Outsourcing és Cloud Biztonsági kérdések

Átírás

1 IT ADVISORY Outsourcing és Cloud Biztonsági kérdések Gaidosch Tamás november 25.

2 Tartalom Már megint hype: de mit is akarunk megoldani? Mi micsoda? Szempontok Biztonság, te drága Kockázatok 1

3 Hype 2

4 Hype cloud outsourcing Forrás: Gartner 3

5 Mit is akarunk megoldani? Reagálási képesség növelése Költségek csökkentése Hatékonyság növelése Mutatók optimalizálása 4

6 Outsourcing Hosszú távú szerződés alapján Teljes folyamatokat helyezünk ki külső szolgáltatóhoz Eszközeinket és alkalmazottainkat is transzferáljuk Szolgáltatási szint megállapodásokkal rögzítjük az elvárt minőséget (SLA) Általában egyedi, testre szabott konstrukciók Szoros együttműködés a szolgáltatóval 5

7 Cloud IT kapacitás bérlünk szükség szerint (on demand) Kizárólag hálózati hozzáféréssel Helyfüggetlenül Használattal arányos költséggel (pay per use) Megosztott erőforrásokat használunk (hálózat, szerverek, tárolók, alkalmazások, szolgáltatások) Gyors és rugalmas kapacitásmenedzsment Szabványos konstrukciók Minimális interakció a szolgáltatóval 6

8 CFO szemmel Szempont Házon belül Outsourcing Cloud Ráfordítás CAPEX OPEX OPEX Cash Flow Előre fizetés Éves díj Használattal arányos havidíj Pénzügyi kockázat Előre bevállalt Éves terített Havi terített P&L Költség, Értékcsökkenés Költség Költség Mérleg Eszközök - - 7

9 CEO szemmel Részvényesi érték Gyorsaság Hatékonyság Piacnyerés CEO 8

10 IT-s szemmel 9

11 IT biztonsági szakértő szemmel 10

12 Biztonsági követelmények Integritás Bizalmasság Rendelkezésre állás Pénz, pénz, pénz Raimondo Montecuccoli ( ) 11

13 Kockázatok 12

14 Adatközpont és cloud Adatközpont Ismert helyszínek kb processzor Hardver redundancia Fizikai és virtuális erőforrások Cluster vagy grid architektúra Statikus Megosztott háttértár Komplexitás Cloud Ismeretlen helyszínek > standard processzor Szoftver redundancia Virtuális erőforrások Cloud architektúra Rugalmas Replikált háttértár Szabványosság 13

15 Kockázatok Bizalmas adatok Virtualizáció Hálózati védelem Szegregáció Auditálhatóság / törvényi megfelelés 14

16 Kockázatok: bizalmas adatok Hol van a felhő? Mi van még a felhőben? Milyen előírások vonatkoznak a felhőre? az adataimra? a kötelező adatszolgáltatásra? 15

17 Kockázatok: virtualizáció Hipervizor sérülékenységek Middleware Rendszermenedzsment eszközök Monokultúra Erősen disztributált feldolgozási módok race check / use 16

18 Kockázatok: hálózati védelem A felhő védelme komplexitás A hozzáférés (csatorna) védelme gyakorlatilag SSL DDoS? Tűzfalak? IDS / IPS? 17

19 Kockázatok: hálózati védelem 18

20 Kockázatok: szegregáció Ki van még a felhőben, és mit csinál? Virtuális erőforrások elszigetelése Rendszermenedzsment Biztonságos adatmegsemmisítés 19

21 Kockázatok: auditálhatóság / törv. megfelelés Dinamikus környezet Változásmeendzsment Kevés befolyás a kontrollkörnyezetre PCI, SOX, Hpt,... 20

22 Összefoglaló Cloud a hype ciklus tetején Eltérő szolgáltatási modell eltérő biztonsági kockázatokat eredményez A cloud biztonsági kockázatai kevéssé ismertek Erősen szabályozott környezetben érdemes kivárni a cloud hype végét 21

23 Hogyan ne csináljuk 22

24 Az előadó elérhetősége Gaidosch Tamás KPMG Tanácsadó Kft The information contained herein is of a general nature and is not intended to address the circumstances of any particular individual or entity. Although we endeavour to provide accurate and timely information, there can be no guarantee that such information is accurate as of the date it is received or that it will continue to be accurate in the future. No one should act on such information without appropriate professional advice after a thorough examination of the particular situation.