Amazon nói an ninh không gian mạng trong đám mây cho liên bang

Amazon talks cybersecurity in the cloud for feds

By Aliya Sternstein 06/01/2010

Theo: http://www.nextgov.com/nextgov/ng_20100601_7146.php

Bài được đưa lên Internet ngày: 01/06/2010

Lời người dịch: An ninh không gian mạng và an ninh dữ liệu của điện toán đám mây là mối lo cho những ai sử dụng điện toán đám mây. Hãy nghe cuộc phỏng vấn của Nextgov với đại diện của Amazon.com, hãng có dự kiến cung cấp điện toán đám mây cho một số cơ quan chính phủ Mỹ.

Nhà Trắng và một số nhà thầu không điển hình của liên bang cố xoa dịu nỗi sợ hãi trong các nhà quản lý công nghệ của các cơ quan rằng việc thuê ngoài điện toán đám mây của họ là một ác mộng về an ninh đang chờ để xảy ra.

Điện toán đám mây, sử dụng các phần cứng và phần mềm theo yêu cầu mà nó được đặt lên trực tuyến bởi bên thứ 3, có thể giành được sự chú ý tại một số cơ quan. Ban lãnh đạo về Phục hồi Độ tin cậy và Tính minh bạch, cơ quan giám sát việc kích thích chi tiêu, gần đây đã công bố Amazon sẽ quản lý website theo dõi tiền bạc Recovery.gov của mình. Nhưng nhiều giám đốc thông tin CIO chỉ rón rén trng công nghệ thông tin dựa trên web, lo lắng về khả năng các dữ liệu có thể bị mất hoặc bị thâm nhập nếu một nhà thầu bên ngoài đang quản lý thông tin của họ trên Internet âm u.

Hơn nữa, CIO liên bang Vivek Kundra đang thúc giục các cơ quan ôm lấy đám mây trong vòng 10 năm để cắt giảm chi phí IT và giành được tính mềm dẻo mà có thể cho phép họ phục vụ công chúng tốt hơn. Để đáp ứng thời hạn chót và lấp đầy khoảng cách công nghệ giữa các khu vực nhà nước và tư nhân, ông đang cố gắng làm dễ dàng quá trình mua sắm cho những nhà cung cấp đổi mới sáng tạo, phi truyền thống như Amazon.com để cung cấp các dịch vụ cho liên bang. Hãng có trụ sở ở Seattle này đã quản lý IT cho các hãng đã từ lâu.

Kundra đã gặp các hãng ở vùng biển phía Tây vào tháng 3, bao gồm cả Amazon, “để thảo luận cách mà chính phủ có thể cải thiện cách mà nó đưa ra các dịch vụ cho người dân Mỹ và để xem xét một số đầu tư ấn tượng vào các công nghệ thế hệ tiếp theo”, ông đã viết trên blog của Nhà Trắng.

Aliya Sternstein đã phỏng vấn Adam Selipsky, phó chủ tịch của Amazon về các dịch vụ web, để thảo luận những lo lắng của các nhà quản lý liên bang về an ninh IT trong đám mây.

The White House and some atypical federal contractors are out to calm fears among agency technology managers that outsourcing their computing to the cloud is a security nightmare waiting to happen.

Cloud computing, using on-demand hardware and software that is hosted online by a third party, might be gaining traction at some agencies. The Recovery Accountability and Transparency Board, which oversees stimulus spending, recently announced Amazon will host its money-tracking website Recovery.gov. But many chief information officers are only dipping their toes into Web-based information technology, uneasy about the possibility that data could be lost or hacked if an outside contractor is managing their information on the nebulous Internet.

Still, Federal CIO Vivek Kundra is pushing agencies to embrace the cloud within 10 years to cut IT costs and to gain flexibility that would allow them to serve the public better. To meet that deadline and to bridge a technology gap between the private and public sectors, he is trying to ease the procurement process for innovative, nontraditional vendors such as Amazon.com to provide federal services. The Seattle-based company has long hosted IT for corporations.

Kundra met in March with West Coast firms, including Amazon, "to discuss how government can improve how it is delivering services to the American [and] to look at some of the impressive investments in next generation technologies," he wrote on the White House blog.

Aliya Sternstein interviewed Adam Selipsky, vice president of Amazon Web Services, to discuss federal manager's worries about IT security in the cloud.

