У центрі уваги - хмарна безпека: стратегії, архітектури та контрактні моделі для захисту конфіденційних даних компанії в цифровому світі

Дані є інструментом сучасної цифрової економіки, або ж «новим золотом» як для підприємств (приватний сектор), так і для держави (державний сектор). У сучасному цифровому світі з’являється незліченна кількість нових наборів даних, значна частина яких потрапляє в Інтернет. Деякі з цих наборів даних стосуються персональних даних, які відображають цифрову ідентичність. Справжнє мистецтво для підприємства полягає в тому, щоб ретельно фільтрувати ці дані і, перш за все, зберігати їх. Ця коротка робота присвячена висвітленню зберігання даних у хмарі та їх обробки з точки зору підприємства. Крім того, ця коротка робота показує, які види договорів, архітектури та відповідні заходи безпеки від кібератак застосовує галузь, щоб мати міцну основу для власної обробки даних.

Перш ніж перейти безпосередньо до теми хмарної безпеки, слід спочатку ознайомитися з кількома основними поняттями так званого «хмарного обчислення», принципами його функціонування та структурою хмари: «Хмарні обчислення — це модель обробки даних, яка дозволяє за потреби в будь-який час і в будь-якому місці зручно отримувати доступ через мережу до спільного пулу настроюваних обчислювальних ресурсів (наприклад, мереж, серверів, систем зберігання даних, додатків та послуг). Ці ресурси можна швидко надати з мінімальними адміністративними витратами або з мінімальною взаємодією з постачальником послуг. Хмару можна використовувати у трьох варіантах: «Інфраструктура як послуга» (IaaS), «Платформа як послуга» (PaaS) та «Програмне забезпечення як послуга» (SaaS). Тип хмари відрізняється залежно від способу надання (приватна хмара, спільнотна хмара, публічна хмара, гібридна хмара).» [1]

У сфері хмарних обчислень існують різні типи надання послуг, за допомогою яких хмарні провайдери надають своїм користувачам хмарні послуги. Існує чотири основні моделі, пов’язані з хмарними обчисленнями:

1. Публічна хмара

Публічна хмара надає всім користувачам доступ до обчислювальних ресурсів, таких як апаратне забезпечення (операційна система, процесор, пам’ять) або програмне забезпечення (сервер додатків, база даних), на основі передплати або за принципом «плати за використання». Практичними прикладами використання є розробка та тестування додатків для виконання як критично важливих, так і некритичних завдань, таких як обмін файлами та послуги електронної пошти.

2. Приватна хмара

Приватна хмара, як правило, використовується виключно однією організацією і може управлятися як внутрішньо, так і зовнішнім постачальником ІТ-послуг. Хоча приватні хмари часто дорожчі за публічні через інвестиції в придбання та обслуговування, вони ефективніше вирішують проблеми організацій, пов’язані з безпекою та захистом даних.

3. Гібридна хмара (поєднання фізичного центру обробки даних або зовнішньої приватної хмари та/або публічної хмари)

Гібридна хмара використовує як приватну, так і публічну хмарну інфраструктуру. Компанії обирають цю модель, щоб за потреби швидко розширювати свою ІТ-інфраструктуру. Наприклад, інтернет-магазин під час святкового сезону може використовувати ресурси публічної хмари, щоб доповнити або розвантажити потужності своєї приватної хмари.

4. Спільнотна хмара

Хмара спільноти спільно підтримує кілька організацій, які використовують обчислювальні ресурси. До них належать, наприклад, університети, що співпрацюють у конкретних галузях досліджень, або державні структури, такі як поліцейські відділки в межах одного району, які спільно використовують ресурси. Доступ до хмари спільноти обмежений її членами.

Витрати для кінцевого споживача у випадку публічних хмар зазвичай є низькими, і для цього не потрібні значні інвестиції. Натомість приватні хмари, хоча й вимагають інвестицій, але, як правило , забезпечують економію порівняно з експлуатаційними витратами на власну інфраструктуру . Приватні хмари також забезпечують вищий рівеньбезпеки та відповідності нормативним вимогам, ніж публічні хмари. Тому деякі організації використовують приватні хмари для критично важливих або конфіденційних даних та додатків, а публічні хмари — для основних завдань, таких як розробка додатків, тестові середовища та послуги електронної пошти. [2]

Гібридне хмарне рішення є оптимальним варіантом для зменшення або диверсифікації ризиків, пов’язаних із кібератаками. Воно забезпечує більший контроль над власною безпекою порівняно з використанням виключно публічної хмари. Крім того, гібридна хмарна інфраструктура дає можливість встановлювати індивідуальні стандарти безпеки та налаштовуватипрограмне забезпечення на приватних серверах відповідно до конкретних потреб. Такий розподіл забезпечує підвищену надійність систем та дозволяє краще оцінювати ситуацію та класифікувати системні проблеми.

Крім того, економічна ефективність вища, ніж у разі придбання та обслуговування локальних серверів. [3]

Моделі архітектури хмарних сервісів

З огляду на ці переваги гібридного хмарного рішення, які варіюються від посиленого контролю безпеки до підвищеної надійності, важливо розуміти різні архітектури хмарних сервісів. Ці архітектури, а саме «Інфраструктура як послуга» (IaaS), «Платформа як послуга» (PaaS) та «Програмне забезпечення як послуга» (SaaS), пропонують різні рівні надання послуг і визначають різні сфери відповідальності за дотримання нормативних вимог.

