UNICORN COLLEGE
BAKALÁŘSKÁ PRÁCE
2013
Tomáš ZACH
UNICORN COLLEGE Katedra informačních technologií
BAKALÁŘSKÁ PRÁCE
Cloud computing, jeho využití a dopad na korporátní prostředí
Autor BP: Tomáš Zach Vedoucí BP: Ing. Tomáš Kroček
2013 Praha
Vzor: ZADÁNÍ BAKALÁŘSKÉ PRÁCE – originál, kopie originálu, naskenovaná podoba – dle jednotlivých prací (originál, 2 x kopie, elektronická verze)
Čestné prohlášení Prohlašuji, že jsem svou bakalářskou práci na téma „Cloud computing, jeho využití a dopad na korporátní prostředí“ vypracoval samostatně pod vedením vedoucího bakalářské práce a s použitím výhradně odborné literatury a dalších informačních zdrojů, které jsou v práci citovány a jsou také uvedeny v seznamu literatury a použitých zdrojů. Jako autor této bakalářské práce dále prohlašuji, že v souvislosti s jejím vytvořením jsem neporušil autorská práva třetích osob a jsem si plně vědom následků porušení ustanovení § 11 a následujících autorského zákona č. 121/2000 Sb.
V Praze dne 7. 8. 2013
…….…………………………… (Tomáš Zach)
Poděkování Děkuji vedoucímu bakalářské práce Ing. Tomáši Kročkovi za účinnou metodickou, pedagogickou a odbornou pomoc a další cenné rady při zpracování mé bakalářské práce.
Cloud computing, jeho využití a dopad na korporátní prostředí Cloud computing, implementation and impact in the corporate environment
6
Abstrakt Cílem bakalářské práce je vysvětlení v současnosti velmi populární problematiky technologie cloud computingu a její využití v prostředí malých, středních a velkých organizací a firem. Po osvětlení základní problematiky bychom se postupně zaměřili na konkrétní typy cloudů - IaaS, PaaS, SaaS atd. a jejich možná využití ve firemním prostředí. Zaměříme se na jednotlivá úskalí legislativního či technického charakteru a vyhodnotíme možné přínosy, rizika apod. Průzkumem trhu a jeho rozborem se pokusíme identifikovat největší možné hráče a pokusíme se odhadnout budoucí vývoj. Klíčová slova: cloud, cloud computing, enterprise, SaaS, PaaS, IaaS, virtualizace, dostupnost, škálovatelnost
Abstract What I would like to achieve in this bachelor thesis is explanation of nowadays very popular cloud computing technology and problematic around that. I will have a look at how it can be used in wide range of companies, starting with small offices towards large enterprises. Once I've gone through the basics I will explain differences among various cloud types – IaaS, PaaS, SaaS etc. and how each and every one can be used in the corporate environment. While looking at difficulties legislative or technical nature I will assess possible pros and cons, risks etc. Another part would be dedicated to a market research where I will identify largest players in there and I will try to depict the possible future development. Keywords: cloud, cloud computing, enterprise, SaaS, PaaS, IaaS, virtualization, availability, scalability
7
OBSAH 1. Úvod
10
2. Teorie cloud computingu
11
2.1 Historie
11
2.2 Definice
11
2.3 Standardy
14
2.4 Rozdělení „mraků“
17
2.4.1 Dle umístění - Privátní, veřejné, hybridní, komunitní
18
2.4.2 Dle servisního modelu - SaaS, PaaS, IaaS, XaaS
19
3. Dopad na korporátní prostředí
22
4. Bezpečnost cloudu a bezpečnost v cloudu
24
4.1 Fyzické zabezpečení datových center
24
4.2 Zabezpečení dat v cloudu
26
4.3 Kontrola rizik
27
5. Data v cloudu
30
5.1 Vlastnictví
30
5.2 Uchovávání
32
5.3 Přenositelnost
32
6. Výkon
35
6.1 Kapacita, elasticita
36
6.2 Dostupnost, spolehlivost
36
7. Legislativní dopady
38 8
7.1 Fyzické umístění
38
7.2 Důvěrnost
39
8. Ekonomické dopady
41
9. Možné trendy v horizontu několika následujících let
43
10. Závěr
48
11. Conclusion
50
12. Seznam použité literatury
52
13. Seznam použitých symbolů a zkratek
54
14. Seznam obrázků
55
9
1. ÚVOD Cílem této práce je poskytnout kompletní a komplexní pohled na problematiku cloud computingu. Snahou je poskytnout čtenáři nejen shrnutí teoretických poznatků, ale hlavně rozbor různých technologických, bezpečnostních a právních aspektů, upozornit na možné výhody a rizika, která jsou s používáním této technologie spojená. Práce si neklade za cíl kompletní mapování dostupných poskytovatelů cloud služeb a jejich technologií. Zabývám se pouze vybranými lídry trhu a analýzou jejich služeb. Na základě těchto informací se, v závěrečné části práce, pokusím o shrnutí dosavadních poznatků a následnému možnému odhadu budoucího vývoje.
10
2. TEORIE CLOUD COMPUTINGU 2.1 Historie Cloud Computing, jeden z nejvýznamnějších trendů v informačních technologiích několika posledních let, má ve skutečnosti již poměrně dlouhou historii. Poprvé byla základní myšlenka principů cloud computingu zmíněna v řeči u příležitosti oslav 100 let university MIT v roce 1961. Profesor John McCarthy tehdy předpověděl, že sdílení počítačových prostředků více uživateli by v budoucnu mohlo vést k obchodnímu modelu, kde by výpočetní výkon a dokonce jednotlivé aplikace bylo možné prodávat tak, jako elektřinu, plyn, vodu apod. Tato myšlenka, jakkoliv v té době populární, byla postupně opuštěna, neboť tehdejší hardwarové, softwarové a především telekomunikační technologie nebyly na tento model připraveny. Znovu byla oživena kolem roku 2000, především díky prudkému rozvoji Internetu. Název „Cloud“, v češtině znamenající „Mrak“, byl převzat od telekomunikačních společností, kde byl používán k vyobrazení telekomunikační sítě. Obrázek 1: Historie Cloud Computingu
Zdroj: http://doi.ieeecomputersociety.org Prudký rozvoj dalšího z moderních trendů IT, virtualizace, vede k rychlému rozvoji a masovému nasazení cloud computingu.
