雲端資訊安全101
雲端運算的概念可追朔至一篇發表於2003年文章-IT不再攸關重大，作者認為IT將成為像電力與鐵路一樣處處可見的基礎設施，且隨選即用的通用應用軟體會取代客製化軟體成為主流，企業將不再因採用IT技術而獲得領先優勢，並倡導「轉攻為守」的策略，將IT管理重點放在降低成本與防範資訊作業委外所引發之資安風險等議題。
20年過去了，雲端運算因Google、Amazon及Microsoft等美國科技巨擘的技術研發與推廣已日趨成熟，例如Youtube、Dropbox及Zoom等都是以雲端平台為基礎所發展出來的網路服務；然而，許多大型企業至今仍在為如何透過雲端進行數位轉型而傷腦筋，甚至不惜砸大錢請顧問公司協助輔導與規劃，因此，IT至今仍是企業能否成功數位轉型的關鍵，那什麼是雲端運算呢？
雲端運算雖然發展快速，但最廣為人知的仍是美國國家標準和技術研究院(National Institute of Standards and Technology, NIST)於2011年發表於SP 800-145的定義如下：
雲端運算是一種能透過無所不在的網路，以便利且隨選所需的方式存取共享式運算資源池（例如網路、伺服器、儲存空間、應用程式與服務）的運作模式，運算資源的提供只需要最少的管理作業與供應商涉入，就能快速配置與發布運算資源。雲端運算還可從５種必要特徵、４種部署模式及３種服務模型做進一步的探討：
５種必要特徵
- 隨選所需自助服務：雲端服務使用者可以在不需要雲端服務供應商人工介入的情況下自行配置資源，像是伺服器運作時間與網路儲存空間等。
- 廣泛的網路存取方式：雲端服務使用者可透過網路存取雲端資源，並且能以標準的連線機制促成各式異質的終端平臺存取。（例如手機、筆記型電腦、掌上型電腦）
- 共用資源池：雲端服務使用者可透過雲端服務供應商所提供的共享資源池，依據需求動態配置或取消實體與虛擬化的運算資源，達到多租戶共用實體資源的形式。在某種程度上，各租戶所使用之資源具備一定層度的隔離（例如：邏輯隔離）且可指定運算資源與儲存空間的所在地
- 迅速伸縮自如：雲端運算在配置運算資源時，可迅速伸縮自如，既可快速擴增架構，亦可快速縮小架構，在一些情況下甚至能夠自動化運作。對雲端服務使用者而言，像是有取之不盡、用之不竭的運算資源，而且可以隨時隨意的購買。
- 服務可量測：雲端運算系統擁有服務量測能力（例如儲存空間、處理器、頻寬與使用人數），並能自動控制運算資源的使用與最佳化。資源的使用情況可以被監控、控制、匯報，如同使用水電服務一樣地透明化。
４種部署模式
- 公有雲(Public Cloud)：由雲端服務供應商建立，提供給一般大眾使用，並依照使用量計費。
- 私有雲(Private Cloud)：由單一組織建立，只供該組織所使用。
- 社群雲(Community Cloud)：由一群擁有共同任務、特定需求的組織共同成立，以服務該社群。
- 混合雲(Hybrid Cloud)：結合兩種以上的雲端運算架構，透過標準或私有技術而讓資料與應用程式擁有可攜性。
３種服務模型
- 軟體即服務(Software as a Service, SaaS)：軟體廠商將其軟體運行在具有高度延展性的雲端基礎設施上，以服務的型式提供，讓使用者透過瀏覽器等精簡型介面即可使用軟體。
- 平臺即服務(Platform as a Service, PaaS)：以服務的型式提供應用程式開發平臺，用戶以供應商支援的程式語言與工具，可將自行開發或購買的應用程式部署到雲端架構。
- 基礎設施即服務(Infrastructure as a Service, IaaS)：以服務的型式提供運算、儲存、網路等硬體運算資源，讓使用者能夠如同使用實體設備一樣管控，而不需要理會其背後的硬體架構與維護。
在了解雲端運算的特性後，究竟雲端環境的安全該如何維護呢？首先要了解，由於雲端服務的特性，雲端環境的安全必須有賴於雲端服務使用者(Cloud Service Customer, CSC)與雲端服務供應商(Cloud Service Provider, CSP)共同維護，雲端服務使用者在選擇雲端服務平台前，除了要了解各雲端服務平台所提供的安全服務(亦即所謂Security “OF” the cloud)以外，更要了解雲端服務使用者自身所需負責的安全責任有哪些(亦即所謂Security “IN” the cloud)。
其實，雲端運算與我們所熟悉的地端機房一樣，都是由網路、主機、作業系統、應用程式及資料堆疊組合合成，只是由於技術的演進，產生出一些更有效率的運作方式，例如虛擬主機(Virtual Machine)與軟體定義網路(Software Define Network, SDN)等。一般來說，若雲端服務使用者直接將本地端環境實體主機或虛擬主機搬移至雲端的虛擬主機(即採所謂IaaS模式上雲)，雖然搬遷的異動幅度最小，所花成本也最低，但上雲後所需負擔的管理責任相較於(PaaS與SaaS)也較高，無法充分享受到上雲後的優勢，目前國內大型企業在資源充足且無法規限制的條件下，均傾向採用軟體即服務(SaaS)服務，以減輕維運管理的負擔與資訊安全的風險。
在透過雲端安全責任共享模型釐清責任邊界後，該如何著手開始進行雲端安全的規劃呢？其實，雲端安全的規劃與地端一致，可由人員面、流程面及技術面進行。
- 人員面：
管理階層對未來公司業務的發展有許多想法，例如透過物聯網的技術收集各類即時資料，透過大數據分析以更深入了且客戶的偏好等，這些在傳統地端環境可能需要耗費大量時間添購設備才能達成的業務發產策略，借助雲端運算的優勢，可以更快且更低成本的方式達成，管理階層應充分了解上雲對數位轉型的重要性，提供足夠的資源讓團隊成員也同樣技術轉型的方式跟上公司發展的腳步，搭配有經驗的顧問協助上雲以減少不必要的冤枉路，畢竟，人才的發展是企業永續經營的關鍵，且往往許多雲端運算的資安事故是由於內部人員操作錯誤所導致。
- 流程面：
有好的人才與共同目標後，還需搭配好的管理程序，雲端安全才能長治久安。管理程序的制定可從識別產業相關法規要求開始，參考如ISO 27017與CSA CCM等國際雲端安全標準，從政策、管理規範程序到表單，建立起雲端管理相關四階文件，若為雲地共通流程(例如風險評鑑與內部稽核)，可考慮程序書採雲地端合併撰寫的方式，若為雲端特有流程(例如透過Terraform等IaC工具部進行環境署或雲端金鑰管理流程)，可考慮獨立撰寫雲端管理程序，透過正式管道進行文件發布後執行人員的教育訓練宣導，依循PDCA循環逐漸達成說、寫、做一致的目標。
- 技術面：
在未採用多雲策略的前提下，應僅可能以雲端服務供應商提供之雲原生的服務為主，如此才能有效地與其他雲端工具進行整合(例如存取控制與稽核軌跡)。此外，若將機敏性資料或個資存放於雲端環境，應該採取傳輸加密、儲存加密或甚至處理加密的方式進行資料處理，在發生雲端資安事故時才能大幅降低資料外洩之風險。
| Service category | Service type | Google Cloud product | AWS offering | Azure offering | |
|---|---|---|---|---|---|
| Networking | Firewall | Google Cloud Armor | AWS WAF | Azure Web Application Firewall (WAF), Azure Front Door |
留言
發佈留言