Συμμόρφωση στο Νέφος

Η συμμόρφωση στο νέφος είναι η πειθαρχία της απόδειξης ότι τα δεδομένα, τα φορτία εργασίας και οι έλεγχοί τους σε υπηρεσίες νέφους πληρούν τις απαιτήσεις που ισχύουν για τον οργανισμό. Περιλαμβάνει νόμους όπως ο GDPR, το HIPAA ή ο LGPD, συμβατικές δεσμεύσεις όπως το PCI DSS και πλαίσια αξιολόγησης όπως τα ISO 27001 και SOC 2. Η μετακίνηση συστημάτων σε πάροχο νέφους αλλάζει πού λειτουργούν οι έλεγχοι, όχι τις υποχρεώσεις.

Το τι πρέπει να ελέγχεται εξαρτάται από το μοντέλο υπηρεσίας. Στην υποδομή ως υπηρεσία ο πελάτης ρυθμίζει λειτουργικά συστήματα, εφαρμογές και ρυθμίσεις δεδομένων, οπότε οι περισσότερες απαιτήσεις ισχύουν άμεσα. Στο λογισμικό ως υπηρεσία ο πάροχος λειτουργεί την πλατφόρμα, ενώ ο πελάτης διαχειρίζεται τις ταυτότητες, τις ρυθμίσεις κοινής χρήσης και τι μπορούν να εξάγουν οι χρήστες. Σε όλα τα μοντέλα τα ρυθμιζόμενα δεδομένα παραμένουν ευθύνη του πελάτη.

Κάθε μεγάλος πάροχος δημοσιεύει μοντέλο κοινής ευθύνης. Ο πάροχος ευθύνεται για το ίδιο το νέφος: υλικό, φυσική ασφάλεια και διαθεσιμότητα. Ο πελάτης ευθύνεται για την ασφάλεια και τη συμμόρφωση μέσα στο νέφος: κατηγοριοποίηση δεδομένων, αποφάσεις πρόσβασης, ρύθμιση και δραστηριότητα χρηστών. Οι πιστοποιήσεις του παρόχου καλύπτουν τη δική του πλευρά αυτής της γραμμής, ποτέ του πελάτη.

Ο διαχωρισμός έχει σημασία, επειδή οι ρυθμιστές θεωρούν υπεύθυνο τον κάτοχο των δεδομένων. Μια εποπτική αρχή δεν δέχεται το «ο πάροχος ήταν πιστοποιημένος» όταν η αιτία ήταν ένας κάδος αποθήκευσης με λανθασμένη ρύθμιση, ένας κοινόχρηστος σύνδεσμος ανοιχτός σε οποιονδήποτε ή ένας υπάλληλος που εξήγαγε αρχεία σε προσωπικό λογαριασμό. Η συμμόρφωση ξεκινά με την αντιστοίχιση του πίνακα ευθυνών κάθε υπηρεσίας στις υποχρεώσεις του οργανισμού και με το κλείσιμο των κενών στην πλευρά του πελάτη: ταυτότητα, ρύθμιση, καταγραφή και χειρισμός δεδομένων.

Το δίκαιο προστασίας δεδομένων ακολουθεί τα δεδομένα, όχι την υποδομή. Βάσει του GDPR, η χρήση παρόχου νέφους δημιουργεί σχέση εκτελούντος την επεξεργασία: απαιτούνται σύμβαση επεξεργασίας, τεκμηριωμένοι υπεργολάβοι και εγγυήσεις μεταφοράς όταν τα δεδομένα εγκαταλείπουν την περιοχή. Το HIPAA απαιτεί σύμβαση με συνεργαζόμενο μέρος πριν οι προστατευόμενες πληροφορίες υγείας φτάσουν στις υπηρεσίες του παρόχου.

Από αυτό προκύπτουν δύο καθήκοντα. Το πρώτο είναι να γνωρίζει κανείς ποια ρυθμιζόμενα δεδομένα υπάρχουν και πού βρίσκονται: ποιες υπηρεσίες τα φιλοξενούν, σε ποιες περιοχές και με ποιες συμφωνίες. Αυτό είναι αδύνατο χωρίς κατηγοριοποίηση και απογραφή υπηρεσιών που να περιλαμβάνει και το Shadow IT, δηλαδή όσα εργαλεία υιοθέτησαν οι υπάλληλοι μόνοι τους. Το δεύτερο είναι ο έλεγχος της κίνησης. Ρυθμιζόμενα δεδομένα που εξέρχονται από το εγκεκριμένο όριο μέσω μη εγκεκριμένου λογαριασμού ή λανθασμένα κοινοποιημένου συνδέσμου αποτελούν συμβάν συμμόρφωσης και μπορεί να θεωρηθούν και παραβίαση δεδομένων, ακόμη και χωρίς κακόβουλη πρόθεση.

