ноябрь    2024

Пн	Вт	Ср	Чт	Пт	Сб	Вс
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30

показать все 

14.11.2024

Обновление BI.ZONE Secure DNS: гибкая настройка фильтрации и максимальная скорость

Читать далее 

14.11.2024

RED Security: в октябре количество DDoS-атак на ТЭК выросло в 3 раза

Читать далее 

14.11.2024

Falcongaze представила новую версию DLP-системы — SecureTower 7 Helium

Читать далее 

14.11.2024

ИСП РАН покажет результаты 30-ти лет работы на Открытой конференции в Москве

Читать далее 

08.11.2024

Юбилейная конференция ЭОС: ЭОС: 30 лет лидерства на рынке автоматизации документооборота и обсуждение актуальных трендов

Читать далее 

показать все 

21.11.2024

ИИ: маршрут не построен, но уже проектируется

Читать далее 

18.11.2024

Глеб Шкрябин: «Надежные и масштабируемые системы — основа стабильной работы бизнеса в условиях больших нагрузок»

Читать далее 

14.10.2024

Елена Ситдикова: «На разработчиках программного обеспечения для транспорта лежит большая ответственность перед пассажирами»

Читать далее 

11.10.2024

Технологический ИИ-арсенал

Читать далее 

28.09.2024

Чем страшен ИИ, и с чем его едят

Читать далее 

13.06.2024

Взгляд в перспективу: что будет двигать отрасль информационной безопасности

Читать далее 

18.04.2024

5 способов повысить безопасность электронной подписи

Читать далее 

18.04.2024

Как искусственный интеллект изменит экономику

Читать далее 

18.04.2024

Неочевидный САПР: выход ПО за рамки конструкторской деятельности

Читать далее 

18.04.2024

Скоро некому будет делать сайты и заниматься версткой

Читать далее 

показать все 

Главная / Архив номеров / 2014 / Выпуск №5 (38) / Облачные технологии: работа над ошибками

Рубрика: Тема номера /  Облачные вычисления и виртуализация

Игорь Савчук, работает в CoreLink Datacenter. Программист с 12-летним стажем. Автор более 200 опубликованных в печатной прессе статей по ИТ-тематике

Облачные технологии: работа над ошибками

Облачные вычисления, несмотря на проблемы, становятся ведущим мировым трендом ИТ

В марте 2014 года были опубликованы результаты одного из самых масштабных исследований пользовательских предпочтений в области облачных технологий. Исследовательская компания SafeNet провела опрос 700 директоров, отвечающих за безопасность и информационные технологии крупных компаний во всех регионах мира. Методическая тщательность и большой охват респондентов делают это исследование чрезвычайно интересным с точки зрения понимания актуальных проблем в облачной индустрии.

Забегая вперед, отметим центральный вывод и одновременно вызов всей облачной индустрии, вскрытый в ходе этого исследования, – недоверие к безопасности, надежности шифрования и хранения ключей доступа. Степень этих опасений серьезно различается в разных регионах мира (например, наименьшие подобные страхи зафиксированы в Северной Америке, наибольшие – в странах Восточной Европы, Ближнего Востока и Африки), тем не менее можно уверенно констатировать, что это общая «больная тема» для облачных технологий в этом году.

Исследователи проанализировали и сгруппировали ответы респондентов, выделив три логические группы характерных для индустрии страхов и ошибок, которые далее предлагаю последовательно рассмотреть, перечисляя в порядке их серьезности.

1-й уровень: страх всего нового и неизвестного

Первый пласт проблем связан скорее с психологическим дискомфортом руководства, которому тяжело принять факт, что за безопасность его частных данных в рамках облачной идеологии теперь будет отвечать сторонний и абстрактный сервис облачного провайдера. SafeNet комментирует, что это не всегда оправданные опасения, чаще всего их можно отнести к спорным предубеждениям.

К примеру, Gartner пишет в своем недавнем отчете:

«Новый стандарт Data Security Standard (DSS) требует внедрения усиленного контроля для сбора и хранения данных по кредитным картам. В ответ на подобные требования большая часть европейских фирм решила вообще не хранить критическую информацию в своих системах и доверила эти данные сторонним провайдерам, в первую очередь специализированным облачным системам».

Согласно информации Gartner миграция бизнес-данных под более надежную стороннюю опеку уже началась и достигнет своего максимального пика в течение ближайших пяти лет.

