Все противопоставления общедоступных и частных облаков и споры об этом чаще всего заканчиваются тем, что в организации формируется смешанная среда, в которой находится место сразу двум существующим типам облаков, равно как приложениям и системам, не имеющим отношения к облаку. Судя по всему, так будет продолжаться на протяжении по крайней мере еще нескольких лет.

Безопасность для многих ИТ-директоров остается важным вопросом, но если руководство не против, все данные, за исключением наиболее конфиденциальных и сопряженных с высокими рисками, начнут перемещаться в облако. Те, кто уже успел приступить к плетению паутины гибридных систем, отмечают, что необходимые меры безопасности следует принимать заранее. К ним относятся соглашения об уровне сервиса (SLA) и договоры о безопасности, соблюдение требований нормативных актов и безопасная интеграция.

Эксперты отрасли утверждают, что, несмотря на все предупреждения о безопасности, смешанные ИТ-среды продолжают притягивать множество организаций, особенно глобальные корпорации.

«Модель гибридного облака имеет смысл применять в крупных организациях, — считает Джанел Гервин, генеральный директор компании Evans Data, занимающейся исследованием рынков. — По мере того как вопросы безопасности будут терять остроту, большая часть вычислительных ресурсов начнет перемещаться в облако. Однако у некоторых гибридная модель может задержаться на годы».

Внешние приложения, такие как средства связи, организации взаимодействия, обслуживания клиентов, управления цепочками поставок, являются отличными кандидатами на перемещение в облако. А вот финансовую информацию и сведения о клиентах лучше оставить на своей территории. «В большинстве компаний полагают, что резервные копии хранимых данных и приложений тоже лучше держать у себя, даже если сами данные и приложения размещаются в облаке», — заметила Гервин.

«Всего несколько лет назад попытки перемещения в облако носили в основном экспериментальный характер, — добавляет Крис Сильва, старший вице-президент IANS Research по исследовательской работе и безопасности. (Компания IANS Research специализируется на исследованиях в области информационной безопасности.) — Сюда относились вторичные проекты, а критически важные данные облакам не доверяли. Сегодня же мы видим, как в облако переносится все больше и больше ресурсов».

Предприятия по достоинству оценивают услуги, позволяющие им не терять набранного темпа в сложные периоды сезона отпусков или сдачи финансовой отчетности. Из исключения это постепенно превращается в правило.

В направлении облака: правила бизнеса

Некоторые компании все еще неохотно используют облако для хранения клиентской информации и других конфиденциальных данных. Их тревожат вопросы безопасности и соблюдения требований законодательства. Тем не менее, наряду с выполнением других серьезных инвестиционных проектов, предприятия все чаще приступают к реализации облачных инициатив. А принятие решений о том, стоит использовать облака или нет, чаще всего определяется насущностью стоящих перед организацией задач.

«Что будет находиться в облаке, а что останется на своей территории, должно определить руководство предприятия», — отметил Дуг Менефи, директор ИТ-службы компании Schumacher Group. (Schumacher Group предоставляет клиентам услуги управления отделениями экстренной медицинской помощи.)

Компания Schumacher начала перемещать приложения в облако в 2006 году. По оценкам Менефи, на сегодняшний день в облаке функционируют почти 90% от общего количества процессов предприятия.

Некоторые из них представлены в виде хостинговых услуг, другие относятся к классу программного обеспечения, предоставляемого как услуга (SaaS). «Гибридный подход мы используем там, где большинство решений связаны друг с другом через веб-сервисы или интегрированы с механизмами, развернутыми на нашей территории», — пояснил Менефи.

Для обеспечения безопасности компания проверяет реализацию поставщиками соответствующих мер и контролирует проведение процедур аудита, чтобы гарантировать выполнение Закона об отчетности и безопасности медицинского страхования (HIPAA) и Закона о применении медицинских информационных технологий в клинической практике (HITECH). Требования и правила безопасности прописываются в договорах с любыми поставщиками, которые потенциально могут получить доступ к информации пациентов.

