Рачунарство у облакуРачунарство у облаку (енгл. Cloud computing) представља испоруку рачунарских ресурса и складишних капацитета[1] као услугу за хетерогену групу крајњих корисника[2]. Концепт рачунарства у облаку се ослања на дељење ресурса преко мреже, најчешће Интернета[3]. Крајни корисници приступају апликацијама у облаку преко веб прегледача или десктоп апликације на мобилном телефону, док се софтвер и кориснички подаци налазе на серверима на удаљеној локацији[4]. Постоје три основна типа рачунарства у облаку[5]
Основу рачунарства у облаку чини конвергентна инфраструктура, коју чине различите ИТ технологије повезане у једну логичку и функционалну целину, као апстракција физичких ресурса витруелизацијом, као и дељење ресурса[6]. У моделу рачунарског облака разликујемо два одвојена дела система: екстерни (енгл. front end), који је кориснички део и обухвата све делове инфраструктуре који су под контролом корисника као и сам начин приступа корисника услузи и задњи део (енгл. back end), који обухвата инфрастукруру клауд провајдера. Заговорници рачунарског облака тврде да овај модел дозвољава педузећима да подигну и користе апликације много брже, са бољом контролом и мање одржавања, што омогућава ИТ сектору предузећа да брже и ефикасније испуни промењиве и непредвидиве захтеве пословања. Кључне карактеристике рачунарства у облаку
Модели пружања услугаСофтвер као услуга
Заједнички облак[уреди]Заједнички облак је облак који дели неколико организација[9]. Инфраструктура подржава посебне заједнице које имају заједничке потребе, мисије, захтеве сигурности и слично. Њима могу управљати саме организације или неко други (провајдер услуга). Овде се трошкови деле између само неколико клијената тако да су могућности уштеде ограничене. Хибридни облак[уреди]Структуру облака чине два или више различитих облака (приватни, заједнички или јавни) који остају јединствени ентитети, али су међусобно повезани стандардизованим или прикладним технологијама које омогућавају ефикасан пренос података или апликација. Хибридни облаци повезују јавне и приватне моделе облака. Могућност проширивања приватног облака с ресурсима јавног облака може се користити за одржавање услужних нивоа како би се лакше издржала велика оптерећења. Хибридни облак се такође може користити за управљање планираним великим оптерећењима. Хибридни облаци се сусрећу са сложеношћу одређивања како расподелити апликације по јавном и приватном облаку. Безбедност[уреди]Безбедност у рачунарству у облаку представља поддомен области као што су безбедност мреже, рачунара, безбедност информација. Обухвата различите полисе, регулативе, стандарде и технологије које контролишу пренос података и апликација као и њима додељене рачунарске инфраструктуре рачунарског облака. Сложеност окружења отежава процену ризика, тако да корисници могу ангажовати неутралну трећу страну за процену ризика и одабир провајдера. Питање безбедности се може поделити у неколико генерализованих категорија, а то су сигурност и приватност, усклађеност и правна регулатива. Сигурност и приватност[уреди]Свако предузеће има имплементиран систем менаџмента индентитета помоћу кога управља приступом информацијама и компјутерима. Провајдер клауд услуге може интегрисати клијентов систем менадзмента индентита на својој инфраструктури или понудити своје решење у зависности од тога који ниво услуге је закупљен. Провајдер услуге треба да обезбеди маскираност податка како би само ауторизовани корисници могли имати приступ подацима у читљивом облику. Дигитални идентитети и креденцијали морају бити заштићени као и било који податак који провајдер сакупља или настаје корисниковом активношћу у облаку. Приступ подацима корисника мора бити документован, на нивоу сваке машине на којој су ускладиштени подаци тог корисника. Усклађеност[уреди]Поред праћења логова и ревизије путање провајдери услуга у договору са корисницима обезбеђују потребну сигурност података, чувају их онолико колико корисник то захтева и доступни су за форензичку истрагу. Додатни проблем је јурисдикција јер подаци корисника се могу премештати на различите локације у оквиру облака истог провајдера. Правна регулатива[уреди]Правна регулатива зависи од региона. Корисникова одговорност је да испоштује важећу локалну регулативу, јер као власник података он је одговоран за безбедност. Препоруке[уреди]Провајдер услуге је дужан да обезбеди сигурну инфраструктуру и да корисникови подаци и апликације буду заштићени, док корисник треба да буде сигуран да су одговарајуће мере за заштиту његових података предузете. Корисник би требало да се информише и размотри са провајдером неколико кључних тачака које представљају потанцијалне ризике за безбедност[10].
Када се процесирају и налазе изван предузећа подаци носе ниво ризика, јер спољашњи сервиси превазилазе физичку и логичку контролу као и контролу особља. Потребно је знати ко има приступ тим подацима и која је процедура контроле приступа.
Ултимативно, компанија је одговорна за безбедност и интегритет података чак и ако се они налазе код клауд провајдера. Провајдери клауд услуга су изложени спољном праћењу и безбедносној сертификацији.
Неопходно је знати локацију података и да ли је провајдер спреман да испоштује локалне правне регулативе за име клијента. Неки провајдери пружају могућност клијенту да изабере локацију на којој ће подаци бити ускладиштени.
Уколико корисник користи само софтвер као услугу и нема увид ни контролу над складиштењем ових података, заштита података и енкрипција су веома битни за безбедност. Потребно је дефинисати право приступа над подацима.
У случају да услуга није доступна из било ког разлога или су подаци изгубљени, морају се одредити потребне акције и дефинисати време опоравка. Корисник је одговоран за резервне податаке али може осигурати податке код друге компаније за овакве случајеве.