На самом деле сложность и жесткость новых стандартов безопасности (вроде упомянутого DSS) делают проблематичной их реализацию собственными силами – это и дорого, и сложно. Здесь мы наблюдаем типичный эволюционный виток все большей специализации и дифференциации сложных систем и отраслей труда, где более универсальные и старомодные подходы обречены постепенно терять конкурентоспособность, несмотря на свою привычность и субъективно «большую безопасность». Самое время заострить внимание на том, что понятие «надежность» по отношению к облачному хостингу сегодня трактуется двояко. Это надежность как сугубо технический показатель в виде отказоустойчивости и эластичности сервиса и как объективно больший уровень защиты данных от несанкционированного доступа (особенно это касается решений на базе Security-as-a-Service – SaaS).

Есть множество промежуточных и более консервативных решений в рамках борьбы с подобными субъективными опасениями. Например, если облачная миграция остро необходима для развития и масштабирования бизнеса (потенциальный уровень уязвимости которого высок), можно предложить гибридные облака в качестве компромисса. При этом, как правило, критическую часть приложения размещают в приватном облаке (например, сервер баз данных со всей финансовой информацией клиентов), другая же часть (нагруженный терминальный сервер, к примеру) выносится в публичное облако. Такое решение позволяет удобно масштабировать наиболее узкое место в общей схеме, при этом сохранив полный контроль над критической частью своего бизнеса.

Как видим, в этой части опасений со стороны бизнеса нет ничего фундаментального – эти страхи либо изначально субъективны, либо легко нивелируются альтернативными решениями. Но вот второй вскрытый исследованием пласт проблем заставляет задуматься более глубоко.

2-й уровень: дефицит профессионалов

Как оказалось, настройка шифрования и квалифицированный менеджмент криптографических ключей требуют от местных ИТ-профессионалов высокого уровня технической подготовки, а также наличия четких корпоративных политик безопасности. Как минимум опрошенные ИТ-директора констатируют, что поиск и найм подобных высококвалифицированных специалистов не только затруднен, но и ощутимо раздувает бюджет компании. Сегодня нет никаких универсальных методик и общеизвестных критериев в области облачной ИБ, что затрудняет найм и самостоятельное обучение подобных специалистов.

Промежуточный итог – опрос SafeNet предельно ясно локализует еще одно больное место облаков: в реальных организациях на данный момент не имеется достаточного количества сотрудников требуемой квалификации для качественной консолидации ЦОД. Большинство руководителей признались (79%), что в их крупных организациях вопросами безопасности и шифрования в облачных средах занимаются менее пяти человек. С другой стороны, примерно две трети опрошенных утверждают, что около трети используемых приложений содержит конфиденциальные и критически важные данные, которые требуют высшего уровня защиты.

Что касается малого и среднего бизнеса, то ситуация здесь еще более опасная: квалифицированного сотрудника, ответственного за локальную политику ИБ, шифрование и хранение ключей, подобные организации чаще всего не имеют, потенциально сводя на нет любые усилия по безопасности со стороны облачного провайдера услуг.

3-й уровень: отсутствие стратегии

Третий пласт проблем, с которыми сталкиваются руководители при попытках осуществления качественной консолидации на основе облачных технологий, – это отсутствие глобальной стратегии или последовательного плана миграции. Это значит, что даже при решимости задействовать облачные технологии, а также при наличии в своем штате ответственных и квалифицированных ИТ-специалистов, способных настроить и сопровождать безопасную среду вокруг любых передаваемых на хранение данных, бизнес сталкивается с необходимостью радикальной перестройки принципов накопления и обработки данных внутри самого предприятия. Последний вызов выходит за рамки исключительно технических проблем, требуя безупречного планирования и способности видеть бизнес как единое целое.

Иначе говоря, важно сформировать новую корпоративную схему работы, чтобы она в полной мере соответствовала возможностям и специфике применяемых облачных систем, а не просто формально заменяла одно из технических звеньев на другое, более модное. Вся система эффективна ровно настолько, насколько эффективно ее самое слабое звено, поэтому важно отталкиваться в своем росте именно от облачной составляющей, заставляя все остальные сегменты адаптироваться к гибкости и возможностям облаков.

Пракаш Панджвани (Prakash Panjwani), старший вице-президент и генеральный управляющий SafeNet, так комментирует этот тип затруднений:

«Реализация масштабных изменений в логике инфраструктуры часто вызывает у ИТ-специалистов объективные затруднения и опасения. Теперь, когда данные могут храниться в гибридном ИТ-окружении (в том числе на собственном оборудовании, на мобильных устройствах и в облаке), сотрудникам служб безопасности необходимо отказываться от привычных и традиционных подходов, чтобы внедрять новые технологии шифрования, новые методики контроля и новые политики использования корпоративных ресурсов, которые поддерживают и в полной мере используют современные динамические окружения ЦОД».

