Bezpieczeństwo informacji w chmurze (część 1)

Korzystanie z obliczania „w chmurze” zaczęto oferować w latach 2006-2007, kiedy to firma Amazon dysponująca nadwyżkami mocy obliczeniowej własnego sprzętu zaoferowała jej udostępnienie na rynku publicznym. W związanych z tym faktem w publikacjach użyto wówczas – po raz pierwszy (i, jak widać, skuteczny) – określenia cloud computing.

U podstaw dzisiejszej chmury obliczeniowej leżą elementy zaczerpnięte z różnych obszarów działalności stricte informatycznej:

• ekonomii: współużytkowanie (tzn. dzielenie czasu dostępu do komputera typu mainframe) mające na celu zmniejszenie kosztów eksploatacji i pełniejsze wykorzystanie możliwości obliczeniowych dostępnego sprzętu (relacja: maszyna-klient);
• architektury systemów: maszyna wirtualna jako sposób przedstawienia użytkownikowi jego czasowego dostępu do użytkowanego systemu;
• praktyk projektantów systemów IT: rysunek chmurki symbolizujący Internet i wszelkie procesy w nim zachodzące; maszyny (komputery typu mainframe) są pomijane w odniesieniu do elementów użytkowych i klienckich (urządzeń WE/WY – terminalu, drukarki, plotera).
  Rozkład w czasie oraz charakter tych zmian jest zaprezentowany na rysunku 1.

Obliczanie w chmurze jest kolejnym stopniem w ewolucji przetwarzania informacji z jej zmieniającymi się paradygmatami (kolejno mamy więc: samodzielny komputer klasy mainframe, model architektury klient-serwer, przetwarzanie wspólnego zadania w udostępnionym systemie rozproszonym – ang. grid computing, chmura obliczeniowa jako uniwersalna usługa dostosowana do życzeń i potrzeb klienta) i jest to tylko jeden z wymiarów zmian zachodzących w obszarze I&CT.

Rys. 1. Ewolucja zmian w organizacji dostępu do obszaru I&CT1(opracowanie własne)

Zmiany dotyczą również centrów danych z dużymi, zmiennymi, różnorodnymi zbiorami danych określanymi mianem Big Data), ich zasobów fizycznych, przechowywania danych, zasilania, utrzymywania oraz modernizacji (centrum danych, instancja wirtualna, farmy serwerów i ich maszynownie, konteneryzacja i unifikacja zasobów).

Ewolucja sprzętowa i systemowa sprowadza korzystanie z systemów IT do powszechnej postaci usługi widzianej w układzie „cienki klient <->?chmura obliczeniowa” opartej na szerokopasmowym, szybkim dostępie potencjalnego użytkownika do jego wynajętego zasobu oczekiwanego od dostawcy (IaaS, PaaS lub SaaS ew. XaaS). Pojęcie „cienkiego” klienta odnosi się do prostego terminalu odbiorczego użytkownika (tzn. smartfonu, iPoda Touch, tabletu itp.) zapewniającego dwie funkcje: zapytanie/zlecenie i odbiór/zobrazowanie w komunikacji z wirtualnym środowiskiem pojedynczej osoby lub grupy uprawnionych osób/urządzeń².

Cloud computing to, najprościej rzecz ujmując, usługa polegająca na wynajęciu od dostawcy mocy obliczeniowej procesora, powierzchni pamięci RAM i powierzchni dyskowej zamiast zakupu fizycznej infrastruktury i kłopotów z jej uruchomieniem oraz obsługą. W chmurze obliczeniowej można przechowywać pliki, a także tworzyć aplikacje i strony/portale internetowe. Można też wykorzystywać ją do różnych innych celów. Sama chmura to zbiór serwerów, które zajmują się różnego rodzaju obliczeniami.
Według najnowszych danych GUS-u polskie firmy sektora MŚP oraz korporacje coraz chętniej sięgają po chmurę obliczeniową – korzysta z niej już jedna czwarta przedsiębiorstw klasyfikowanych w tym sektorze. Ten rynek nie zwalnia i z roku na roku wzrasta w tempie dwucyfrowym. Szacuje się (grudzień 2016 r.), że już w 2019 roku rynek chmury obliczeniowej ma być wart w Polsce około 1,5 mld dolarów.

