Zaměření na bezpečnost v cloudu: strategie, architektury a smluvní modely pro ochranu citlivých firemních dat v digitalizovaném světě

Data jsou nástrojem moderní digitalizované ekonomiky, případně i „novým zlatem“ pro podniky (soukromý sektor), ale také pro stát (veřejný sektor). V dnešním digitalizovaném světě vzniká nezastavitelný příliv nových datových záznamů, z nichž velká část končí na internetu. Některé z těchto datových záznamů se týkají osobních údajů, které představují digitální identitu. Skutečným uměním v podniku je pečlivě tyto údaje filtrovat a především je bezpečně ukládat. Cílem této krátké práce je představit ukládání dat v cloudu a jejich zpracování z pohledu podniku. Kromě toho tato krátká práce ukazuje, jaké typy smluv, architektury a vhodná bezpečnostní opatření proti kyberútokům průmysl uplatňuje, aby disponoval pevným základem pro vlastní zpracování dat.

Než se pustíme do tématu bezpečnosti cloudu, je třeba se nejprve seznámit s několika základními informacemi o takzvaném „cloud computingu“, jeho fungování a struktuře cloudu: „Cloud computing je model zpracování dat, který umožňuje pohodlný přístup k sdílenému fondu konfigurovatelných výpočetních zdrojů (např. sítí, serverů, úložných systémů, aplikací a služeb) kdykoli a kdekoli prostřednictvím sítě podle potřeby. Tyto zdroje lze rychle a s minimálními administrativními náklady, resp. s minimální interakcí se poskytovatelem služeb, uvést do provozu. Cloud lze využívat ve třech variantách (Infrastructure as a Service (IaaS), Platform as a Service (PaaS), Software as a Service (SaaS)). Typ cloudu se liší podle způsobu poskytování (soukromý cloud, komunitní cloud, veřejný cloud, hybridní cloud).“ [1]

V oblasti cloud computingu existují různé způsoby poskytování, jimiž poskytovatelé cloudu zpřístupňují svým uživatelům cloudové služby. Existují čtyři hlavní modely spojené s cloud computingem:

1. Veřejný cloud

Veřejný cloud umožňuje všem uživatelům přístup k počítačovým zdrojům, jako je hardware (operační systém, procesor, paměť) nebo software (aplikační servery, databáze), na základě předplatného nebo podle skutečného využití. Mezi typické příklady použití patří vývoj a testování aplikací pro kritické i nekritické úkoly, jako je například sdílení souborů a e-mailové služby.

2. Soukromý cloud

Soukromý cloud je obvykle výslovně využíván jednou organizací a může být spravován buď interně, nebo externím poskytovatelem IT služeb. Ačkoli jsou soukromé cloudy kvůli investicím do pořízení a údržby často dražší než veřejné cloudy, účinněji řeší obavy organizací ohledně bezpečnosti a ochrany osobních údajů.

3. Hybridní cloud (kombinace fyzického datového centra nebo externího soukromého cloudu a/nebo veřejného cloudu)

Hybridní cloud využívá jak soukromé, tak veřejné cloudové infrastruktury. Podniky volí tento model, aby mohly v případě potřeby rychle rozšířit svou IT infrastrukturu. Díky tomu může například internetový obchodník během svátků využít veřejné cloudové zdroje k doplnění kapacit svého soukromého cloudu nebo k jeho odlehčení.

4. Komunitní cloud

Komunitní cloud společně podporuje více organizací, které využívají výpočetní zdroje. Patří sem například univerzity, které spolupracují v konkrétních oblastech výzkumu, nebo státní subjekty, jako jsou policejní stanice v rámci jednoho okresu, které sdílejí zdroje. Přístup ke komunitnímu cloudu je omezen na členy dané komunity.

