Hoe zorg je ervoor dat cloud applicaties veilig en beschikbaar zijn?
We kunnen wel stellen dat de cloud intussen een geaccepteerd fenomeen is. Maar ondanks die acceptatie is de zorg over twee aspecten van de cloud nog niet bij iedereen weggenomen: veiligheid en beschikbaarheid. Zelfs de allergrootste cloudaanbieders hebben te kampen gehad met storingen die breed in de pers zijn uitgemeten. Is de cloud wel betrouwbaar genoeg voor echt kritische bedrijfstoepassingen? Het gebruikelijke argument is dat internet niet echt ontwikkeld is voor zakelijk gebruik. Als e-mail er een uurtje uitligt is dat weliswaar vervelend, maar als hetzelfde gebeurt met een klantenportal is dat niet acceptabel.
En hoe zit het met de veiligheid? Veel bedrijven hebben flink geïnvesteerd (tijd, geld, moeite) in de beveiliging van hun bedrijfsapplicaties tegen alle mogelijke dreigingen. Een datacenter lijkt soms wel een digitaal fort en het idee bestaat dat het nagenoeg onmogelijk is om dezelfde beveiligingsmaatregelen in de cloud te realiseren. Want welke cloudaanbieder laat klanten gebruik maken van hun eigen apparatuur, aangepaste configuraties of alles wat zij maar hebben aan beveiliging? Dat gebeurt gewoon niet.
Is de cloud-belofte dan alleen voor consumenten die hun favoriete muziek, video’s vakantiefoto’s en e-books willen opslaan? Blijft het zakelijk gebruik beperkt tot de ‘sandboxes’ voor softwareontwikkelaars en applicaties die niet bedrijfskritisch zijn? Nee, zeker niet. Veel onderzoeken naar cloudgebruik wijzen uit dat steeds meerapplicaties naar de cloud worden verplaatst en dat dit het geval is in alle onderdelen van organisaties. Het is echter wel nodig om manieren te vinden die de zorgen over veiligheid en beschikbaarheid in publieke cloudomgevingen wegnemen – uiteindelijk gaan veiligheid en beschikbaarheid hand in hand.
Het fort in de cloud
Zonder uitzondering hebben cloud providers hun datacenter beveiligd om hun eigen systemen en die van de klanten te beschermen. Zij steken daar veel moeite in, want het aanbieden van een zeer goed beveiligd en beschikbaar cloudplatform is noodzakelijk voor het succes van deze providers op de lange termijn. Maar wat is dan het probleem? Dat zit hem in het feit dat al deze beveiligingsmaatregelen niet van u zijn en vaak ook niet door u beheerd, gewijzigd, verbeterd kunnen worden. Volgens een recent onderzoek (IDG Enterprise Cloud Computing Study 2013) is het afdwingen van beveiligingsbeleid een belangrijke zorg van organisaties die clouddiensten gebruiken. Bovendien geeft meer dan de helft van de onderzochte organisaties aan dat cloudproviders eerst moeten voldoen aan de beveiligingsrichtlijnen van de organisatie, alvorens er sprake kan zijn van een volledige overstap naar de cloud. Wat nu te doen?
Als we bij de metafoor van het fort blijven, is het eenvoudige antwoord: graaf een digitale slotgracht rond de betreffende clouddiensten voor extra beveiliging en zorg voor real-time monitoring zodat direct actie ondernomen kan worden als de responstijden oplopen.
Gebruik de cloud om de cloud beter te beschermen
Het klinkt misschien wat vreemd maar juist cloudgebaseerde diensten voor beveiliging en beschikbaarheid bieden ondernemingen een innovatieve manier om de beveiliging en beschikbaarheid van huncloudgebaseerde toepassingen en data op een hoger plan te brengen.Zo worden de vermeende beperkingen van de traditionele beveiligingsmaatregelen en interne oplossingen van cloudproviders verholpen. Er wordt namelijk een wereldwijd gedistribueerde beveiligingslaag aangebracht, die schaalbaar is en in staat is om problemen in real-time te detecteren. Dit zorgt voor een beschermingsniveaudat vele malen groter is dan van welke centrale beveiliging dan ook
Daar komt nog bij dat de cloud een breed scala aan beschermingsmogelijkheden en load balancing biedt, die gecombineerd kan worden met disaster recovery maatregelen. Bedrijven die met meerdere cloudomgevingen werken kunnen op deze manier toch een gestandaardiseerde ‘just-in-time’ verdediging opbouwen die is aan te passen aan snel veranderende risico’s, zowel binnen hun cloudomgeving als op weg daar naartoe.
Met deze diensten kunnen IT-managers systemen opzetten die automatisch bescherming bieden tegen nieuwe dreigingen, terwijl de responstijden op peil blijven. Zeker zo belangrijk is dat een dergelijke verdediging conform de beveiligingsrichtlijnen, procedures en configuraties van de applicatie-eigenaar werkt, ongeacht waar de applicatie naartoe wordt verplaatst om een optimale beschikbaarheid te garanderen.
Waar de conventionele ‘verdedig het fort’ mentaliteit intussen niet meer voldoende is voor een traditionele onderneming, geldt dat zeker voor de cloud. Bedrijven moeten daarom de gedistribueerde aard, de schaal en de flexibiliteit van internet inzetten voor de beveiliging en voor het waarborgen van de uptime.
Met clouddiensten voor de beveiliging en beveiligingsmaatregelen van de cloudaanbieder kunnen meerdere, overlappende beveiliginslagen worden gecreëerd, elk met andere tactieken en maatregelen. Natuurlijk zijn niet alle clouddiensten voor beveiliging en beschikbaarheid hetzelfde. De IT-manager die de kracht van de cloud wil benutten, moet zoeken naar oplossingen die gebruik maken van een in hoge mate gedistribueerd multi-netwerk platform – een platform dat massale schaalgrootte kan bieden en dat zelf 100% beschikbaar is. Het platform moet ook in staat zijn om de in de cloud opgeslagen data en applicaties te beschermen door aanvallen veel dichter bij de bron af te slaan en in real-time te reageren op veranderende omstandigheden in cloudomgevingen.
De overstap naar de cloud valt samen met een toename van de omvang en internetdreigingen, die ook steeds geavanceerder van aard worden. Effectieve beveiliging voor applicaties in de cloud vereist een beveiligingsstrategie die de traditionele, gecentraliseerde beveiliging van de cloudproviders aanvult. Deze aanvulling vormt een buitenste beveiligingsring die voldoende schaalbaar en flexibel is om de huidige bedreigingen te weerstaan, zoals denial-of-service (DDoS) aanvallen die de beperkingen van de conventionele, gecentraliseerde ‘perimeter’-verdediging aan het licht brengen.
Hans Nipshagen , Akamai