1. Zmiany w dostępie do informacji dzięki rozwojowi teleinformatyki (I&CT)

Nie od dziś wiadomo, że postępu zatrzymać się nie da. Szczególnie uwidacznia się to we wręcz żywiołowym, a więc bardzo trudnym do okiełznania rozwoju technologii i technik szybkiego dostępu i wykorzystania zasobów informacyjnych przechowywanych z wykorzystaniem różnych systemów informacyjnych.  Nazwa cloud computing jest nadużywana, gdyż nie wszystkie proponowane usługi IT spełniają podstawowe kryteria przynależności do usług z dziedziny cloud computing. Kryteria te zostały określone przez National Institute of Standards and Technology (NIST) jako podstawowe, warunkujące sposób wykorzystania (są to: dostępność oczekiwanej usługi na żądanie; szeroki, zróżnicowany dostęp do sieci; dynamiczna pula zasobów; elastyczność na żądanie; mierzalność udostępnionej usługi - czyli opłata za rzeczywiste wykorzystanie).

1.1. Rozwiązania I&CT jako podstawa ewolucji dostępu do zasobów

Na rynku usług I&CT funkcjonuje coraz więcej nowych norm i rozwiązań, ale wiele firm jest uzależnionych od jednego dostawcy, który w efekcie jako jedyny posiada szczegółowe informacje na temat funkcjonowania zastosowanych przez te firmy systemów I&CT. Gdy konieczny jest zakup nowych komponentów lub licencji, zamówienie może zrealizować tylko ten określony dostawca. Taki brak konkurencji skutkuje wyższymi cenami i w samym tylko sektorze publicznym EOG/EEA odnotowuje się z tego powodu straty wynoszące ok. 1,1 mld € rocznie.

1.2. Krytyczne właściwości dostępu do informacji (czas dostępu, pewność zarządzania, wiarygodność informacji)

Zasoby informacji oraz jej podstawowe atrybuty (PID/CIA)3 w tym głównie dostęp do nich stały się niekwestionowanymi aktywami biznesowymi, a minimalizacja kosztów przetwarzania tych informacji – celem samym w sobie, zwłaszcza wobec wielości oferowanych usług systemowych (np. ASP czy VPS), odbiegających od zasad „chmury obliczeniowej” (choćby ze względu na ograniczoną skalowalność), ale gwarantujących klientowi pewność zarządzania i dostępu do posiadanych zasobów wiarygodnych informacji. Należy pamiętać, że przewaga rozwiązań z dziedziny cloud computing w kontroli bezpieczeństwa technicznego systemu przetwarzania zasobu jest bezsporna – głównie za względu na równoległe stosowanie zapisów migawkowych (snapshotów) i aktywnych kopii bezpieczeństwa (backupów) oraz zapewnienie zrównoważonego obciążenia (load balancingu) urządzeń współpracujących w ramach systemu/klastra co obrazuje tabela.

Tab. 1. Tabelaryczne porównanie rozwiązań z zakresu I&CT

Rozwiązania „w chmurze” ujawniają tutaj swoją dużą przewagę pod względem kosztów użytkowania. Klient płaci tylko za rzeczywisty czas korzystania z usługi. Nie ma konieczności kupienia i eksploatowania systemu i oprogramowania (IaaS, SaaS lub PaaS lub XaaS).

1.3. „Cienki” i „gruby” klient usług w chmurze obliczeniowej

Możliwość pełnego wykorzystania dobrodziejstw cloud computing jest uzależniona od szerokopasmowego, szybkiego dostępu z zewnątrz do wysokowydajnych rozwiązań oferowanych w wirtualnych instancjach chmury i jest decydującym elementem w walce o jej wyższość nad innymi rozwiązaniami.