Уколико дође до корупције података, какву врсту подршке је провајдер спреман да пружи. Ово се најчешће односи на eDiscovery[11]. Пре потписивања уговора са провајдером корисник треба да, самостално или уз ангажовање стручног консултанта, направи детаљну процену ризика у којој ће размотрити све аспекте безбедносних ризика.
Систем клауд компјутинга је систем који функционише без видљивих географских граница, што има за последицу велику различитост у начину законског регулисања у свету. Као последица намеће се проблем јурисдикције. У САД, правна регулатива се ослања на комбинацију подзаконских аката, стандарда, и регулисање међусобних односа уговором. Државни закони битни за ову област су Закон о безбедности података (енгл. State Data Security Law) и Закон о корупцији података (енгл. Data Breach Law). Законом о корупцији података провајдер клауд услуге је дужан да обавести корисника, и уколико се ради о осетљивим подацима који могу угрозити индентет појединца, потребно је све појединце на које се подаци односе обавестити у разумном временском року. Уговором се може дефинисати ко ће обавити дужности обавештавања, као и финансијска одговорност за корупцију података. Одређени федерални закони и регулативе намећу за индустрију специфичне мере безбедности података и обавезе за обавештавање о упаду у систем. Федерални закони и регулативе обухватају финансијске институције, образовне институције, и здравствену заштиту. Индустријски стандард ПЦИ ДСС (енгл. Payment Card Industry Data Security Standards) обухвата податке кредитних картица. Америчке државе у оквиру својих овлашћења доносе законске акте којима регулишу ову област, нпр. Massachusets Agreement 2010. Неки закони захтевају да корисник (ентитет) има гаранцију уговором да ће провајдер клауд услуга обезбедити потребан ниво заштите података. Већина ових регулатива захтева редовне извештаје и праћење логова и ревизију руте. Федерална агенција САД користи процес FedRAMP (енгл. Federal Risk and Authorization Management Program) да приступа и ауторизује клауд производе и сервисе. FedRAMP се састоји од скупа посебних публикација НИСТ 800-53 (енгл. National Institute for Standars and Technology) за контролу безбедности специфичне за окружење рачунарског облака. Провајдери клауд услуге морају омогућити корисницима да испоштују ове регулативе. Усклађивање са регулативом често подразумева да клијенти користе хибридни или заједнички облак, који су скупљи и пружају ограничене предности. Овим приступом компаније као RackspaceCloud или QuickCloud су задовољиле PSI DSS standard[12], док Гоогле задовољава и додатне услове регуатива за ФИСМА стандард[13]. Принцип сигурне луке[уреди]Принцип сигурне луке је процедура којом се уређује пренос личних података у САД. Циљ је да се компаније из САД које раде унутар ЕУ или САД усагласе са ЕУ Директивом о заштити података и да се на тај начин омогући пренос података са потребним мерама заштите како би се спречило откривање или губитак података. Принципи сигурне луке су
Постоје многобројне критике ове процедуре због забринутости за примењен ниво заштите података. У ЕУ рачунарство у облаку је регулисано различитим прописима: Конвенција о високотехнолошком криминалу, Директива за заштиту података, Директива за електронску трговину, Директива о приватности комуникације, Директива о задржавању података. Директива за заштиту података[уреди]Директива за заштиту података предвиђа да уколико провајдер клауд услуга има опрему које је стационирана у ЕУ мора поштовати ту регулативу о обради података. Директива 95/46/ЕУ забрањује трансфер личних података у земље ван Уније али постоје изузеци, уколико провајдер обезбеди адекватне услове заштите података. Да би се такав трансфер обавио, субјекат на кога се лични подаци односе мора претходно да да недвосмислен пристанак да се трансфер обави. Конвенција о високотехнолошком криминалу[уреди]Конвенција представља врхунац међународних напора да се заједничким снагама стане на пут сајбер криминалу. Конвенцију је до сада потписала 41 држава држава чланица Савета Европе и 5 држава ван Европе – Канада, Јапан, Јужна Африка, САД; поступак ратификације завршило је 28 држава. Међу 13 држава које су потписале конвенцију а нису је ратификовале су: Велика Британија, Шведска, Швајцарска, Аустрија, Белгија, Грчка, Шпанија. Конвенцију нису потписале између осталих и Русија и Турска. Технолошки развијене државе су осмислиле механизам сталног дежурства, међусобног обавештавања и синхронизованог деловања под називом МРЕЖА 24/7[14]. Законодавство Републике Србије[уреди]Србија је ратификовала конвенцију о високотехнолошком криминалу[15], и имплементирала одредбе конвенције у следећим законима:
Усвајањем горе наведених закона Србија се прикључила кругу држава које ефективно располажу основним правним инструментима, законском регулативом, државним институцијама и стручним тимовима за супродстаљање високотехнолошком криминалу. Одредбе конвенције су имплементиране у Кривичном Законику, у делу Кривична дела против безбедности рачунарских података и то:
Више тужилаштво је орган надлежан за покретање истраге против сајбер криминала, а Виши суд је судска инстанца чије Одељење пресуђује. Конвенција дефинише 7 нових кривичних дела и значајно је допринела успостављању заједничке казнене политике као и усвајања низа националних прописа и подстицање међународне сарадње. С обзиром на размеру пораста ове врсте криминала у свету и перспективу укључивања у различите форме регионалних интеграција, реално је закључити да ће се одредбе Кривичног законика ускоро показати као недовољне. Тако су предложене измене Закона о организацији и надлежности државних органа за борбу против високотехнолошког криминала. Закон се примењује за откривање, кривично гоњење и суђење за:
Донети су и други подзаконски акти у циљу унапређења информационог друштва, као што је Стратегија развоја информационог друштва у Републици Србији до 2020. год. (сл. гл. РС бр. 51/2010) у различитим областима привредног живота. |
Почетна > II. Дигитална писменост >