Euralarm: Νέες κατευθυντήριες γραμμές για το European Sovereign Cloud στη φυσική ασφάλεια

Νέο guidance document καθορίζει τα βασικά κριτήρια για την αξιολόγηση της κυριαρχίας των cloud υπηρεσιών σε εφαρμογές πυρασφάλειας και φυσικής ασφάλειας.

Η αυξανόμενη εξάρτηση των σύγχρονων συστημάτων πυρασφάλειας και φυσικής ασφάλειας από cloud υποδομές δημιουργεί νέες απαιτήσεις γύρω από την προστασία των δεδομένων, την κυβερνοασφάλεια και την επιχειρησιακή ανθεκτικότητα.

Σε αυτό το πλαίσιο, η Euralarm δημοσίευσε νέο guidance document με τίτλο «Criteria for European Sovereign Cloud», με στόχο να βοηθήσει κατασκευαστές, παρόχους υπηρεσιών, system integrators και τελικούς χρήστες να αξιολογήσουν πότε και σε ποιο βαθμό απαιτείται η χρήση κυρίαρχων ευρωπαϊκών cloud υπηρεσιών.

Το θέμα αποκτά ιδιαίτερη σημασία καθώς ολοένα περισσότερες λειτουργίες των συστημάτων ασφαλείας μεταφέρονται στο cloud, από την απομακρυσμένη διάγνωση και τη μετάδοση alarm έως το predictive maintenance και την προηγμένη ανάλυση δεδομένων.

Πέρα από το πού βρίσκονται οι servers

Μία από τις βασικές επισημάνσεις της Euralarm είναι ότι η cloud sovereignty δεν περιορίζεται στη γεωγραφική τοποθεσία των δεδομένων.

Το γεγονός ότι ένα data center βρίσκεται εντός Ευρώπης δεν σημαίνει αυτομάτως ότι μια cloud υπηρεσία είναι «κυρίαρχη» ή προστατευμένη από κάθε μορφή εξωτερικής επιρροής.

Η νέα κατευθυντήρια οδηγία αναγνωρίζει πέντε συμπληρωματικές διαστάσεις που θα πρέπει να εξετάζονται κατά την επιλογή μιας cloud υπηρεσίας:

• Τεχνολογική κυριαρχία (technological sovereignty): ο βαθμός στον οποίο η τεχνολογική υποδομή και τα βασικά στοιχεία της υπηρεσίας μπορούν να ελεγχθούν και να λειτουργήσουν ανεξάρτητα.
• Επιχειρησιακή κυριαρχία (operational sovereignty): ποιος ελέγχει και διαχειρίζεται την υποδομή και τις καθημερινές λειτουργίες.
• Νομική/δικαιοδοτική κυριαρχία (jurisdictional sovereignty): ποιο νομικό πλαίσιο και ποια δικαιοδοσία μπορούν να επηρεάσουν την υπηρεσία και τα δεδομένα.
• Data residency: πού αποθηκεύονται και επεξεργάζονται τα δεδομένα.
• Νομική συμμόρφωση: κατά πόσο η υπηρεσία ανταποκρίνεται στις ευρωπαϊκές κανονιστικές απαιτήσεις.

Οι πέντε αυτές διαστάσεις συνθέτουν μια πιο ολοκληρωμένη εικόνα για το επίπεδο κυριαρχίας που παρέχει μια cloud υπηρεσία.

Γιατί αφορά τη φυσική ασφάλεια;

Η σύνδεση με τον χώρο της φυσικής ασφάλειας είναι πλέον άμεση.

Σύγχρονα συστήματα πυρανίχνευσης, CCTV, access control, intrusion detection και άλλες υποδομές μπορούν να βασίζονται σε cloud υπηρεσίες για απομακρυσμένη παρακολούθηση, διαχείριση, συντήρηση και ανάλυση δεδομένων.

Σε μια κρίσιμη εγκατάσταση, επομένως, η ερώτηση δεν είναι μόνο εάν το cloud είναι διαθέσιμο και ασφαλές.

Είναι επίσης:

Ποιος έχει τον έλεγχο των δεδομένων;

Πού αποθηκεύονται και επεξεργάζονται;

Ποιος μπορεί να αποκτήσει πρόσβαση σε αυτά;

Ποια νομοθεσία μπορεί να επηρεάσει την υπηρεσία;

Τα ερωτήματα αυτά αποκτούν ακόμη μεγαλύτερη σημασία όταν το cloud υποστηρίζει λειτουργίες που σχετίζονται με κρίσιμες υποδομές, δημόσιες υπηρεσίες ή την επιχειρησιακή συνέχεια ενός οργανισμού.

Risk-based προσέγγιση αντί για μία λύση για όλους

Η Euralarm δεν προτείνει την υιοθέτηση ενός συγκεκριμένου τεχνικού μοντέλου ως λύση για κάθε οργανισμό.