„Cienki” klient to użytkownik posiadający wysokowydajny terminal indywidualny (smartfon, iPad Touch, tablet itp.) z szerokopasmowym, szybkim dostępem (transmisja G5) do wybranych zasobów danych (filmów, GIS-u4, wirtualnej grafiki obrazowej itp.). Tacy klienci to na ogół prywatni użytkownicy zasobów lokowanych w sieciach publicznych lub specjalistycznych.

„Gruby klient” to z zasady użytkownik wewnętrzny chmury prywatnej lub hybrydowej wyposażony we własny system dostępowy (nierzadko kodowany/szyfrowany) i wykorzystujący alokowane w nim własne specjalistyczne oprogramowanie użytkowe. Na ogół jest to użytkownik instytucjonalny/wieloosobowy/wielostanowiskowy pomimo pojedynczego łącza, które jest w tym przypadku wykorzystywane sekwencyjnie do współpracy z zasobami w chmurze.

2. Definicja chmury obliczeniowej

Zgodnie z powszechnie akceptowaną definicją z 2007 r., podaną przez National Institute of Standards and Technology (NIST), chmura obliczeniowa to model umożliwiający powszechny, wygodny, udzielany na żądanie dostęp za pośrednictwem sieci do wspólnej puli możliwych do konfigurowania zasobów (np. sieci, serwerów, przestrzeni do przechowywania, aplikacji i usług), które można szybko dostarczyć i uwolnić przy minimalnym wysiłku, poprzez oferowane zarządzanie lub działanie dostawcy usługi.

Różni użytkownicy korzystają z chmury na różne sposoby. Konsumenci zwykle wykorzystują ją w ramach poczty elektronicznej, do przechowywania plików, do dzielenia się różnymi treściami i informacjami, korzystając z usług związanych z płatnościami oraz udostępnianiem muzyki i filmów. Przedsiębiorstwa wykorzystują ją przede wszystkim jako podstawowe narzędzie biurowe, do celów związanych ze wzajemną współpracą firm, do zarządzania projektami oraz do projektowania różnych aplikacji. Administracja wykorzystuje chmurę w dużej mierze w taki sam sposób jak przedsiębiorstwa, a ponadto nadaje nową jakość e-administracji.

Dla przedsiębiorstw największą zaletą chmury jest uniknięcie wydatków na IT oraz możliwość dostosowywania wielkości zasobów IT. Oznacza to możliwość szybszego wprowadzania nowych produktów na rynek oraz osiągania innowacyjności przez małe i średnie przedsiębiorstwa. Dzięki chmurze można ograniczyć koszty administracji, wprowadzić innowacje w e-administracji i poprawić jakość dotychczasowych rozwiązań. Istnieją już przykłady jednostek administracji publicznej, zarówno na szczeblu lokalnym, jak i krajowym, które przyjęły lub planują przyjąć usługi bazujące na wykorzystaniu chmury, a coraz więcej rządów rozwija wszechstronne strategie dotyczące chmur obliczeniowych (tak jest również w Polsce).

3. Rodzaje i modele chmury obliczeniowej

Istnieje kilka rodzajów chmury obliczeniowej, które można wyodrębnić w zależności od sposobu przetwarzania oraz umiejscowienia serwerów.

Prywatna chmura (ang. private cloud) to rozwiązanie wykorzystujące infrastrukturę i zasoby należące do klienta. Umożliwia ono firmie wprowadzenie wewnętrznego rozliczania z wykorzystania zasobów IT i jednocześnie zapewnia ich dużą elastyczność i efektywność.

Chmura hybrydowa (ang. hybrid cloud) to rozwiązanie przeznaczone dla tych klientów, którzy oczekują wykorzystania nadwyżek zapotrzebowania na moc przetwarzania w cyklach operacyjnych. Dotychczas kupowano w tym celu dodatkowe jednostki obliczeniowe i używano ich tylko cyklicznie, zatem mieliśmy do czynienia z zakupionym dodatkowym sprzętem, który nie był w pełni wykorzystywany. Można powiedzieć, że marnowano moc obliczeniową dodatkowego sprzętu, który po prostu nie był potrzebny na co dzień. Dzięki rozwiązaniu hybrydowemu można obecnie wykupić w razie potrzeby wymaganą ilość dodatkowej mocy obliczeniowej na zdalnych serwerach tylko na czas, kiedy rzeczywiście jest ona potrzebna.