Этот «третий уровень», по мнению SafeNet, – самый абстрактный и серьезный среди рассмотренных облачных вызовов. Стоит привести конкретный пример, чтобы лучше пояснить именно этот характерный аспект частой неудовлетворенности облаками со стороны бизнеса. Пример я возьму из недавнего отчета Accenture, крупного вендора ИТ-сервисов, который расследовал несколько неудачных переходов отдельных клиентов на облачную инфраструктуру. Так, одно из банковских учреждений провело миграцию на SaaS, но уже через год после перехода сообщило, что «облачные вычисления не оправдали ожиданий по увеличению эффективности бизнеса».

Вот как комментирует конкретно этот проанализированный случай управляющий директор компании Accenture Элисон Кейрнс:

«Так произошло потому, что, начав переход в облако, эта компания ограничилась исключительно инфраструктурным аспектом, проигнорировав все другие возможности. Это было хорошее начало, но от этой исходной точки нужно логично и последовательно выстраивать все остальное, не пытаясь довольствоваться очевидными полумерами. Если вы не обновите все звенья системы, то устаревшие технологии будут по-прежнему диктовать параметры работы вашему бизнесу».

Итак, по-настоящему эффективная консолидация с облачной концепцией потребует анализа узких мест и системной перестройки всей инфраструктуры. В большинстве случаев трансформация логики работы предприятия – сложный комплексный проект, который не ограничивается покупкой новой облачной услуги.

Сознательные попытки сэкономить, отложить на потом либо хроническое непонимание природы облаков – все это негативно отражается на конечных результатах, разочаровывая отдельных руководителей «сомнительной эффективностью облачных технологий».

Суммируя хронические проблемы

Я бы хотел обобщить сказанное и выделить главные ошибки облачной миграции, выявленные на большом количестве кейсов и приведенные в уже вскользь упомянутом отчете Accenture.

И хотя все эти проблемы так или иначе при желании можно свести к трем вышеописанным «абстрактным уровням страхов» от SafeNet, они слишком типичны и коварны, чтобы не рассмотреть их отдельно.

Итак, вот типичные причины неудачной миграции в облачные среды, согласно данному альтернативному исследованию:

• Форсированная попытка адаптации изначально не совместимого с облачной идеологией проекта (not cloud-way). Причины – отсутствие сторонней независимой экспертизы проекта (принцип «сначала надо ввязаться в драку, а там посмотрим…»), а также авторитарный стиль управления, желание слепо следовать моде.
• Некомпетентные специалисты, ошибки в технической фазе реализации. Причины – неудовлетворительный подбор персонала отделом кадров, отсутствие контроля, личной ответственности или мотивации со стороны ИТ-директоров.
• Неправильное понимание концепции облаков на уровне руководящего звена при принятии решений и постановке задач. Причины – авторитарный стиль управления, невключение в реальное управление ИТ-директоров. В этом случае также типично отсутствие обратной связи с техническим департаментом предприятия, нет качественной фазы планирования/анализа облачных концепций.

Как видим, все наблюдаемые организационно-технические проблемы сводятся к банальному человеческому фактору, что часто приводит к будущим финансовым проблемам и общей неудовлетворенности, несправедливо компрометируя «эти мифические» облачные технологии.

Развенчивая эти и другие типичные заблуждения, специалисты SafeNet дополнительно отвечают на наиболее часто задаваемые клиентами вопросы. В частности, подчеркивается, что для инициализации облачных услуг необходимо, чтобы целевое приложение изначально подходило (или было адаптировано) для облака. Нужны реальная производственная необходимость и технические возможности для его горизонтального масштабирования.

Эксперты компании резюмируют этот важный тезис так:

«Вы не получите никаких выгод от облака, если ваш сервер загружен в течение 100% времени. Преимущества облаков появляются, когда вы начинаете оптимизировать и отсекать неиспользуемые ресурсы: если сервер приложений не справляется с нагрузкой, вы запускаете дополнительные инстансы, если же нагрузка упала, отключаете их. Таким образом, для успеха нужны подходящая по специфике задача/приложение и желание постоянно работать над оптимизацией всех задействованных ресурсов».

Продолжая обсуждать перечень типичных облачных стереотипов, SafeNet признает – действительно, важно быть независимым от проблем «последней мили», то есть иметь надежные каналы подключения к Сети. Но при этом зависимость от интернет-подключения не нужно излишне гипертрофировать, ведь получить экстренный доступ к облачному приложению в случае аварийного падения или недоступности основного интернет-канала в нынешних городских условиях можно практически всегда альтернативным способом (например, через повсеместный мобильный интернет 3G/4G). Что же касается возможных задержек для «тяжелых приложений», то, например, в США Google ведет активное строительство национального гигабитного Интернета, постоянно выпускаются все более быстрые спецификации для беспроводного доступа и так далее. Тенденция массового внедрения широкополосного доступа сейчас стремительно набирает обороты по всему миру.

