Ngày nay, hầu hết các công ty lớn và nhiều công ty vừa đều có một số dạng chương trình quản trị dữ liệu, thường bao gồm các chính sách lưu giữ và hủy dữ liệu. Chúng đã trở thành một điều bắt buộc vì các cuộc tấn công ngày càng tăng vào dữ liệu khách hàng cũng như luật pháp của tiểu bang và quốc gia bắt buộc phải bảo vệ dữ liệu khách hàng. Tư duy cũ “Giữ mọi thứ mãi mãi” đã thay đổi thành “Không có thì không thể vi phạm”.
Ở một khía cạnh nào đó, việc quản lý các chính sách lưu giữ dữ liệu chưa bao giờ dễ dàng hơn thế khi triển khai trên đám mây. Các nhà cung cấp đám mây thường có các mẫu và cài đặt hộp nhấp chuột dễ dàng để lưu giữ dữ liệu của bạn trong một khoảng thời gian cụ thể, sau đó chuyển dữ liệu đó sang bộ lưu trữ kỹ thuật số lạnh gần như ngoại tuyến hoặc chuyển thẳng sang nhóm bit (xóa). Chỉ cần nhấp chuột, định cấu hình và chuyển sang ưu tiên bảo mật thông tin tiếp theo.
Chỉ cần nhấp vào Xóa?
Tuy nhiên, tôi sẽ hỏi một câu hỏi khó xử, một câu hỏi đã nung nấu trong đầu tôi một thời gian. Điều gì thực sự xảy ra với dữ liệu đó khi bạn nhấp vào “xóa” trên dịch vụ đám mây? Trong thế giới phần cứng tại chỗ, tất cả chúng ta đều biết câu trả lời; nó chỉ đơn giản là sẽ bị hủy đăng ký trên đĩa mà nó nằm trên đó. Dữ liệu “đã xóa” vẫn nằm trên ổ cứng, biến mất khỏi chế độ xem hệ điều hành và chờ ghi đè khi cần dung lượng. Để thực sự xóa nó, cần có thêm các bước hoặc phần mềm đặc biệt để ghi đè lên các bit bằng các số 0 và số 1 ngẫu nhiên. Trong một số trường hợp, việc này cần phải được thực hiện nhiều lần để thực sự xóa sạch dấu vết điện tử ảo của dữ liệu đã xóa.
Và nếu bạn kinh doanh với chính phủ Hoa Kỳ hoặc các tổ chức được quản lý khác, bạn có thể phải tuân thủ Tiêu chuẩn Bộ Quốc phòng 5220.22-M, trong đó có thông tin chi tiết về yêu cầu hủy dữ liệu đối với nhà thầu. Những thực hành này là phổ biến, ngay cả khi không được yêu cầu bởi các quy định. Bạn không muốn dữ liệu bạn không cần nữa quay trở lại ám ảnh bạn trong trường hợp bị vi phạm. Vi phạm dịch vụ phát trực tuyến trò chơi Twitch, trong đó tin tặc có thể truy cập về cơ bản tất cả dữ liệu của công ty gần như kể từ khi thành lập công ty - bao gồm thu nhập và các thông tin cá nhân khác về các khách hàng phát trực tuyến được trả lương cao - là một câu chuyện cảnh báo ở đây, cùng với các báo cáo về các vấn đề khác vi phạm các tệp dữ liệu bị bỏ rơi hoặc mồ côi trong vài năm qua.
Thiếu quyền truy cập để xác minh
Vì vậy, mặc dù các chính sách dễ thiết lập và quản lý hơn trong hầu hết các dịch vụ đám mây so với các máy chủ tại chỗ, nhưng việc đảm bảo chính sách được thực hiện đúng theo tiêu chuẩn DoD lại khó hơn hoặc không thể thực hiện được trên các dịch vụ đám mây. Làm cách nào để ghi đè dữ liệu vào đĩa cấp độ thấp trên cơ sở hạ tầng đám mây nơi bạn không có quyền truy cập vật lý vào phần cứng cơ bản? Câu trả lời là bạn không thể, ít nhất không phải theo cách chúng ta đã từng làm - với các tiện ích phần mềm hoặc việc phá hủy hoàn toàn ổ đĩa vật lý. Cả AWS, Azure hoặc Google Cloud Services đều không cung cấp bất kỳ tùy chọn hoặc dịch vụ nào thực hiện việc này, ngay cả trên các phiên bản chuyên dụng chạy trên phần cứng riêng biệt của họ. Đơn giản là bạn không có đủ cấp độ truy cập cần thiết để thực hiện việc đó.
Việc tiếp cận các dịch vụ chính đều bị bỏ qua hoặc được trả lời bằng những tuyên bố chung chung về cách họ bảo vệ dữ liệu của bạn. Điều gì xảy ra với dữ liệu được “phát hành” trong dịch vụ đám mây như AWS hoặc Azure? Nó chỉ đơn giản là nằm trên một đĩa, không được lập chỉ mục và chờ được ghi đè, hay nó được đưa vào một loại "máy trộn bit" nào đó để khiến nó không thể sử dụng được trước khi được đưa trở lại bộ nhớ có sẵn trên dịch vụ? Tại thời điểm này, dường như không ai biết hoặc sẵn sàng nói ra điều đó.
Điều chỉnh theo thực tế mới
Chúng ta phải phát triển một cách thực hiện hủy diệt tương thích với đám mây đáp ứng các tiêu chuẩn của DoD hoặc chúng ta phải ngừng giả vờ và điều chỉnh các tiêu chuẩn của mình cho phù hợp với thực tế mới này.
Có lẽ các nhà cung cấp đám mây có thể đưa ra một dịch vụ để cung cấp khả năng này vì chỉ họ mới có quyền truy cập trực tiếp vào phần cứng cơ bản. Họ chưa bao giờ ngại phát minh ra các dịch vụ mới để tính phí và chắc chắn nhiều công ty sẽ sẵn sàng trả tiền cho dịch vụ đó nếu được cung cấp giấy chứng nhận tiêu hủy thích hợp. Nó có thể sẽ rẻ hơn mức phí do một số công ty cung cấp dịch vụ phá hủy vật lý được chứng nhận tính.
Amazon, Azure, Google và bất kỳ dịch vụ đám mây lớn nào (ngay cả các nhà cung cấp phần mềm dưới dạng dịch vụ) đều cần giải quyết những vấn đề này bằng các câu trả lời thực tế chứ không phải bằng những lời nói tiếp thị và gây hiểu lầm. Cho đến lúc đó, chúng ta sẽ chỉ giả vờ và hy vọng, cầu nguyện rằng một hacker tài giỏi nào đó sẽ không tìm ra cách truy cập vào dữ liệu mồ côi này, nếu họ chưa làm vậy. Dù thế nào đi nữa, những câu hỏi khó về hủy dữ liệu trên đám mây cần được hỏi và trả lời, sớm còn hơn là muộn.