Publiczna chmura (ang. public cloud) to najciekawsza odmiana chmury obliczeniowej. To rozwiązanie umożliwia dostarczanie całego systemu (mocy obliczeniowej i oprogramowania) przez sieć. Największą zaletą jest w tym przypadku skalowalność, czyli dostosowywanie wielkości chmury do aktualnych potrzeb użytkownika. W przypadku wzrostu zapotrzebowania na moc obliczeniową użytkownik może zwiększyć zakres wykorzystania cloud computing, a w przypadku spadku zapotrzebowania można równie łatwo ten zakres zmniejszyć. Ma to ogromne znaczenie z ekonomicznego punktu widzenia, gdyż wiele firm w różnych okresach działalności osiąga różne poziomy sprzedaży swoich usług, więc dotychczas – w przypadku korzystania z tradycyjnych systemów – kiedy dana firma potrzebowała więcej mocy obliczeniowej i więcej licencji na użytkowanie oprogramowania musiała kupić zarówno dodatkowy sprzęt, jak i dodatkowe licencje, by później, kiedy sprzedaż spadała, przechowywać zbyteczną nadwyżkę systemów IT. Ważną cechą publicznej chmury obliczeniowej jest to, że usługa jest dostarczana w ustalonej formie, a ponadto jest specjalnie dostosowana do uwarunkowań związanych z jej świadczeniem i pod względem funkcjonalności. Niezwykle istotne jest również to, że specyfikacja zasobów i konfiguracja infrastruktury IT jest niewidoczna dla klienta końcowego. Takie rozwiązanie jest szczególnie cenne dla małych i średnich przedsiębiorstw oraz różnego rodzaju instytucji o ograniczonych środkach finansowych.

Chmurę obliczeniową możemy zatem przyrównać do wirtualnych komputerów, które są w pełni skalowalne, które jesteśmy w stanie dopasowywać do naszych aktualnych potrzeb, które można zabierać ze sobą w każde miejsce na świecie, gdzie tylko mamy dostęp do Internetu, oraz za których wykorzystanie nie musimy płacić, gdy już nie są nam potrzebne. Dzięki chmurze obliczeniowej znika również problem kompatybilności sprzętowej, gdyż urządzenie, z którego fizycznie korzystamy, tylko pośredniczy pomiędzy użytkownikiem a systemem w chmurze, a zatem może mieć dowolną konfigurację sprzętową i dowolny system operacyjny.

Podstawowe modele chmury obliczeniowej według National Institute of Standards and Technology:

1. IaaS – infrastruktura jako usługa (ang. Infrastructure as a Service). Ten model polega na dostarczaniu klientowi infrastruktury informatycznej (sprzętu, oprogramowania oraz serwisowania).
2. PaaS – platforma jako usługa (ang. Platform as a Service). Jest to sprzedaż gotowego kompletu aplikacji, dostosowanego do potrzeb użytkownika. Nie jest to związane z koniecznością zakupu sprzętu ani instalacją oprogramowania. Wszystkie potrzebne programy znajdują się na serwerach dostawcy. Interfejs użytkownika jest dostępny poprzez program, np. przeglądarkę internetową.
3. SaaS – oprogramowanie jako usługa (ang. Software as a Service). Klient otrzymuje konkretne, potrzebne mu funkcje i korzysta dokładnie z takiego oprogramowania, jakiego potrzebuje. Nie interesuje go ani sprzęt, ani środowisko pracy. Ma jedynie zapewniony dostęp do konkretnych funkcjonalnych narzędzi – niekoniecznie połączonych ze sobą jednolitym interfejsem. Wszelkie programy działają na serwerze dostawcy. Klient nie musi kupować licencji – płaci jedynie za każdorazowe ich użycie, a dostęp do nich uzyskuje na żądanie.

