Πολιτικές καταστροφής δεδομένων στην εποχή του Cloud Computing

Σήμερα, οι περισσότερες μεγάλες εταιρείες και πολλές μεσαίου μεγέθους έχουν κάποια μορφή προγράμματος διακυβέρνησης δεδομένων, που συνήθως περιλαμβάνει πολιτικές διατήρησης και καταστροφής δεδομένων. Έχουν καταστεί επιτακτική ανάγκη λόγω των αυξανόμενων επιθέσεων στα δεδομένα πελατών και, επίσης, των κρατικών και εθνικών νόμων που επιβάλλουν την προστασία των δεδομένων πελατών. Η παλιά νοοτροπία του "Κράτα τα πάντα, για πάντα" άλλαξε σε "Αν δεν το έχεις, δεν μπορείς να το παραβιάσεις".

Κατά κάποιο τρόπο, η διαχείριση των πολιτικών διατήρησης δεδομένων δεν ήταν ποτέ πιο εύκολη στην εφαρμογή στο cloud. Οι προμηθευτές cloud έχουν συχνά εύκολα πρότυπα και ρυθμίσεις πλαισίου κλικ για να διατηρούν τα δεδομένα σας για μια συγκεκριμένη περίοδο και, στη συνέχεια, είτε να τα μετακινούν σε ψυχρή ψηφιακή αποθήκευση σχεδόν εκτός σύνδεσης είτε απευθείας στον κάδο bit (διαγραφή). Απλώς κάντε κλικ, διαμορφώστε τις παραμέτρους και προχωρήστε στην επόμενη προτεραιότητα ασφάλειας πληροφοριών.

Απλώς κάντε κλικ στο Διαγραφή;

Ωστόσο, θα κάνω μια αμήχανη ερώτηση, που με καίει εδώ και καιρό στο μυαλό. Τι πραγματικά συμβαίνει με αυτά τα δεδομένα μόλις κάνετε κλικ στο "διαγραφή" σε μια υπηρεσία cloud; Στον κόσμο των εγκαταστάσεων, του υλικού, όλοι γνωρίζουμε την απάντηση. Απλώς θα διαγραφόταν στο δίσκο στον οποίο βρίσκεται. Τα "διαγραμμένα" δεδομένα εξακολουθούν να βρίσκονται στον σκληρό δίσκο, έχουν εξαφανιστεί από την προβολή του λειτουργικού συστήματος και περιμένοντας να αντικατασταθεί όταν χρειάζεται ο χώρος. Για να το διαγράψετε πραγματικά, απαιτούνται επιπλέον βήματα ή ειδικό λογισμικό για την αντικατάσταση των bit με τυχαία μηδενικά και μονοπάτια. Σε ορισμένες περιπτώσεις, αυτό πρέπει να γίνει πολλές φορές για να εξαφανιστούν πραγματικά τα φανταστικά ηλεκτρονικά ίχνη των διαγραμμένων δεδομένων.

Και αν συναλλάσσεστε με την κυβέρνηση των ΗΠΑ ή άλλες ρυθμιζόμενες οντότητες, μπορεί να σας ζητηθεί να συμμορφωθείτε με Πρότυπο Υπουργείου Άμυνας 5220.22-M, το οποίο περιέχει λεπτομέρειες σχετικά με τις απαιτήσεις καταστροφής δεδομένων για εργολάβους. Αυτές οι πρακτικές είναι κοινές, ακόμη και αν δεν απαιτούνται από τους κανονισμούς. Δεν θέλετε τα δεδομένα που δεν χρειάζεστε πλέον να σας στοιχειώνουν σε περίπτωση παραβίασης. Η παραβίαση της υπηρεσίας ροής παιχνιδιών Twitch, στην οποία οι χάκερ μπόρεσαν να αποκτήσουν πρόσβαση σε όλα βασικά δεδομένα της από την αρχή της εταιρείας - συμπεριλαμβανομένων των εσόδων και άλλων προσωπικών στοιχείων για τους καλοπληρωμένους πελάτες ροής της - είναι μια προειδοποιητική ιστορία εδώ, μαζί με αναφορές άλλων παραβιάσεις εγκαταλελειμμένων ή ορφανών αρχείων δεδομένων τα τελευταία χρόνια.