Náklady pro koncového uživatele jsou u veřejných cloudů obvykle nízké, aniž by byly nutné větší investice. Soukromé cloudy naopak sice vyžadují investice, ale ve srovnání s provozními náklady vlastní infrastruktury obecně přinášejí úspory. Soukromé cloudy také zajišťují větší podporuv oblasti bezpečnosti a dodržování předpisů než veřejné cloudy. Proto některé organizace využívají soukromé cloudy pro data a aplikace kritické pro podnikání, resp. citlivější data a aplikace, a veřejné cloudy pro základní úkoly, jako je vývoj aplikací, testovací prostředí a e-mailové služby. [2]

Hybridní cloudové řešení se nabízí jako způsob, jak snížit či diverzifikovat rizika kybernetických útoků. Ve srovnání s čistým využíváním veřejného cloudu poskytuje větší kontrolu nad vlastní bezpečností. Kromě toho hybridní cloudová infrastruktura umožňuje nastavit individuální bezpečnostní standardy a softwarově konfigurovat soukromé servery na míru. Toto rozložení vede ke zvýšené spolehlivosti systémů a lepšímu posouzení a zařazení systémových problémů.

Navíc je nákladová efektivita vyšší než při nákupu a údržbě lokálních serverů. [3]

Modely architektury cloudových služeb

Vzhledem k těmto výhodám hybridního cloudového řešení, které sahají od zvýšené kontroly bezpečnosti až po zlepšenou spolehlivost, je důležité porozumět různým architekturám cloudových služeb. Tyto architektury, konkrétně Infrastructure as a Service (IaaS), Platform as a Service (PaaS) a Software as a Service (SaaS), nabízejí různé úrovně poskytování služeb a stanovují odlišné odpovědnosti za dodržování předpisů.

1. Infrastructure as a Service (IaaS)

Poskytovatelé IaaS zajišťujízákladní výpočetní, úložnou a síťovou infrastrukturu, jakož i hypervizor pro virtualizaci. Za vytváření a správu virtuálních instancí, instalaci operačních systémů, nasazení aplikací a dat, jakož i za celou konfiguraci jsou odpovědní uživatelé. IaaS je zajímavá jak pro malé podniky, tak pro malé a střední podniky (SME). Snadná obsluha cloudové infrastruktury, kterou si podnik neprovozuje sám, představuje nákladově efektivní alternativu k nákupu vlastního hardwaru.

Příklady: DigitalOcean, AWS, Azure, Google Compute Engine, Hetzner Cloud

2. Platform as a Service (PaaS)

Poskytovatelé PaaS rozšiřují aplikační stack více než IaaS tím, že doplňují operační systémy a middleware (např. databáze). Uživatelé se více soustředí na vývoj aplikací. Platforma spravuje základní infrastrukturu.

Příklady: AWS Elastic Beanstalk, Google App Engine.

3. Software as a Service (SaaS)

Poskytovatelé SaaS nabízejí kompletní aplikační stack. Uživatelé mají přístup k plně hostované aplikaci prostřednictvím webového prohlížeče. Správa pracovních zátěží a IT zdrojů je plně pod kontrolou poskytovatele SaaS, zatímco uživatelé mají výslovnou kontrolu nad daty vytvořenými aplikací.

Příklady: Salesforce, Dropbox, Google Workspace, aBusiness Suite [4]

Cloud v smluvním právu

Smlouvy SaaS dosud nebyly zákonodárcem výslovně právně upraveny. Dosud lze smlouvu SaaS z právního hlediska klasifikovat pouze jako smíšenou smlouvu, která zahrnuje aspekty smluv o poskytování služeb, smluv o dílo a nájemních smluv. Příslušná právní oblast tedy závisí na konkrétní části smlouvy týkající se plnění. Ústřední část smlouvy SaaS spadá převážně do nájemního práva, protože poskytování softwaru je nejlépe srovnatelné s převodem věci do užívání v rámci nájemního práva. Jelikož software není považován za „věc“ ve smyslu nájemního práva, v současné době převládá názor, že smlouvy SaaS představují časově omezené poskytnutí k užívání. To je v souladu s předpisy a cílem, který nájemní právo sleduje. [5]

Smlouvy PaaS jsou zásadně charakterizovány dohodami o úrovni služeb (SLA), které stanovují minimální výkony a definují práva i povinnosti obou smluvních stran.

