امنیت محاسبات ابری

امنیت محاسبات ابری (گاهی اوقات به امنیت ابری تعبیر می‌شود) که زیر مجموعه‌ای از امنیت کامپیوتری، امنیت شبکه و در حالت کلی تر امنیت اطلاعات به حساب می‌آید. این مفهوم شامل مجموعه‌ای از سیاست‌ها، تکنولوژی‌ها و کنترل‌ها جهت محافظت از داده‌ها، برنامه‌ها و زیرساخت‌های امنیتی در محاسبات ابری است.

مسائل امنیتی مرتبط با محاسبات ابری

سازمانها از محاسبات ابری در بسیاری از مدل‌های سرویس دهی از قبیل (نرم‌افزار به عنوان سرویس،زیر ساخت به عنوان سرویس و پلاتفرم به عنوان سرویس) و مدل‌های گسترش یافته نظیر (خصوصی، عمومی و ترکیبی) استفاده می‌کنند. مسائل و نگرانی‌های امنیتی در ارتباط با محاسبات ابری وجود دارد اما تمام این نگرانی‌ها به 2 دسته کلی تقسیم می‌شوند: اول، مسائل امنیتی مربوط به فراهم کنندگان محاسبات ابری و دوم، مسائل امنیتی مربوط به مشتریان. در اغلب موارد، فراهم‌کننده باید از ایمن بودن زیرساختش مطمئن باشد و از داده‌های مشتریانش و برنامه‌های کاربردی محافظت کند در حالیکه، مشتری باید از عملکرد فراهم‌کننده خدمات محاسبات ابری در راستای ایجاد معیارهای امنیتی مناسب برای محافظت از داده‌هایش مطمئن شود.
کابرد گسترده مجازی سازی در پیاده‌سازی زیرساخت محاسبات ابری نگرانی‌های امنیتی یکسانی برای مشتریان و خدمات عمومی محاسبات ابری ایجاد کرده‌است. مجازی سازی، جایگزین ارتباط بین سیستم عامل و سخت افزار در محاسبات، ذخیره‌سازی‌ها و حتی شبکه می‌شود. این امر باعث معرفی لایه جدیدی به نام لایه مجازی می‌شود که خودش نیاز به تنظیم، مدیریت و امنیت صحیح دارد. نگرانی اصلی در این راستا شامل سازگاری نرم‌افزارهای مجازی یا "hypervisor" است. اگرچه که این نگرانی‌ها بیشتر به صورت تئوری مطرح می‌شوند اما می‌توانند در واقعیت وجود داشته باشند. مثلاً، یک شکاف در ایستگاه کاری مدیریت که از نرم‌افزارهای مدیریتی مجازی استفاده می‌کند می‌تواند باعث از کار افتادن یک پایگاه داده یا تنظیم مجدد آن به صورتی مطلوب برای مهاجم شود.

کنترل‌های امنیتی در محاسبات ابری

معماری امنیت ابری فقط در صورتی کاراست که پیاده سازی‌های دفاعی صحیح وجود داشته باشد. یک معماری امنیت ابری کارا باید مسائل امنیتی در سطح مدیریتی را شناسایی کند. مدیریت امنیت مسائل کنترل‌های امنیتی را نشان می‌دهد. این کنترل‌ها برای محافظت از هر نوع ضعفی در سیستم و کاهش اثر یک حمله قرار داده شده‌اند. اگرچه که بسیاری از انواع کنترل، پشت معماری امنیتی محاسبات ابری وجود دارد، آن‌ها می‌توانند در دسته‌های زیر قرار گیرند:

کنترل‌های بازدارنده

این کنترل‌ها به منظور جلوگیری از هر نوع حمله عمدی در یک سیستم محاسبات ابری تنظیم شده‌است. این کنترل‌ها، باعث کاهش آسیب‌پذیری واقعی یک سیستم نمی‌شوند.

کنترل‌های پیش گیرنده

این کنترل‌ها به کمک مدیریت آسیب‌پذیری‌ها سبب افزایش قدرت سیستم می‌شوند. کنترل پیش گیرنده، از آسیب‌پذیری‌های سیستم محافظت خواهد کرد، اگر یک حمله اتفاق بیفتد، بعد از آن این نوع از کنترل‌ها سعی در پوشش حمله و کاهش خرابی امنیت سیستم می‌کند.

کنترل‌های تصحیح‌کننده

این کنترل سعی در کاهش اثر حمله دارد. برخلاف کنترل پیش گیرنده، کنترل تصحیح‌کننده در حین وقوع حمله، عکس‌العمل نشان می‌دهد.

کنترل شناسایی‌کننده

این نوع از کنترل سعی در شناسایی حمله حین وقوع آن دارد. در زمان رخداد حمله، کنترل شناسایی‌کننده، سیگنالی برای کنترل‌های پیش گیرنده یا تصحیح‌کننده برای مشخص کردن مشکل ارسال می‌کند.

ابعاد امنیت ابری

کنترل‌های امنیتی درستی باید برای دارایی‌ها، تهدیدها و ریسک آسیب‌پذیری ماتریس‌های ارزیابی پیاده‌سازی شوند. اگرچه که نگرانی‌های امنیتی در محاسبات ابری می‌توانند به ابعاد مختلفی تقسیم‌بندی شوند(گارتنر 7 تا از آن‌ها را نام برده و Cloud Security Alliance 14 تا از این نگرانی‌ها را شناسایی کرده) این ابعاد به 3 دسته کلی تقسیم شده اند: مسائل امنیتی و خصوصی سازی، مسائل پذیرش و مسائل حقوقی و قراردادی.