Έλλειψη πρόσβασης για επαλήθευση

Έτσι, ενώ οι πολιτικές ορίζονται και διαχειρίζονται ευκολότερα στις περισσότερες υπηρεσίες cloud σε σχέση με τους διακομιστές εσωτερικού χώρου, η διασφάλιση ότι γίνεται σωστά σύμφωνα με το πρότυπο DoD είναι πολύ πιο δύσκολη ή αδύνατη στις υπηρεσίες cloud. Πώς μπορείτε να κάνετε μια αντικατάσταση δεδομένων χαμηλού επιπέδου σε δίσκο σε υποδομή cloud όπου δεν έχετε φυσική πρόσβαση στο υποκείμενο υλικό; Η απάντηση είναι ότι δεν μπορείτε, τουλάχιστον όχι με τον τρόπο που το κάναμε παλαιότερα — με βοηθητικά προγράμματα λογισμικού ή πλήρη καταστροφή της φυσικής μονάδας δίσκου. Ούτε το AWS, το Azure ή το Google Cloud Services προσφέρουν επιλογές ή υπηρεσίες που να το κάνουν αυτό, ούτε καν στις αποκλειστικές παρουσίες τους, οι οποίες εκτελούνται σε ξεχωριστό υλικό. Απλώς δεν έχετε το επίπεδο πρόσβασης που απαιτείται για να το κάνετε.

Η προσέγγιση στις κύριες υπηρεσίες είτε αγνοήθηκε είτε απαντήθηκε με γενικές δηλώσεις σχετικά με τον τρόπο με τον οποίο προστατεύουν τα δεδομένα σας. Τι συμβαίνει με τα δεδομένα που «απελευθερώνονται» σε μια υπηρεσία cloud όπως το AWS ή το Azure? Είναι απλώς κάθεται σε έναν δίσκο, δεν έχει ευρετηριαστεί και περιμένει να αντικατασταθεί ή τίθεται μέσω κάποιου είδους «μπλέντερ» για να τον καταστήσει άχρηστο πριν επιστραφεί στον διαθέσιμο χώρο αποθήκευσης στην υπηρεσία; Κανείς, σε αυτό το σημείο, δεν φαίνεται να γνωρίζει ή να είναι διατεθειμένος να πει στο αρχείο.

Προσαρμογή στη Νέα Πραγματικότητα

Πρέπει να αναπτύξουμε α συμβατό με το cloud τρόπο καταστροφής που πληροί τα πρότυπα του Υπουργείου Άμυνας, διαφορετικά πρέπει να σταματήσουμε να προσποιούμαστε και να προσαρμόσουμε τα πρότυπά μας σε αυτή τη νέα πραγματικότητα.

Ίσως οι πάροχοι cloud να μπορούν να βρουν μια υπηρεσία για να παρέχουν αυτήν τη δυνατότητα, αφού μόνο αυτοί έχουν άμεση πρόσβαση στο υποκείμενο υλικό. Ποτέ δεν ήταν ντροπαλοί να εφεύρουν νέες υπηρεσίες για να τους χρεώσουν, και σίγουρα πολλές εταιρείες θα ήταν πρόθυμες να πληρώσουν για μια τέτοια υπηρεσία, εάν παρείχαν τα κατάλληλα πιστοποιητικά καταστροφής. Θα ήταν πιθανώς φθηνότερο από τα τέλη που χρεώνουν ορισμένες από τις εταιρείες που παρέχουν πιστοποιημένες υπηρεσίες φυσικής καταστροφής.

Η Amazon, η Azure, η Google και οποιαδήποτε σημαντική υπηρεσία cloud (ακόμη και οι πάροχοι λογισμικού ως υπηρεσία) πρέπει να αντιμετωπίσουν αυτά τα ζητήματα με πραγματικές απαντήσεις, όχι με σύγχυση και μάρκετινγκ. Μέχρι τότε, θα προσποιούμαστε και θα ελπίζουμε, προσευχόμαστε ότι κάποιος λαμπρός χάκερ δεν καταλάβει πώς να αποκτήσει πρόσβαση σε αυτά τα ορφανά δεδομένα, αν δεν έχει ήδη. Είτε έτσι είτε αλλιώς, το Πρέπει να τεθούν και να απαντηθούν δύσκολες ερωτήσεις σχετικά με την καταστροφή δεδομένων cloud, νωρίτερα παρά αργότερα.