Bagaimana Memastikan Keamanan Data dan Privasi di Hybrid Cloud - dummies

Penyedia awan hibrida harus memastikan keamanan dan privasi data Anda, namun pada akhirnya Anda bertanggung jawab atas data perusahaan Anda. Ini berarti peraturan industri dan pemerintah dibuat untuk melindungi informasi pribadi dan bisnis masih berlaku walaupun data dikelola atau disimpan oleh vendor luar.

Tiga bidang utama yang menjadi perhatian terkait keamanan dan privasi data di awan hibrida adalah

• Lokasi data Anda

• Kontrol data Anda

• Mengamankan pengiriman data Anda

Penting untuk dicatat bahwa beberapa ahli percaya bahwa beberapa jenis data terlalu sensitif untuk awan publik / hibrida. Ini mungkin termasuk data yang sangat diatur, seperti informasi medis. Yang lain percaya bahwa jika tingkat transparansi dan kontrol yang tepat dapat disediakan, konsumen dapat dilindungi. Awan yang menginangi data yang diatur harus memenuhi persyaratan kepatuhan seperti Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS), Sarbanes-Oxley, dan HIPAA.

Untuk informasi lebih lanjut tentang keamanan di awan, lihat Aliansi Keamanan Cloud.

Lokasi data di awan

Setelah data masuk ke awan, Anda mungkin tidak memiliki kontrol atas tempat penyimpanannya atau bagaimana penggunaannya. Sejumlah masalah dikaitkan dengan situasi ini:

• Undang-undang negara tertentu: Undang-undang keamanan dan peraturan yang mengatur data dapat berbeda di berbagai wilayah geografis. Misalnya, perlindungan hukum negara Anda mungkin tidak berlaku jika data Anda berada di luarnya. Pemerintah asing mungkin bisa mendapatkan akses ke data Anda atau membuat Anda tidak memiliki kendali penuh atas data Anda saat Anda membutuhkannya.

• Transfer data lintas negara: Perusahaan global dengan anak perusahaan atau mitra (atau klien dalam hal ini) di negara lain mungkin khawatir tentang transfer data lintas batas karena undang-undang setempat. Virtualisasi membuat masalah ini sangat sulit karena penyedia awan mungkin tidak tahu di mana data berada pada momen tertentu.

• Penggunaan data sekunder: Dalam situasi awan publik, data atau metadata Anda mungkin rentan terhadap penggunaan alternatif atau sekunder oleh penyedia layanan awan. Tanpa kontrol yang tepat atau perjanjian tingkat layanan yang ada, data Anda dapat digunakan untuk tujuan pemasaran. Ini bisa digabungkan dengan data dari organisasi lain untuk penggunaan alternatif semacam itu.

Kontrol data di awan

Anda mungkin atau mungkin tidak pernah mendengar istilah Triad CIA .Tidak, ini bukan tentang operasi rahasia. CIA singkatan dari Kerahasiaan , Integritas , dan Ketersediaan . Ketiga atribut ini sudah lama ada di dunia audit dan kontrol manajemen; mereka sangat penting untuk data di lingkungan awan karena alasan berikut:

• Kerahasiaan: Hanya pihak yang berwenang yang memiliki hak istimewa yang sesuai dapat mengakses data tertentu; Artinya, tidak ada pencurian data.

• Integritas: Data benar dan tidak ada perangkat lunak berbahaya (atau orang) yang telah mengubahnya; Artinya, tidak ada gangguan data.

• Ketersediaan: Sumber jaringan tersedia bagi pengguna yang berwenang.

Ketiga atribut ini terkait langsung dengan pengendalian data. Kontrol memasukkan kebijakan tata kelola yang ditetapkan untuk memastikan bahwa data dapat dipercaya. Integritas, keandalan, dan kerahasiaan data Anda harus tidak tercela. Ini berlaku untuk penyedia awan juga.