2.2 Definice 11
Cloud computing je velmi často skloňován zejména IT manažery velkých společností. Tento termín nalezneme na nespočetných místech, při čtení různých IT webových portálů, v odborných diskusích, je to i časté téma odborných konferencí. Nicméně každý má trochu jinou představu, co cloud computing vlastně je, jaké jsou jeho charakteristické rysy apod. Též různé organizace nabízí různé definice, které již tak nejednotné představy dále komplikují. V této práci použiji zřejmě nejrozšířenější definici Národního institutu pro normalizaci a standardy (NIST) Spojených státu amerických. Ačkoliv je cloud computing ve své podstatě stále se rozvíjející model poskytování IT služeb, NIST definice je přesná, pokud jde o popis současných řešení, která IT dodavatelé služeb poskytují. Cloud computing je vnímán nejen jako další krok ve vývoji výpočetní techniky, ale zároveň je to efektivní způsob snižování nákladů, zrychlení zavádění nových technologií a přesun odpovědnosti za IT služby z firmy na poskytovatele. Definice NIST je nejčastěji používána odbornou veřejností. Obecně lze cloud computing charakterizovat jako službu poskytovanou na vyžádání. Místo nákupu výkonné pracovní stanice, serveru případně celé farmy lze zakoupit pouze konkrétní službu, která dané požadavky uspokojí. Může se jednat o zakoupení výpočetního výkonu, úložného prostoru případně konkrétní aplikace a tak dále. Firmě odpadají starosti s údržbou a náklady s provozováním takové služby spojené. Ve většině případů je finanční model nastaven tak, že firmy platí pouze za spotřebované zdroje. Naopak pro poskytovatele služby takový model přináší výhodu, kde volné prostředky mohou pronajmout někomu jinému. Na obrázku číslo 2 je vyobrazeno pět základních charakteristik cloud computingu. Služba na vyžádání - Uživatel má možnost v případě potřeby využít výpočetní prostředky, typicky procesorový čas nebo datové úložiště bez nutnosti interakce s poskytovatelem cloudové služby. Neomezený přístup po síti – Služba poskytována v cloudu je běžně dostupná přes síťové připojení prostřednictvím mechanismů, umožňujících použití tenkých nebo tlustých klientů. Sdílení zdrojů – Poskytovatel cloudových služeb pronajímá své výpočetní prostředky více klientům a je schopen tyto prostředky dynamicky přiřazovat na základě jejich 12
potřeb. Vysoká úroveň abstrakce služby má za následek, že služba je poskytována bez ohledu na fyzické umístění výpočetních prostředků. Vysoká elasticita – Služba, poskytovaná cloudem, může alokovat více prostředků nebo je naopak uvolnit, v některých případech automaticky, aby byla schopná reagovat na proměnné požadavky klienta. Ze strany klienta se pak služba jeví jako neomezená. Měřitelnost služby – Systémy cloudu automaticky kontrolují a optimalizují využívané výpočetní prostředky. Tyto mohou být monitorovány a na základě reportů poskytují transparentní informaci o využívání služby pro poskytovatele i klienta. Obrázek 2: Pět hlavních znaků cloud computingu
Zdroj: http://www.atkearney.com/ideas-insights
13
Ještě bych krátce zmínil definici společnosti Gartner Research, která se zabývá výzkumem a analýzou technologického trhu.1 Obrázek 3: Šest atributů cloud computingu dle Gartner Research
Zdroj: http://www.cloudbzz.com/gartner-6-attributes-of-cloud-computing/
2.3 Standardy V roce 2012 byla otázka bezpečnosti dat zřejmě největší překážkou pro firmy, které uvažovaly o implementaci cloudových řešení. Jak se tento problém postupně zmenšuje, tak se naopak ukazuje problém chybějících standardů a tím i jejich dodržování. Zatímco například Internet je z tohoto pohledu spravován organizací IETF, fragmentace cloud computing standardů je zatím příliš veliká. V zásadě máme dva hlavní proudy, které se snaží o standardizaci. Na jedné straně jsou to poskytovatelé cloudových služeb, kteří chtějí svým potenciálním zákazníkům nabídnout transparentní prostředí z hlediska bezpečnosti a na straně druhé jsou to sami zákazníci, kteří se chtějí ujistit o kvalitě poskytované služby a být schopni provést objektivní srovnání jednotlivých poskytovatelů.
Attributes of Cloud Services. Gartner [online]. [cit. 2013-08-08]. Dostupné z: http://www.gartner.com/newsroom/id/1035013 1
14
Díky tomu, že cloud je stále ještě mladý trend, navíc velmi dynamicky se rozvíjející, je snaha o jeho standardizaci zřejmě ještě komplikovanější než jednoznačná definice. Tuto snahu je v tento okamžik možné rozdělit do tří skupin. Standardy pro vývojáře Stejně tak jako při vývoji softwaru i na poli cloudových platforem probíhá boj zejména mezi proprietárními vývojovými nástroji (API) a jejich variant z rodiny OpenSource. Mezi některé nejvýznamnější hráče patří: -
AWS API http://aws.amazon.com/documentation/
-
OpenStack http://www.openstack.org/
-
CloudStack http://cloudstack.apache.org/
-
Eucalyptus http://www.eucalyptus.com/
-
VMware vCloud http://www.vmware.com/support/pubs/sdk_pubs.html
-
OpenNebula http://opennebula.org/
Každá tato organizace, případně skupina organizací a firem, se snaží prosadit svůj pohled na cloud platformu a její správu, rozšiřování, práci s daty, interakci s okolním prostředím a tak dále. Standardizace na tomto poli bude mít zásadní vliv na rozvoj cloud computingu a jeho budoucí formu a vlastnosti. Preskriptivní standardy jsou snahou o konfiguraci cloud computing prostředí dle doporučených postupů tak, aby usnadnily vzájemnou komunikaci a zejména zjednodušily migraci podnikových aplikací do cloudového prostředí. Ve své podstatě se zase tak moc neliší od současných standardů implementovaných v rámci podnikových prostředí. Jde v podstatě o jakousi adaptabilitu na prostředí cloudu. Cloud computing totiž z hlediska poskytování určité služby znamená pouze změnu modelu poskytování a nikoliv architektury služby jako takové. Příkladem lze uvést e-mail, který ve firemním nebo cloudovém prostředí stále závisí na standardních protokolech SMTP, IMAP, POP atd., přístup k webovým aplikacím je zprostředkován pomocí http a služby případně zdroje jako takové vyhledávány pomocí DNS. Lze však nalézt určité aspekty, které jsou nové a je potřeba současné standardy upravit, rozšířit tak, aby zahrnovaly 15
právě cloud computing. Příkladem lze uvést standardy pro distribuovanou autentizaci OAuth nebo administraci, řízení, reportování a kontrolu distribuovaných systémů velkého rozsahu apod. Certifikační standardy Zatímco preskriptivní standardy říkají, jak by něco mělo být nastaveno, certifikační standardy by měly být schopné vyhodnotit, do jaké míry je tato konfigurace ve shodě s konkrétním standardem, případně doporučeným postupem. Na základě těchto faktů bychom měli být schopni měřit, do jaké míry poskytovatel konkrétní standardy splňuje a zejména porovnat poskytovatele mezi sebou navzájem a určit tak nejlepší variantu pro konkrétní firmu a její aplikaci. Příkladem budiž jednoduchý pohled na CPU. Poskytovatelé vytvořili z hlediska cloudu vlastní ekvivalenty. Amazon Web Services používá Elastic Compute Unit, Google svou Google Compute Engine Unit a Microsoft Azure takt procesorů. Mezi klíčové oblasti IT, které je nutné při výběru poskytovatele vyhodnotit, patří zabezpečení, přenositelnost, interakce, vytváření a správa dalších zdrojů. Pro účely standardizace cloud computing prostředí se utvořilo několik aliancí sdružujících přední poskytovatele trhu, ale i zástupce z pohledu uživatelského. Společně se prezentují jako Cloud Standards Council a svoji práci prezentují na webových stránkách http://cloud-standards.org. Jedním z prvních dokončených standardů je standard pro snadnou a bezpečnou distribuci software pro běh na virtuálních strojích „Open Virtualization Format“ (OVF). Tento standard byl jako první přijat standardizačními organizacemi ANSI a též ISO. Největšího pokroku bylo dosaženo v oblasti bezpečnosti, zejména díky organizacím sdruženým v Cloud Security Alliance. Ti tak nabízejí mnoho užitečných zdrojů a pomůcek, z nichž mnohé jsou považovány v podstatě za standard. „Cloud Controls Matrix“ (CCM) je souborem doporučených postupů v oblasti bezpečnosti, koordinovaný s dalšími bezpečnostními standardy jako je ISO27001, COBIT, HIPAA apod. Dalším užitečným zdrojem informací je „Security, Trust and Assurance Registry“, který
16
obsahuje odpovědi na klíčové otázky CCM od předních poskytovatelů včetně společností Amazon, Microsoft, Box.com apod. Bohužel však nebylo takového pokroku dosaženo v ostatních doménách. Z toho důvodu nebylo ještě mnoho společností schopno učinit volbu, kvalifikované rozhodnutí a problém standardizace tak přetrvává i v průběhu roku 2013.
