן, מדובר בשערים, מנעולים, אזעקות, גדרות, מצלמות אבטחה, שומרים וגם פיקוח ומיון עובדים. בשלב הבא, בוחר את הלקוח את מסלול האבטחה הוירטואלית המתאים לו. חשוב וכדאי להכיר את טיב השימוש במערכת על מנת להתאים אליו את סוג האבטחה האופטימלי. אך גם אם נראה שכאן נגמרת אחריותו של הלקוח, אין הדבר כך. לקוחות מסוג מסוים נוטים להתייסר אל מול הקושי שבהפקדת המידע העסקי הרגיש בידי ארגון צד ג', ללא השפעה משמעותית על הפרטים הקטנים ביותר בפרוטוקולי האבטחה הוירטואלית. אך יש לזכור כי חלק משמעותי מההקפדה והשמירה על המידע נוגע לצד הלקוח, והוא מדיניות השימוש.

 

מדיניות שימוש

כאמור, עם היציאה מעמדת המחשב האישי והתרחבות הנגישות למידע מתוך מגוון מכשירים, מדיניות שימוש הפכה לאתגר משמעותי. מנהלי IT נדרשים להתמודד עם הצורך בנגישות גבוהה, לצד החשש מאפליקציות בעייתיות אבטחתית, אך נדרשות לעיתים לצרכי עבודה. על הלקוח לדעת, למשל, כי הפעלת אפליקציה שאינה מעודכנת מהווה סיכון לפריצה. על כן, המודעות לנושא חשובה, כמו גם פתרונות אבטחתיים הנוגעים גם לצד הלקוח: שמירה על עדכון שוטף, התאמת הכלים והאפליקציות והצפנות מקומיות.

 

תקנים

אמנם תחום מחשוב הענן חדש יחסית, אך תקני אבטחה החלו להיווצר בשלב מוקדם יחסית. עוד ב-2009 נוצר תקן CSA, ובתחילת שנת 2015 הצטרף גם ארגון התקינה הבינלאומי (ISO) עם תקן משלו להבטחת פרטיות ואבטחת מידע אישי. על הלקוח לדרוש מספק השירות הענן או אחסון האתרים אישורים לרמת האבטחה אותה הוא מבקש לספק.