Het mes in cloudopslag - Computerworld
Home / Storage / Het mes in cloudopslag
Het mes in cloudopslag
Wil je weten wat mij, de beveiligingsman van het bedrijf, 's nachts wakker houd? Opslag in de cloud.
Wil je weten wat mij, de beveiligingsman van het bedrijf, 's nachts wakker houd? Veel dingen, dat kan ik je verzekeren, maar de laatste tijd is het vooral de opkomst van Software-as-a-Service (SaaS) bij mijn firma.
Wat het zo'n nachtmerrie voor mij maakt is waarom het voor anderen juist zo aantrekkelijk is: Het is zo eenvoudig om je creditcard te trekken en met een paar muisklikken een complete architectuur uit de grond te stampen. Dit kan uit het zicht van IT gedaan worden, zolang er geen integratie nodig is met andere IT-systemen.
Wat is er gebeurd: Een business unit is onlangs begonnen met het aanbieden van storage in de cloud voor de werknemers. Ik was er misschien helemaal niet achtergekomen, maar ik hoorde het van iemand in de kantine die bang was dat zijn gevoelige data op straat kwam te liggen. (Dit was overigens niet de eerste keer dat ik iets in de kantine voor het eerst te weten kwam.)
Vroeger was zelf storage toevoegen nagenoeg onmogelijk
Als je vroeger extra servers, storage infrastructuur of andere datacenter resources wilde toevoegen, moest je een server kopen, deze uitpakken, de machine naar het datacenter rollen, rail kits vastzetten, schijven erin zetten en zorgen dat het ding stroom en ethernet had. Dat soort dingen gaan moeilijk ongemerkt, dus het was eenvoudig te stellen dat alles volgens de procedures verliep.
Begrijp me niet verkeerd, ik ben in principe enthousiast over opslag van data in de cloud. Het bespaart geld en het biedt aardig wat flexibiliteit in beschikbaarheid van data. Maar deze flexibele beschikbaarheid wordt een nadeel wanneer gevoelige data in het spel is.
Zodra data naar een cloudopslagdienst wordt verplaatst, kan deze via iedere computer of mobiel apparaat benaderd worden. Nogmaals, dit gemak is het grootste verkoopargument, maar data is iets waarvan het bedrijf zich niet kan veroorloven dat het lekt. Dus het toegangsbeleid is een zaak voor IT-security, HR en de juridische afdeling van een bedrijf.
Inspectie van de storage cloud
Omdat ik niet wakker wilde liggen van dit risico, heb ik onmiddellijk contact gezocht met mijn firewall-specialist, die zich haastte om een rapportje op te stellen met daarin de clouddiensten die benaderd waren met daarbij de bijbehorende afdelingen van het bedrijf. Zoals ik al verwachtte, bleken er veel cloudopslagdiensten tussen te zitten. Dat deed alarmbellen rinkelen en we kwamen al snel erachter dat het hierbij vooral om foto's, muziek en video's ging. Dat is niet erg, cloudopslag is ideaal voor zulke dingen. Het voorkomt dat al die persoonlijke data ruimte op onze netwerkschijven opslurpt. Maar er bleek ook gevoelige data bij te zijn, waaronder strategische productinformatie.
Dit was genoeg om mezelf ervan te overtuigen dat ik de stekker uit deze initiatieven moest trekken totdat we wisten hoe we deze data fatsoenlijk konden beschermen.
Beperkte toegang blijkt zelden mogelijk
Sommige leveranciers maken goede stappen op dit gebied, maar tot dusver is er geen geweest die aan mijn eisen voldoet, waaronder het beperken van toegang tot beschermde bedrijfsgeheimen. Ik wil bijvoorbeeld niet dat medewerkers toegang tot die data hebben vanuit een internetcafé in, laten we zeggen, Cancún. Ik overlegde met de juridische afdeling en besloot tot het blokkeren van een hele reeks storage sites door de contentfiltering functionaliteit aan te zetten van de nieuwe firewalls. (We moesten een paar uitzonderingen aangeven zodat het mogelijk bleef data te delen met onze partners, maar dat waren er gelukkig maar een paar.)
Ik blijf de snel veranderende cloud storage industrie komende tijd nauwgezet in de gaten houden. Wanneer ik een leverancier vind die op een bevredigende manier met beveiligingsrisico's omgaat, zal ik mijn standpunt heroverwegen. Tot die tijd heb ik onze storage liever in-house, zodat we een oogje in het zeil kunnen houden.
Deze blog is geschreven door een echte securityspecialist die onder een gefingeerde naam gepubliceerd is. Zijn contactgegevens zijn bij de redactie bekend.