Er skyen sikker nok ?

1. Er skyen sikker nok ? Lars Neupart

2. De største forhindringer? Uvished om sikkerhed og persondata

3. Hvad betyder sky? Bange, undseelig, benovet, blufærdig, bly, forlegen, genert, skamfuld og så er der……de der hvide, luftige, uigennemsigtige tingester på himlen….

5. hvem regnede med at nogen skulle forbinde skyer eller ”cloud” med noget sikkert ?

6. Indlægget i dag

7. Masser af trusler • Cloud-leverandør konkurs – dine data og din forretning? • Leverandør lever ikke op til SLA’er • Leverandør med ringe “business continuity planning” • Datacentre i lande med “uvenlig” lovgivning • Leverandør-lock-in med proprietære teknologier og data formater • Ressourcer deles med andre kunder– måske endda konkurrenter • Leverandør-fejl får meget større konsekvenser end fejl I intern-it-afdeling. • Og meget, meget mere……

8. Survey Results

9. Defining Cloud On demand provisioning Elasticity Multi-tenancy Key types Infrastructure as a Service (IaaS): basic O/S & storage Platform as a Service (PaaS): IaaS + rapid dev Software as a Service (SaaS): complete application Public, Private, Community & Hybrid Cloud deployments

10. S-P-I Framework IaaS Infrastructure as a Service You “RFP” security in SaaS Software as a Service You build security in PaaS Platform as a Service

11. Dette indlæg

12. Gennemgang af ny rapport om sikkerheden hos 3 store cloud leverandører Kan hentes gratis på www.neupart.dk/sky

13. Organisationer og publikationer

14. Cloud leverandører i rapporten

15. Hvorfor PaaS? • For IaaS står du selv for meget sikkerhed • For SaaS er det svært at finde 3 ens ydelser at sammenligne • PaaS var tilpas komplekst og sammenligneligt på tværs af leverandører

16. Den teoretiske fremgangsmåde

17. Den faktiske fremgangsmåde

18. Resultat af analysen

19. Hvorfor ”vandt” Google? • Fordi de havde et højt sikkerhedsniveau • Fordi de var gode til at dokumentere deres sikkerhedsniveau • Er de andre så dårlige valg? Ikke nødvendigvis... men • Force.com havde meget lidt information om deres sikkerhedsniveau • Microsoft ”gemte” sig lidt bag ved en masse forkortelser og teknik-snak

20. Dette indlæg

21. Cloud versus egen IT

22. Cloud vs. klassisk outsourcing

23. Et punkt tilbage… (et stort et)

24. Først en forkortelse: GRC IT GRC kan være med til at vurdere og sikre jeres anvendelse af skyen IT GRC = IT Governance, Risk & Compliance Management

25. Sådan kan GRChjælpe medskyen: • IT Governance: • Beslut formål, strategi og operationelle regler for anvendelse af cloud-services. Dvs. opdatér jeres politik/regler/håndbøger • IT Risikovurdering og –styring: • Konsekvensvurdér: Kig på de forretningsprocesser der afhænger / skal afhænge af cloud services. • Sårbarhedsvurder: Undersøg cloud leverandørens sårbarhed. Gennemgå sikkerhedsdokumentation og vilkår. • ISO 27005 er meget velegnet som metode. CSA og ENISA chekclister. • IT Compliance: • Data-klassificering hjælper på vej. • Aftaler/forpligtelser med kunder, partnere m.fl. • Der er forskel på persondata – persondata i skyen er ikke forbudt som udgangspunkt R G C

26. Cloud computing og DS 484 • DS 484 er relativt system-orienteret • Mange detaljerede krav til sikrings-foranstaltninger og implementering • DS 484 udkom før cloud computing R G C

27. Cloud computing og ISO 27001 27001 beskriver krav til ledelsessystem. Nøgleord: • Plan–>do –>check –> act • Politik • Risikovurdering • Intern audit • Ledelsesvurdering • Løbende forbedringer R G C

28. Sådan risikovurderer vi traditionelt Aktiv-type-hierarki Business Product Business Service Business Division Business Function Business Process Supporting Process Key Employee External Resource IT Service Outsourced Service Physical Documents Database Data Files Business System Data Storage System Infrastructure System Logical Server Logical Storage Logical Network Software Product Hardware Unit Communication Line Supply System Data Center Com . Center Supply Center Document Archive Workspace Aktiv-hierarki Finans Konsekvensværdier arves nedad ERP Finans-DB Dynamics AOS SQL 01 Server 01 Server 02 HP DL380 Serial abc0987654321 Sårbarhedsværdierarves opad HP DL380 Serial xyz1234567890 R G C Data Center A

29. Ny afhængighed – men samme metode for vurdering Konsekvensværdier arves nedad Forretnings-proces Forretnings-proces It-services fra egen it. It-services fra cloud-leverandører Sårbarhedsværdierarves opad R G C

30. Input til jeres risikovurdering R G C Kombiaf CSA og ENISA’s checklister, anvendt i Neuparts vurdering af Google, Force.com, MS Azure. neupart.dk/sky Cloud-relevante kontrol-områder:

31. Persondata i skyen? • Odense kommune har fået nej til at bruge Google Apps kontorpakke til følsomme oplysninger fx helbredsforhold, væsentlige sociale problemer og andre rent private forhold. Men generelt: • EU betragtes sikre af Datatilsynet (siger de … hmm….) • Sikre 3. lande: • Schweiz • Canada (begrænset anvendelsesområde - se Kommissionens) • Argentina • Guernsey • USA (kun vedr. flypassagerer - se Kommissionens hjemmeside) • Isle of Man • Jersey • SafeHarbor – ca. 2.000 virksomheder • Liste hos Export.gov R G C

32. Persondata i skyen? Tjah… Bolig, bil, eksamen, ansøgning, CV ansættelsesdato, stilling, arbejdsområde, arbejdstelefon CPR-nummer, økonomi, skat, gæld, sygedage, tjenstlige forhold, familieforhold Race, religion, helbred, sex, politik, fagforening, strafbare forhold, væsentlige sociale problemer, andre rent private forhold som f.eks. selvmordsforsøg, registreret partner, bortvisning fra jobbet, personlighedstest Stamoplysninger: Navn, adresse, fødselsdato R G C

33. er skyen sikker?

34. er skyen sikker? dumt spørgsmål!

35. bedre: er skyen sikker nok?

36. svar: et rungende måske! – kan være bedre, kan være værre… afhænger af mange forhold, som du (heldigvis) kan risikovurdere

37. Spørgsmål? neupart.dk/SKY Rapport om cloud-leverandør-vurdering, mere om cloud-sikkerhed, gratis-seminarer