Все более популярными в сфере корпоративных информационных технологий становятся облака, вместе с этим меняются и потребности в обеспечении безопасности данных. Вслед за облачными сервисами для бизнеса появились облачные сервисы для информационной безопасности, или безопасность как услуга.

Безопасность из облака для облака

Безопасность как услуга, или Security as a Service (SecaaS) — это бизнес-модель, в которой сервис-провайдер услуг безопасности интегрирует свои сервисы в корпоративную инфраструктуру заказчика. При этом совокупная стоимость владения для компании снижается за счет облачной архитектуры решений, оплаты сервисов по подписке и отсутствия капитальных затрат для заказчика.

Методика расчета TCO для SecaaS и сравнения с традиционными (on-premise) решениями достойна отдельной будущей статьи, но уже в самом определении заложена экономическая целесообразность SecaaS. Но только ли низким TCO, обеспечиваемым за счет многопользовательской архитектуры и масштабности, может заинтересовать SecaaS потенциального заказчика?

Некоторые категории SecaaS уже привычны — антивирусная и антиспам-фильтрация электронной почты в облаке, сервисы по защите от DDoS-атак. Все больше подсистем безопасности уходят в облако, так как это позволяет защищать данные в новых ИТ-системах и приспосабливаться к быстро меняющейся ИТ-инфраструктуре.

SecaaS-решения, базирующиеся на облачных технологиях, в отличие от традиционных средств защиты (on-premise), архитектурно лучше подходят для защиты данных в новой ИТ-инфраструктуре, к которой относятся:

• Мобильные сотрудники с ноутбуками, смартфонами и планшетами. Пример — традиционные средства контроля веб-доступа и URL-фильтрации, устанавливаемые внутри периметра компании, не способны защищать доступ удаленных сотрудников с их разнообразных устройств. SaaS-решение для веб-фильтрации, использующее ближайший к пользователю сервер фильтрации и агентов на ноутбуках и мобильных устройствах, решает эту задачу.
• Увеличивающийся набор SaaS-бизнес-приложений. Пока традиционные вендоры адаптировались к облачным бизнес- и консьюмерским приложениям, появился целый класс решений SaaS IDM и Access Management для управления учетными записями в SaaS-системах.
• Динамичная и масштабируемая инфраструктура веб-приложений. Пример: традиционный «коробочный» Web Application Firewall, устанавливаемый внутри периметра, не сможет защитить веб-приложение, динамически развернутое в нескольких дата-центрах. Невозможно перенести уже купленный «железный» WAF в облако Amazon или Azure. Нельзя настроить «коробочный» WAF на работу с несколькими резервными дата-центрами для обработки трафика одного веб-приложения — если, конечно, компания не приобретет несколько «коробок», что непременно увеличит TCO. Облачный Web Application Firewall, предоставляемый по SaaS-модели, способен экономически эффективно справиться с задачей защиты веб-приложений в современных инфраструктурах.
• Облачные серверы, инфраструктура как сервис (IaaS), гибридные облака. Для примера возьмем базовые подсистемы безопасности — межсетевое экранирование и обнаружение вторжений. В традиционной корпоративной инфраструктуре эти подсистемы безопасности реализуются на аппаратных платформах. Но для серверов в публичной или гибридной IaaS-инфраструктуре необходимы более гибкие решения — так на сцену вышли host-based средства сетевой безопасности. Наибольшую ценность и удобство управления предоставляют SecaaS-решения, которые интегрируются с интерфейсами управления IaaS-платформы.

Передовые технологии защиты

ИБ-решения, спроектированные для работы по модели SaaS, позволяют компаниям получить более актуальную защиту по сравнению с on-premise-системами за счет нескольких факторов:

• Использование большого объема данных для ИБ-аналитики — чем больше клиентов использует решение, тем больше сигнатур, информации об атаках и угрозах и прочих индикаторов компрометации получают разработчики и пользователи системы. Например, распределенная SaaS-система защиты от DDoS-атак, обнаружив паразитный трафик к одному из защищаемых веб-сайтов, может автоматически заблокировать такой трафик от известного вредоносного источника к защищаемым сайтам всех своих клиентов. Ключевым моментом является скорость распространения таких данных.
• Моментальные и постоянные обновления — вся информация об атаках и угрозах может обновляться в реальном времени — в централизованном ядре SaaS-продукта. Напротив, on-premise-решениям необходимо время для получения и применения обновлений. Таким образом, единожды выявив, например, центр управления ботнетом, система безопасности может сразу заблокировать трафик к такому серверу на всех защищаемых машинах.
• Быстрое внедрение и возможность оперативной замены решения. Компания может получать самые передовые технологии, ведь срок внедрения решения существенно ниже, а схема pay-as-you-go позволяет быстро сменить поставщика. Относительно простая смена SecaaS-провайдера дает возможность получать лучшие технологии без привязки к срокам амортизации оборудования.

Общие преимущества использования SecaaS

К SecaaS применимы все выгоды и преимущества использования облачных и SaaS-решений, такие как:

• Динамическая масштабируемость и практически неограниченные доступные ресурсы — облачная архитектура решений способна масштабироваться по требованию, например, позволяя быстро подключать новые защищаемые серверы, сайты, мобильные устройства и т. д.
• Гибкая система оплаты за потребленные ресурсы — pay-as-you-go, доступная в некоторых облачных решениях безопасности. Например, стоимость системы защиты облачных серверов может быть привязана к продолжительности работы самого защищаемого сервера, то есть компания не оплачивает впустую защиту выключенного сервера, что довольно часто можно встретить в динамически масштабируемой IaaS-инфраструктуре.
• Скорость внедрения и получения результатов. Быстрый старт и оперативное подключение, поскольку нет необходимости готовить инфраструктуру внутри компании. Это позволяет быстрее получать видимые результаты. За счет динамической масштабируемости часто пилотные проекты SecaaS плавно переходят в продуктивную фазу.

Почему можно доверять безопасность третьей стороне

Не только выгоды SaaS применимы к SecaaS, но и риски. Перед запуском SecaaS, как в случае с другими облачными решениями, необходимо провести оценку рисков, связанных с передачей своих данных и систем третьей стороне и с потенциальной доступностью этих данных через интернет.

К слову, большинство SecaaS-вендоров серьезней других производителей SaaS относятся к информационной безопасности и защищенности своих сервисов. Разработчики SecaaS-решений часто открыто заявляют о применяемых мерах защиты, используемых процессах безопасности, аудитах третьей стороной. Не редкость среди SecaaS-провайдеров сертификация по ISO27001, PCI DSS, вычислительные мощности провайдеров располагаются в сертифицированных дата-центрах. Также потенциальному заказчику особое внимание следует обращать на SLA SecaaS-провайдера.

Выводы

Security as a Service — важный компонент в новой реальности современной ИТ-инфраструктуры. Высокая скорость внедрения и замены решений помогает компаниям оставаться на передовой ИБ-технологий — SecaaS предоставляет эффективную защиту в сочетании с архитектурными особенностями для современной ИТ-среды. SecaaS позволяет получать не только экономические, но и технологические преимущества благодаря гибкости облачных технологий и тесной интеграции с другими облачными сервисами.

© Денис Безкоровайный,
вице-президент RISSPA, эксперт Cloud Security Alliance Russia

Источник: anti-malware.ru ^[1]

См. также:

• Copy — расширяемое, удобное и безопасное облачное хранилище данных ^[2]
• Mail.Ru не будет использовать «в любых целях» загружаемый в «Облако» контент пользователей ^[3]
• Облачный сервис хранения данных Google Drive ^[4]
• Дорога в будущее: облачные вычисления ^[5]