مسائل امنیتی و خصوصی‌سازی

مدیریت هویت
هر سازمانی به منظور کنترل دسترسی به اطلاعات و منابع محاسباتی نیاز به سیستم مدیریت هویت خودش دارد. فراهم کنندگان محاسبات ابری یا سیستم مدیریت هویت مشتریان به زیرساخت هایشان را با کمک تکنولوژی SSO یکپارچه می‌کنند یا یک راه حل اختصاصی در مدیریت هویت ارائه می‌دهند.
امنیت پرسنلی و فیزیکی
ارائه دهنده‌ها مطمئن هستند که ماشین‌های فیزیکی به اندازه کافی امن هستند و دسترسی به این ماشین‌ها و داده‌های مربوط به مشتریان تنها محدودیت نیست و تمام دسترسی‌ها مستند می‌شوند.
دسترس پذیری
ارائه دهنده‌ها مطمئن هستند که آهنا دسترسی مرتب و قابل پیش‌بینی به داده ها و برنامه هایشان دارند.
امنیت برنامه ها
ارائه دهنده‌ها مطمئن هستند که برنامه‌ها به عنوان یک سرویس روی محاسبات ابری که امنیت آن‌ها با پیاده‌سازی رویه‌های تست و پذیرش برای به خارج فرستادن یا کد برنامه‌های پکیج شده در دسترس هستند. همچنین این مکانیزم، نیاز به معیارهایی برای امنیت برنامه‌ها در محیط کارفرما دارند.
خصوصی سازی
نهایتاً، فراهم کنندگان محاسبات ابری مطمئن هستند که تمام داده‌های حساس (برای مثال، شماره کارت‌های اعتباری) ماسک می‌شوند و تنها کاربران دارای مجوز، اجازه دسترسی به داده‌ها را دارند. به علاوه، شناسه‌های دیجیتالی و گواهی نامه‌ها باید از هر نوع داده ای که ارائه دهنده، دربارهٔ فعالیت‌های مشتری جمع می‌کند یا تولید می‌کند حفظ شود.
مسائل قانونی
به علاوه، ارائه دهنده‌ها و مشتریان باید مسائل قانونی از قبیل قراردادها و E-Discovery و قوانین مرتبط که ممکن است در کشورهای مختلف متفاوت باشد را در نظر بگیرند.

توافق‌ها

تعداد زیادی از مقررات مربوط به ذخیره‌سازی و استفاده از داده‌ها از قبیل: استاندارد امنیت داده ها در صنعت کارت‌های پرداخت ((Payment Card Industry Data Security Standard (PCI DSS)، بیمه سلامت قابل حمل و حسابرسی ((Health Insurance Portability and Accountability Act (HIPAA)، Sarbanes-Oxley Act. بسیاری از این مقررات، نیاز به گزارش‌ها و حسابرسی‌های منظم دارند. ارائه دهندگان محاسبات ابری باید قادر باشند مشتریانشان را مجبور کنند تا این قوانین را رعایت کنند.
تداوم کسب و کار و بازیابی اطلاعات
ارائه دهندگان محاسبات ابری برنامه‌هایی برای تداوم کسب و کار و بازیابی داده ها برای اطمینان از اینکه این سرویس می‌تواند خطرات و ضرورت‌های از بین رفتن داده‌ها را دارند. این برنامه‌ها توسط مشتریان دیده و به اشتراک گذاشته می‌شوند. 
گزارش‌ها و بازرسی ها
علاوه بر گزارش‌ها و بازرسی‌ها، ارائه کنندگان  محاسبات ابری با مشتریان کار می‌کنند تا مطمئن شوند که این گزارش‌ها و بازرسی‌ها به‌طور درستی امن شده اند، تا زمانی‌که مشتریان نیاز دارند نگهداری می‌شوند و برای سرمایه‌گذاری‌های قانونی در دسترس هستند.
رعایت نیازمندی‌های منحصربه‌فرد
استفاده از یک فراهم‌کننده سرویس محاسبات ابری می‌تواند منجر به نگرانی‌های امنیتی اضافی دربارهٔ صلاحیت داده‌ها شود چون که مشتریان داده‌ها روی سیستم یکسان یا مرکز داده مشابه یا درون یک ارائه دهنده محاسبات ابری یکسانی باقی نمی‌مانند.

مسائل حقوقی و قراردادی

گذشته از امنیت و رعایت مسائل برشمرده شده در بالا، ارائه دهندگان محاسبات ابری و مشتریان آن‌ها دربارهٔ مسئولیت‌هایی مذاکره خواهند کرد از قبیل مشخصه‌های معنوی و زمان پایان خدمات (زمانیکه داده و برنامه‌های کاربردی در نهایت به مشتری بازگردانده می‌شود).

پرونده‌های عمومی

مسائل حقوقی نیز ممکن است شامل نیازهایی برای نگهداری سوابق در بخش دولتی، که در آن بسیاری از سازمان‌ها توسط قانون برای حفظ و ایجاد پرونده‌های الکترونیکی موجود در یک مد خاص است می‌باشد. این امر توسط قانونگذاری ممکن است به منظور نیاز سازمان به مطابقت با قوانین و شیوه‌های تعیین شده توسط آژانس‌های حفظ سوابق مشخص شود. سازمان‌های دولتی با استفاده از محاسبات ابری و ذخیره‌سازی باید این نگرانی‌ها را به مورد توجه قرار دهند.