{"id":354,"date":"2019-10-11T06:44:00","date_gmt":"2019-10-11T06:44:00","guid":{"rendered":"https:\/\/oktawave.com\/blog\/?p=354"},"modified":"2022-12-19T10:00:46","modified_gmt":"2022-12-19T10:00:46","slug":"bezpieczenstwo-danych-w-chmurze","status":"publish","type":"post","link":"https:\/\/oktawave.com\/pl\/blog\/uslugi\/bezpieczenstwo-danych-w-chmurze\/","title":{"rendered":"Bezpiecze\u0144stwo danych w chmurze"},"content":{"rendered":"\n

Cz\u0119sto podczas rozwa\u017cania decyzji o migracji do chmury<\/a> pojawiaj\u0105 si\u0119 w\u0105tpliwo\u015bci, czy dostawca w odpowiedni spos\u00f3b zadba o bezpiecze\u0144stwo mojej infrastruktury? Je\u015bli posiadamy w\u0142asn\u0105 serwerowni\u0119, sprawa wydaje si\u0119 oczywista. Ufamy naszemu dzia\u0142owi IT, \u017ce w\u0142a\u015bciwie zadba o bezpiecze\u0144stwo naszych system\u00f3w i danych. O ile oczywi\u015bcie ma czas, dedykowany bud\u017cet i kwestia ta ma wysoki priorytet.<\/strong><\/p>\n\n\n\n\n\n\n\n

W wi\u0119kszo\u015bci przypadk\u00f3w w pierwszej kolejno\u015bci realizowane s\u0105 te projekty, kt\u00f3re maj\u0105 prze\u0142o\u017cenie na zysk, napi\u0119te terminy realizacji lub s\u0105 dobrze premiowane. Bezpiecze\u0144stwo rzadko spe\u0142nia te kryteria. Mo\u017ce wi\u0119c dostawca chmury potraktuje je priorytetowo?<\/p>\n\n\n\n

Odpowied\u017a brzmi: musi w\u0142a\u015bnie tak do niego podej\u015b\u0107. Je\u015bli nie zadba o bezpiecze\u0144stwo us\u0142ug swoich klient\u00f3w, poniesie ogromne ryzyko. Przy pierwszym incydencie zwi\u0105zanym z wyciekiem danych b\u0105d\u017a niedost\u0119pno\u015bci\u0105 us\u0142ug, operator chmury traci wiarygodno\u015b\u0107, a co za tym idzie, klient\u00f3w i pieni\u0105dze.<\/p>\n\n\n\n

Kolejn\u0105 w\u0105tpliwo\u015b\u0107 budzi kwestia spe\u0142nienia wymaga\u0144 prawnych, regulacyjnych czy wewn\u0119trznych. Wiele sektor\u00f3w ju\u017c teraz musi spe\u0142nia\u0107 szereg przepis\u00f3w dotycz\u0105cych przetwarzania informacji. RODO, Dyrektywa NIS czy regulacje bankowe, to tylko cz\u0119\u015b\u0107 ca\u0142ego wachlarza regulacji.<\/p>\n\n\n\n

W jaki spos\u00f3b dostawca us\u0142ug chmurowych mo\u017ce udowodni\u0107, \u017ce powa\u017cnie podchodzi do zapewnienia bezpiecze\u0144stwa danych i zgodno\u015bci z normami prawnymi? Jest kilka sprawdzonych i powszechnie uznanych sposob\u00f3w.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

SZBI I ISO\/IEC 27001:2013<\/h2>\n\n\n\n

Pierwszym z nich jest wdro\u017cenie Systemu Zarz\u0105dzania Bezpiecze\u0144stwem Informacji (\u201eSZBI\u201d) zgodnym z norm\u0105 ISO\/IEC 27001:2013, zak\u0142adaj\u0105cego ci\u0105g\u0142e doskonalenie procesu.<\/p>\n\n\n\n

WDRO\u017bENIE SYSTEMU OBEJMUJE NAST\u0118PUJ\u0104CE ETAPY:<\/h3>\n\n\n\n
    \n
  • okre\u015blenie struktury zarz\u0105dzania<\/li>\n\n\n\n
  • zdefiniowanie podstawowych cel\u00f3w i kryteri\u00f3w bezpiecze\u0144stwa<\/li>\n\n\n\n
  • zarz\u0105dzanie ryzykiem obejmuj\u0105ce identyfikacj\u0119, analiz\u0119, ocen\u0119 i wyb\u00f3r sposobu post\u0119powania z ryzykiem<\/li>\n\n\n\n
  • wdro\u017cenie zabezpiecze\u0144<\/li>\n\n\n\n
  • pomiary, monitorowanie i nadz\u00f3r<\/li>\n<\/ul>\n\n\n\n