Главной причиной перехода компании, находящейся в городе Лафайетт (штат Луизиана), в облако стало осознание беззащитности ее ЦОД перед ураганами вроде «Катрины» или «Риты». Поставщики облачных услуг, как правило, имеют несколько ЦОД в разных частях страны. «Мониторинг зоны охвата и географического положения ЦОД — часть наших повседневных задач», — подчеркнул Менефи.

Среди других причин следует назвать возможность оперативного увеличения или уменьшения потребляемых ресурсов и необходимость более быстрой доставки приложений пользователям.

Когда в Schumacher обсуждалась возможность перехода в облако, решающим аргументом стала быстрота запуска всех необходимых механизмов и приложений по сравнению с системами, разворачиваемыми на своей территории. А SLA и выполняемые поставщиками ежеквартальные обновления позволяют клиентам оставаться на гребне инноваций и своевременно получать доступ к самым передовым функциональным возможностям.

Администрация школьного округа Моррис в городе Морристаун также обосновала свои решения требованиями бизнеса. Для управления безопасной электронной почтой округ использует почтовый сервис, предлагаемый компанией AppRiver, который включает в себя систему защиты от спама и вирусов. В настоящее время в округе внедряется еще один облачный сервис для основной информационной системы учебных заведений, используемой для аттестации, учета посещаемости, составления расписаний, управления медицинскими картами и координации движения школьных автобусов.

«Часть ИТ-инфраструктуры и приложений мы предпочли сохранить у себя, не перенося их в облако, — рассказал Тим Макдэйд, директор округа по технологиям. — Это системы бюджетирования, управления персоналом и расчета зарплаты. В настоящее время мы запускаем новую систему управления студенческой информацией на базе облака. Одновременное внедрение сразу нескольких критически важных систем — очень ответственная задача. Необходимо обучить множество пользователей. Студенческая информационная система — самая важная из всех, которыми мы пользуемся».

Какие факторы следует учитывать округу при принятии решения о переходе в облако и когда? «Прежде всего подсчитайте деньги и время, которыми вы располагаете для внедрения необходимых сервисов, а также время, затрачиваемое на обучение конечных пользователей», — советует Макдэйд.

Использование облачных сервисов при развертывании безопасной почтовой системы позволяет серьезно сократить соответствующие трудозатраты. «Время и деньги, которые придется затратить на управление, обслуживание и поддержку систем подобного рода, разворачиваемых у себя, многократно превышают затраты на хостинговое решение, — предупредил Макдэйд. — В прошлом, когда в нашу почтовую систему проникал вирус, для того чтобы обнаружить его на внутренних серверах, нам приходилось в той или иной степени удалять информацию, введенную ранее. На поиск и ликвидацию проблем с внутренней электронной почтой уходят часы, и это пагубно отражается на деятельности предприятия. При использовании облачных приложений всей необходимой фильтрацией управляет поставщик услуг. По моим оценкам, на облачных сервисах округ экономит по крайней мере 20 тыс. долл. в год».

Компания Rawlings Group, предоставляющая юридические услуги предприятиям страховой отрасли, также имеет смешанную ИТ-среду. Все конфиденциальные данные хранятся в собственном ЦОД. Помимо этого компания использует несколько облаков, в том числе и одно внутреннее, 600 компьютеров которого образуют grid-сеть, поддерживающую доступ к базам данных и приложениям сбора данных.

«Во внутреннем облаке хранятся медицинские данные наших клиентов, — сообщил Кевин Лэндгрейв, старший вице-президент компании Rawlings по ИТ. — Запущенная год назад в эксплуатацию grid-сеть помогла компании справиться с ростом потребностей в обработке данных. Для нас важны главным образом комфорт клиента и его удовлетворенность предложенным решением. В соглашениях с клиентами четко прописано, как и где мы храним данные и какие процессы используются для организации доступа к ним. Прежде чем обращаться к клиентам с предложением разместить их данные за пределами наших зданий, нам нужно получить от правительства разъяснения по поводу того, что следует понимать под передачей “минимально необходимых” данных деловым партнерам в свете законов HIPAA и HITECH и какие последствия принятие этих нормативных актов будет иметь для передачи электронных медицинских карт. Когда при обработке документов, подпадающих под действие HIPAA, поставщик облачных услуг получает доступ к защищенной медицинской информации, возникает риск нарушения требований HITECH».

