在雲端服務還沒有成為熱門的議題之前，資料中心就已經存在IT的運作環境之中，因為資料中心可以提供共享的資源，包括伺服主機、儲存設備等，透過集中化的方式以達到更有效率的管理。但是傳統的資料中心，通常為了滿足擴充的需求，在設計架構上會特別提供超出水準之上的資源，一旦若是閒置而未充分地利用，相對地反而耗費了許多管理與能源消耗的成本。
隨著雲端服務的興起，資料中心的資源共享模式，正好滿足了雲端服務的主要特徵，因此資料中心的建置數量也隨之不斷地增長，以提供更多雲端服務所需要的運算資源，而且傳統閒置資源可能造成的浪費，也透過如虛擬化技術的運用，可以實施彈性且自由度高的擴充作法，以最佳化各項硬體設備與支援服務的使用。
評估資料中心的服務能量
對雲端服務的用戶而言，在一開始評估是否要採用雲端服務，並且選擇合適的服務供應商時，就應該將服務供應商是否有能力可提供所需的運算資源、可彈性地擴充調配，並具有足夠的成本價格競爭力納入考量。同時，更重要的是在提供雲端服務的過程中，是否有足夠的能力可以因應處理可能發生的資安問題，這包括了基礎設施與技術架構的設計、符合要求的服務持續性與可用性，以及在資安事故發生時的回應速度與處理的可靠性等。
事實上，在採用雲端服務之前，就要對資料中心進行有效的評估並不容易，因為這有賴於服務供應商願意配合的程度，以及用戶本身對於基礎設施與技術架構的理解能力。用戶除了可親自到場觀察資料中心的軟硬體設備之外，將各項服務水準指標呈現在服務等級協議(SLA)之中，並且獲得供應商的確認與回覆，通常也會是比較可行的作法。
另外，透過詢問相關的服務問題，也將有助於用戶進行事前評估，例如了解供應商是否依賴第三方提供服務運作所需的資源？當用戶需要擴充運算資源時，供應商如何進行動態的調整配置？一旦所租用的資源達到上限時，供應商如何即時地將更多資源不中斷地提供給用戶？請觀察服務供應商對這些問題的回應，是否可以滿足自己的規劃與需求。
選擇資料中心的評估建議
當用戶與雲端服務供應商簽訂合約時，在資料中心的運作方面，CSA的雲端運算關鍵領域指南，提出了以下建議可作為用戶的參考：
- 用戶必須評估服務供應商所提供的雲端運算服務，是否可滿足雲端運算的五大關鍵特徵，包括廣泛的網路存取方式、快速且彈性的架構、可量測的服務、按照需求自行調配、虛擬化的資源池等，以了解其基礎設施和技術架構，是否可達到服務等級協議的要求。
- 了解服務供應商如何進行資源的彈態調配以及主要來源，在服務等級協議之中清楚的設定各項服務指標，確保彼此在一個可量測的基礎之上來擬定合約內容。
- 了解服務供應商是否有持續改善或擴充資源的計劃，一旦服務供應商本身在政策、作業流程、應用工具的改變，都有可能對用戶所採用的服務造成影響，如果服務供應商承諾將會持續地優化其服務內容，這將會是服務供應商良好的市場競爭條件。
- 由於雲端服務的多租戶特性，請評估服務供應商在提供眾多客戶相同的服務時，在系統、網路、資料、人員和管理方面，是否能夠達到有效的隔離與職責區分，以避免不同用戶之間可能產生的干擾與影響。
- 對雲端服務供應商而言，提供技術服務的窗口或是服務台(helpdesk)，會是影響客戶觀感的重要項目，因此提供標準化的作業流程與工具，將能夠大幅提升問題處理的能力。對於用戶來說，如果服務供應商的服務支援方式與組織內部的IT服務方式相同，就能更有效地處理可能發生的事故或問題。
- 針對營運持續的問題，用戶應了解服務供應商的營運持續與災難復原計畫，評估其進行事故處理的方式，例如如何為系統更新修補程式，是否有既定的政策與流程？是否進行演練，以驗證各項計畫的有效性等。換個角度來看，用戶也應將採用雲端服務，在服務中斷時可能造成的影響與處理方法，納入本身的營運持續管理之中。
雲端運算服務的特色與傳統IT服務有著明顯的不同，它不再只是單一服務，提供給單一用戶來使用，因此只要有一些小小的變動，都有可能影響到眾多來自不同組織的的用戶，所以在資安事故的處理方面，更需要小心謹慎地來進行，而且為了滿足不同用戶的需求，更需要建立有效的應變機制才行。
