Kender du din cloud-leverandørs sikkerheds-niveau?

Tør du lægge dine forretningskritiske data op i skyen?

Hvis ikke, er du ikke den eneste, der holder igen med cloud computing på grund af sikkerheden. Det vil en række cloud-leverandører - ikke så overraskende - gerne have lavet om på.

Selskaberne, der blandt andet tæller Microsoft, Google, Oracle og Amazon, samt ENISA (European Network and Information Security Agency), KPMG og McAfee, har derfor lanceret ideen om et sæt standarder for, hvordan man kan måle og sammenligne sikkerhedsniveauet i skyen - Common Assurance Metric (CAM).

"Med de komplekse it-arkitekturer, vi har i dag, og den dybe afhængighed af tredjeparts-leverandører, har der aldrig været et større behov for gennemsigtighed og objektive måleenheder," udtaler Jim Reavis, leder af Cloud Security Alliance, der er en af initiativtagerne.

Det nyoprettede konsortium, der endnu ikke er navngivet, forklarer, at fordelen ved CAM er, at cloud-kunder lettere kan sammenligne de forskellige produkters sikkerhedsniveau, og at leverandørerne får mulighed for at differentiere sig på denne front.

"De nuværende måder at måle på er ofte subjektive og i mange tilfælde tilpassede løsninger. Dette gør det svært af måle sikkerheds-profiler kvantitativt og kræver en skræddersyet tilgang, der kræver både tid og penge," lyder det blandt andet fra konsortiet.

Det vrimler med standarder
Det er langt fra første gang, at der bliver talt om behovet for standarder inden for cloud computing. En række forskellige standardiserings-organisationer er skudt frem med netop dette formål, men ofte har udgangspunktet været at sikre interoperabilitet og hindre vendor lock-in i skyen.

Cloud-forsker Frederik Orellana fra Niels Bohr Instituttet har tidligere over for Computerworld kaldt standard-diskussioner og de forskellige fraktioner en storm i en glas vand.

"Det er Amazon, der har defineret cloud computing fra starten, og det er stadig dem, der sidder på det. Men man kan ikke beskylde dem for at lave vendor lock-in," sagde han blandt andet.

Netop sikkerhedsdelen er dog i mange tilfælde en reel bekymring, og derfor kan det seneste standard-initiativ vise sig at være noget mere konkret og brugbart end tidligere.

Sikkerhedskonsulent og leder af Dansk IT's netop oprettede kompetencenetværk om cloud computing og virtualisering, Carsten Jørgensen fra Devoteam Consulting, har tidligere peget på, at netop sikkerheds- og lovgivningsmæssige bekymringer kan være en barriere for cloud computing i mange virksomheder.

It-chef: Vi tør ikke helt endnu
For få uger siden fortalte Jens Nielsen, Jyske Banks it-chef, til Computerworld, at det bestemt godt kan ske, at banken på et tidspunkt er klar til at tage det helt store hop op i den offentlige sky.

"Det er slet ikke utænkeligt. Vi skal selvfølgelig have styr på data, og det er klart, at vi ikke starter med at lægge hele vores kunde-database ud, men derimod med nogle ting, der er mindre fortrolige."

Indtil videre er han dog ikke klar til at tage springet til for eksempel at satse på Amazon som cloud-leverandør, og han tør endnu ikke lægge samarbejdssystemer og mail ud i skyen.

"Der er vi ikke klar til at lægge data uden for vores firewall. Om det kommer? Det skal det nok gøre ... Det handler om nogle krypterings-standarder og i bund og grund vel også et spørgsmål om, hvor markedet er," forklarede Jyske Banks CTO.