Αντίθετα, προτείνει μια risk-based προσέγγιση.

Το απαιτούμενο επίπεδο cloud sovereignty θα πρέπει να καθορίζεται με βάση:

• την ευαισθησία των δεδομένων,
• την κρισιμότητα της εφαρμογής,
• τη σημασία της υπηρεσίας για τον οργανισμό,
• τις συνέπειες μιας πιθανής απώλειας ελέγχου,
• τον κίνδυνο εξωτερικής νομικής ή επιχειρησιακής επιρροής,
• και τις απαιτήσεις κανονιστικής συμμόρφωσης.

Έτσι, ένας οργανισμός μπορεί να αποφύγει τόσο την ανεπαρκή προστασία όσο και την υπερβολικά σύνθετη και δαπανηρή cloud αρχιτεκτονική.

Το ζήτημα της εξωεδαφικής νομοθεσίας

Ιδιαίτερο ενδιαφέρον παρουσιάζει η διάσταση της jurisdictional sovereignty.

Ένας οργανισμός μπορεί να έχει τα δεδομένα του αποθηκευμένα σε ευρωπαϊκό data center, αλλά η εταιρεία που παρέχει την υπηρεσία ή κάποια από τις τεχνολογίες της μπορεί να υπόκειται και σε νομοθεσία εκτός Ευρώπης.

Αυτό δημιουργεί ένα επιπλέον επίπεδο κινδύνου, καθώς η πρόσβαση στα δεδομένα μπορεί να επηρεάζεται από νομικές απαιτήσεις μιας άλλης δικαιοδοσίας.

Για τον λόγο αυτό, η αξιολόγηση μιας cloud υπηρεσίας δεν μπορεί να περιορίζεται στην ερώτηση «πού βρίσκεται το data center;».

Χρειάζεται να εξετάζεται ολόκληρη η αλυσίδα τεχνολογίας, λειτουργίας, ιδιοκτησίας και νομικής δικαιοδοσίας.

Κυριαρχία, ασφάλεια και κόστος

Η Euralarm επισημαίνει, ωστόσο, ότι η υψηλότερη δυνατή κυριαρχία δεν αποτελεί απαραίτητα τη σωστή επιλογή για κάθε οργανισμό.

Ισχυρότερα μέτρα προστασίας από εξωτερική νομική ή επιχειρησιακή επιρροή μπορούν να προσφέρουν μεγαλύτερο επίπεδο ελέγχου και ανθεκτικότητας, αλλά ταυτόχρονα ενδέχεται να αυξήσουν το κόστος και την πολυπλοκότητα της υποδομής.

Η επιλογή επομένως πρέπει να αποτελεί επιχειρησιακή απόφαση διαχείρισης κινδύνου και όχι απλώς τεχνολογική επιλογή.

Για έναν οργανισμό που διαχειρίζεται κρίσιμες εγκαταστάσεις, για παράδειγμα, το επίπεδο sovereignty που απαιτείται μπορεί να είναι σημαντικά υψηλότερο από εκείνο μιας εφαρμογής χαμηλότερης κρισιμότητας.

Μια νέα παράμετρος στον σχεδιασμό των security υποδομών

Η εξέλιξη του cloud αλλάζει σταδιακά και τον τρόπο με τον οποίο σχεδιάζονται οι υποδομές φυσικής ασφάλειας.

Η επιλογή ενός cloud provider δεν αφορά πλέον μόνο τη διαθεσιμότητα, την απόδοση, το κόστος και τα χαρακτηριστικά ασφαλείας.

Πρέπει να εξετάζεται και το ποιος διατηρεί τον έλεγχο της τεχνολογίας και των δεδομένων, υπό ποιο νομικό πλαίσιο λειτουργεί η υπηρεσία και πόσο ανθεκτική είναι σε πιθανές εξωτερικές επιρροές.

Η νέα οδηγία της Euralarm αντιμετωπίζει την cloud sovereignty όχι ως έναν απόλυτο στόχο, αλλά ως ένα εργαλείο διαχείρισης κινδύνου.

Για την αγορά της πυρασφάλειας και της φυσικής ασφάλειας, αυτό αποτελεί μια σημαντική εξέλιξη. Καθώς όλο και περισσότερες λειτουργίες μεταφέρονται στο cloud, η ερώτηση δεν θα είναι πλέον μόνο αν μια υπηρεσία είναι «cloud-based».

Θα είναι και πόσο κυρίαρχη, ελεγχόμενη, ανθεκτική και συμβατή με το ευρωπαϊκό κανονιστικό πλαίσιο είναι η συγκεκριμένη cloud υποδομή.

Μπορείτε να κατεβάσετε τις σχετικές οδηγίες του Euralarm σχετικά με τα κριτήρια εδώ.

Πηγή: Euralarm – «Criteria for European Sovereign Cloud»