обеспечения соответствия действующим требованиям по безопасности и оставаться реалиста ми, отдавая себе отчет в том, что в этом вопросе нельзя всецело полагаться на привлеченных исполнителей.

5.5 Обеспечение безопасности данных в облачных средах

Стремительное развитие веб-приложений, сопровождающееся появлением таких подходов к взаимодействию, как «бизнес для бизнеса» (Business-to-Business, B2B) и «бизнес для клиента» (Business-to-Consumer, B2C), резко расширило границы распространения данных далеко за пре делы четырех стен организации. Наблюдающийся в последние годы прогресс облачных вычис лений раздвинул эти границы еще шире. Слова «как услуга» (as-a-service), указывающие на мо дель обслуживания с использованием облачных технологий, сегодня с легкостью добавляются ко многим технологическим и бизнес-понятиям. Термины «данные как услуга», «программное обеспечение как услуга», «платформа как услуга» стали общеупотребимыми. Облачные вычис ления, обеспечивающие использование распределенных по сети ресурсов для обработки данных

иинформации, являются логичным завершением перехода к предоставлению «всего как услуги» (Anything-as-a-Service, XaaS).

Политики защиты данных в такой ситуации должны учитывать распределение данных по различным моделям услуг. Это подразумевает максимально возможное применение внешних стандартов в области безопасности данных.

Вопросы разделения ответственности, определения «цепочки поставок» данных, а также определения прав по владению и распоряжению данными особенно важны в случае облачных вычислений. Инфраструктурные соображения (например, определение стороны, ответственной за межсетевой экран при предоставлении ПО как услуги, или стороны, назначающей права до ступа к серверам) оказывают непосредственное влияние на управление безопасностью данных

ина политики в области данных.

Тонкая настройка или даже создание новой политики управления безопасностью данных, ориентированной специально на облачные вычисления, сегодня необходимы организациям любых размеров. Даже если сама организация напрямую не задействует облачные ресурсы, их вполне могут использовать ее бизнес-партнеры. А в мире сетевого обмена данными использова ние бизнес-партнером облачных технологий автоматически означает, что данные организации размещены в облаке. В целом для облачных сред справедливы те же принципы защиты чувстви тельных/конфиденциальных данных, которые применяются для обычной среды эксплуатации. В частности, они не допускают необоснованного распространения данных, ограничивая количе ство копий необходимым минимумом.

Архитектура внутреннего центра обработки облачных данных, включая виртуальные маши ны (потенциально, возможно, даже более защищенная), тем не менее должна соответствовать требованиям той же политики безопасности, что и остальные компоненты ИТ-инфраструктуры организации.