雲端安全顧慮：無端的猜疑？
This blog is adapted from the original post here. 企業組織採納雲端技術可以帶來許多不可否認的效益，包括成本節省、商務敏捷性、以及讓使用多種運算裝置的員工們達到更好的生產力。根據IDC所做的第五個年度終端使用者調查，亞太區資訊長(CIO)在2013年增加50%的雲端服務與技術支出，達到75億美元。再者，他們對於要使用何種類型的雲端模式以及要在雲端之上執行何種工作負荷，也都有必較特定的選擇。IDC在最近的Vendor Spotlight報告中指出，此一轉移趨勢提高了複雜化的層級，特別是在應用管理方面，包括應用該駐留在什麼地方以及管理人員是否有能力可以確保維護適當的安全性和網路成長。 儘管有著那麼多正面效益，但關鍵在於有一項致命且牽動所有層面的負面因素，阻礙企業朝雲端轉移 - 那就是被全球和亞洲企業組織視為最高優先的「安全性」！ 大多數人們認為雲端比不上傳統資料中心安全，或者認為現在欠缺可以解決一些特定安全顧慮例如資料外洩的完美方案。這並非真實。真正讓終端使用者感到不安的原因在於喪失管控能力。 儘管人們對於轉移到雲端運算有所遲疑，但事實上它擁有比傳統資料中心更多層的安全性。 雲端服務供應商有著強大的動機促使他們提供最佳安全性，因為這攸關他們本身的商務和聲譽。他們通常會投資特定技術並部署專門的人員，確保能以最強的能力來降低安全威脅。再者，現在有越來越多雲端安全性與資料保護法的訂定，因此當發生不可預期的攻擊時有助於舒緩企業組織的不安。 然而，一旦CIO選擇將應用程式從他們的資料中心轉移到雲端，就等於將他們整體資料保護的部分管控權讓渡出去。正因為如此，除了選擇一家優良的雲端服務供應商以建立信心之外，CIO需要在他們可以著力的地方如應用層強化安全性。 面對新典範的行動化、雲端與混合網路，企業如何解決網路、應用與資料存取問題？如此眾多行動化但僅受到公司有限度管控的新裝置，加上散佈在網路、各種雲端與SaaS環境的應用與資料，企業該如何確保快速、適當、驗證與授權的存取？ 身分識別只是管控存取的先頭部隊。使用者請求存取的當下情境，以及他們提出存取請求時所處的環境，同樣都是確保安全存取的要素。若能夠適當的管控「何人」、「何事」、「何時」、「何地」、「為何」與「如何」，就可以確保、強化和區分使用者對網路、雲端、應用與資料的安全存取，而不論那些資源駐留在何處或如何組成。 確保有效率且安全的在網路、雲端、應用程式和資料之間分享使用者身分識別，(不論他們身在何處，是現在的一項必要工作。然而，這有許多挑戰，例如身分識別孤島、雲端與SaaS應用和資料的企業內部(on-premise)身分識別、以及使用者密碼疲勞(導致較弱的使用者名稱與密碼)等都很容易被破解。解決之道就是要構築一個身分識別橋梁。聯合識別(federation)透過業界標準例如SAML，在網路、雲端、應用程式之間建立一個信任的鏈結，不再需要繁雜的身分識別目錄複製與插入。身分識別與存取由企業管控，並且在企業、雲端與SaaS服務供應商之間進行認證。企業能夠集中化的管控使用者認證與終止。聯合識別提供了存取能見度與管控能力。 F5利用安全性判斷提示標記語言(Security Assertion Markup Language; SAML)在身分識別提供者與服務提供者之間交換認證與授權資料，協助企業組織在應用層強化安全性與存取政策。其後，他們就可以一致的維護政策執行並確保使用者能夠存取關鍵的服務，跨越應用程式與環境，讓雲端部署更為簡單且擁有更安全的本質。클라우드 상에서의 보안에 대한 우려, 근거가 없는 것일까?
