Hoe beveilig je informatie in de cloud? Geen evidentie, zo bleek uit een geanimeerde discussie op het afgelopen NetEvents-congres in Nice.

Het onderwerp is niet nieuw, de uitdaging ook niet, maar over de concrete aanpak blijven er veel vraagtekens: cloud security is geen evidentie. “Wat wij bij de security-experten van onze klanten zagen in de begindagen van de cloud, was angst. Meer bepaald scheidingsangst”, vertelt Hongwen Zhang, ceo van Wedge Networks. Wedge Networks is gespecialiseerd in ‘instant provisioning’ van security-oplossingen voor service providers, die op die manier hun klanten een beveiligde verbinding kunnen leveren. Managed security dus, waarbij de isp zelf kiest welke anti-virus of anti-malware hij wil gebruiken – of dat nu Trend Micro, Kaspersky, BitDefender of McAfee is. “Via ons partnership met Accton Technology kunnen we zelfs OEM-virusdefinities leveren, wat veel goedkoper is voor de isp. Wist je trouwens dat al die grote securitynamen ook hun virusdefinities halen bij spelers als Accton?”, aldus Zhang.

WAAR ZIJN DE GRENZEN?

“Nu de cloud al meer matuur is, zien we andere security-uitdagingen”, vervolgt Zhang. “Het is vooral het mobiele gebruik dat klanten zorgen baart. De traditionele security-aanpak met een vastgelegde perimeter werkt hier niet meer. Je spreekt over miljoenen eindpunten in de cloud en mobiele toestellen die continu materiaal uit de cloud plukken. Waar zijn de grenzen van die cloud? Hoe bepaal je dat? Dat zijn de problemen waar onze klanten nu mee kampen”, aldus Zhang.

Derek Granath, senior director bij Extreme Networks, denkt niet dat de storage op zich een probleem is. “Ik denk dat de meeste mensen uit onze industrie ondertussen wel overtuigd zijn dat ze data op een veilige manier in de cloud kunnen stoppen, of in cloudgebaseerde datacentra. Dat is het probleem niet. Het is de beveiliging of het gebruik van die data waar de problemen zich situeren. Bedrijven zijn terecht bevreesd dat een security-lek meteen verlies van intellectuele eigendomsrechten zou kunnen betekenen”, zegt Granath die ook in ‘disaster recovery’ nog een ernstig werkpunt ziet.

Dominique Assing, senior security consultant bij BT France, maakte dan weer duidelijk dat het onvoldoende afdwingen van reeds bestaande security-regels de opstap naar de cloud bemoeilijkt. “Alles rond ‘access control’ in de lokale perimeter van een bedrijf bijvoorbeeld. Daar worden lang niet altijd de regels gevolgd zoals het zou moeten. De grote uitdagingen ontstaan wanneer zo’n bedrijf dan bepaalde producten of diensten naar de cloud wil brengen. Alle bestaande security-problemen worden dan immers exponentieel groter in de cloud waar de schaal ook veel groter is. Iedere it’er weet dat alle problemen groter zijn in de cloud”, aldus Assing.

“Voor security heb je een erg holistische strategie nodig”, pikt Granath daar op in. “Het gaat niet enkel om de switches en de servers. Het gaat om alles wat hoort bij de strategische beslissingsniveau’s. Wie mag welke data en waar precies raadplegen? Access control voor mobiele devices dus, met goede policies en procedures die via active directory en soortgelijke databases geprogrammeerd worden. Klinkt logisch, maar zo ver zijn heel wat bedrijven nog lang niet”, besluit Granath.

Kristof Van der Stadt