На протяжении примерно полутора лет компания Rawlings использует внешний облачный сервис одного крупного поставщика услуг. Этот сервис поддерживает несколько приложений, в том числе и обслуживающих веб-сайты, которые Rawlings запустила для клиентов, не имеющих отношения к сфере здравоохранения. Поставщик услуг предоставляет компании Rawlings возможность оперативно увеличивать или уменьшать объем ресурсов, выделяемых ей в соответствии с ее потребностями.

«Что касается внешнего облака, давайте посмотрим на объемы данных, — предлагает Лэндгрейв. — Это имеет самое непосредственное отношение как к стоимости, так и к скорости выполнения операций. Очевидно, что безопасность всегда ставится во главу угла, но если в будущем что-то изменится, одним из главных факторов станет объем хранимых данных».

В настоящее время компания Rawlings присматривается к облачным сервисам компаний Microsoft, Rackspace и IBM. Возможно, они помогут ей удовлетворить стремительно растущие потребности в хранении и обработке информации. Вместе с тем такие объемы — а это несколько сотен терабайт данных, хранящихся сегодня внутри компании, — сделают выставляемый ей ежемесячный счет чрезмерно большим.

«При объемах данных, о которых идет речь, использовать облачные сервисы сегодня слишком накладно, — пояснил Лэндгрейв. — Чересчур высокая стоимость услуг становится непреодолимым барьером».

Безопасность в облаке, соблюдение нормативных требований и интеграция

В процессе принятия решения о развертывании облачных сервисов — а точнее, даже до его принятия — компании должны гарантировать безопасность информации. «Безопасность — это сегодня главное, — подчеркнула Гервин. — И ее необходимо обеспечить на всех уровнях».

К примеру, разработчики программного обеспечения при создании приложений могли бы изучать технику устранения каких-то конкретных угроз (в частности, угрозы SQL injection — внедрения кода SQL). Другие методы защиты имеет смысл реализовать на аппаратном уровне. По нашему мнению, наиболее стойкую защиту следует проектировать именно на аппаратном уровне, потому что опасность взлома программного кода в облаке будет существовать всегда.

Одним из наиболее впечатляющих аппаратных решений является технология Intel Trusted Execution Technology, обеспечивающая создание на уровне процессора нескольких независимых исполняемых сред, известных как сегменты (partitions). Таким решением можно воспользоваться и для обеспечения безопасности в облаке. Кроме того, оно позволяет генерировать ключи для системы безопасности и осуществлять проверку BIOS на несанкционированное вмешательство.

На пути к реализации концепции «умной планеты» (Smarter Planet) корпорация IBM проделывает нечто аналогичное с чипсетами во встроенных системах и мобильных устройствах. Это может пригодиться и при укреплении безопасности клиентов в облаке. Интегрированные в чипсеты функции обеспечат хранение в специальных аппаратных регистрах информации, имеющей отношение к безопасности: ключей, сертификатов, данных и контрольных сумм. Здесь же присутствует встроенная поддержка шифрования и дешифровки.

По словам Сильвы, особенно важно, чтобы компании оценивали уровень видимости, управления и безопасности услуг в облаке. Самая серьезная угроза — непонимание профиля риска, присущего сервисам того или иного провайдера.

При оценке поставщика следует изучить его инфраструктуру, которая может предоставляться другим клиентам в выделенном или разделяемом режимах. Если ресурсы делятся между множеством клиентов, каков риск успешного завершения попытки другого клиента заполучить вашу информацию или скомпрометировать конфиденциальные сведения? Компании, использующие облачные сервисы, должны оценивать профиль риска провайдера на постоянной основе, а не только на начальном этапе.