2.4 Rozdělení „mraků“ Národního institut pro normalizaci a standardy, na základě definice cloud computingu, rozděluje „mraky“ dle dvou základních kategorií modelu nasazení a servisního modelu.2 V následujících podkapitolách obě rozdělení popíši detailněji. Obrázek 4: NIST definice
MELL, Peter a Timothy GRANCE. The NIST Definition of Cloud Computing. In: [online]. [cit. 2012-0517]. Dostupné z: http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf 2
17
2.4.1 Dle umístění - Privátní, veřejné, hybridní, komunitní Privátní cloud je zpravidla realizován pomocí technologií umístěných v sídle konkrétní společnosti. Teoreticky se jedná o podobný přístup jako u typického provozování interní infrastruktury. Rozdíl je pak ve způsobu poskytování zdrojů a služeb. Zpravidla pomocí virtualizačních nástrojů dosahujeme funkcionality, která splňuje charakteristiky cloud v definici NIST. Prostředky takto využívané jsou přístupné pouze společnosti, která privátní cloud provozuje. Privátní cloud může být umístěn i v prostorách poskytovatele cloudových služeb, je však striktně oddělen od ostatních výpočetních zdrojů a poskytován jen jednomu klientovi, odběrateli služby. Naproti tomu veřejný cloud je modelem veřejným, kde cloudových zdrojů zpravidla vyžívá vícero zákazníků na základě smluvních podmínek s poskytovatelem cloudových služeb (CSP). Komunitní cloud je ve své podstatě cloudem privátním s tím rozdílem, že je sdílen v rámci uskupené komunity společností. Hlavním důvodem pro existenci cloudu tohoto typu je efektivnější využívání zdrojů a optimalizace finančních nákladů. Hybridní cloud je kombinací některých z výše popsaných modelů.
18
2.4.2 Dle servisního modelu - SaaS, PaaS, IaaS, XaaS Obrázek 5: Vrstvy modelů a změna vlastnictví
Zdroj: http://thebpmfreak.wordpress.com/category/cloud/ Než přistoupím k popisu jednotlivých servisních modelů, podíváme se na tradiční pojetí IT, tak jak je chápáno v dnešní době. V tradičním pojetí IT jsou všechny komponenty výpočetní infrastruktury umístěny v prostorách k tomu určených každé konkrétní společnosti. Správa je kompletně v rukou vnitrofiremního IT a to na všech úrovních od síťové až po aplikační vrstvu tak, jak je znázorněno na obrázku. S rostoucím tempem vývoje technologií rostou velmi rychle i nároky na vnitropodnikové IT. Částečným řešením a jakýmsi mezistupněm je pro některé společnosti outsourcing některých IT služeb, neboť outsourcingové společnosti zpravidla disponují specializovanými odborníky a jsou lépe schopny tyto odborníky dále vzdělávat v zájmu udržení vysoké kvality služeb než společnosti, jejichž hlavním předmětem podnikání jsou činnosti, které s IT nemají nic společného. S rychlým rozvojem Internetu a dostupných WAN technologií se pak nabízí otázka umístění výpočetní in19
frastruktury přímo u outsourcingového partnera za účelem dalšího zkvalitnění poskytovaných služeb. Začíná tak transformace outsourcingových partnerů na poskytovatele cloudových řešení (CSP). Infrastructure as a Service (IaaS) představuje nejjednodušší formu cloud computingových služeb. Zákazník si v tomto případě pronajímá infrastrukturu potřebnou pro provoz konkrétní aplikace a péči o potřebný hardware přenáší na poskytovatele služeb. Zpravidla dostává k dispozici virtualizovaný stroj, na který následně pouze instaluje komponenty nutné pro běh vlastní aplikace. Morální zastarávání komponent, redundantnost prvků, plánování dostatečné kapacity, zálohování, zabezpečení na úrovni OS a vlastní chod infrastruktury společně s nutnou personální zátěží tak dostává na starost CSP. Zákazník tímto snižuje komplexnost vlastního IT prostředí a teoreticky zvyšuje efektivitu využití IT prostředků. Typickými poskytovatelem služeb této úrovně je Amazon Elastic Compute Cloud (EC2). Platform as a Service (PaaS) je z pohledu zákazníka jakousi další úrovní abstrakce IT vrstev. CSP poskytovatel v rámci svého cloudu nabízí určitou platformu, kterou poté klient může dále uzpůsobovat svým potřebám. V tomto případě je zodpovědnost za chod další části infrastruktury přesunuta ze zákazníka na poskytovatele služeb. Typickými službami PaaS jsou web hostingové služby případně vývojářské portály kde zákazník pouze nasadí svou aplikaci. Příkladem mohou být třeba platforma Windows Azure nebo Google App Engine. V Software as a Service (SaaS) modelu je kompletní správa infrastruktury v rukou poskytovatele služeb a zákazníkovi je určitá aplikace poskytována jako služba. Z pohledu zákazníka tak mizí potřeba se jakkoliv starat o chod aplikace či IT infrastruktury a pouze danou službu užívá dle podmínek specifikovaných ve smlouvě o poskytování služeb případně doplňkových smluv typu SLA apod. Nejznámějšími poskytovateli SaaS služeb je například Google se svou emailovou aplikací Gmail, Microsoft nabízející online kancelářský balík Office prostřednictvím služeb Office 365 nebo portál Salesforce.com, který je dodavatelem komplexního CRM řešení. 20
V odborné literatuře nebo na Internetu se lze poměrně často setkat s dalšími modely poskytování cloudových služeb například Computing as a Service (Verizon), Security as a Service (McAfee), Desktop as a Service(Dell) atd. Ty jsou ale z pohledu definice NIST pouze podmnožinou definovaných servisních modelů. Někdy se též používá souhrnné označení Everything as a Service (XaaS). Obrázek 6: Poskytovatelé služeb dle servisního modelu
Zdroj: Vlastní zpracování
21
3. DOPAD NA KORPORÁTNÍ PROSTŘEDÍ Ačkoliv je cloud computing ve své podstatě jen dalším evolučním krokem v poskytování výpočetního výkonu a služeb, mnohé firmy jsou k tomuto modelu stále skeptické a nasazení buď vůbec neplánují, nebo stále vyčkávají, jakým směrem se bude ubírat budoucí vývoj.3 Obrázek 7: Evoluce cloudu
On Premise
Hosting
Outsourced
Cloud
Zdroj: Vlastní zpracování S každým krokem bylo nutné provést určitá opatření, analýzu výhod a rizik, přizpůsobení používaní vlastního IT, ale v konečném důsledku došlo ke zlepšení. Firmy si uvědomují komplexitu jejich vlastního IT a náklady s tím spojené. Na druhou stranu se obávájí rizik nových, která s sebou cloud computing přináší. Na jednotlivé aspekty cloud computingu se podíváme v následujících kapitolách. V následujících dvou grafikách je uveden výčet důvodů, proč firmy zvažují implementaci cloud computing řešení a naopak proč tak ještě neučinily.
