Ключ к шифрованию в «облаках» — у кого есть к нему доступ?

Простого решения по обеспечению безопасности данных, хранящихся «в облаке», не существует, и в любом случае архитектура облачных систем должна строиться на шифровании. Возникает вопрос: где гарантии, что ключ к этому шифру будет доступен лишь пользователю?

Несмотря на то, что главной целью использования облачных сервисов являются экономия средств и большее удобство обмена информацией, оно неминуемо влечёт за собой утрату полного контроля над данными. Для многих организиций это является основным барьером на пути к принятию облачных технологий. То, что в «облаках» используются сложные алгоритмы шифрования, не является убедительным доводом: неясно, кто всё же несёт ответственность за сохранность конфиденциальных данных. В проведённом компанией Thales e-Security и институтом Pomenon исследовании 44 процента респондентов считают, что обеспечение сохранности данных — прямая обязанность провайдера облачного сервиса. Тридцать процентов сочли, что это дело клиента. Очевидно, что раз нет единства понимания, то нет и унификации подходов к проблеме.

Управление ключами шифрования — столь же ответственное дело, как и контроль физического доступа на охраняемый объект. Неважно, насколько крут ваш замок: если кто-то нехороший сумеет подобрать к нему ключ, он бесполезен. Тем более если речь идёт о «родном» ключе, невесть как попавшем ему в руки. Поэтому в переговорах с провайдером облачного сервиса дождитесь момента, когда разговор зайдёт о шифровании, и задайте прямой вопрос о том, каков регламент обращения с клиентскими ключами. Кто из системных администраторов будет иметь доступ к вашему ключу? Как быть с ключом, который доступен нескольким пользователям одновременно? А вдруг среди них окажутся ваши конкуренты? Насколько хорошо защищён ключ, и каким образом предполагается поступить при его утрате? Однако можете не ждать на эти вопросы вразумительных ответов: провайдеров, способных на это, сегодня можно пересчитать по пальцам.

Однако на облачном горизонте всё не так уж и уныло. Не успели скопиться тучи, как подул свежий ветер: ряд отраслевых экспертов из области IT разработали стандарт совместимости процедур обращения с ключами (Key Management Interoperability Protocol). Первая рабочая версия стандарта была опубликована в 2009 году. На начало прошлого года этот стандарт был добровольно принят тридцатью организациями, к которым за прошедшие полтора года присоединилось как минимум несколько десятков. Ряд производителей решений внедрили поддержку нормативов KMIP в обновлённые версии своих продуктов. Если ваш провайдер впервые услышит о существовании этого стандарта от вас самих — скорее всего, лучше обратиться к кому-нибудь другому.