1. «Інфраструктура як послуга» (IaaS)

Постачальники IaaS надаютьбазову обчислювальну, сховищну та мережеву інфраструктуру, а також гіпервізор для віртуалізації. Користувачі несуть відповідальність за створення та управління віртуальними екземплярами, встановлення операційних систем, розгортання додатків і даних, а також за всю конфігурацію. IaaS цікава як для малих підприємств, так і для малого та середнього бізнесу. Просте користування хмарною інфраструктурою, яку не потрібно експлуатувати самостійно, є економічно вигідною альтернативою придбанню власного обладнання.

Приклади: DigitalOcean, AWS, Azure, Google Compute Engine, Hetzner Cloud

2. Платформа як послуга (PaaS)

Провайдери PaaS розширюють стек додатків більше, ніж IaaS, доповнюючи його операційними системами та проміжним програмним забезпеченням (наприклад, базами даних). Користувачі більше зосереджуються на розробці додатків. Платформа управляє базовою інфраструктурою.

Приклади: AWS Elastic Beanstalk, Google App Engine.

3. Програмне забезпечення як послуга (SaaS)

Постачальники SaaS пропонують повний стек додатків. Користувачі можуть отримати доступ до повністю розміщеного додатка через веб-браузер. Управління робочими навантаженнями та ІТ-ресурсами повністю перебуває під контролем постачальника SaaS, тоді як користувачі мають прямий контроль над даними, створеними додатком.

Приклади: Salesforce, Dropbox, Google Workspace, aBusiness Suite [4]

Хмара в договірному праві

Дотепер законодавство ще не регулювало договори SaaS окремо. На сьогодні договір SaaS юридично можна класифікувати лише як змішаний договір, що містить елементи договорів про надання послуг, підряду та оренди. Відповідно, сфера застосування права залежить від конкретного етапу виконання договору. Основна частина договору SaaS належить переважно до сфери орендного права, оскільки надання програмного забезпечення найкраще порівняти з передачею володіння, що передбачена орендним правом. Оскільки програмне забезпечення не розглядається як «речі» у розумінні права оренди, на даний час панує думка, що договори SaaS являють собою передачу права користування на обмежений строк. Це узгоджується з нормами та метою, що переслідуються правом оренди. [5]

Договори PaaS значною мірою визначаються угодами про рівень обслуговування (SLA), які встановлюють мінімальні стандарти якості та визначають права й обов’язки обох сторін договору.

Захист та безпека даних відіграють вирішальну роль, оскільки в рамках послуг PaaS часто обробляються конфіденційні дані. Договір повинен міститичіткі положення щодо захисту персональних даних. Крім того, у договорі обов’язково слід визначити, кому належить інтелектуальна власність на створені додатки, причому зазвичай користувач зберігає право власності на додатки, а постачальник — на платформу. [6]

Висновок

Незалежно від того, чи йдеться про стартап, венчурну компанію, мале чи середнє підприємство або велику компанію, безпека хмарних технологій має вирішальне значення для кожного підприємства.

При цьому важливо не лише враховувати, з якими хмарними провайдерами компанія бажає співпрацювати, а й які рамкові умови при цьому встановлюються.

Зрештою, відповідальність за безпеку лежить не лише на постачальнику хмарних послуг як такому, а й на співробітниках підприємства, які відіграють не менш важливу роль у забезпеченні безпеки хмарних технологій.

Необхідно регулярно інвестувати в навчання та підвищення обізнаності співробітників, щоб гарантувати, що вони володіють необхідними знаннями для дотримання політик та процедур безпеки. Однак, щоб повністю реалізувати потенціал хмарних технологій, підприємствам слід інвестувати як у технічне обслуговування власних систем або систем зовнішніх партнерів, так і в підбір нових ІТ-фахівців. Таким чином підприємство може забезпечити безпеку систем і, відповідно, підвищити рівень задоволеності клієнтів, що в довгостроковій перспективі сприятиме зміцненню репутації компанії.

Важливою проблемою при виборі зовнішнього хмарного провайдера завжди була залежність від іноземних постачальників та їхніх нормативних актів щодо захисту даних. Підприємства вирішують цю проблему за допомогою таких заходів, як ретельна перевірка політик захисту даних, гібридні хмарні підходи для мінімізації ризиків, оцінка заходів безпеки та сертифікації постачальників, оцінка впливу на захист даних, регулярний моніторинг та аудити, а також підготовка до можливих порушень захисту даних. Стратегії варіюються залежно від розміру та галузі діяльності підприємства, проте всі вони спрямовані на забезпечення відповідності вимогам щодо захисту даних та мінімізацію потенційних ризиків, пов’язаних з використанням зовнішніх хмарних послуг.

Список джерел

Хмарні обчислення
https://www.swissbanking.ch/de/themen/digitalisierung-innovation-cyber-security/cloud-computing

Модель розгортання в хмарі (2014)
https://www.sciencedirect.com/topics/computer-science/cloud-deployment-model

Розуміння хмари — чи знаєте ви, що таке публічна хмара та гібридна хмара? (2023)
https://www.speechlive.com/at/blog/die-cloud-verstehen-wissen-sie-was-eine-public-cloud-und-was-eine-hybride-cloud-ist

Що таке IaaS? Визначення та корисна інформація
https://bsh-ag.de/it-wissensdatenbank/iaas-infrastructure-as-a-service/

Платформа як послуга (PaaS) (2022)
https://www.computerweekly.com/de/definition/Platform-as-a-Service-PaaS

На що слід звернути увагу під час укладення договорів SaaS (2022)
https://www.top.legal/wissen/saas-vertraege

Договори «Платформа як послуга» (PaaS): посібник (2023)
https://www.anwalt.de/rechtstipps/platform-as-a-service-vertraege-paas-vertraege-ein-leitfaden-216904.html