Sådan sikrer du datasikkerhed og privatliv i en hybrid cloud dummies

Hybrid cloud-udbydere skal sikre din data om sikkerhed og privatliv, men du er i sidste ende ansvarlig for din virksomheds data. Det betyder, at industri- og regeringsforskrifter, der er oprettet for at beskytte personlige og forretningsoplysninger, stadig gælder, selvom dataene administreres eller opbevares af en ekstern leverandør.

De tre hovedområder, der vedrører sikkerhed og privatlivets fred for data i hybridskyen, er

• Placering af dine data

• Kontrol af dine data

• Sikker transport af dine data

Det er vigtigt at bemærke, at nogle eksperter mener, at visse typer data er for følsomme for public / hybrid cloud. Dette kan omfatte højt regulerede data, som f.eks. Medicinsk information. Andre mener, at hvis det rette niveau for gennemsigtighed og kontrol kan ydes, kan forbrugerne beskyttes. Skyer, der er værtsregulerede data, skal opfylde overholdelseskrav, som f.eks. Betalingskort industri datasikkerhedsstandard (PCI DSS), Sarbanes-Oxley og HIPAA.

For mere information om sikkerhed i skyen, se Cloud Security Alliance.

Placeringen af ​​data i skyen

Efter data går ind i skyen, har du måske ikke kontrol over, hvor den er gemt eller hvordan den bruges. Talrige problemer er forbundet med denne situation:

• Særlige landlove: Sikkerheds- og lovgivningsmæssige love for data kan variere på tværs af forskellige geografiske områder. For eksempel kan dit eget lands juridiske beskyttelse ikke finde anvendelse, hvis dine data er placeret uden for det. En udenlandsk regering kan muligvis få adgang til dine data eller holde dig fra at have fuld kontrol over dine data, når du har brug for det.

• Overførsel af data på tværs af landegrænser: Et globalt selskab med datterselskaber eller partnere (eller klienter for den sags skyld) i andre lande kan være bekymret over grænseoverskridende dataoverførsel på grund af lokale love. Virtualisering gør dette til et særligt svært problem, fordi cloud-udbyderen måske ikke ved, hvor dataene er på et bestemt tidspunkt.

• Sekundær brug af data: I offentlige skyssituationer kan dine data eller metadata være sårbare over for alternative eller sekundære anvendelser af skyudbyderen. Uden ordentlige kontrol- eller serviceniveauaftaler på plads, kan dine data bruges til markedsføringsformål. Det kunne fusioneres med data fra andre organisationer for sådanne alternative anvendelser.

Kontrol af data i skyen

Du har eller måske ikke har hørt udtrykket CIA Triad .Nej, det handler ikke om skjulte operationer. CIA står for Fortrolighed , Integritet og Tilgængelighed . Disse tre attributter har eksisteret i lang tid i verden af ​​revision og styringskontrol; De er kritiske for data i cloud miljøet af følgende grunde:

• Fortrolighed: Kun autoriserede parter med de relevante privilegier kan få adgang til bestemte data; det vil sige, der er ingen tyveri af dataene.

• Integritet: Data er korrekt, og ingen skadelig software (eller person) har ændret det; det vil sige, at der ikke er nogen manipulation med dataene.

• Tilgængelighed: Netværksressourcer er tilgængelige for autoriserede brugere.

Disse tre attributter er direkte relateret til styring af data. Controls indeholder de styringspolitikker, der er indført for at sikre, at data kan stole på. Integriteten, pålideligheden og fortroligheden af ​​dine data skal være uden fortalte. Dette gælder også for cloud-udbydere.

Du skal forstå, hvilket niveau af kontroller, der skal opretholdes af din cloud-udbyder, og overveje, hvordan disse kontroller kan revideres.

Her er et udsnit af forskellige typer af kontroller, der er designet til at sikre fortroligheden, integriteten og tilgængeligheden af ​​dine data:

• Input validering kontroller for at sikre, at alle dataindtastninger til ethvert system eller program er komplette, og rimelig.

• Output afstemning kontroller for at sikre, at data kan afstemmes fra input til output.

• Behandling kontroller for at sikre, at data behandles fuldstændigt og præcist i en applikation.

• Adgang kontroller for at sikre, at kun dem, der har tilladelse til at få adgang til dataene, kan gøre det. Følsomme data skal også beskyttes under opbevaring og overførsel. Kryptering kan hjælpe med at gøre dette.

• Genidentifikation (processen, hvormed anonyme personoplysninger er matchet med sin sande ejer) kontrollerer for at sikre, at koderne holdes på en separat placering for at forhindre uautoriseret adgang til at genidentificere oplysninger.

• Skift styring for at sikre, at data ikke kan ændres uden korrekt tilladelse.

• Data ødelæggelse kontroller for at sikre, at når data slettes permanent, slettes det fra alle steder - inklusive alle backup og overflødige lagringssteder.

Begrebet kontrol i skyen er så vigtigt, at Cloud Security Alliance har sammensat en liste over over 100 kontroller kaldet Cloud Controls Matrix (CCM) til at lede cloud-leverandører og hjælpe potentielle cloud-kunder til at vurdere den samlede risiko for udbyderen.

Din virksomhed skal udvikle og offentliggøre et ensartet sæt regler og politikker vedrørende oprettelse, indsamling, administration, transmission, adgang, lagring og sletning af fortrolige og forretningskritiske data. Brug teknikker som kryptering og tokenisering for at reducere eksponering for datatyveri og misbrug.

Sikker transport af data i skyen

Sig, at du har besluttet at flytte nogle af dine data til skyen. Med hensyn til datatransport skal du huske på to ting:

• Sørg for, at ingen kan aflytte dine data, da den flytter fra punkt A til punkt B i skyen.

• Sørg for, at data ikke lækker (ondsindet eller andet) fra ethvert lager i skyen.

I hybridskyen kan rejsen fra punkt A til punkt B forekomme et vilkårligt antal måder: i et skymiljø, over det offentlige internet mellem en virksomhed og en cloud-udbyder eller endog mellem skyerne.

Sikkerhedsprocessen kan omfatte adskillelse af dine data fra andre virksomheders data og derefter kryptere den ved hjælp af en godkendt metode. Derudover vil du muligvis sikre sikkerheden for ældre data, der forbliver hos en cloud-leverandør, når du ikke længere har brug for det.

Et virtuelt privat netværk (VPN) er en måde at styre sikkerheden på data under transporten i et skymiljø. En VPN gør det offentlige net i dit eget private netværk i stedet for at bruge en dedikeret forbindelse. En veludformet VPN skal indarbejde to ting:

• A firewall for at fungere som en barriere mellem det offentlige internet og ethvert privat netværk

• Kryptering for at beskytte dine følsomme data mod hackere; kun den computer, du sender den til, skal have nøglen til at afkode dataene.

Udover transport i en hybrid verden vil der være kontaktpunkter mellem dine data og skyen. Derfor er det vigtigt at håndtere opbevaring og hentning af disse data.