Nextgov: Khi các quan chức chính phủ lo lắng về việc giữ kiểm soát các dữ liệu của họ đối với một nhà cung cấp dịch vụ đám mây, anh sẽ nói gì để đảm bảo cho họ về an ninh và an toàn mạng của họ?

Selipsky: Từ kiểm soát là một từ tốt... Tôi nghĩ thường có một sự sợ hãi ban đầu về mất kiểm soát, nhưng tôi nghĩ những gì mà hầu hết họ, như Recovery.gov, ccác hãng trên phố Uôn, các hãng dược lớn, sẽ nhận thức được khá nhanh việc họ không bỏ sự kiểm soát mọi thứ mà thực sự quan trọng đối với họ. Dữ liệu sẽ ở những nơi mà bạn đặt nó.

[Amazon đưa ra cho các tổ chức sự lựa chọn các trung tâm dữ liệu được đặt khắp thế giới, bao gồm các trang thiết bị ở Ireland, Singapore và Bắc Virginia]. Chúng ta có thể đảm bảo rằng thông tin sẽ không rời các vùng này trừ phi bạn chọn dịch chuyển nó. Họ cũng có nhiều sự kiểm soát hơn so với họ đã có theo lối truyền thống đối với các tài nguyên điện toán mà họ có thể mang để giữ trong các sản phẩm của họ. [Phạm vi của Amazon cho phép công ty áp dụng các chính sách và biện pháp đối phó về an ninh đáng kể hơn so với hầu hết bất kỳ công ty lớn nào có thể, theo các quan chức của Amazon].

Nextgov: Chính phủ đã quản lý an ninh vật lý các trung tâm dữ liệu của mình, mà là lý do khác các quan chức liên bang có lẽ miễn cưỡng phải nhường lại quyền kiểm soát. Những bước đi nào Amazon tiến hành để đảm bảo rằng mọi người không thể thâm nhập được vào các trang thiết bị mà chứa các dữ liệu của chính phủ?

Selipsky: Đây không chỉ là an ninh vật lý. Đây là về an ninh vật lý, cũng như an ninh của phần mềm và các lớp mạng. Chúng tôi nghĩ về an ninh như một vấn đề điểm – điểm. Chúng tôi sử dụng y hệt những tiếp cận mà các chính phủ và các tổ chức lớn đã sử dụng nhiều thập niên và đang sử dụng ngày hôm nay - và sau đó chúng tôi bổ sung vài thứ lên trên.

[Về an ninh vật lý], nó là những tòa nhà thường khó tả mà không được quảng cáo mạnh... Đây là việc ghi lại ngặt ngèo về bất kỳ ai mà có sự truy cập vật lý tới các trang thiết bị, giám sát bằng video. Chúng tôi tiến hành những kiểm tra nền tảng phù hợp đối với từng nhân viên tiếp cận các trang thiết bị. Chúng tôi đưa ra khả năng mã hóa các dữ liệu của bạn.

Nextgov: When government officials are concerned about handing control of their data to a cloud services provider, what do you say to assure them of your networks' safety and security?

Selipsky: The word control is a good word. . . . I think there is often an initial fear of loss of control, but I think what most of them, such as Recovery.gov, Wall Street firms, large pharmaceutical firms, come to realize pretty quickly is that they are not relinquishing control of things that are really important to them. The data is going to be where you put it.

[Amazon offers organizations a choice of data centers located worldwide, including facilities in Ireland, Singapore and Northern Virginia.] We can guarantee that information will not leave that region unless you choose to move it. They also have a lot more control than they have traditionally had in terms of the computing resources they can bring to bear on their products. [Amazon's scale allows the company to apply significantly more security policing and countermeasures than almost any large company could afford, according to Amazon officials.]

Nextgov: The government typically has managed the physical security of its data centers, which is another reason federal officials might be reluctant to cede control. What steps does Amazon take to ensure that people cannot break into facilities that contain government data?

Selipsky: It's not just the physical security. It's about physical security, as well as security of the software and network layers. We think of security as an end-to-end issue. We use the same approaches that governments and large organizations have used for decades and are using today -- and then we add some things on top.

[As far as physical security,] it's the typical nondescript buildings that are not heavily advertised. . . . It's strict logging of anyone who has physical access to the facilities, video surveillance. We do appropriate background checks on every employee entering the facility. We give the ability to encrypt your data.