3
SOSINSKY, Barrie. Cloud Computing Bible. United States : Wiley, 2011. 528 s. ISBN 978-0470903568
22
Obrázek 8: Hlavní důvody pro implementaci cloudových řešení
Zdroj: CIO Global Cloud Computing Adoption Survey, January 2011 Obrázek 9: Klíčové rizikové faktory cloud computingu
Zdroj: http://robiulislam.wordpress.com/2011/12/28/cloud-computing-security/
23
4. BEZPEČNOST CLOUDU A BEZPEČNOST V CLOUDU 4.1 Fyzické zabezpečení datových center Lze bez větší nadsázky říci, že mnoho firem do svých serverových místností neinvestuje takové prostředky, jaké by byly potřeba. Důsledkem takového počínání je ve své podstatě hazard s vlastními daty ačkoliv téměř každý IT manažer či CIO bude klást na bezpečnost dat největší důraz. V mnohých případech firmy, zejména menší a střední, ani nemají vyhrazené prostory pro své servery. Ve zbylých případech jsou tyto místnosti nedostatečně vybaveny z hlediska chladicích systémů, protipožárních zařízení, redundancí napájení, zabezpečení přístupu atd. O redundanci všech prvků firemní IT infrastruktury, zálohování včetně umístění záloh mimo prostory firmy, DRP plánů apod. ani není třeba hovořit. Příčinou zdaleka není jen nedůslednost admistrátorů nebo jejich vedení, ale v naprosté většině nedostatek volných finančních prostředků, které jsou nezbytné, abychom mohli všechny tyto aspekty vyřešit. Obrázek níže ilustruje extrémní, nikoliv však ojedinělý případ, jak takové serverovny mohou vypadat. Bezpečnost dat je v takovém případě z hlediska fyzického zabezpečení v podstatě jen iluze. Obrázek 10: Firemní IT jak by nemělo vypadat
Zdroj: http://www.cisco.com/ 24
Naproti tomu cloudové služby bývají provozovány ve velkých datových centrech, navíc často geograficky oddělených. Provozní a technické parametry tak bývají diametrálně odlišné od toho, co si soukromé společnosti mohou dovolit. Prostory datového centra bývají velmi dobře zabezpečené proti neoprávněnému přístupu cizích osob, ale i interních zaměstnanců. Biometrická dvou-faktorová autentizace, kamerový systém v celém objektu nebo měsíční audity přístupů jsou jen neúplným výčtem bezpečnostních prvků v datových centrech implementovaných. V rámci celé infrastruktury je kladen důraz na redundanci prvků - napájení, chlazení, konektivita, datová úložiště i jednotlivé servery. Protipožární opatření jsou samozřejmostí. Jedině tak mohou poskytovatelé garantovat vysokou dostupnost služby v SLA smlouvách. Například Windows Azure Cloud Service provozovaný firmou Microsoft je tak schopen garantovat dostupnost více než 99,95%, kalkulováno měsíčně.4 Obrázek 11: Datacentrum Google
Zdroj: http://images.google.com
Cloud Services, Virtual Machines and Virtual Network SLA. Microsoft [online]. [cit. 2013-08-08]. Dostupné z: http://www.microsoft.com/windowsazure/sla/ 4
25
4.2 Zabezpečení dat v cloudu Základním problémem umístění dat v cloudu je tak zejména bezpečnost dat samých. Dochází zde totiž k určitému přenesení odpovědnosti za data z vlastníka dat na poskytovatele cloudových služeb. Na jednu stranu se jedná o výhodu, neboť dochází ke snížení nákladů na bezpečnost dat na straně vlastníka a zároveň zvyšuje kvalitu. Na straně druhé se jedná o bezpečnostní riziko, které je třeba nějakým způsobem vyhodnotit. Ačkoliv lze říci, že požadavky na bezpečnost bývají velmi individuální, v zásadě se vše odvíjí od obchodní činnosti společnosti a tomu, jaký by případný bezpečnostní incident mohl mít dopad na její chod. Velmi důležitou úlohou při rozhodování o cloudovém řešení je analýza rizik a zejména pak klasifikace dat. Jedině tak bude možno určit, která data mají být migrována či nikoliv a případný dopad na kompromitaci, eventuálně ztrátu těchto dat. Následně je teprve možné přistoupit k výběru vhodného poskytovatele a samotnou migraci dat. Jakkoliv minimalizována bezpečnostní rizika mohou být, existují nejméně dva faktory, které v praxi již několikrát ukázaly, že žádné nástroje nejsou dostatečné. Jedná se o lidský faktor a neočekávané události ve smyslu přírodních katastrof. Jednoznačnou chybou lidského faktoru budiž příklad z roku 2011, kdy programátoři služby Dropbox aktualizovali autentizační mechanismus a v následujících několika hodinách bylo možné přistupovat k jakémukoliv účtu bez nutnosti znát heslo. Ačkoliv zřejmě k úniku dat nedošlo, není těžké si představit, že v případě úniku firemních citlivých dat by následky mohly být nedozírné. Jiným příkladem je situace z června roku 2012, kdy díky silným bouřím v USA došlo k výpadku napájení několika datových center a tato situace měla přímý dopad na dostupnost služeb poskytovaných firmou Amazon, Amazon Web Services. Zde lze dojít k relativně mylnému závěru, že cloudové služby nelze považovat za bezpečné a dostatečně stabilní. Je nutné si ovšem položit otázku, zda vlastní IT infrastruktura nabízí vůči působení takových faktorů lepší zabezpečení než Amazon či Dropbox. 26
Jediným jednoznačným závěrem, který lze učinit, tak je, že kritická data by měla zůstat ve firmě, případně v privátním cloudu.
4.3 Kontrola rizik Většina poskytovatelů cloudových služeb se prezentují jako „maximálně bezpeční“, ale ve valné většině případů toto nelze ověřit nebo jen velmi těžko. Je tedy lépe předpokládat, že tomu tak není a data jsou tak do jisté míry exponována různým hackerským útokům či neautorizovanému sběru dat. Ačkoliv se přesunem dat do cloudu také přesouvá zodpovědnost za bezpečnost těchto dat, definování požadované úrovně bezpečnosti a kontrola jejího dodržování zůstává na vlastníkovi dat respektive jeho IT oddělení. Některá rizika cloud computingu jsou velmi podobná jako u hostingu případně outsourcingu, zejména fakt, že data jsou v rukou třetí strany, jiná jsou specifická pro cloud. Kontrolu rizik je tak třeba pojmout komplexně a nastavit celou sadu procesů, které vedou k účinné kontrole možných hrozeb.5 Spravování identit a kontrola přístupu musí zajistit, aby k aplikacím a datům přistupoval jen ten, kdo k nim má mít přístup (autentizace) a měl pouze taková práva, která jsou k jeho práci nezbytná (autorizace). Systém spravování identit toto umožňuje skrze striktně definované přístupové role a k nim přidělená práva. DLP systém je vhodným nástrojem, který aktivně vynucuje nastavené politiky a umožní monitorování potenciálně nežádoucích aktivit. Komunikace s cloudem musí být šifrována v závislosti na použité metodě přístupu. Vzdálený přístup uživatelů lze realizovat pomocí virtuální privátní sítě. V případě přistupování k datům z mobilních zařízení je nutné též zajistit také tyto zařízení, šifrováním koncových zařízení, možnost vzdáleného vymazání v případě krádeže či ztráty.
ERIC BAUER, Randee Adams. Reliability and availability of cloud computing. Piscataway, NJ: IEEE Press. ISBN 11-181-7701-0. 5
27
V rámci životního cyklu dat je nutné zajistit jejich bezpečné odstranění. To se týká zejména v rámci škálovatelnosti uvolněných prostředků, datových úložišť, záloh a archivačních kopií. Data v cloudu musí být segregována od ostatních uživatelů, fyzicky případně pomocí virtualizace, tak aby měl každý přístup jen k vlastním datům a nemohl nijak narušit integritu dat ostatních. Poskytoval cloudových služeb by měl být schopen garantovat soulad s regulatorními požadavky v zemi či zemích, kde firma působí se svým podnikáním. Vzhledem k tomu, že nároky se značně liší stát od státu, region od regionu, je potřeba tomuto věnovat zvýšenou pozornost. Vysoká míra transparentnosti cloudové služby je v tomto ohledu velkou výhodou. Firemní data a aplikace jsou v případě umístění v cloudu plně v rukou poskytovatele. V jeho kompetenci a zodpovědnosti je tak zajištění adekvátních bezpečnostních systémů, které jsou schopny detekovat a aktivně čelit případným útokům z Internetu. Za tímto účelem by mělo být implementována řešení IDS a IPS. Fyzická bezpečnost datového centra je jakousi samozřejmostí, přesto se vyplatí tato rizika vyhodnotit a přizpůsobit tomu vlastní využití cloudového řešení. Případná certifikace ISO/IEC 27000 či ISO/IEC 27001 nezávislými auditory zaručuje, že poskytovatel garantuje vysoký standard z hlediska zabezpečení. Je tak zajištěna organizace procesů, kontrola přístupu a distribuce úkolů mezi zaměstnanci pomocí dedikovaného ISMS (Information Security Management System) systému. Součástí je i kvalitní strategie risk managementu pro identifikaci potenciálních rizik a jejich minimalizaci. SLA smlouva pomáhá v nastavení dalších parametrů poskytované služby, požadované parametry a případné sankce při jejich neplnění. Nejedná se pouze o požadavky bezpečnostního charakteru, ale i redundance, dostupnosti, škálovatelnosti apod. V rámci smlouvy SLA je dobré definovat co nejvíce možných scénářů a postupy jejich nápravy. 28
Privátní cloud poskytuje mnohem větší pružnost a zejména pak rychlejší reakci na nastalé události jako je například detekce narušení. Vždy je nutné pamatovat na to, že ačkoliv je firemní ICT a bezpečnost svěřena třetí straně, jedná se o data firmy a stále tak hlavní míra rizika je na straně firmy. Poskytovatel by tak měl zajistit jistou míru transparentnosti a vhled do jeho bezpečnostních mechanizmů navíc potvrzenou pravidelnými bezpečnostními audity nezávislých firem.
