· Производители владеют, а также должны делать все для того, чтобы соответствовать уровню сервиса для каждого клиента в отдельности. Все необходимые ресурсы и усилия, приложенные для достижения должного уровня сервиса в работе с клиентами, должны быть бесплатны для клиента, то есть не входить в стоимость сервиса.

· Клиенты, в свою очередь отвечают за и владеют уровнем сервиса, предоставляемого их собственным внутренним и внешним клиентам. При использовании решений производителя для предоставления собственных сервисов - ответственность клиента и уровень такого сервиса не должен целиком зависеть от производителя.

· В случае необходимости интеграции систем производителя и клиента, производители должны предлагать клиентам возможности мониторинга процесса интеграции. В случае, если у клиента существуют корпоративные стандарты по интеграции информационных систем, производитель должен соответствовать этим стандартам.

· Ни при каких условиях производители не должны закрывать учетные записи клиентов за политические высказывания, некорректную речь, религиозные комментарии, если это не противоречит специфическим законодательным нормам, не является выражением ненависти и т.п.

Статья 3: Производители владеют своими интерфейсами

· Производители не обязаны предоставлять стандартные интерфейсы или интерфейсы с открытым кодом, если обратное не прописано в соглашениях с клиентом. Правами на интерфейсы обладают производители. В случае, если производитель не считает возможным предоставить клиенту возможности по доработке интерфейса на привычном языке программирования, клиент может приобрести у производителя либо сторонних разработчиков услуги по доработке интерфейсов в соответствии с собственными требованиями.

· Клиент, однако, обладает правом использовать приобретенный сервис в собственных целях, а также расширять его возможности, реплицировать и улучшать. Данный пункт не освобождает клиентов от ответственности патентного права и права на интеллектуальную собственность.

Приведенные выше три статьи - основа основ для клиентов и производителей "в облаке". С их полным текстом вы можете ознакомиться в открытом доступе в сети Интернет. Конечно, данный билль не является законченным юридическим документом, а уж тем более официальным. Статьи его могут меняться и расширяться в любое время, равно как и билль может дополняться новыми статьями. Это попытка формализовать "право собственности" в облаке, чтобы хоть как-то стандартизировать эту свободолюбивую область знаний и технологий.

Взаимоотношения между сторонами

На сегодняшний день лучшим экспертом в сфере облачной безопасности является Cloud Security Alliance (CSA). Эта организация выпустила и недавно обновила руководство, включающее описание сотни нюансов и рекомендаций, которые необходимо принимать во внимание при оценке рисков в облачных вычислениях.

Еще одной организацией, деятельность которой затрагивает аспекты безопасности в облаке, выступает Trusted Computing Group (TCG). Она является автором нескольких стандартов в этой и других сферах, в том числе широко используемых сегодня Trusted Storage, Trusted Network Connect (TNC) и Trusted Platform Module (TPM).

Эти организации совместно выработали ряд вопросов, которые заказчик и провайдер должны проработать при заключении договора. Данные вопросы позволят решить большую часть проблем при использовании облака, форс-мажорных обстоятельствах, смене провайдера облачных услуг и прочих ситуациях.

1. Сохранность хранимых данных. Как сервис-провайдер обеспечивает сохранность хранимых данных?

Лучшая мера по защите расположенных в хранилище данных - использование технологий шифрования. Провайдер всегда должен шифровать хранящуюся на своих серверах информацию клиента для предотвращения случаев неправомерного доступа. Провайдер также должен безвозвратно удалять данные тогда, когда они больше не нужны и не потребуются в будущем.

2. Защита данных при передаче. Как провадйер обеспечивает сохранность данных при их передаче (внутри облака и на пути от/к облаку)?

Передаваемые данные всегда должны быть зашифрованы и доступны пользователю только после аутентификации. Такой подход гарантирует, что эти данные не сможет изменить или прочитать ни одно лицо, даже если оно получит к ним доступ посредством ненадежных узлов в сети. Упомянутые технологии разрабатывались в течение "тысяч человеко-лет" и привели к созданию надежных протоколов и алгоритмов (например TLS, IPsec и AES). Провайдеры, должны использовать эти протоколы, а не изобретать свои собственные.

3. Аутентификация. Как провайдер узнает подлинность клиента?

