Zibersegurtasuna lainoan
SPRI Taldeak antolatutako jardunaldi batean azaldu da nolako abantailak dituen datuak laino desberdinetan babesteak eta nola prebenitu erasoak
“Etengabe kontrolatu behar dugu gure cloud edo multicloud sistema, gertakariak, akatsak eta erasoak detektatzeko”, dio Erkuden Riosek, Tecnaliako zibersegurtasunerako I+G+B-ko proiektuen buruak.
Lainoa, non gordetzen dituzten beren datuak partikularrek eta enpresek, beste aukera interesgarri bat da zibersegurtasunerako. SPRI Taldeak (enpresen garapenerako euskal agentziak) Gipuzkoako Zientzia eta Teknologia Parkean antolatutako jardunaldi batean hizpide hartu da multicloud inguruneen egungo egoera eta, zehazkiago, zer egin behar den lainoko zerbitzu bat baino gehiago (hornitzaile desberdinenak izan daitezkeenak) aldi berean darabiltzaten aplikazioak babesteko eta erasoak prebenitzeko.
Tecnaliako Zibersegurtasun taldeko I+G+B-ko proiektuen buru den Erkuden Riosek azaldu du zein segurtasun-sistema dauden laino desberdinetan, dela publiko nahiz pribatuetan, dela komunitario nahiz hibridoetan. Gainerako sistema guztiek bezala, laino anitzeko (multicloud) segurtasun-ereduek badituzte abantailak eta desabantailak. Abantaila bezala esan du hornitzaileak dibertsifikatzen dituela, eta segurtasun kopiak ere aipatu ditu. Aldiz, sistema konplexuagoak dira eta aukera gehiago ematen dute erasotuak izateko.
Riosen arabera, lainoko mehatxu garrantzitsuenak dira: datu-etenak, sistemen eta aplikazioen ahuluneak, datuak galtzeko arriskua eta laino barruko erasotzaileak. “Datuak lainoan sartzen dituzunean hornitzaile horrekin ezkontzen zara, eta horregatik oso kontuz ibili behar da zerbitzua kontratatu orduko”.
Tecnaliako arduradunak esan du posible dela diseinu seguru baten bidez multicloud sistemetako mehatxuak saihestea. “Segurtasun kontrolak sartu ohi dira, edo hornitzaileari eskatzen zaio sartzeko. Etengabe kontrolatu behar dugu gure cloud edo multicloud sistema, jazo daitezkeen gertakariak, akatsak eta erasoak detektatzeko, eta SLA (Zerbitzu Mailaren Akordioa) sortu behar dugu”.
Erkuden Riosek hizpide hartu du datuen babeserako lege berria, aurten indarrean sartu dena eta enpresak behartzen dituena hainbat segurtasun neurri hartzera; adibidez, isilpeko datuak dituzten enpresek (osasun arlokoak, adibidez) datuen babeserako ofizial bat izendatu behar dute. “Izan liteke kanpoko babes zerbitzu bat. Ez da derrigorrezkoa enpresa guztientzat, baina bai gomendagarria. Halere, enpresak derrigorrez jakinarazi behar du nor den bere datuak babesten dituen agentea”.
Esan duenez, datu babeserako legearen arabera, datuen pribatutasuna urratzen bada enpresak behartuta daude horren berri ematera 72 orduko epean, inbentario bat egin behar dute prozesatutako datu pertsonal guztiekin, eta zerbitzua diseinatzeko behar diren gutxieneko datuak bakarrik eskatu behar dituzte, hots, defektuzko pribatutasuna esaten zaiona. “Adibidez, garbiketa zerbitzu baten kasuan, zabor-bilketa zerbitzurako erabiltzaileak ez dauka zertan esan zenbat seme-alaba dituen, aski du esatea familia ugaria duela”.
Riosek ohartarazi du legea ez betetzeak berekin dakarrela urteko fakturazio-bolumenaren %4rainoko isunak ordaindu behar izatea (gehienez 20 milioi euro). “Ez dago pribatutasunaz arduratu beharrik, baldin sistemak ez baditu gordetzen pertsonak identifikatzen dituzten edo identifikatu ditzaketen datuak”.
Azkenik, MUSA eredua azaldu du, hau da, multicloud aplikazio seguruak sortzeko eta administratzeko konponbide berritzaile bat Horizontea 2020 proiektu europarraren baitan sortua. Segurtasun tresnak diseinatu, zabaldu eta exekutatzeko balio du, eta multicloud sistemen bizi-ziklo osoa estaltzen du. “Esaten digu nolako segurtasun arazoak izan ditzakegun eta nola kontrolatu”.