Построение прочной системы безопасности предполагает включение в договор с поставщиком облачных услуг требований к безопасности, оформленных в письменном виде, и последующий контроль за их соблюдением. Для анализа уровня безопасности поставщика услуг внешнего облака компания Rawlings имитировала утечку документов и проверяла реакцию поставщика на это событие.

В компании Schumacher для защиты данных в облаке используют инструменты облачной безопасности компании Symplified, в том числе приложение идентификации и приложение единой подписи. Symplified предоставляет централизованный сервис, обеспечивающий управление идентификацией и доступом, усиление политик безопасности во всех облачных приложениях и использование аудита для составления отчетов о выполнении нормативных требований.

«Метод единой подписи способствует дальнейшей популяризации приложений и уменьшению числа паролей, записанных на листочках, — заметил Менефи. — Уникальные регистрационные сведения для всех лицензированных нами систем работник запомнить просто не в состоянии».

Еще одним ключевым вопросом в облаке является соблюдение требований нормативных актов. Особенно это касается компаний, работающих в сфере здравоохранения и финансовых услуг.

По словам Менефи, Schumacher Group требует гарантий конфиденциальности от всех сервисов, в которых хранится (или могла бы храниться) медицинская информация о пациенте. «При проверке мы ежегодно просим предъявить различные сертификаты соответствия», — подчеркнул он.

В компании Rawlings безопасность и конфиденциальность данных также считают одним из важнейших вопросов. Ведь клиенты компании работают в сфере здравоохранения, где нормативные требования к организации доступа и хранения данных особенно строги. Но одними лишь нормативными требованиями все не ограничивается. Компания Rawlings берет на себя моральные обязательства защитить целостность информации.

«К конфиденциальности данных, хранимых на наших внутренних ресурсах, предъявляются очень высокие требования, — отметил Лэндгрейв. — Мы должны быть абсолютно уверены в том, что сайты и каналы связи между ними обеспечивают безопасный обмен данными. Только после этого то или иное облако можно серьезно рассматривать в качестве кандидата на хранение медицинской информации».

Некоторым организациям при переходе в облако приходится думать о том, как объединить облачную среду с традиционной, с тем чтобы это не отразилось негативным образом на ИТ-сервисах, предоставляемых сотрудникам и клиентам.

В компании Schumacher для объединения облачных процессов с традиционными используются специальные интеграционные инструменты. «Ключевое условие заключается в том, чтобы установить ряд параметров, которые гарантировали бы наличие у поставщиков услуг в облаке и решений, внедряемых на собственной территории, устойчивых API и веб-сервисов», — пояснил Менефи.

В Schumacher интеграция потоков работ между хостинговыми сервисами осуществляется с помощью продуктов компаний Cast Iron и Boomi. Интеграционные инструменты позволяют управлять данными на уровне полей с использованием элементов безопасности Active Directory. Единая система регистрации помогает компании сформировать две среды с различными наборами пользователей. Благодаря такому подходу устраняется необходимость в записи аутентификационной информации на листочки, которые складываются в ящики стола. «В тесном контакте с конечными пользователями мы постепенно улучшаем управление идентификацией и паролями», — отметил Менефи.

Компания Rawlings не видит необходимости интегрировать облачные среды с традиционными. «Процедуры там полностью отличаются друг от друга, и никакой потребности во взаимодействии не возникает, — сообщил Лэндгрейв. — В перспективе облако будет использоваться для расширения обработки, а заниматься интеграцией мы не планируем».

Единственная интеграционная задача, которую пришлось решать ИТ-службе школьного округа Моррис, была связана с необходимостью перехода от существующей системы управления студенческой информацией к новому облачному приложению. «До сих пор никаких нареканий в отношении этого перехода мы не услышали, — сообщил Макдейд. — Объясняется это тесным взаимодействием с поставщиком услуг в облаке. Если интеграция проведена эффективно и с надежным партнером и при этом демонстрируется хорошая производительность труда, никаких сложностей здесь возникнуть не должно».