29
5. DATA V CLOUDU „Americká vláda tvrdí, že uložením dat do cloudu člověk přestává být jejich vlastníkem“.6 Takové prohlášení vydala americká vláda v loňském roce po zastavení provozu služby Megaupload. Ačkoliv je americká jurisdikce značně odlišná od té evropské, určitě by tato věta měla být alespoň námětem k zamyšlení. Vzhledem ke značně komplikované legislativě zejména v mezinárodním prostředí může mít takové prohlášení velmi vážný dopad na chápání vlastnictví v cloudových prostředích.
5.1 Vlastnictví Abychom zjistili, jak je to přesně s vlastnictvím dat v rámci cloudových služeb, je nutné důkladně prostudovat smluvní podmínky některých poskytovatelů cloudových služeb. Nahlédneme-li do smluvních podmínek Microsoftu: „Kromě materiálů, na které vám udělujeme licenci a které mohou být začleněny ve vašem obsahu (jako je například klipart), nenárokujeme vlastnictví obsahu, který do služeb poskytnete. Váš obsah zůstává ve vašem vlastnictví a nesete za něj odpovědnost.“7 a „Odesláním obsahu do služeb vyjadřujete souhlas s tím, že obsah může být použit, změněn, přizpůsoben, uložen, reprodukován, distribuován a zobrazen v rozsahu, ve kterém je to nezbytné pro vaši ochranu a k poskytování, ochraně a zlepšení produktů a služeb společnosti Microsoft. Příležitostně můžeme například použít automatické prostředky k vyčlenění informací z e-mailu, chatu nebo fotografií, které nám pomohou s detekcí a ochranou proti spamu a malwaru nebo ke zlepšení služeb pomocí nových funkcí usnadňujících jejich používání. Při zpracování vašeho obsahu společnost Microsoft postupuje tak, aby chránila vaše osobní údaje.“
Data v cloudu nejsou vaše. Linux Express [online]. 2012 [cit. 2013-08-08]. Dostupné z: http://www.linuxexpres.cz/usa-data-v-cloudu-nejsou-vase 6
Smlouva o poskytování služeb. Microsoft [online]. 2012 [cit. 2013-08-08]. Dostupné z: http://windows.microsoft.com/cs-cz/windows-live/microsoft-services-agreement 7
30
Z výše citovaného textu je patrné, že Microsoft plně respektuje vlastnictví a případná manipulace s daty je tak pouze v rozsahu nezbytně nutném pro poskytování služby. U poskytovatele Google je situace již o něco komplikovanější: „Některé z našich služeb umožňují odesílání obsahu. Práva k duševnímu vlastnictví daného obsahu zůstávají ve vašem vlastnictví. Jinak řečeno, váš obsah je stále váš.“ a „Pokud nahrajete nebo jinak odešlete obsah do našich služeb, poskytujete společnosti Google (a subjektům, se kterými společnost Google spolupracuje) celosvětově platnou licenci k užití, hostování, uchovávání, reprodukování, upravení, vytvoření odvozených děl (například děl, jež jsou výsledkem překladu, přizpůsobení/adaptací či úprav provedených za účelem jeho lepšího fungování v rámci našich služeb), komunikaci, publikování, provozování a zobrazování na veřejnosti a distribuci takového obsahu. Práva, která touto licencí udělujete, jsou užita za účelem provozování, propagace a vylepšování stávajících služeb a vývoj nových služeb. Licence přetrvává i poté, co přestanete naše služby používat (např. firemní zápis přidaný do služby Mapy Google).“8 První odstavec opět ujišťuje o respektování duševního vlastnictví. Druhý odstavec však výklad značně komplikuje a svou nesrozumitelností nahrává možným spekulacím. Teoreticky lze s obsahem dělat téměř cokoliv a to i po ukončení poskytování služby. V praxi Google provádí tzv. data mining neboli statistický sběr dat pro účely cílení reklamy. Z obou uvedených příkladů je patrné, že se licenční ujednání mohou značně lišit v závislosti na tom kterém poskytovateli a je tak nutné jim věnovat zvýšenou pozornost při výběru ideálního poskytovatele konkrétní služby. V některých případech se mohou podmínky lišit v závislosti na tom, zda-li se jedná o poskytování služby soukromé osobě či firmě případně za úplatu nebo zdarma.
Smlouva o poskytování služeb. Google [online]. https://www.google.com/intl/cs/policies/terms/ 8
31
2012
[cit.
2013-08-08].
Dostupné
z:
Ideálním případem je situace, ve které nemá poskytovatel cloudové služby žádné informace o datech, která spravuje. Toho lze docílit zašifrováním dat ještě před jejich přesunem do cloudového prostředí a uschování šifrovacích klíčů mimo cloud. Příkladem takové služby je CSP SpiderOak (https://spideroak.com/), který se zabývá prodejem datových úložišť.
5.2 Uchovávání Poskytovatelé cloudových služeb mají v rámci svých cloudových řešení zpravidla velmi dobře implementovány různé mechanizmy pro ochranu dat svých klientů. Pravidelné zálohování a archivace, procesy pro obnovu systémů a dat v případě neočekávaných katastrof (DRP) k zajištění chodu firem v rámci jejich „business continuity“ plánů jsou jen neúplným výčtem těchto mechanizmů. Pokud však není například zálohování a archivace předmětem podnikání konkrétní cloudové služby, bývá v licenčním ujednání zpravidla zakotveno, že tyto bezpečností mechanizmy musí zajistit uživatel služby. Poskytovatelé se tak zbavují odpovědnosti za případnou ztrátu či poškození dat. V rámci výběru cloudového poskytovatele je tak nutné explicitně řešit bezpečnost a integritu dat. Preferovat lze řešení přímo v rámci poskytovatele. V opačném případě, v závislosti na typu dat, by mohlo docházet k potenciálně nebezpečným přesunům dat skrze Internet. Může se jednat o obrovské množství, které může mít zásadní vliv na chod služby případně konzistenci záloh jako takových. Z hlediska životního cyklu dat je nutné vyřešit problémy, jak data bezpečně odstranit z důvodů obnovy infrastruktury, ukončení platnosti dat, nebo celkově služby cloudu. Data musí být striktně oddělena od dat ostatních klientů, aby nebylo možné k nim přistupovat, případně pokud dojde ke zkompromitování dat jednoho klienta, aby to ohrozilo data klienta dalšího.