Please find the English language post from which this was adapted here. 조직들이 클라우드를 도입할 경우 비용 절감, 비즈니스 민첩성, 그리고 다수의 컴퓨팅 디바이스를 사용하는 직원들의 생산성 향상 등을 비롯해 얻게 되는 장점이 많다는 점은 부인할 수 없다. IDC는 2014년 전세계 클라우드 시장 규모가 761억 달러에 이르렀고 2015년에는 23.3%의 성장률을 기록하며 1180억 달러에 이를 것으로 전망하고 있다. 또한, IT부서의 65% 이상이 2016년까지 하이브리드 클라우드를 채택할 것으로 내다봤다. 또 다른 시장조사기관인 테크놀로지 비즈니스 리서치(TBR)도 클라우드 시장이 더욱 성장할 것이라고 밝혔다. TBR에 따르면, 2015년 2015년 전 세계 프라이빗 클라우드 시장은 35%, 퍼블릭 클라우드 시장은 25%, 하이브리드 클라우드 시장은 50% 이상 성장할 전망이다. (source: IT World 기사) 상당히 많은 ‘긍정적인’ 장점과 시장전망에도 불구하고, 기업들이 클라우드 환경으로 나아가는 것을 가로막고 있는 단 하나의 치명적인 ‘부정적인’ 요소는 바로 전 세계 기업들이 최우선 과제로 꼽는 ‘보안’ 문제 이다. 대다수 사람들은 클라우드가 기존의 데이터센터보다 덜 안전하다고 생각하거나, 정보유출과 같은 특정 보안문제를 해결해주는 환상적인 솔루션은 없다고 생각한다. 하지만 그것은 사실이 아니다. 엔드유저들을 불안하게 만드는 원인은 바로 관리 능력의 상실이다. 클라우드 컴퓨팅에 대해 우려가 있지만 실제로는 클라우드 컴퓨팅이 전통적인 데이터센터보다 보안에 대해서 더 많은 단계로 구성되어 있다. 클라우드 서비스 업체들은 그들의 명성과 비즈니스가 달려있는 상황인 만큼 가능한 최고의 보안을 제공하고자 한다. 그들은 종종 특정 기술에 투자하고 전문인력들을 고용해서 보안위협에 대응할 수 있는 최고의 능력을 확보한다. 또한, 예측 불가능한 공격이 발생했을 때 조직들이 피해를 덜 입도록 도와주기 위한 클라우드 보안 규정 및 데이터 보호 법령의 수도 증가하고 있다. 하지만 여전히 CIO들이 자체 데이터센터에 있던 애플리케이션들을 클라우드로 옮기기로 결정하는 경우, 자신의 데이터 전체에 대한 보호기능의 일부를 타인에게 이양하게 된다. 그렇기 때문에 믿음직하고 훌륭한 클라우드 서비스 제공업체를 선정해야 하는 것 외에 CIO들은 자신이 할 수 있는 부분에서 보안을 최대로 강화해야 하는데, 애플리케이션 레이어 내의 보안이 바로 그것이다. 이 분야에 강점을 가지고 있는, F5의 솔루션은 당사자들간에 인증 및 승인 데이터를 교환하도록 조직들이 SAML(Security Assertion Markup Language)을 이용해 애플리케이션 레이어에서의 보안 및 액세스 정책을 통합하는 것을 지원한다. 이를 통해 조직들은 일관성 있게 정책을 집행하고 모든 애플리케이션과 환경에 걸쳐 사용자들이 필수적인 서비스들을 항상 사용할 수 있도록 확실히하여 클라우드 기반 애플리케이션 배치를 더욱 간편하고 본질적으로 더욱 안전하게 만든다. 결국 수많은 장점을 가진 클라우드로의 이전을 고려할 때 우리의 옛 속담처럼 구더기 무서워서 장을 못 담그는 것은 현명한 결정이 아니며, 보안에 대한 우려라는 구더기가 생기기 않도록 적절하고 확실한 대책을 강구하는 것이 정답이라고 말할 수 있다.Apakah Tidak Ada Sistem Keamanan yang Mampu Menjamin Keamanan Cloud?
Please find the English language post from which this was adapted here. Cloud adalah platform komputasi masa depan bagi perusahaan, karena diyakini dapat mendorong tingkat dan laju perubahan dalam perusahaan. Menghemat biaya operasional dan modal, meningkatkan kelincahan dalam melakukan proses bisnis, serta meningkatkan produktivitas merupakan faktor-faktor utama yang membuat pertumbuhan komputasi cloud di dunia maupun di Indonesia semakin pesat. Tingginya tingkat adopsi komputasi cloud tercermin dalam sebuah riset terbaru dari IDC . Riset ini mengungkap bahwa ada lebih dari 65% perusahaan IT dunia berkomitmen untuk mengadopsi teknologi cloud sebelum tahun 2016. Di Indonesia sendiri, menurut lembaga riset International Data Corporation (IDC), pasar komputasi cloud di dalam negeri tahun 2014 diprediksi mencapai US$ 168 juta dan akan meningkat hingga US$ 377,8 juta di 2017. Sayangnya, pesatnya pertumbuhan komputasi cloud ini masih dihantui oleh kekhawatiran tentang keamanan dan cara-cara perlindungan platform tersebut. Menurut hasil survei ‘Global Tech Adoption Index’ tahun 2014, menyebutkan keamanan sebagai faktor utama yang menghalangi perusahaan mengimplementasikan komputasi cloud. Banyak paradigma di perusahaan yang menyatakan bahwa keamanan data center berbasis cloud tidaklah sebaik data center on-premise, atau bahkan tidak ada solusi ampuh yang diciptakan untuk mampu mengatasi masalah keamanan yang spesifik, seperti kebocoran data. Hal ini tidaklah benar. Paradigma ini muncul karena, calon pengguna merasa bahwa mereka akan kehilangan kendali penuh atas data Center tersebut. Meskipun terdapat keraguan mengenai komputasi cloud, namun faktanya data center berbasis cloud bisa memiliki lapisan keamanan yang lebih baik dibandingkan dengan data center on-premise. Apa yang mendorong keamanan cloud menjadi lebih tangguh? Karena penyedia layanan cloud semakin termotivasi untuk meningkatkan keamanan mereka. Keamanan merupakan faktor utama yang berpengaruh terhadap reputasi serta kelanjutan bisnis mereka. Bayangkan jika perusahaan penyedia layanan tersebut tidak berhasil menjaga keamanan, pelanggan tidak mungkin mau membeli layanan dari perusahaan itu atau bahkan mempercayakan data mereka disimpan ke dalam sistem yang tidak aman tersebut. Untuk menjaga kelangsungan bisnis, penyedia layanan cloud berinvestasi ke dalam teknologi-teknologi keamanan serta