    Po wdro\u017ceniu tego systemu organizacje mog\u0105 podda\u0107 si\u0119 niezale\u017cnemu audytowi, w celu otrzymania certyfikatu od akredytowanej jednostki certyfikuj\u0105cej. Uzyskanie akredytowanego certyfikatu ISO\/IEC 27001:2013 potwierdza, \u017ce wdro\u017cony system jest skuteczny, i \u017ce organizacja rozumie znaczenie bezpiecze\u0144stwa informacji.<\/p>\n\n\n\n

    PROCES CERTYFIKACJI ISO\/IEC 27001, SK\u0141ADA SI\u0118 Z NAST\u0118PUJ\u0104CYCH ETAP\u00d3W:<\/h3>\n\n\n\n


    1. Audyt wst\u0119pny<\/strong><\/p>\n\n\n\n

    To pierwsza wnikliwa analiza systemu zarz\u0105dzania w firmie pod k\u0105tem zgodno\u015bci z norm\u0105 ISO\/IEC 27001. Jej celem jest identyfikacja potencjalnych luk wymagaj\u0105cych usprawnienia.<\/p>\n\n\n\n

    2. Audyt certyfikuj\u0105cy<\/strong><\/p>\n\n\n\n

    Weryfikacja przez niezale\u017cny podmiot, czy zabezpieczenia wymagane przez norm\u0119 ISO\/IEC 27001 zosta\u0142y odpowiednio wdro\u017cone i s\u0105 realizowane. Jej za\u0142o\u017ceniem jest ocena przejrzysto\u015bci dzia\u0142a\u0144 i przegl\u0105d wszystkich proces\u00f3w w obszarze bezpiecze\u0144stwa.<\/p>\n\n\n\n

    3. Certyfikacja<\/strong><\/p>\n\n\n\n

    Finalizuje niezale\u017cn\u0105 ocen\u0105 przedsi\u0119biorstwa. Jest potwierdzeniem pomy\u015blnego przeprowadzenia audytu, \u015bwiadcz\u0105c o proaktywnej postawie firmy w obszarze zapewnienia bezpiecze\u0144stwa informacji.<\/p>\n\n\n\n

    4. Doskonalenie<\/strong><\/p>\n\n\n\n

    Zak\u0142ada dalsze, systematyczne usprawnianie proces\u00f3w zachodz\u0105cych w firmie, odzwierciedlaj\u0105c dojrza\u0142o\u015b\u0107 organizacji i jej polityk\u0119 wzmacniania bezpiecze\u0144stwa. W ramach tzw. audyt\u00f3w nadzorczych jednostka akredytuj\u0105ca sprawdza czy System Zarz\u0105dzania Bezpiecze\u0144stwa Informacji jest doskonalony w trybie ci\u0105g\u0142ym.<\/p>\n\n\n\n

    W ostatnim czasie norma ISO\/IEC 27001 jeszcze bardziej zyska\u0142a na rozpoznawalno\u015bci. Wdro\u017cenie SZBI certyfikowanego na zgodno\u015b\u0107 z norm\u0105 jest jednocze\u015bnie potwierdzeniem spe\u0142niania wymaga\u0144 zdefiniowanych w wielu regulacjach m.in. RODO, Ustawa o krajowym systemie cyberbezpiecze\u0144stwa, Rekomendacja D (KNF).<\/p>\n\n\n\n

    CSA STAR<\/h2>\n\n\n\n


    Kolejnym sposobem na zaprezentowanie w\u0142a\u015bciwego podej\u015bcia do kwestii bezpiecze\u0144stwa oraz zapewnienia zgodno\u015bci z wymaganiami wielu przepis\u00f3w prawnych oraz standard\u00f3w, jest certyfikacja w ramach programu STAR (Security, Trust, Assurance, Registry). Jest on dedykowany dla procesu bezpiecze\u0144stwa w modelu cloud computing. W rejestrze STAR widnieje ponad 500 dostawc\u00f3w us\u0142ug chmurowych z ca\u0142ego \u015bwiata, a liczba ta ca\u0142y czas ro\u015bnie. (\u0179r\u00f3d\u0142o: Cloud Security Alliance).<\/em><\/p>\n\n\n\n

    STAR jest cz\u0119\u015bci\u0105 programu CSA Open Certification Framework (\u201eOCF\u201d) polegaj\u0105cego na przyznawaniu dostawcom us\u0142ug w chmurze akredytowanych, zaufanych i globalnych certyfikat\u00f3w, potwierdzaj\u0105cych stosowanie najlepszych praktyk w zarz\u0105dzaniu bezpiecze\u0144stwem.<\/p>\n\n\n\n