4. Przykładowe usługi bazujące na cloud computing

Oprócz podstawowych usług bazujących na cloud computing, tzn. IaaS, PaaS i SaaS, które zostały zdefiniowane przez National Institute of Standards and Technology już dekadę temu, istnieje wiele innych, które zaczęto oferować, gdyż pojawiło się na nie zapotrzebowanie. Termin Anything as a Service i skrót XaaS oznaczają je wszystkie, a więc cokolwiek, co jest usługą w chmurze (litera X oznacza cokolwiek).

Rys. 2. Podstawowe rodzaje chmury obliczeniowej⁵

4.1. Anything as a Service (czyli XaaS), do których należą m.in.:

• Desktop as a Service (DaaS), czyli pulpit jako usługa. W takim modelu użytkownik kupuje od usługodawcy hostowaną (czyli zlokalizowaną w jego serwerowni i przez niego obsługiwaną) maszynę wirtualną, w pełni spersonalizowaną i w pełni zgodną ze specyfikacją narzuconą przez klienta. To jest dojście do szczytu wirtualizacji – przeniesienie całego oprogramowania (wraz z systemem operacyjnym) na serwer oraz zainstalowanie u użytkownika „cienkiego” klienta mającego tylko interfejsy do komunikacji z obsługującą go osobą. W przypadku szybkich łączy internetowych taki „cienki” klient mógłby się łączyć z serwerem nie będącym w sieci lokalnej, umiejscowionym gdziekolwiek na świecie;
• Backup as a Service (BaaS), czyli kopiowanie jako usługa – usługodawca zapewnia za pośrednictwem chmury kompleksowe zabezpieczenie funkcji kopiowania zbiorów (na bieżąco oraz z archiwizacją użytkową);
• Communications as a Service (CaaS), czyli komunikacja jako usługa, kiedy to usługodawca zapewnia platformę (specjalizowany zestaw sprzętu wraz z oprogramowaniem) pod telekomunikacyjne środowisko pracy;
• Integration Platform as a Service (IPaaS), czyli platforma integracyjna jako usługa – platforma zapewniająca integrację różnych usług w chmurze dla pojedynczego użytkownika;
• Disaster Recovery as a Service (DRaaS), czyli ochrona przed katastrofą jako usługa, która ma na celu synchronizację i replikację systemu do chmury, a wdrażana jest w ramach już istniejącej infrastruktury sieciowej i fizycznej;
• Unified Communication a as Service (UCaaS), czyli zunifikowana łączność jako usługa, która obejmuje telefonię IP, wideotelefonię VoIP i inne nowoczesne narzędzia komunikacji. Jest to wirtualizacja systemów użytkowych, która bazuje na telekomunikacyjnym środowisku pracy w chmurze.

4.2. Rozwiązania CC z trwałą lokacją – usługi umocowane

Oprócz rozwiązań wirtualnych typu XaaS, dostępne są tzw. usługi umocowane, czyli rozwiązania trwałe technologicznie.

W ostatnich latach pojawiły się nowego rodzaju chmury, a mianowicie chmury przypisane użytkownikowi (dedykowane) i chmury „w pudełku” u użytkownika (instalacje kontenerowe).

Chmura dedykowana to rozwiązanie stworzone dla firm, które chciałyby korzystać z funkcjonalności zapewnianej przez cloud computing, ale nie stać ich na uruchomienie własnej chmury prywatnej, a z publicznej nie mogą bądź z jakichś względów nie chcą korzystać. Niektórzy duzi operatorzy chmur mogą z własnych centrów danych wyizolować część zasobów (sprzętu, usług itp.) na potrzeby konkretnego klienta, tworząc w ten sposób tzw. chmurę przypisaną (dedykowaną). Oczywiście takie rozwiązanie jest droższe od usług w „zwykłej” chmurze publicznej, jednak znacznie tańsze niż utworzenie własnej chmury prywatnej o podobnej funkcjonalności (choćby drogą użyczenia, czyli kolokacji).