mempekerjakan profesional dalam bidang keamanan untuk mengoptimalkan dan memastikan keamanan sistem mereka. Gartner meramalkan bahwa pasar cloud security akan meningkat dari US$2,1 miliar menjadi US$3,1 miliar di tahun 2015 ini, hampir meningkat 33%. Namun perlu diingat bahwa ketika CIO mengambil keputusan untuk memindahkan aplikasi perusahaan dari data center on-premise ke cloud, perusahaan sebenarnya melepaskan beberapa kontrol atas perlindungan data mereka. Karena keamanan tidak lagi sepenuhnya dikendalikan oleh perusahaan, terlepas dari kepercayaan terhadap penyedia layanan cloud, CIO perlu memastikan keamanan data perusahaan semampunya. Salah satu cara yang paling mungkin dilakukan adalah menerapkan sistem perlindungan di dalam lapisan aplikasi. Sistem perlindungan dalam lapisan aplikasi merupakan salah satu keunggulan dari F5 Networks. Solusi-solusi dari F5 mampu membantu mengonsolidasikan security dan access policies ke lapisan aplikasi dengan menggunakan Security Assertion Markup Language (SAML). Dengan mengonsolidasikan SAML ke dalam lapisan aplikasi, perusahaan akan mampu melakukan exchange authentication dan authorization data antar berbagai pihak. Setelah konsolidasi tersebut, perusahaan akan memiliki kemampuan untuk menegakkan kebijakan dan memastikan bahwa end-user dapat mengakses layanan tersebut kapanpun dan di manapun secara aman. Dengan menggunakan solusi F5, penerapan platform berbasis cloud di perusahaan menjadi semakin sederhana dan tentunya lebih aman.Security concerns over cloud: Are they unfounded?
The advantages for organisations adopting the cloud are undeniably many: cost savings, business agility and better productivity amongst employees who use a multitude of computing devices. According to IDC’s 5th annual survey of end-users, regional CIOs in Asia Pacific increased their spending on public cloud services and technologies in 2013 by 50 percent to US$7.5B. They are also more specific about which types of cloud models they will use and the workload that will run on the cloud. IDC notes in their recent Vendor Spotlight paper, this move adds level of complexity especially the management of applications – where should the myriad of apps reside, do they have skill sets to ensure adequate level of security and growing network. Despite the significant number of ‘pros’, all it takes is one deadly and encompassing ‘con’ to deter enterprises from moving to the cloud; and it is one that many organisations globally and in Asia place top priority on: Security! Most will think that the cloud is less secure than the traditional data center, or that there aren’t fantastic solutions designed to address specific security concerns such as data leaks. It’s not true. It is the loss of control that hinders the end-user’s peace of mind. Despite the hesitation about cloud computing however, it in fact, consists of more layers of security than traditional data centers. Cloud service providers are motivated to offer the best security as their own business as their reputation is at stake. They often invest in specific technology and employ dedicated professionals, to ensure the highest ability to mitigate security breaches. There are also increasing amounts of cloud security and compliance data protection laws to help assuage organisations should unforeseeable attacks happen. Still, when CIOs choose to move applications from their own data centres out to the cloud, they are relinquishing part of their control over their entire data protection.This is why, apart from having faith in having chosen a good cloud service provider, CIOs need to enhance their security where they can — within the application layer. This is where F5 excels, helping organisations to consolidate security and access policies at the application layer using Security Assertion Markup Language (SAML) to exchange authentication and authorization data between parties. Afterwhich, they can consistently enforce policies and ensure vital services are available to users — across applications and environments – making cloud-based deployments simpler and inherently more secure.
