27 января 2015
ИБ крупных компаний угрожают теневые облачные технологии
Источником потенциальных рисков информационной безопасности служат «теневые» информационные технологии, приложения и облачные сервисы, установленные сотрудниками или бизнес-подразделениями в обход отдела информационной безопасности.
В исследовании «Внедрение облачных технологий: лучшие практики и приоритетные направления» некоммерческой организации Cloud Security Alliance отмечается, что обеспечение безопасности хранения данных в облаках – важный вопрос, заслуживающий внимания топ-менеджмента компаний.
В исследовании приняли участие более 200 специалистов из 17 стран. Большинство респондентов работают в сфере информационных технологий, информационной безопасности, аудита и локализованы в США и странах Южной Америки.
Приоритетной ИТ задачей для компаний в 2014 году было признано обеспечение безопасного хранения корпоративных данных в облаках. 75% респондентов охарактеризовали ее как «важную» или «очень важную» и 67% так же охарактеризовали файерволлы и прокси-системы.
61% респондентов осознает, что безопасность размещения данных в облаке стала заботой высшего руководства компаний. В азиатско-тихоокеанском регионе важность облачной безопасности для руководства констатирует 82% участников исследования, в американском регионе этот показатель составляет 54%.
Безопасность облачных сред беспокоит и руководство крупных российских компаний. Это связано с увеличением уровня проникновения технологий виртуализации и внедрение облаков в ИТ инфраструктуру компаний. По данным совместного исследования, проведенного Kaspersky Labs с B2B International, в российских компаниях виртуализация более популярна, чем в среднем в мире. 56% российских компаний уже используют серверную виртуализацию, и еще 8% планируют ее внедрение в течение ближайшего года. Виртуальные рабочие станции уже внедрили в четверти компаний, а 14% планируют сделать это в ближайшее время.
Хуже обстоят дела с вопросами защиты. Только 18% российских компаний приняли все меры по обеспечению информационной безопасности облачных сред, в 65% защита внедрена частично, а 14% пока об этом не задумывалось.
73% участников исследования Cloud Security Alliance констатировали, что их беспокоит информационная безопасность при внедрении облачных технологий в компании. 38% – потеря контроля над ИТ службами и соблюдением нормативных требований, а 30% отметили возможность компрометации отдельных аккаунтов и возникновение внутренних угроз. В то же время отказ от использования облачных сервисов может поставить компанию в конкурентно невыгодное положение.
Для снижения рисков информационной безопасности необходимо внедрение общих правил и обучение персонала. Согласно результатам исследования 22% опрошенных компаний обучают сотрудников азам облачной безопасности.
Внедрение облачных сервисов в бизнес-подразделениях без ведома ИТ службы увеличивает число потенциальных рисков для безопасности всей компании. Только 8% респондентов признались, что знают, какое количество «теневых» облачных приложений используется в их компании. 20% констатировали, что не знают об использовании «теневых» приложений ничего. 72% представителей опрошенных компаний не знают, сколько «теневых» сервисов установлено у них в компании, но эта информация представляет для них интерес. В компаниях с количеством сотрудников более 5 тыс. этот показатель возрастает до 80%. В общем, 71% респондентов выражает озабоченность «теневыми» ИТ.
Основные риски, связанные с использованием «теневых» ИТ, по мнению респондентов CSA, это:
-
безопасность корпоративных данных в облаке – 49%;
-
возможные нарушения нормативных требований – 25%;
-
трудность проведения единой политики по ИБ – 19%;
-
«лишние» сервисы и приложения, снижающие эффективность работы (8%).
50% опрошенных констатировала, что в их компании существуют правила использования облачных сервисов, но только 16% уточнили, что эти правила полностью работают. В компаниях, не использующих правила использования облаков 27% отметили, что планируется такой свод правил создать. В 21% компаний создан «облачный» комитет, регламентирующий использование облаков для всей компании на уровне топ-менеджмента.
Менеджер по развитию бизнеса Kaspersky Labs Кирилл Керценбаум отмечает распространенную ошибку специалистов информационной безопасности – использование стандартных средств защиты физической инфраструктуры для облачных сред. Использование «классических» средств защиты в облачной среде приводит к снижению ее производительности, и как следствие, снижает ее эффективность и увеличивает ее TCO.
Для облачных сред характерно гибкое и эффективное перераспределение ресурсов между системами, поэтому наибольшее распространение получили так называемые «легкие» агенты. При этом средство защиты фактически повторяет архитектуру гипервизора. Все высокопроизводительные операции выводятся в единый центр, на каждом виртуальном хосте присутствует небольшой программный модуль, а базовые операции дедуплицируются и выполняются вне самой системы в едином вычислительном модуле для всего гипервизора.