Anda harus mengerti tingkat kontrol yang akan dikelola oleh penyedia awan Anda dan pertimbangkan bagaimana kontrol ini dapat diaudit.

Berikut adalah contoh berbagai jenis kontrol yang dirancang untuk memastikan kerahasiaan, integritas, dan ketersediaan data Anda:

• Kontrol validasi untuk memastikan bahwa semua masukan data ke sistem atau aplikasi apa pun yang lengkap, akurat, dan masuk akal.

• Kontrol rekonsiliasi output untuk memastikan bahwa data dapat didamaikan dari input ke output.

• Memproses kontrol untuk memastikan bahwa data diproses sepenuhnya dan akurat dalam sebuah aplikasi.

• Mengakses kontrol untuk memastikan hanya mereka yang berwenang mengakses data yang dapat melakukannya. Data sensitif juga harus dilindungi dalam penyimpanan dan transfer. Enkripsi dapat membantu melakukan hal ini.

• Identifikasi ulang (proses pengumpulan data pribadi yang dianonimkan dengan pemilik sebenarnya) untuk memastikan bahwa kode disimpan di lokasi yang terpisah untuk mencegah akses tidak sah ke informasi identifikasi ulang.

• Ubah manajemen kontrol untuk memastikan bahwa data tidak dapat diubah tanpa otorisasi yang benar.

• Pengrusakan data kontrol untuk memastikan bahwa bila data dihapus secara permanen, dihapus dari mana-mana - termasuk semua situs penyimpanan cadangan dan berlebihan.

Konsep kontrol di awan sangat penting sehingga Aliansi Keamanan Cloud telah mengumpulkan daftar lebih dari 100 kontrol yang disebut Cloud Controls Matrix (CCM) untuk memandu vendor cloud dan membantu pelanggan awan potensial dalam menilai keseluruhan risiko penyedia.

Perusahaan Anda perlu mengembangkan dan menerbitkan seperangkat aturan dan kebijakan yang konsisten terkait pembuatan, penangkapan, pengelolaan, transmisi, akses, penyimpanan, dan penghapusan data rahasia dan bisnis penting. Gunakan teknik seperti enkripsi dan tokenisasi untuk mengurangi paparan pencurian data dan penyalahgunaan.

Pengangkutan data yang aman di awan

Katakan bahwa Anda telah memutuskan untuk memindahkan beberapa data Anda ke awan. Mengenai transportasi data, ingatlah dua hal:

• Pastikan tidak ada yang bisa mencegat data Anda saat bergerak dari titik A ke titik B di awan.

• Pastikan tidak ada kebocoran data (berbahaya atau lainnya) dari penyimpanan apa pun di awan.

Di awan hibrida, perjalanan dari titik A ke titik B mungkin terjadi dengan sejumlah cara: di dalam lingkungan awan, melalui Internet publik antara penyedia perusahaan dan awan, atau bahkan di antara awan.

Proses keamanan mungkin mencakup pemisahan data Anda dari data perusahaan lain, lalu mengenkripsi dengan menggunakan metode yang disetujui. Selain itu, Anda mungkin ingin memastikan keamanan data lama yang tersisa bersama vendor awan setelah Anda tidak membutuhkannya lagi.

Jaringan pribadi virtual (VPN) adalah salah satu cara untuk mengelola keamanan data selama transportasi di lingkungan awan. VPN pada dasarnya membuat jaringan publik menjadi jaringan pribadi Anda alih-alih menggunakan koneksi khusus. VPN yang dirancang dengan baik perlu menggabungkan dua hal: A

• firewall untuk bertindak sebagai penghalang antara Internet publik dan jaringan pribadi manapun Enkripsi

• untuk melindungi data sensitif Anda dari peretas; hanya komputer yang Anda kirim ke harus memiliki kunci untuk memecahkan kode data Selain mengangkut, di dunia hibrida, akan ada titik kontak antara data dan awan Anda. Oleh karena itu, penting untuk menangani penyimpanan dan pengambilan data ini.