Облачные мифы. Миф №1 – безопасность

Безопасность – это сегодня аргумент №1 против использования моделей облачных вычислений. Впрочем, тут нужно уточнить: безопасность – это самый удобный аргумент (как правило, именно “против”, неважно чего) в любом споре по любой теме.

Проблема тут заключается в том, что сколько-нибудь объективных методик оценки безопасности ИТ-системы с получением измеряемых, а значит, и сравниваемых количественных характеристик, кажется, просто не существует.

Такой анализ выполняется (если выполняется) лишь на качественном уровне с большой примесью эмоций и предубеждений. И в этой ситуации аргумент в стиле высказывания “технология хорошая, но вот как-то с ее безопасностью не очень понятно” с многозначительным взглядом на окружающих может быть решающим в дискуссии о применении чего-то нового.

Определимся сразу: проблема безопасности в облачных вычислениях, конечно, есть, точнее – она есть всегда, для любых технологий и моделей использования ИТ... Есть и достаточно новые аспекты и вопросы, которые требуют дополнительного изучения, обсуждения, решения. Но все эти вопросы не выходят в целом за уровень обычных ИТ-проблем, которые существуют не только в облаках и которые так или иначе решаются.

Сегодня чаще всего проблема безопасности облаков рассматривается в контексте вопросов аутсорсинга, типа "как мы можем передать свои данные и программы в чужие руки". Насколько серьезно подобное опасение – это отдельный разговор (в целом довольно легко доказать, что аутсорсинг как раз повышает безопасность). Но сразу хочу обратить внимание на то, что аутсорсинг присутствует только в варианте публичных облаков, в то время как сегодня основные усилия по реализации облачной инфраструктры сосредоточены в сфере создания частных облачных решений.

На самом же деле реальные проблемы безопасности облачных моделей (особенно для инфраструктур) связаны, скорее, с чисто технологическими аспектами. Речь, в частности, идет о переходе от физической инфраструктуры к виртуализированной, в отрыве инсталлированного прикладного ПО от конкретных аппаратных средств. Самый простой пример: обеспечение лицензионной чистоты использования ПО (борьба с пиратством) чаще всего сегодня выполняется за счет привязки программ на этапе их установки к данному компьютеру (например, активация Windows или Office) или аппаратному USB-ключу. Понятно, что такой подход в принципе не годится для облачных вычислительных сред.

Однако вернемся к наиболее часто используемому аргументу: "отдать свое в чужие руки". Согласно такой логике, нам нужно отказаться от пользования общественным транспортом (в том числе поездами, пароходами и самолетами) и передвигаться только на собственных средствах под собственном управлением. При этом неважно, что ваш супруг (или супруга) только вчера получил(а) права на вождение автомобиля и никогда не ездил(а) по горным дорогам. Зато – свой водитель рядом...

В одной из недавних дискуссий в блоге PC Week обсуждалась проблема использования онлайновых персональных сервисов (в данном случае Google Docs) в контексте наличия надежного Интернет-доступа. Но в таком аспекте разговора в самом начале обозначился "миф безопасности" в виде вопроса одного из участников дискуссии: "Вопросы утечки данных при работе в облаках уже решены?".

Отвечать вопросом на вопрос – не очень хороший стиль, но в данном случае нужно использовать именно его: "А разве при работе в не облаках вопросы утечек информации данных уже решены? В появлении еще в 1990-х на Митинском рынке персональных и юридических баз данных ГАИ тоже виноваты облака?".

Эти встречные вопросы можно продолжить: существуют ли методики оценки безопасности ИТ-систем с точки зрения защиты от утечек; имеется ли рыночная статистика по утечкам, которую можно было бы использовать для объективного анализа ситуации в этой сфере; есть ли конкретные факты утечек в случае использования облачных решений (хотя отдельные случаи можно рассматривать только на фоне общей статистики) и т.д.?

К сожалению, пока ответов на эти вопросы не видно. И в этой ситуации, к сожалению, люди в своих суждениях (а порой и в решениях) чаще всего опираются на эмоции и предубеждения. А предубуждения эти примерно таковы: многие считают, что самый опасный вид транспорта – самолет. И на эмоциональном уровне, это почти очевидно: перемещается без опоры на твердь земную (кстати, часто в облаках), отказ двигателя – почти неминуемых крах (в отличие от автомобиля или поезда), да и по телевизору часто говорят про ужасные крушения... Но опыт и статистика четко свидетельствуют, что самолеты – намного более безопасный вид транспорта по сравнению с любым наземным ("количество смертей на один миллиард километров").

В общем, в обсуждении безопасности лучше бы опираться на обоснованные методики анализа и статистику, а не на эмоции и предубеждения.

Автор статьи: Андрей Колесов

Tweet