5.3 Přenositelnost
32
Jednou z dalších velkých obav, proč firmy váhají s využitím cloudu, je reálná možnost tzv. vendor lock-in neboli vytvoření závislosti na určitém poskytovateli cloudových služeb. Tato obava je na místě z mnoha různých důvodů. Klíčovým faktorem je nedostatečná standardizace. Provozovatelé používají k běhu svých prostředí často proprietární prostředí, která jsou navzájem nekompatibilní či velmi těžko přizpůsobitelná. Na poli IaaS to mohou být různé virtualizační platformy navzájem nepřenositelné. V případě PaaS se zase jedná o souboj vývojových platforem a nástrojů, Microsoft .NET, PHP, Ruby, Java a další. Migrace mezi těmito platformami je mnohdy značně složitá s vysokými náklady na migraci a v konečném důsledku tak nerealizovatelná. A nakonec SaaS kde je základním problémem datový model a migrace dat z jednoho systému na druhý. Právě z těchto důvodů si například americké ministerstvo obrany najalo společnost Fusion PPT, aby jim pomohla identifikovat nejrozšířenější cloudové standardy a doporučené postupy a předejít tak obávané závislosti na jednom konkrétním poskytovateli. Mezi další důvody může patřit změna podmínek poskytovatele služby, zvýšení poplatků, změna kvality poskytované služby nebo dokonce ukončení provozu. V takovém případě se firemní IT může dostat do velkých problémů a zcela určitě by taková situace měla negativní dopad na obchodní procesy firmy. Nejedná se však jen o teoretické předpoklady. Během roku 2012 se jeden z největších poskytovatelů IaaS služeb, Amazon Web Services, potýkal se třemi vážnými výpadky svých služeb a stejně tak Gmail, poskytovatel cloudového e-mailového klienta, se podobným problémům nedokázal vyhnout. Dalším příkladem je v roce 2011 změna účtování za poskytování PaaS řešení App Engine od firmy Google, které mělo za následek zvednutí ceny v některých případech o více než 100%.9 Ne zcela zjevnou výhodou ponechání si možnosti přejít k jinému poskytovateli je vytváření konkurenčního prostředí, díky kterému jsou poskytovatelé nuceni nabízet lepší podmínky případně levnější služby. Amazon tak byl například pro zachování
Google App Engine Price Hike. InformationWeek [online]. 2011 [cit. 2013-08-08]. Dostupné z: http://www.informationweek.com/cloud-computing/platform/google-app-engine-price-hike-stunsdevel/231600672 9
33
konkurenceschopnosti přinucen zlevnit svá cloudová úložiště o 20% během loňského roku. Nervozita plynoucí z toho, že firmy vkládají své podnikání do rukou poskytovatele, je tak naprosto pochopitelná. Ve své podstatě firma nejen sází na to, že vybere tu nejlepší cloudovou službu pro její podnikání, ale také, že poskytovatel této služby je natolik životaschopnou společností, která bude fungovat tak dlouho, jak jen to bude nutné. Z tohoto úhlu pohledu je tak dobré kromě technických parametrů zvažovat i historii a ekonomické vlastnosti subjektu, poskytovatele cloudových služeb. Při vyhodnocování přenositelnosti služby či aplikace je tak nutné se zaměřit nejen na migraci do prostředí poskytovatele, ale zejména na případný přechod jinam. Ne vždy je jasné, jak lze data případně exportovat, v jakém formátu, v jakém časovém horizontu apod. Sami poskytovatelé bývají obvykle velmi nápomocní při migraci na jejich platformu (Way-In), ale v případě odchodu klienta ke konkurenci (Way-Out) naopak spíše inklinují k nečinnosti, případně celý proces dokonce komplikují. „Your data is yours and it's portable“10 je jedním z prohlášení firmy Microsoft ohledně jejich služby Office 365. Bohužel pouze praktická zkušenost vás upozorní na úskalí, která již zmiňována nejsou. Případný export dat je tak možný pomocí nástrojů Microsoftu do formátu podporovaným právě Microsoft produkty. V důsledku tak nelze provést přímou migraci k jinému poskytovateli a je nutné použít nástroje třetích stran pro konverzi dat do požadovaného formátu.
The Office 365 Trust http://trustoffice365.com/ 10
Center. Office
365 [online].
34
[cit.
2013-08-08].
Dostupné
z:
6. VÝKON Cloud computingu je často mylně přisuzován téměř neomezený výpočetní výkon. Zřejmě to vyplývá z definice, která nám říká, že „Výpočetní kapacitu lze navýšit jak je potřeba, kdy je to potřeba a opět uvolnit, když už není vyžadována“. Faktem však je, že tento výpočetní výkon je limitován velikostí cloud computingu konkrétního poskytovatele, velikostí jeho datacentra eventuálně datacenter, pokud se jedná o geograficky rozložený cloud. Škálovatelnost výkonu je tak omezena právě těmito parametry. V praxi lze říci, že většina poskytovatelů je schopna nabídnout takový výkon, který nabídne dostatečnou výpočetní kapacitu pro jakoukoliv standardní aplikaci či úlohu. Problém může nastat spíše u výpočetně velmi náročných záležitostí, například při zpracovávání obrovského objemu dat. Nejužším hrdlem tak v naprosté většině případů bývá konektivita mezi cloudovou službou a jejím uživatelem, firmou nebo koncovým zákazníkem. Zejména se jedná o rychlost připojení a celkovou latenci. Z tohoto pohledu je nutné zvážit, jakou aplikaci či data chceme v cloudu mít a jakým způsobem s nimi budeme pracovat. Pokud objemy dat, s kterými chceme pracovat, nejsou nijak velké nebo k nim není vyžadován okamžitý přístup, nabízí cloud více výhod než tradiční řešení uvnitř firmy. Zálohování či archivace jsou typickými příklady případu užití. Databáze, systémy pro správu obsahu a podobně lze samozřejmě provozovat také, ale je nutné počítat s určitými omezeními z hlediska výkonu a kapacity. Z dlouhodobého pohledu lze předpokládat, že se tato situace změní a cloud bude v budoucnu poskytovat i služby typu Storage as a Service, to ale závisí hlavně na rychlosti vývoje konektivity nastraně koncových uživatelů a firem, širokopásmových připojení. V současné situaci je tak nutné pečlivě zvážit nejen citlivost dat, ale z hlediska výkonu zejména kritéria akceptovatelné výkonnosti systému jako celku, tedy počínaje poskytovatelem cloudových služeb přes komunikační kanál a konečně uživatelskými zařízeními, která budou službu zprostředkovávat.
35
Je nutné si uvědomit, že však nelze plánovat pouze na základě současných požadavků a možností, ale je nutné implementovat procesy plánování kapacit a zejména pak sledovat výkonnostní trendy aplikace a jejího používání. Tím lze dynamicky dosáhnout optimálního výkonu aplikace a dle toho pak optimálně využívat zdroje cloudem poskytované. Od poskytovatele lze dále požadovat vysokou kvalitu služby (QoS) včetně prioritizace, load balancingu či komprese dat za účelem zlepšení výkonnosti celého systému.
6.1 Kapacita, elasticita Možnost dynamicky využívat výpočetní prostředky cloudové služby je zajisté jednou z velkých výhod a zároveň markantním rozdílem v porovnání s vnitrofiremním IT. Z hlediska nákladovosti je tak pro poskytovatele daleko snazší provádět horizontální škálování (scale out), tedy přidávání nových výpočetních prvků do systému, zatímco firemní IT většinou provádí vertikální škálování (scale up), tedy přidávání zdrojů do stávajících systémů.11 Zejména velké firmy se začínají zabývat analýzou dat velkých objemů (trend Big Data) v rámci svých Business Intelligence (BI) systémů. Cloud computing poskytuje výpočetní výkon a škálovatelnost vhodnou pro takové výpočty. Také jíž existují nástroje, které s těmito nestrukturovanými daty dokáží efektivně pracovat. Zmínit lze vývojovou platformu Hadoop nebo software společnosti Cloudera. Lze tak očekávat, že trend datové exploze ovlivní budoucí vývoj služeb cloudu.
6.2 Dostupnost, spolehlivost Datová centra poskytovatelů cloudových služeb bývají dnes téměř výhradně virtualizovaná a tak jsou technologie, zajišťující vysokou spolehlivost a dostupnost, samozřejmostí. Redundance všech klíčových prvků infrastruktury, zajištění vysoké dostupnosti vytvářením clusterových jednotek, geografické rozložení zátěže, automatizace procesů s tím spojených, komplexní proaktivní monitorování a zálohování před-
VELTE, Toby; VELTE, Anthony; ELSENPETER, Robert. Cloud Computing, A Practical Approach. United States : McGraw-Hill Osborne Media, 2009. 352 s. ISBN 978-0071626941. 11
36
stavují technické prvky pro zajištění maximální dostupnosti. Z procesního hlediska, zejména pak pro minimalizaci chyby lidského faktoru, se poskytovatelé řídí doporučenými postupy pro změnové řízení, řízení rizik, procesy obnovy dat v případě neočekávané události, provádějí pravidelná měření a kontroly kvality služby. Tyto mechanizmy pak umožňují poskytovateli garantovat kvalitu svých služeb prostřednictvím SLA smluv uzavíraných se svými zákazníky.12 Kritickým místem z hlediska dostupnosti a spolehlivosti tak opět zpravidla bývá konektivita mezi datovým centrem a odběratelem služby. Tato místa je nutné při výběru poskytovatele identifikovat a pokud možno vhodným způsobem eliminovat. Často bývá při stanovování kvality aplikace, výkonu, dostupnosti a spolehlivosti, opomenut pohled koncového uživatele. Může tak dojít k situaci, kdy zdánlivě cloudová služba pracuje v mezích stanovených parametrů, konektivita do datového centra je také v pořádku, aplikace je z firemního prostředí dostupná a i přesto si uživatel stěžuje na kvalitu. Příčinou však může být koncové zařízení uživatele, lokalita, z které aplikaci používá a tak dále. Proto je vhodné se zaměřit i na tento aspekt a provádět pomocná měření, monitoring, z pohledu koncového uživatele. Jedině tak je možné získat kompletní pohled na výkon aplikace v celé její komplexitě.