Ochrana osobních údajů a bezpečnost dat hrají zásadní roli, protože v rámci služeb PaaS se často zpracovávají citlivé údaje. Smlouva musí obsahovatjasná ustanovení o ochraně osobních údajů. Kromě toho je nezbytné ve smlouvě stanovit, komu náleží duševní vlastnictví k vytvořeným aplikacím, přičemž obvykle si vlastnictví aplikací ponechává uživatel a vlastnictví platformy si ponechává poskytovatel. [6]

Závěr

Ať už se jedná o startup, společnost zabývající se rizikovým kapitálem, malý či střední podnik nebo větší společnost, bezpečnost cloudu má pro každou firmu zásadní význam.

Je třeba brát v úvahu nejen to, s jakými poskytovateli cloudových služeb chcepodnik spolupracovat, ale takéto , jaké rámcové podmínky jsou při tom stanoveny.

Bezpečnost nakonec nespočívá pouze v odpovědnosti poskytovatele cloudových služeb jako takového, ale stejně důležitou roli v bezpečnostním aspektu cloudu hrají i zaměstnanci dané společnosti.

Je nezbytné pravidelně investovat do školení a zvyšování povědomí zaměstnanců, aby bylo zajištěno, že disponují potřebnými znalostmi pro dodržování bezpečnostních směrnic a postupů. Aby však podniky mohly plně využít potenciál cloudu, měly by investovat jak do údržby vlastních systémů nebo systémů externích partnerů, tak do náboru nových IT pracovníků. Tímto způsobem může podnik zajistit bezpečnost systémů a tím zvýšit spokojenost zákazníků, což v dlouhodobém horizontu posílí jeho reputaci.

Velkým oříškem při výběru externího poskytovatele cloudových služeb je již odjakživa závislost na zahraničních poskytovatelích a jejich předpisech o ochraně osobních údajů. Podniky čelí této výzvě prostřednictvím opatření, jako je důkladná kontrola směrnic o ochraně osobních údajů, hybridní cloudové přístupy k minimalizaci rizik, hodnocení bezpečnostních opatření a certifikací poskytovatelů, posouzení dopadu na ochranu osobních údajů, pravidelné monitorování a audity, jakož i příprava na případná porušení ochrany osobních údajů. Strategie se liší v závislosti na velikosti a odvětví podniku, všechny však slouží k zajištění souladu s předpisy o ochraně osobních údajů a minimalizaci potenciálních rizik při využívání externích cloudových služeb.

Seznam zdrojů

Cloud Computing
https://www.swissbanking.ch/de/themen/digitalisierung-innovation-cyber-security/cloud-computing

Model nasazení v cloudu (2014)
https://www.sciencedirect.com/topics/computer-science/cloud-deployment-model

Porozumět cloudu – víte, co je veřejný cloud a co je hybridní cloud? (2023)
https://www.speechlive.com/at/blog/die-cloud-verstehen-wissen-sie-was-eine-public-cloud-und-was-eine-hybride-cloud-ist

Co je IaaS? Definice a zajímavosti
https://bsh-ag.de/it-wissensdatenbank/iaas-infrastructure-as-a-service/

Platform as a Service (PaaS) (2022)
https://www.computerweekly.com/de/definition/Platform-as-a-Service-PaaS

Na co byste měli dbát při sestavování smluv o poskytování služeb SaaS (2022)
https://www.top.legal/wissen/saas-vertraege

Smlouvy o poskytování služeb typu Platform-as-a-Service (PaaS): Průvodce (2023)
https://www.anwalt.de/rechtstipps/platform-as-a-service-vertraege-paas-vertraege-ein-leitfaden-216904.html