Мультипаспорт для мультиоблака: интеграция и безопасность

Освоение облачных технологий уже стало привычной мерой для многих компаний. Организации, достигшие высокой зрелости в использовании облаков как с точки зрения экспертизы, так и влияния на бизнес, ищут новые возможности, чтобы снижать операционные и регуляторные риски, увеличивать технологическую гибкость, а также создавать принципиально новые бизнес-модели для эффективного выполнения производственных целей организации. Аналитики Gartner прогнозируют, что к 2027 году 80% предприятий будут использовать минимум 2 облачных провайдера, с небольшими погрешностями в оценке доли можно экстраполировать эти ожидания и на российский рынок. Вместе с тем, усложнение архитектуры приносит новые вызовы в безопасности. Рассмотрим детально, что такое мультиоблако и как обеспечить его защиту.

Мультиоблако – это модель использования облачных решений, в которой сочетаются облака, предоставляемые разными облачными провайдерами. Основные причины перехода в мультиоблачную модель и роста ее популярности:

1. Преодоление ограничений из-за использования решения от одного провайдера (вендор-лок), в том числе:

• возможность снижения затрат, благодаря разным ценовым политикам для разных задач у провайдеров;
• гибкость в выборе необходимых и уникальных для бизнеса сервисов, так как провайдеры могут предлагать разные продукты;
• глобальное покрытие благодаря комбинации платформ.

2.Обеспечение отказоустойчивости:

• развертывание критичных сервисов в разных облаках, благодаря чему в случае инцидентов на физическом или виртуальном уровне у одного провайдера, информационные системы продолжают свою работу на мощностях второго провайдера с автоматическим переходом на резерв;
• динамический переброс рабочих нагрузок между облаками при нарушениях или на основе требований к задержкам.

3. Обеспечение катастрофоустойчивости:

• снижение рисков простоев компании благодаря восстановлению работы средствами резервного облака при выходе из строя основного облака, что особенно актуально в аспекте геополитической нестабильности и развития БПЛА технологий для гражданских целей, техногенных катастроф, так как ЦОДы провайдеров распределены географически.

4. Требования кибербезопасности:

• хранение данных в разных облаках поможет снизить риски уязвимости компании при кибератаках;
• государственная регуляторика обязывает компании локализовывать обработку персональных данных на территории РФ (152-ФЗ), организовывать резервирование в независимых облаках (два и более) для объектов критической инфраструктуры (187-ФЗ), организовывать криптографическую защиту данных для государственных организаций (приказ 378 ФСБ) – что входит в услуги от провайдеров, которые имеют соответствующие разрешения и лицензии. Так, ТТК.Облако имеет право на деятельность по разработке и распространению шифровальных (криптографических) средств и систем с их использованием (лицензия ФСБ) и Деятельность по технической защите конфиденциальной информации, включая мониторинг информационной безопасности (лицензия ФСТЭК), а также является владельцем аттестованного сегмента ЦОД по К2 и УЗ2 (аттестат соответствия требования к защите информации).

Диверсификация облачных сред требует от компаний развития и углубления компетенций кросс-облачной безопасности. В том числе, одним из вызовов является усложнение управления идентификацией и доступом (IAM). Можно ли организовать единый механизм аутентификации и авторизации для разных облаков, чтобы пользоваться своего рода «мультипаспортом» и избежать проблемы разных систем аутентификации у провайдеров, и какого рода риски нужно будет здесь учитывать и митигировать?

2.Федеративная идентификация.

Некоторые риски:

• Утечка единого токена: компрометация одного ключа дает доступ ко всем облакам.
• Несогласованные политики: у провайдеров могут быть разные требования к MFA или шифрованию.

Основные решения для минимизации рисков:

• Привилегированный доступ (PAM) для контроля административных сессий.
• Шифрование данных: единые ключи через HSM.
• Аудит: SIEM для мониторинга активности в мультиоблаке (например, у ТТК. Облако есть комплексная услуга по аудиту прав и прочему мониторингу ИБ на базе ЕЦМИБ).

Мультиоблако требует переосмысления подходов к безопасности, но, несомненно, мультиоблачные решения будут становиться одним из стандартов корпоративной ИТ-архитектуры.