Cloud Compliance

Zgodność w chmurze to dyscyplina wykazywania, że dane, obciążenia i ich mechanizmy kontroli w usługach chmurowych spełniają wymagania dotyczące organizacji. Są to przepisy, takie jak GDPR, HIPAA czy LGPD, zobowiązania umowne, takie jak PCI DSS, oraz ramy oceny, takie jak ISO 27001 i SOC 2. Przeniesienie systemów do chmury zmienia miejsce działania mechanizmów kontroli, ale nie zmienia obowiązków.

Zakres kontroli zależy od modelu usługi. W infrastrukturze jako usłudze klient konfiguruje systemy operacyjne, aplikacje i ustawienia danych, więc większość wymagań obowiązuje bezpośrednio. W oprogramowaniu jako usłudze dostawca prowadzi platformę, a klient zarządza tożsamościami, ustawieniami udostępniania i tym, co użytkownicy mogą eksportować. We wszystkich modelach regulowane dane pozostają odpowiedzialnością klienta.

Każdy duży dostawca publikuje model współodpowiedzialności. Dostawca odpowiada za samą chmurę: sprzęt, bezpieczeństwo fizyczne i dostępność. Klient odpowiada za bezpieczeństwo i zgodność w chmurze: klasyfikację danych, decyzje o dostępie, konfigurację i aktywność użytkowników. Certyfikaty dostawcy obejmują jego stronę tej granicy, nigdy stronę klienta.

Podział ma znaczenie, bo regulatorzy rozliczają właściciela danych. Organ nadzoru nie przyjmie odpowiedzi „dostawca był certyfikowany”, jeśli przyczyną był źle skonfigurowany zasobnik na pliki, udostępnienie dostępne dla każdego z linkiem albo pracownik eksportujący rekordy na prywatne konto. Praca nad zgodnością zaczyna się od przypisania macierzy odpowiedzialności każdej usługi do obowiązków organizacji i zamknięcia luk po stronie klienta: tożsamości, konfiguracji, logowania i obsługi danych.

Prawo ochrony danych podąża za danymi, nie za infrastrukturą. Zgodnie z GDPR korzystanie z dostawcy chmury tworzy relację podmiotu przetwarzającego: potrzebna jest umowa powierzenia, udokumentowani podprocesorzy i zabezpieczenia transferu, gdy dane opuszczają region. HIPAA wymaga umowy z podmiotem współpracującym, zanim chronione informacje zdrowotne trafią do usług dostawcy.

Wynikają z tego dwa obowiązki. Pierwszy to wiedzieć, jakie regulowane dane istnieją i gdzie się znajdują: które usługi je przechowują, w jakich regionach i na jakich umowach. Jest to niemożliwe bez klasyfikacji i inwentarza usług, który obejmuje także Shadow IT, czyli narzędzia wdrożone przez pracowników na własną rękę. Drugi to kontrola przepływu. Dane regulowane opuszczające zatwierdzony obszar przez niezatwierdzone konto lub błędnie skierowane udostępnienie są zdarzeniem zgodności i mogą być też naruszeniem danych, nawet bez złego zamiaru.

Ramy dostarczają słownika, w którym zgodność wykazuje się klientom, audytorom i regulatorom. Najczęściej wymagane są:

Dostawca chmury nie zawęża zakresu PCI DSS: środowisko danych kart musi być ocenione wszędzie tam, gdzie działa.

Audyt w chmurze ma dwie warstwy. Warstwa dostawcy opiera się na jego atestacjach, takich jak raport SOC 2 i certyfikat ISO 27001. Warstwa klienta opiera się na dowodach, które organizacja wytwarza sama: konfiguracjach bazowych, przeglądach dostępu, logach aktywności i rejestrach incydentów.

Ciągły monitoring zgodności zastępuje coroczną migawkę. Ponieważ środowiska chmurowe zmieniają się codziennie, audytorzy oczekują dowodów generowanych automatycznie: alertów o odchyleniach konfiguracji, pełnych śladów audytu, kto co zrobił w której usłudze, oraz raportów na żądanie. Warstwę klienta zwykle prowadzi się w czterech krokach:

1. 1

   Konfiguracja bazowa

   Zapisz zatwierdzoną konfigurację każdej usługi chmurowej i porównuj z nią każdą zmianę.

2. 2

   Przegląd dostępu

   Sprawdzaj, kto ma dostęp do każdej usługi, i usuwaj konta, które nie mają już właściciela.

3. 3

   Ślad aktywności

   Przechowuj informację, kto co zrobił w każdej usłudze, z czasem i obiektem, tak długo jak wymaga polityka.

4. 4

   Raport na żądanie

   Przygotuj dowody dla audytora z zapisanych rejestrów, a nie z pamięci.

W Anexet tę kontrolę prowadzi się na stacji roboczej: ustawienia kontroli usług przechowywania w chmurze w profilu agenta określają poziom dostępu, tryb audytu i kopię cieniową dla każdej usługi.

W praktyce program składa się z kilku elementów: inwentarza używanych usług chmurowych, także nieautoryzowanych; klasyfikacji danych, które do nich trafiają; odwzorowania mechanizmów kontroli na każdą właściwą ramę, tak aby jedna kontrola spełniała kilka wymogów; egzekwowania na kanałach, którymi dane wchodzą do usług i z nich wychodzą; oraz zbierania dowodów, które pozwala wykazać ten stan na żądanie.

Żaden z tych elementów nie dotyczy jednego przepisu. Obowiązki się mnożą wraz z nową ustawą o prywatności, nową umową lub nową wersją ramy, a podstawowe mechanizmy kontroli rzadko się zmieniają. Organizacje, które prowadzą inwentarz, klasyfikację, egzekwowanie i ślad audytu, przyjmują każde nowe wymaganie, odwzorowując je na istniejące kontrole. Część ochronną tej pracy opisuje bezpieczeństwo danych w chmurze.

Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.