Таким образом, уже скоро, по мере роста скорости доступа в Сеть, даже традиционно не подходящие для облака задачи – к примеру, высоконагруженные реляционные базы данных, массивные банковские системы, тяжелая графика и тому подобные задачи – начнут чувствовать себя в облаках весьма комфортно.

Следующий тревожный пункт в выявленном списке – возможность подключения к SaaS-платформе огромного количества пользователей, что вызывает опасения пих контролю. SafeNet отмечает, что размещение ПО на собственном компьютере создает лишь иллюзию защищенности – вероятность уязвимости в этом примере как раз больше в последнем локальном случае.

Ведь любая соседняя по компьютеру взломанная программа может содержать в себе троян или бэкдор, а любые несанкционированные процессы/программы легко проникают в систему через «USB-флешку» или развитую локальную сеть.

Тогда как типичные SaaS-решения размещаются на удаленном защищенном сервере, доступа к его исходным кодам и низкоуровневым информационным структурам нет ни у кого из локальных пользователей, следовательно, вероятность взлома таких систем ниже. Пользователи имеют доступ только к терминалу, и им нет ни необходимости, ни технической возможности размещать какой бы то ни было код, как на своем локальном компьютере, так и в удаленном облаке.

SafeNet настойчиво апеллирует к статистике – защита информации слабее как раз в тех организациях, которые хранят ее локально. Так, каждый третий сотрудник, покидая компанию, уносит те или иные конфиденциальные данные на обычной «USB-флешке».

В реальной жизни кражи паролей происходят чаще всего из-за служебных конфликтов или случайных ошибок персонала, а вовсе не в результате атак виртуозных хакеров против глобальных облачных сервисов. Из недавних публичных случаев можно привести громкий пример EasyFinance, когда недовольные сотрудники публиковали исходные коды и содержимое корпоративных баз данных. Буквально каждый месяц всплывают все новые случаи хищения критических финансовых данных, взлома частных баз данных, и практически во всех этих случаях целью для атак преступников становились локальные сети и обычные серверы организаций и банков.

Таким образом, эксперты пытаются опровергнуть распространенный стереотип: активно использовать облака – все равно что складывать все яйца в одну корзину, а затем делегировать эту корзину под ответственность другого человека.

По мнению ИБ-специалистов, эту типичную «страшилку» лучше свести к аналогичной и бытовой (а значит, и более очевидной) ситуации: что безопаснее – хранить большие деньги дома под собственным матрасом либо поручить их хранение банку? Хранение в надежном банке, кроме очевидно большей безопасности, дает также другие плюсы перед привычным дедовским способом. Возвращаясь к реальности – опасность внезапного выхода из строя жесткого диска у главного сервера предприятия куда более вероятна, чем гипотетические неприятности с безопасностью со стороны известного облачного провайдера.

Стратегическое противоречие

Как хорошо видно из приведенных данных, компетенция принимающей решение стороны играет решающую роль. Также важен стиль руководства, авторитарные формы которого по-прежнему распространены и часто приводят к неожиданным и негативным результатам.

Чтобы подчеркнуть этот диалектический антагонизм между архаичным стилем управления в сочетании с децентрализованной сущностью облачной идеологии, позвольте привести показательную цитату из известной книги «Облачная демократия», во вступлении к которой это критическое противоречие ясно озвучено авторами:

«Главное противоречие современного мира – противоречие между прогрессивными облачными децентрализованными структурами и старомодными вертикальными конструкциями, между гибкостью новых решений и неуклюжестью старых схем. В бизнесе вопрос о выборе пути развития не стоит: современная экономика не прощает промедления и игнорирования новых технологий».

Как видно, облачные технологии в нашей стране частенько вырождаются в банальный карго-культ, в слепое желание включить в технологическую цепочку очередную модную новинку, подчас чуждую общей архаичной структуре и стилю управления компании.

Как справедливо утверждают исследователи из SafeNet, эффективное использование облаков подразумевает последовательную перестройку структуры управления и более прогрессивное управление как в области политик безопасности, так и в области менеджмента, стратегии развития и управления людскими и техническими ресурсами.

***

Чем больше появляется абстрагированных уровней ЦОДа, тем больше возникает всевозможных aaS, тем лучшее понимание сущности облаков требуется от ИТ-директоров. Прогресс упорно движется вперед, подтверждая, что облачные вычисления, несмотря на все отдельные трудности, становятся ведущим мировым трендом ИТ. Вслед за набирающей обороты агностической концепцией облаков также начинают появляться первые рабочие решения на базе туманных вычислений (Fog Computing). От бизнеса все это требует адекватного роста компетенции и активных темпов модернизации, чтобы не остаться на обочине мирового прогресса.

В начало⇑

Комментарии отсутствуют

Комментарии могут отставлять только зарегистрированные пользователи