Наиболее распространенным способом аутентификации является защита паролем. Однако провайдеры, стремящиеся предложить своим клиентам более высокую надежность, прибегают к помощи более мощных средств, таких как сертификаты и токены. Наряду с использованием более надежных к взлому средств аутентификации провайдеры должны иметь возможность работы с такими стандартами как LDAP и SAML. Это необходимо для обеспечения взаимодействия провайдера с системой идентификации пользователей клиента при авторизации и определении выдаваемых пользователю полномочий. Благодаря этому провайдер всегда будет располагать актуальной информацией об авторизованных пользователях. Худший вариант - когда клиент предоставляет провайдеру конкретный список авторизованных пользователей. Как правило, в этом случае при увольнении сотрудника или его перемещении на другую должность могут возникнуть сложности.

4. Изоляция пользователей. Каким образом данные и приложения одного клиента отделены от данных и приложений других клиентов?

Лучший вариант: когда каждый из клиентов использует индивидуальную виртуальную машину (Virtual Machine - VM) и виртуальную сеть. Разделение между VM и, следовательно, между пользователями, обеспечивает гипервизор. Виртуальные сети, в свою очередь, развертываются с применением стандартных технологий, таких как VLAN (Virtual Local Area Network), VPLS (Virtual Private LAN Service) и VPN (Virtual Private Network).

Некоторые провайдеры помещают данные всех клиентов в единую программную среду и за счет изменений в ее коде пытаются изолировать данные заказчиков друг от друга. Такой подход опрометчив и ненадежен. Во-первых, злоумышленник может найти брешь в нестандартном коде, который позволит ему получить доступ к данным, которые он не должен видеть. Во-вторых, ошибка в коде может привести к тому, что один клиент случайно "увидит" данные другого. За последнее время встречались и те, и другие случаи. Поэтому для разграничения пользовательских данных применение разных виртуальных машин и виртуальных сетей является более разумным шагом.

5. Нормативно-правовые вопросы. Насколько провайдер следует законам и правилам, применимым к сфере облачных вычислений?

В зависимости от юрисдикции, законы, правила и какие-то особые положения могут различаться. Например, они могут запрещать экспорт данных, требовать использования строго определенных мер защиты, наличия совместимости с определенными стандартами и наличия возможности аудита. В конечном счете, они могут требовать, чтобы в случае необходимости доступ к информации смогли иметь государственные ведомства и судебные инстанции. Небрежное отношение провайдера к этим моментам может привести его клиентов к существенным расходам, обусловленными правовыми последствиями.

Провайдер обязан следовать жестким правилам и придерживаться единой стратегии в правовой и регулятивной сферах. Это касается безопасности пользовательских данных, их экспорта, соответствия стандартам, аудита, сохранности и удаления данных, а также раскрытия информации (последнее особенно актуально, когда на одном физическом сервере может храниться информация нескольких клиентов). Чтобы это выяснить, клиентам настоятельно рекомендуется обратиться за помощью к специалистам, которые изучат данный вопрос досконально.

6. Реакция на происшествия. Как провайдер реагирует на происшествия, и насколько могут быть вовлечены его клиенты в инцидент?

Иногда не все идет по плану. Поэтому провайдер услуг обязан придерживаться конкретных правил поведения в случае возникновения непредвиденных обстоятельств. Эти правила должны быть задокументированы. Провайдеры обязательно должны заниматься выявлением инцидентов и минимизировать их последствия, информируя пользователей о текущей ситуации. В идеале им следует регулярно снабжать клиентов информацией с максимальной детализацией по проблеме. Кроме того, клиенты сами должны оценивать вероятность возникновения проблем, связанных с безопасностью, и предпринимать необходимые меры.

10. Международные и отечественные стандарты

IEEE, одна из крупнейших организаций по разработке стандартов, объявила о запуске специального проекта в области облачных технологий Cloud Computing Initiative. Это первая инициатива по стандартизации облачных технологий, выдвинутая на международном уровне - до сегодняшнего дня стандартами в сфере облачных вычислений занимались преимущественно отраслевые консорциумы. В настоящее время инициатива включает в себя 2 проекта: IEEE P2301 (tm), "Черновое руководство по обеспечению портативности и интероперабельности профилей облачных технологий”, и IEEE P2302 (tm) - "Черновой стандарт по обеспечению интероперабельности и распределенного взаимодействия (Federation) облачных систем”.