Τα πλαίσια δίνουν το λεξιλόγιο με το οποίο η συμμόρφωση αποδεικνύεται σε πελάτες, ελεγκτές και ρυθμιστές. Τα πιο ζητούμενα είναι τα εξής:

Ένας πάροχος νέφους δεν συρρικνώνει το πεδίο του PCI DSS: το περιβάλλον δεδομένων καρτών πρέπει να αξιολογείται όπου κι αν εκτελείται.

Ο έλεγχος στο νέφος έχει δύο επίπεδα. Το επίπεδο του παρόχου στηρίζεται στις βεβαιώσεις του, όπως η έκθεση SOC 2 και το πιστοποιητικό ISO 27001. Το επίπεδο του πελάτη στηρίζεται σε αποδεικτικά που παράγει ο ίδιος ο οργανισμός: βασικές ρυθμίσεις, έλεγχοι πρόσβασης, αρχεία δραστηριότητας και αρχεία συμβάντων.

Η συνεχής παρακολούθηση συμμόρφωσης αντικαθιστά το ετήσιο στιγμιότυπο. Επειδή τα περιβάλλοντα νέφους αλλάζουν καθημερινά, οι ελεγκτές περιμένουν αυτόματα παραγόμενα αποδεικτικά: ειδοποιήσεις για αποκλίσεις ρύθμισης, πλήρη ίχνη ελέγχου για το ποιος έκανε τι σε κάθε υπηρεσία και αναφορές κατ' απαίτηση. Το επίπεδο του πελάτη ακολουθεί συνήθως τέσσερα βήματα:

1. 1

   Βασική ρύθμιση

   Καταγράψτε την εγκεκριμένη ρύθμιση κάθε υπηρεσίας νέφους και συγκρίνετε κάθε αλλαγή με αυτή.

2. 2

   Έλεγχος πρόσβασης

   Ελέγξτε ποιος έχει πρόσβαση σε κάθε υπηρεσία και αφαιρέστε λογαριασμούς χωρίς πια υπεύθυνο.

3. 3

   Τήρηση ίχνους

   Αποθηκεύστε ποιος έκανε τι σε κάθε υπηρεσία, με ώρα και αντικείμενο, όσο απαιτεί η πολιτική.

4. 4

   Αναφορά κατ' απαίτηση

   Παράγετε τα αποδεικτικά για τον ελεγκτή από τα αποθηκευμένα αρχεία, όχι από τη μνήμη.

Στην Anexet ο έλεγχος γίνεται στον σταθμό εργασίας: οι ρυθμίσεις του ελέγχου υπηρεσιών αποθήκευσης νέφους στο προφίλ του agent ορίζουν επίπεδο πρόσβασης, λειτουργία ελέγχου και σκιώδες αντίγραφο για κάθε υπηρεσία.

Στην πράξη, ένα πρόγραμμα συνδυάζει λίγα στοιχεία: απογραφή των υπηρεσιών νέφους που χρησιμοποιούνται, συμπεριλαμβανομένων των μη εγκεκριμένων· ταξινόμηση των δεδομένων που φτάνουν σε αυτές· αντιστοίχιση ελέγχων σε κάθε εφαρμοστέο πλαίσιο, ώστε ένας έλεγχος να καλύπτει πολλές απαιτήσεις· επιβολή στα κανάλια από όπου τα δεδομένα εισέρχονται και εξέρχονται· και συλλογή αποδεικτικών ώστε όλα αυτά να αποδεικνύονται κατ' απαίτηση.

Κανένα από αυτά τα στοιχεία δεν αφορά έναν μόνο κανονισμό. Οι υποχρεώσεις πολλαπλασιάζονται, με έναν νέο νόμο για το απόρρητο, μια νέα σύμβαση ή μια νέα έκδοση πλαισίου, ενώ οι βασικοί έλεγχοι σπάνια αλλάζουν. Οι οργανισμοί που διατηρούν απογραφή, ταξινόμηση, επιβολή και ίχνος ελέγχου απορροφούν κάθε νέα απαίτηση αντιστοιχίζοντάς την σε υπάρχοντες ελέγχους. Το σκέλος προστασίας αυτής της εργασίας περιγράφεται στην Ασφάλεια Δεδομένων στο Νέφος.

Περισσότερα: Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.