    PROCES CERTYFIKACJI CSA STAR SK\u0141ADA SI\u0118 Z KILKU POZIOM\u00d3W:<\/h3>\n\n\n\n


    1. Poziom 1 – Samoocena<\/strong><\/p>\n\n\n\n

    Polega na opublikowaniu deklarowanej przez dostawc\u0119 samooceny, opartej na Consensus Assessment Initiative (CAI) Questionnaire w przypadku bezpiecze\u0144stwa, i GDPR CoC w przypadku prywatno\u015bci.<\/p>\n\n\n\n

    CAI jest kwestionariuszem zawieraj\u0105cym oko\u0142o 300 pyta\u0144, kt\u00f3re pozwalaj\u0105 uzyska\u0107 odpowied\u017a czy dostawca stosuje zabezpieczenia opisane w matrycy wymaga\u0144 nazwanej Cloud Control Matrix (CCM).<\/p>\n\n\n\n

    Matryca opisuje, jakie zabezpieczenia powinny si\u0119 znale\u017a\u0107 w danej domenie bezpiecze\u0144stwa, do jakich komponent\u00f3w architektury si\u0119 odnosz\u0105 (fizyczne, sieciowe, obliczeniowe, przechowywanie danych, aplikacje, dane), do jakiego rodzaju us\u0142ugi (Software, Platform, Infrastructure) oraz kto jest odpowiedzialny za ich wdro\u017cenie (dostawca czy odbiorca us\u0142ugi).<\/p>\n\n\n\n

    Dodatkowo ka\u017cde zabezpieczenie jest zmapowane do wymaga\u0144 powszechnie stosowanych norm, standard\u00f3w czy regulacji m.in. PCI DSS, GDPR (znane w Polsce bardziej jako RODO), czy wspomniana ju\u017c norma ISO\/IEC 27001. Celem GDPR Code of Conduct (CoC) jest ocena poziomu bezpiecze\u0144stwa danych osobowych przetwarzanych w chmurze.<\/p>\n\n\n\n

    2. Poziom 2 – Certyfikacja \/ Atestacja<\/strong><\/p>\n\n\n\n

    Certyfikacja polega na rygorystycznej ocenie zgodno\u015bci z wymaganiami Cloud Control Matrix oraz standardu ISO\/IEC 27001 (w przypadku bezpiecze\u0144stwa) oraz GDPR Code of Conduct (w przypadku prywatno\u015bci).<\/p>\n\n\n\n

    Atestacja opiera si\u0119 wsp\u00f3\u0142pracy pomi\u0119dzy Cloud Security Alliance oraz AICPA w celu przeprowadzeniu przez niezale\u017cny podmiot oceny systemu kontroli wykorzystuj\u0105cego elementy Cloud Control Matrix oraz publikacji raportu 2 SOC \u2013 Service Operation Centre.<\/p>\n\n\n\n

    3. STAR Continuous<\/strong><\/p>\n\n\n\n

    Polega na ci\u0105g\u0142ym i automatycznym monitoringu obecnego poziomu bezpiecze\u0144stwa u dostawcy, opartego na Cloud Audit i Cloud Trust Protocol (CTP) oraz publikacji jego wynik\u00f3w w powszechnie rozumianych formatach.<\/p>\n\n\n\n

    W Oktawave przyk\u0142adamy du\u017c\u0105 wag\u0119 do bezpiecze\u0144stwa us\u0142ug i danych swoich klient\u00f3w. W 2015 roku podj\u0119li\u015bmy decyzj\u0119 o poddaniu si\u0119 procesowi certyfikacyjnego na zgodno\u015b\u0107 SZBI z norm\u0105 ISO\/IEC 27001:2013. Przyst\u0105pili\u015bmy te\u017c do programu CSA STAR. Dwa razy w roku jeste\u015bmy poddawani niezale\u017cnym ocenom w ramach audyt\u00f3w nadzorczych. Co trzy lata jeste\u015bmy poddawani audytom certyfikuj\u0105cym. Takie obowi\u0105zki wynikaj\u0105 z konieczno\u015bci utrzymania certyfikat\u00f3w i potwierdzenia ci\u0105g\u0142ego doskonalenia proces\u00f3w bezpiecze\u0144stwa.<\/p>\n\n\n\n

    Dodatkowo Oktawave jako akceptant kart p\u0142atniczych podlega kwartalnym skanom bezpiecze\u0144stwa oraz corocznym audytom zgodno\u015bci ze standardem PCI DSS, kt\u00f3re przeprowadza zewn\u0119trzny Certyfikowany Audytor Bezpiecze\u0144stwa (ang. QSA \u2013 Qualified Security Agent).<\/p>\n\n\n