В рамках Ассоциации по разработке стандартов IEEE создано 2 новых рабочих группы для работы над проектами IEEE P2301 и IEEE P2302 соответственно. IEEE P2301 будет содержать профили существующих и находящихся в разработке стандартов в области приложений, переносимости, управления и интерфейсов обеспечения интероперабельности, а также файловых форматов и соглашений в области эксплуатации. Информация в документе будет логически структурирована в соответствии с различными группами целевой аудитории: вендоры, поставщики услуг и другие заинтересованные участники рынка. Ожидается, что по завершении стандарт можно будет использовать при закупке, разработке, построении и использовании облачных продуктов и сервисов, основанных на стандартных технологиях.

В стандарте IEEE P2302 будет описана базовая топология, протоколы, функциональность и методы управления, необходимые для взаимодействия различных облачных структур (например, для взаимодействия приватного облака и публичного, такого, как EC2). Этот стандарт позволит поставщикам облачных продуктов и услуг извлечь экономические преимущества из эффекта масштаба, обеспечивая в то же время прозрачность для пользователей сервисов и приложений.

ISO

ISO готовит специальный стандарт, посвященный безопасности облачных вычислений. Основная направленность нового стандарта - решение организационных вопросов, связанных с облаками. Однако в силу сложности согласовательных процедур ISO окончательная версия документа должна выйти лишь в 2013 г.

Ценность документа в том, что в его подготовку вовлечены не только правительственные организации (NIST, ENISA), но и представители экспертных сообществ и ассоциаций, таких как ISACA и CSA. Причем, в одном документе собраны рекомендации как для провайдеров облачных услуг, так и для их потребителей - организаций-клиентов.

Основная задача данного документа - подробно описать лучшие практики, связанные с использованием облачных вычислений с точки зрения информационной безопасности. При этом стандарт не концентрируется только на технических аспектах, а скорее на организационных аспектах, которые никак нельзя забывать при переходе на облачные вычисления. Это и разделение прав и ответственности, и подписание соглашений с третьими лицами, и управление активами, находящимися в собственности разных участников "облачного" процесса, и вопросы управления персоналом и так далее.

Новый документ во многом вобрал в себя материалы, разработанные в ИТ-индустрии ранее.

Правительство Австралии

После нескольких месяцев "мозгового штурма", правительство Австралии выпустило ряд руководств по переходу на использование облачных вычислений.15 февраля 2012 года эти руководства были выложены на блоге департамента управления информацией правительства Австралии (Australian Government Information Management Office, AGIMO).

Чтобы облегчить компаниям миграцию в облака, подготовлены рекомендации по наилучшей практике использования облачных услуг в свете исполнения требований закона 1997 года об управлении финансами и подотчетности (Better Practice Guides for Financial Management and Accountability Act 1997). В руководствах в общем плане рассматриваются финансовые и правовые проблемы, а также вопросы защиты персональных данных.

Руководства говорят о необходимости постоянного мониторинга и контроля использования облачных услуг посредством ежедневного анализа счетов и отчетов. Это поможет избежать скрытых "накруток" и попадания в зависимость от поставщиков облачных услуг.

Первое руководство называется "Облачные вычисления и защита персональных данных для учреждений правительства Австралии" (Privacy and Cloud Computing for Australian Government Agencies, 9 стр.). В этом документе особое внимание уделяется вопросам обеспечения неприкосновенности частной жизни и безопасности при хранении данных.

В дополнение к этому руководству, был также подготовлен документ "Переговоры о предоставлении облачных услуг - Правовые вопросы в соглашениях о предоставлении облачных услуг" (Negotiating the Cloud - Legal Issues in Cloud Computing Agreements,19 стр.), помогающий разобраться в положениях, включаемых в договора.

Последнее, третье руководство "Финансовые соображения при использовании государственными органами облачных вычислений" (Financial Considerations for Government use of Cloud Computing, 6 стр.) рассматривает финансовые вопросы, на которые компании следует обратить внимание, если она решит использовать облачные вычислений в своей деловой деятельности.

Помимо затронутых в руководствах, есть ряд других вопросов, которые необходимо решать при использовании облачных вычислений, включая вопросы, связанные с государственным управлением, с проведением закупок и с политикой управления деловой деятельностью.

Публичное обсуждение данного аналитического документа дает возможность заинтересованным сторонам рассмотреть и прокомментировать следующие проблемные вопросы:

· Несанкционированный доступ к секретной информации;

· Утрата доступа к данным;

· Неспособность обеспечить целостность и аутентичность данных, и

· Понимание практических аспектов, связанных с оказанием облачных услуг.

11. Территориальная принадлежность данных