RHOTON, John. Cloud Computing Explained : Implementation Handbook for Enterprises. United States : Recursive Press, 2009. 508 s. ISBN 978-0956355607. 12
37
7. LEGISLATIVNÍ DOPADY Za data či aplikace přenesená do cloudu je stále z hlediska právní korektnosti zodpovědný vlastník dat, firma. Je tak naprosto nezbytné, aby poskytovatel cloudových služeb, v rámci sjednaných podmínek, zajistil, aby všechna nařízení byla dodržována v rámci jeho infrastruktury.
7.1 Fyzické umístění Z právního hlediska je důležité místo ukládání a zpracovávání dat. Vzhledem k častému geografickému rozložení cloudových služeb není často zjevné, kde přesně jsou data umístěna. V případech, kdy se jedná o umístění dat v jiné zemi, může docházet ke zmatkům ohledně aplikovatelného zákonodárství nebo ke konfliktům, například se zákonem o ochraně osobních údajů. Srozumitelnost celé problematiky navíc ještě zhoršuje velmi dynamický vývoj nových zákonů týkajících se informačních technologií a zejména cloudových služeb, které mohou změnit odpovědnosti nejen vlastníka, ale i poskytovatele. Zejména hybridní, komunitní a veřejné modely cloud computingu vytvářejí nové dynamické vztahy mezi organizací a jejími daty, navíc vnesením třetí strany, poskytovatele cloudových služeb. Bez ohledu na použitý model cloud computingu je nutné porozumět, jaké právní a další normy se uplatňují na data, jejich sběr, ukládání a používání. Data budou muset být spravována v souladu s aplikovatelnými předpisy národního a mezinárodního práva v závislosti na jejich umístění a místa podnikání poskytovatele i vlastníka. Z hlediska mezinárodního práva je dobré věnovat zvýšenou pozornost zejména značně rozdílné legislativě Spojených států amerických a Evropské Unie. Velké množství regulatorních požadavků zahrnuje například mezinárodní ujednání Safe Harbor, HIPAA, Sarbanes-Oxley atd. Všechny tyto požadavky určitým způsobem upravují způsob, jakým mohou být data ukládána, přesunována a jaké důvěrné informace mohou obsahovat. 38
Je nutné si uvědomit, že není povinností poskytovatele znát všechny právní náležitosti spojené s obchodní činností klienta. Stejně tak nelze očekávat, že bude znát regulatorní požadavky konkrétních států, obchodních trhů a podobně. Toto všechno je zodpovědností společnosti a v případě jakéhokoliv porušení je to společnost, která bude postihnuta, nikoliv poskytovatel cloudových služeb.
7.2 Důvěrnost Ochrana osobních údajů se zabývá ochranou jednotlivce před zneužitím dat vztahujících se k jemu samotnému nebo ke skupině osob. Kromě vlastních dat společnosti jsou zahrnována i data smluvních partnerů, dodavatelů a samozřejmě zejména osobní data zákazníků.13 Mezi přístupem k osobním údajům v rámci EU a Spojených států amerických je však zásadní rozdíl. Evropská unie vyžaduje ochranu osobních dat a jejich zpracování je povoleno pouze se souhlasem dotyčné osoby. Naproti tomu v USA je právo na ochranu osobních údajů aplikováno pouze v některých státech, např. Kalifornii. Dochází tak k poměrně zajímavé eventualitě a to, že poskytovatel cloud computingu a jeho klient mohou být každý podřízeni jiné jurisdikci a je pak čistě právní otázkou, jak bude odlišný právní řád klienta a poskytovatele uplatněn v praxi. Evropská unie přijala směrnici 95/46/EC, neboli „Data Protecion Directive“, která stanovuje minimální standardy pro ochranu osobních údajů a je závazná pro všechny členské státy Evropské unie. Tato směrnice pak určuje, že předávání osobních dat do třetích zemí je povoleno pouze v případě, že daný stát zaručí přiměřenou úroveň ochrany. Spojené státy americké tuto podmínku nesplňují a data tak nesmí být automaticky předána do USA. Z tohoto pohledu jsou tak data společností umístěná na evropských úložištích, potažmo v České Republice, v bezpečí.
13
MULHOLLAND, Andy; PYKE, Jon; FINGAR, Peter. Enterprise Cloud Computing : A Strategy Guide for
Business and Technology Leaders. United States : Meghan-Kiffer Press, 2010. 260 s. ISBN 9780929652290.
39
V České republice dále ochranu osobních údajů upřesňuje Zákon o ochraně osobních údajů společně se Zákonem o elektronických komunikacích. Situace se však komplikuje pro poskytovatele cloudových služeb, jejichž místo podnikání je v USA. Tito jsou vázáni zákonem „Patriot Act“, který pod záštitou boje proti terorismu a další trestné činnosti zavazuje poskytovatele předávání informací o zákaznících FBI a dalším federálním úřadům pokud je tak nařízeno soudem. Teoretickou výjimkou jsou poskytovatelé, firmy obecně, kteří se zaváží k dodržování principů „Safe Harbour Principles“. Tento princip zaručuje dodržení standardu ochrany osobních údajů tak., jak je definován Evropskou unií. Teoreticky se však jedná o střet zájmů dvou právním norem „Patriot Act“ a „Safe Harbour Principles“ a je tak opět otázkou, jak vypadá aplikace v praxi. Nahlédneme-li do licenčních podmínek cloudových služeb Office 365 a Dynamics CRM, zjistíme, že firma Microsoft tuto možnost, předání dat úřadům, de facto připouští, respektive negarantuje opak. Výrok „Microsoft will try in the first instance to redirect the entity to the customer to afford the customer the opportunity to determine how to respond. If we are nonetheless required to respond to the demand, Microsoft will only provide information belonging to its Office 365 or Dynamics CRM Online customers when it is legally required to do so“ je ve své podstatě pouze nezávazným příslibem, že Microsoft učiní pokus žádost předat společnosti, o jejíž data se jedná, nicméně to nijak negarantuje.14 Zajímavou zprávou, bezpečnostní aférou nebo jen spekulací, jsou zcela jistě nedávno uveřejněné dokumenty programu PRISM, týkající se předávání dat vládní agentuře NSA. Je v podstatě nemožné ověřit pravdivost této zprávy, ale jednou věcí si lze být jist. Důvěryhodnosti cloudových služeb to zcela rozhodně nepřispívá.