在雲端的世界裡，資安事故的發生不可能百分之一百的避免，因此一定要有對應的處理方式，尤其是雲端服務牽涉到IT基礎的設施架構、應用程式部署的平台環境，以及應用程式本身的運作，其中只有要任一環節的疏忽，都可能對雲端服務造成重大的影響，例如造成不當的資料遺失或服務中斷等，這些都需要相關的知識與專業技術才能有效地避免。
用戶必須了解供應商如何去蒐集與雲端服務運作有關的資料，並且持續地進行分析判斷，一旦判定其為可能的事故，如何在最短的時間內，採用何種方式通報給用戶，同時進行事故的回應與處理。在雲端服務的環境之中，由於資料存放的位置難以掌握，因此在不同國家所發生的事故，所要遵循的法規和處理流程可能有所不同，是否有可能因為法律的調查要求，而間接影響到用戶所租用的雲端服務，建議在合約中要求供應商作出適當的說明，用戶再評估是否可接受此一風險。
未來，隨著個人資料保護法的實施，在資安事故的應變處理將產生更大的挑戰，如果某一資安事故中包含了個人資料的不當存取或遺失，那麼在處理過程中，如何依照法律的要求進行通報，並且有效地保護事故處理過程中有關的各項證據，是服務供應商需要妥善規劃的項目，這也是用戶在選擇採用服務供應商，評估是否使用雲端服務來處理與個人有關的資料時，不可忽略的重點之一。
資安事故應變處理的建議
在雲端服務的運作過程之中，難免都會遇到與資安相關的問題，如果沒有適當的因應作法，很可能就會演變成影響業務運作的重大事故，因此用戶在資安事故的預防溝通與服務供應商的應變處理作法，將會成為風險管理的重要關鍵，以下是雲端運算關鍵領域指南中所提供的實務建議：
- 無論採用的是哪一家服務供應商所提供的雲端服務，都必須事先了解其對於資安事件的監控方式與事故處理流程，用戶可要求服務供應商提供並說明其事故處理的應變計畫，以及應變計畫的測試與演練記錄。另外，在服務部署之前，更要清楚的定義哪些屬於一般的事件警示(例如系統效能不足)？哪些屬於需要進行立即處理的事故(例如資料損毀或遣失)？
- 在一個動態變動的雲端環境之中，對傳統的鑑識行為是一個很大的挑戰，包括設定事故調查的範圍、證據蒐集的方式、保留資料的完整性及確認符合證據力的鑑識過程等。因此在服務合約或服務等級協議中，必須清楚地明訂資安事故的因應處理事項，其中也應包括事故相關記錄的蒐集、檢驗、分析和鑑識報告。
- 當事故發生時，如何調閱及提供事故相關的記錄，對用戶來說是不可或缺的，因為在多租戶的使用環境中，如何分離出與事故有關的資料，並且不侵犯到其他用戶的隱私，在技術面與流程面都是供應商的一項考驗。另外，一旦事故是採取系統回復的方式來處理，那麼事故過程的日誌記錄是否能夠保留並提供調閱，也是需要事先確認的。不過，隨著虛擬化技術的應用，在某些層面上，系統的分析與監控是持續運行的，這將會縮短事故發現與回應的時間，而且相關的虛擬映像檔，也可以快速地轉移到其他地點進行保存和檢驗，這對於事故鑑識也會形成一大幫助。
- 雲端服務的用戶，對於供應商進行事故調查的參與可能非常有限，尤其是隨著所採用雲端服務的型式不同，針對事故鑑識調查的能力也會有著很大的差異。以IaaS服務來說，用戶可以在所租用的虛擬主機中，使用鑑識工具進行主機的事故調查，但是在基礎設施如網路、儲存設備的記錄調閱方面，就有賴於服務供應商的協助；至於PaaS和SaaS的調查，因為涵蓋了應用平台的API介面與應用程式的運作部署，相關的記錄更需要依賴服務供應商的大力支援，才有辦法判定可能的事故原因是位於哪一層面(例如有缺陷的API或應用程式的漏洞)，因此用戶與服務供應商更需要緊密的配合才行。
- 請事先了解有哪些服務運作記錄將會被留存和其所保存的期限，相關日誌記錄的範圍可能包括網路系統、安全設備、應用程式、系統管理員登入與存取、備份與還原、組態變更、系統效能、系統錯誤訊息等。同時，用戶也必須了解服務供應商是否有防止竄改的安全措施(例如加密)，以確保記錄的有效性。(本文刊載於2012年8月號網管人雜誌)
CSA：Security Guidance for Critical Areas of Focus in Cloud Computing
沒有留言:
張貼留言