Rys. 3. Wyniki ankiety w polskich firmach

Chmura „w pudełku” (instalacja CC w kontenerze ustawionym u użytkownika) to kolejne rozwiązanie limitowane (aktualnie testują je m.in. Dell, eBay i Fujitsu), ale docelowo ma być bardziej dostępne. Potrzebny sprzęt będzie fizycznie dostępny w serwerowni klienta. W skład systemu wchodzi specjalne oprogramowanie Windows Azure. Całe to rozwiązanie bazuje na doświadczeniach Microsoftu związanych z chmurą publiczną i dedykowaną. Niewątpliwą zaletą rozwiązania jest całkowita kontrola nad taką chmurą, ale też pełna odpowiedzialność – zarówno za to, co się stanie w środku, jak i za odpowiednią skalowalność. W tym przypadku dorzucenie kolejnego serwera do kontenera nie jest i nie będzie ani proste, ani tanie.

Podsumowanie

To czego oczekują polscy przedsiębiorcy w odniesieniu do bezpieczeństwa swoich danych w chmurze prezentują wyniki ankiety⁶.

Opracował dr inż. Marek Blim

Bibliografia

1. Bezpieczeństwo biznesu w XXI wieku, praca zbiorowa, wyd. SASMA EUROPE, Warszawa 2014.
2. Handzel Z., Cloud computing – czyli chmura obliczeniowa i możliwości jej wykorzystania w mediach, „Problemy Zarządzania” vol. 11, nr 4 (44), wyd. UW, Warszawa 2013.
3. Konarski X., Komentarz do ustawy o świadczeniu usług drogą elektroniczną, wyd. Difin, Warszawa 2004.
4. Kępa L., Tomasik P., Dobrzyński S., Bezpieczeństwo systemu e-commerce, wyd. Helion, Gliwice 2012.
5. Mateos A., Rosenberg J., Chmura obliczeniowa. Rozwiązania dla biznesu, wyd. Helion, Gliwice 2011.
6. Michalak A., Ochrona tajemnicy przedsiębiorstwa. Zagadnienia cywilnoprawne, wyd. Kantor Wydawniczy ZAKAMYCZE, Kraków 2006
7. Siwicki M., Ochrona praw autorskich, bezpieczeństwa systemów informatycznych, danych osobowych i tajemnicy komunikacyjnej w chmurach obliczeniowych, „Prokuratura i Prawo”nr 5/2015, s. 109–127.
8. Spraul V. A., Jak działa oprogramowanie, wyd. Helion, Gliwice 2016.

Netografia

• http://it-manager.pl/chmura-obliczeniowa-w-polskim-e-biznesie-raport-e24... (stan z 14.05.2017).
• www.3s.pl/pl/17,serwery-i-cloud.html (stan z 14.05.2017).
• www.computerworld.pl/news/Dlaczego-chmura-sie-w-Polsce-nie-udaje,405741.... (stan z 14.05.2017).
• www.cyberdefence24.pl/526022,jak-chronic-infrastrukture-krytyczna-nowe-r... (stan z 14.05.2017).
• www.europarl.europa.eu/RegData/etudes/etudes/join/2012/475104/IPOL-IMCO_ET(2012)475104_PL.pdf (stan z 14.05.2017).
• www.giodo.gov.pl/259/id_art/6271/j/pl (stan z 14.05.2017).
• www.hbrp.pl/a/chmura-obliczeniowa-bilans-korzysci-i-zagrozen/36ypu9gW (stan z 14.05.2017).
• www.piit.org.pl/documents/10181/268830/Definicja_rodzaje_chmur_obliczeni... (stan z 14.05.2017).
• www.spidersweb.pl/2013/11/tencent-10-tb-za-darmo.html (stan z 14.05.2017).
• www.spidersweb.pl/2015/11/jaka-chmure-wybrac-dysk-google-mega.html (stan z 14.05.2017).