Берестяная грамота. Как корпоративные секреты воруют через облака

Вечером 4 июля пользователи облачных хранилищ Google и «Яндекс» обнаружили файлы с личными данными в открытом доступе. Новость вызвала резонанс и возмущение. Хотя пока неясно, насколько это справедливо: в индексацию попали данные с доступом по ссылке или настройкой «общедоступно для поиска и просмотра». И тем не менее факт остается фактом: конфиденциальность была нарушена. И, увы, это слабое место облачных технологий.

Обратная сторона медали

О том, как удобны облака, мы знаем на личном опыте. Хотя бы потому, что легко обращаемся к своим данным с любого гаджета. Преимущества же технологий для бизнеса масштабированы: компании могут обрабатывать и хранить огромные массивы информации, не закупая дорогое оборудование и лицензии на ПО. Физические сервера принадлежат провайдеру, он заботится о том, чтобы работа была безотказной и мощностей было достаточно.

Но проблема в том, что вы отдаете данные провайдеру без возможности повлиять на него. Например, убедиться, что настройки приватности достаточные или в инфраструктуре не появилось дыр в результате технических сбоев. Огромные вычислительные мощности и секреты фирм привлекают хакеров. И в конце концов никто не отменял человеческий фактор: данные могут слить сотрудники провайдера или ваш подрядчик. Конечно, гипотетически угроза существует всегда. Даже если будете хранить информацию у себя, можете столкнуться с утечкой, как и провайдер. Но хотя бы будете контролировать ситуацию.

Минимизируем риски: аренда

Вариант более безопасный, чем общедоступные облака, — платные сервисы. То есть вы арендуете пространство у провайдера, а тот дает гарантию, что защитит ваши данные. Не факт, конечно. В 2017-м из облаков Amazon в сеть утекли тысячи файлов с личной информацией военных, полицейских, сотрудников спецслужб и подразделений ООН. Виновником оказался подрядчик — компания по подбору персонала, которая использовала Amazon для пересылки резюме. И таких историй много. Тем не менее если возникнет проблема, вам никто не скажет: «У нас бесплатный сервис. Не хотите, не пользуйтесь».

Подобных предложений на рынке масса, в разном ценовом диапазоне. Но при выборе стоит помнить о триаде безопасной ИТ-инфраструктуры: доступность, конфиденциальность, целостность. Обеспечение этих условий стоит денег. И чем дешевле сервис, тем больше вендоры пренебрегают принципами безопасности. Бизнес, работающий со слишком чувствительными данными, — скажем, предприятия, ведущие военные разработки или геологоразведка, — не могут так рисковать. Но если с уровнем критичности данных проще — платные облака вполне приемлемы. Вариант незаменим для стартапов, которые сначала хотят встать на ноги и только после тратиться на аппаратные и программные средства.

Хочешь сделать хорошо, сделай сам

Я имею в виду собственное облачное хранилище. Это самый безопасный вариант, который используют все больше компаний, чувствительных к утечкам информации. Цену вопроса и сложность реализации диктуют потребности. Данные какого формата и объема нужно хранить? Есть ли принципиальные требования к приему и скорости обработки? Какой тип шифрования необходим? Критериев и нюансов слишком много, чтобы сориентировать по цене.

Как человек из безопасности — сферы, где цветет паранойя, — могу сказать, что сервера покупают даже для домашнего пользования. «Железо» с нужным программным обеспечением и объемом в 2 Тбайт можно купить за 16 000 рублей. Этого может хватить и компании до 50 сотрудников, которая работает с текстовыми данными.

Но чем больше организация и серьезнее требования, тем дороже обходится возможность собственноручно управлять частным облаком с высокой степенью защиты. После покупки оборудования придется потратиться на внедрение и обеспечение функционирования. Отдельной статьей расходов станет поддержка среды. Если раньше безотказность гарантировал провайдер, то теперь обеспечивать ее придется своими силами: понадобятся генераторы на случай отключения электроэнергии и специалисты для обслуживания системы в штат.

На одном из предыдущих мест работы мы просчитывали стоимость перехода на собственную облачную среду. Сумма проекта (для компании штатом около 500 человек и критически важной информацией) приближалась к $10 000.

Разделяй и властвуй

Раз уж конфиденциальность стала злободневной темой, на рынке облачных технологий появились интересные предложения: хранение информации в странах, откуда нет выдачи. Например, в Израиле. АНБ или ФСБ — не суть важно; любой запрос на раскрытие данных останется неудовлетворенным, обещают провайдеры.

Но независимо от того, какие облака выберет ваша компания, советую разделять данные и все критически важное оставлять внутри. Потому что самый безопасный компьютер — отключенный от Сети. То же, что отправляется в цифровое пространство, стоит шифровать. Чтобы информация была бесполезна, если все же утечет. Делать это можно бесплатными средствами, например классическими архиваторами, или платными инструментами.

Обеспечение безопасности — процесс непрерывный

Единожды наладить все процессы и забыть о безопасности — шаг в никуда. Мало организовать частное облако, нужно контролировать работу сотрудников и проводить ИБ-ликбезы.

Если персонал привык пользоваться гугл-диском, например, копировать документы, чтобы поработать из дома или в командировке, он будет им пользоваться и дальше. Или сегодня прислушается к правилам безопасности, а завтра решит, что ничего страшного не случится, и снова использует общедоступное облако. Потому контроль необходим.

Контролировать использование сторонних сервисов, в том числе и облачных хранилищ, можно с помощью DLP-систем. Специальные политики безопасности сообщат, если кто-то из работников выгрузит рабочий файл в облако, а при определенных настройках программа заблокирует загрузку.

Я говорю о превентивных мерах, поскольку после утечки исправить можно немногое. Если данные, охраняемые законом, разойдутся в Сети, вы сможете воспользоваться правом на забвение, например, обратившись в «Яндекс» или Google. Но даже если удастся отстоять права, информация удалится из поисковой выдачи, а не с источников, по которым разошлась. А если она попадет в нужные руки, то компания и вовсе сосредоточится на работе с последствиями. Одним словом, проще не допустить.