Nextgov: Công ty ông đưa ra một dịch vụ an ninh mạng gọi là Amazon Virtual Private Cloud. Điều gì làm cho dịch vụ này khác biệt với các công cụ bảo vệ dữ liệu của các nhà cung cấp đám mây khác?

Selipsky: Nó đơn giản làm cho các dịch vụ web của Amazon giống như các trung tâm dữ liệu khác mà họ sở hữu hoặc kiểm soát. … Đây là một cây cầu an ninh giữa hạ tầng [quản lý an ninh thông tin] của riêng cơ quan và đám mây AWS.

Nextgov: Ông giải quyết mối lo lắng rằng thông tin của một bộ của liên bang bỗng nhiên sẽ trở nên được lưu trữ với một khách hàng khác của ông như thế nào?

Selipsky: Về cơ bản không có cách nào cho việc trộn đó xảy ra cả. Với Đám mây riêng ảo (Virtual Private Cloud) bạn thực sự sẽ tạo ra những biện pháp an ninh y hệt mà công ty có … Nó cho phép bạn quây lại góc riêng tư của riêng bạn.

Nextgov: Có bao nhiêu vị trí vật lý thường lưu trữ dữ liệu của một khách hàng chính phủ để đảm bảo sự sao lưu và phục hồi thảm họa một cách phù hợp?

Selipsky: Chúng tôi có nhiều bản sao dư thừa trong các trang thiết bị vật lý tách biệt nhau. Một cơn bão hoặc một vụ sét đánh không thể lấy đi các trang thiết bị nơi mà bạn có các dữ liệu của bạn được. Chúng tôi có nhiều trung tâm dữ liệu trong một vùng cụ thể nào đó.

Nextgov: Ông sẽ nói gì với các quan chức chính phủ, những người lo lắng về việc các nhân viên của Amazon truy cập các hồ sơ của chính phủ?

Selipsky: Nhiều tổ chức có các vấn đề ngay cả với việc biết những tài sản nào đang ở đâu. Chúng tất cả là các điểm truy cập trong mạng. Khó mà có thể cho CIO biết về tất cả những điểm truy cập đó trong mạng. Trên AWS, với một lệnh duy nhất, một CIO có thể có được một liệt kê mọi nguồn mà nó đang chạy trên đám mây AWS. Có sự trực quan và hiểu biết hoàn toàn đối với tất cả các tài sản này.

Chúng tôi có những chính sách về việc ai có thể truy cập được cái gì. Thực sự không có cách gì đối với người của AWS truy cập tới các dữ liệu của các cơ quan nếu nó được mã hóa. Chúng tôi có ghi nhật ký nghiêm ngặt và hiệu quả sao cho nếu bất kỳ ai định muốn làm bất kỳ thứ gì mà khả thi về mặt kỹ thuật mà lại bị cấm, thì chún tôi có thể thấy ngay được ai đã đang làm điều đó.

Nextgov: Your company offers a networking security service called the Amazon Virtual Private Cloud. What makes this service different from other cloud providers' data protection tools?

Selipsky: It simply makes Amazon Web Services look like another data center that they own or control. . . . It's a secure bridge between the agency's own [information security management] infrastructure and the AWS cloud.

Nextgov: How do you address the concern that a federal department's information will accidentally become stored with another client of yours?

Selipsky: There's basically no way for that mixing to happen. With the Virtual Private Cloud you really do create the same security measures that the company already has. . . .[It] allows you to cordon off your own private corner.

Nextgov: How many physical locations typically store a government customer's data to ensure adequate backup and disaster recovery?

Selipsky: We make multiple redundant copies in separate physical facilities. A tornado or a lightning strike is not going to take out the facilities where you have your data. We have multiple data centers within a specific region.

Nextgov: What do you say to federal officials who are worried about Amazon employees accessing government files?

Selipsky: A lot of organizations have issues with even knowing what assets are in place. Those are all access points into the network. It's incredibly hard for the CIO to know about all of those access points into the network. [On AWS], with a single command, a CIO can get a listing of every resource that is running in the AWS cloud. There is complete visibility and knowability of all assets.

We have strict policies on who can access what. There really is no way for AWS [personnel] to access an agencies' data if it's been encrypted. We have strict and effective logging so that if anyone did attempt to do anything that was technically feasible while prohibited, we would have instant visibility into who was doing that.

Dịch tài liệu: Lê Trung Nghĩa

letrungnghia.foss@gmail.com