How we use your data. Microsoft Online Services [online]. [cit. 2013-08-08]. Dostupné z: http://www.microsoft.com/online/legal/v2/?docid=23 14
40
8. EKONOMICKÉ DOPADY Jedním z nejčastějších očekávání firem od cloudového prostředí je snížení provozních nákladů na IT, celkové náklady na vlastnictví (TCO). Předpokládají se nulové kapitálové náklady (CAPEX) na pořizování infrastruktury a výrazně menší provozní náklady (OPEX) vzhledem k zjednodušenému modelu „Pay as You Use“. Firma tak platí pouze za prostředky, které skutečně využívá. Kalkulace bývá zpravidla prováděna dle počtu uživatelů případně dle skutečně spotřebovaných zdrojů. Dalším předpokladem z hlediska firmy jsou zjednodušená administrace IT infrastruktury uvnitř firmy, přesun úloh údržby, správu licencí, zabezpečení ke cloudovému poskytovateli. Z pohledu poskytovatele cloudové služby se předpokládá vyšší úroveň všech těchto procesů při současném zachování či dokonce snížení nákladů na provoz. To je dáno úsporami z rozsahu vzhledem k tomu, že poskytovatel má možnost tyto náklady rozložit mezi všechny své klienty. Tím dochází k určitému snižování podnikatelského rizika a celkových provozních nákladů společnosti. Z ekonomického pohledu nákup IT jako služby ve formě cloud computingu také znamená zjednodušení životního cyklu služby či aplikace. V případě změny potřeb lze službu ukončit bez jakýchkoliv následných starostí s hardwarem či IT specialisty na tuto službu. Vzhledem k předpokládané elasticitě cloudu také není problém v případě potřeby jednoduše přidávat další zdroje prostým dokoupením. Lze tak ekonomicky velmi efektivně reagovat na obchodní potřeby společnosti, různé špičky a podobně. Díky vysokému stupni automatizace cloudových prostředí a úloh v nich lze tak často učinit bez nutnosti zásahu poskytovatele skrze samoobslužné portály přístupné klientům. Nákladovým faktorem, který bývá velmi často opomenut při kalkulacích, je nezbytná migrace dat nebo aplikace do cloudového prostředí. V rámci výpočtu celkových nákladů je také vhodné zahrnout náklady potřebné pro únikovou strategii
41
v případě změny potřeb společnosti či změny na straně poskytovatele.15 Tyto náklady totiž mohou být nemalé a v konečném důsledku spolu s provozními náklady cloudové služby i převýšit náklady na provoz té samé aplikace ve vnitrofiremním prostředí. Obecně lze cloud computing, tak jak je ostatně historicky předpovězeno, analogicky přirovnat například k elektrickému proudu. Dříve bylo nutné pro výrobu elektřiny zakoupit vlastní generátor, dolévat pohonné hmoty, udržovat, opravovat a dnes s naprostou samozřejmostí odebíráme elektřinu z elektrické sítě a platíme pouze za skutečně spotřebovanou část.
Understand The True Cost Of Cloud Services. Forrester: CIO Proffesionals. 2012, č. 1. Dostupné z: www.forrester.com 15
42
9. MOŽNÉ TRENDY V HORIZONTU NĚKOLIKA NÁSLEDUJÍCÍCH LET Lze téměř s jistotou říci, že současný technologický vývoj se pomalu odklání od klasické PC éry směrem k mobilním technologiím a tedy i Cloud computingu jako nezbytnému základu pro nový způsob poskytování aplikací a služeb. Je nezpochybnitelné, že z původního „buzzword“ a hype technologie se stává velmi sofistikovaná technologie, která bude mít výrazný vliv na budoucí vývoj celého IT odvětví. Nejednoznačnost, dezinformace a komplikovanost samotného prostředí velmi stěžuje společnostem definovat vlastní cloudové strategie a tedy těžit výhody, které cloudové prostředí bezesporu poskytuje. Rychlý rozvoj virtualizačních technologií a zejména pak nástrojů umožňujících rychlé nasazení, automatizovanou správu těchto prostředí ve své podstatě umožnuje akceleraci trhu s cloudovými službami. Lídři virtualizačního trhu, zejména pak VMware a Microsoft, nabízejí kompletní sadu nástrojů pro snadnou implementaci privátních cloudů a v případě potřeby snadnou integraci s cloudy veřejnými. Trend konzumerizace, též označována jako trend „Bring Your Own Device“ (BYOD) pomáhá změnit „Office Space“ mentalitu na „Cloud Based collaboration“. Uživatelé sami v soukromí používají služby poskytované v cloudu. Je tedy pro ně více než přirozené se s těmito typy aplikací a služeb setkávat i v zaměstnání. Dochází tak k prolínání soukromého prostředí s prostředím firemním, které má za následek zvýšení efektivity práce. Přístup z chytrých telefonů typu Apple, Blackberry, Android, Windows Phone, tabletů, notebooků atd. umožňuje pracovat odkudkoliv a firmy mají snahu o zpřístupnění podnikových aplikací na všechna tato zařízení ze všech možných míst. Trend „Big Data“, neboli datová exploze, společně s očekávaným nástupem „Machine to Machine“ (M2M) trendem předznamenávají dramatický nárůst dat, s kterými v budoucnu bude nutné pracovat. Pro firmy bude kritické tato data pomocí analytických nástrojů zpracovat, aby byly schopné identifikovat obchodní příležitosti v rámci jejich podnikatelské činnosti. Namísto budování vlastních nákladných dato43
vých center tak bude ekonomicky jednoznačně výhodnější používat služeb poskytovatelů. Tomu ostatně napovídá i velké množství akvizic v posledních letech, kde světové firmy významné v IT projevují snahu o posílení svých pozic ve vztahu ke cloudovém prostředím. Příkladem jsou právě firmy zabývající se databázemi a zpracováním velkého množství dat, firmy SAP, Oracle. Nejednotné či chybějící standardy tak představují pouze dočasnou překážku, která pouze zpomaluje penetraci cloudových řešení do firemního prostředí. Aktivity v této oblasti povedou k postupnému vyprofilování vedoucích platforem. Pionýrem v tomto směru bychom mohli nazvat firmu VMWare, která se zapojuje do aktivit sdružení OpenStack , s cílem implementovat do svých nástrojů možnost spravovat i jiné platformy. Zajímavé bude sledovat, jakým způsobem se změní trh práce v oboru IT. V středně-dlouhodobém horizontu lze očekávat nedostatek IT specialistů se znalostmi cloudových prostředí, jejich výhod a rizik. Cloud Security Alliance a některá další sdružení včetně poskytovatelů cloudových řešení reagují na tuto situaci vytvářením certifikačních programů. Kde je tedy dle mého názoru budoucnost cloudu? V integraci se sociálními sítěmi a dalšími prvky zlepšujícími pružnost obchodního modelu společností. V implementaci určité inteligence, která bude schopna převzít lidské úkoly ne ve smyslu správy a provozu, ale v identifikaci obchodních příležitostí, analýze rizik a podobně. K tomu je však nutný vysoký stupeň integrace služeb stejně jako velký výpočetní výkon.
44
Analýza trendů a trhu cloud computingu vydaná společností Gartner Research v roce 2012 tak jen potvrzuje důležitou roli virtualizace v expanzi cloud computingových služeb. Stejně tak je z grafů patrný očekávaný růst trhu a tedy větší množství poskytovatelů a stejně tak portfolio nabízených služeb. Obrázek 12: Hype Cycle - vývojový cyklus nových trendů a technologií
Zdroj: Gartner, Technology Research16
Gartner [online]. 2011 [cit. 2011-06-23]. Gartner Technology Research. Dostupné z WWW:
. 16
45
Obrázek 13: Předpokládaný růst trhu cloud computingu
Zdroj: Gartner, Technology Research
46
Obrázek 14: Očekávaná doba přijetí cloudových technologií
Zdroj: Gartner, Technology Research
47
10. ZÁVĚR Cloud computing již dnes představuje technologii, která pro firemní prostředí poskytuje ohromné výhody. Flexibilita firmy, zjednodušený ekonomický model, zvýšení kvality IT služeb, automatizace vedoucí k zrychlení implementace nových technologií či změn v systému představují pouze neúplný výčet výhod, které s sebou cloud computing přináší. Nevýhod lze nalézt jen velmi málo a z valné většiny se bude jednat spíše o špatnou implementaci poskytovatele případně klienta nebo nepochopení základních principů cloud computingu. Klíčovým faktorem k rychlejší implementaci cloudu do podnikových prostředí tak je zejména důvěra v systém samotný. Tuto důvěru však mohou sami poskytovatelé lehce posílit množstvím různých opatření. Zmínit lze implementaci standardizovaných řešení a doporučených postupů, transparentnost cloudového prostředí, zajištění vysoké bezpečnosti atd. Důvěru pak vytvářejí různými kontrolními mechanizmy, které výše uvedené dokládají. Pro příklad lze uvést certifikace externími auditorskými firmami, pravidelné reportování, licenční ujednání nebo smlouvy o úrovních služeb (SLA). Zatímco ve světě veřejného cloudu je zřejmě největším hráčem Amazon, tak díky sofistikovaným virtualizačním nástrojům lze předpokládat, že na poli hybridních cloudů bude v dlouhodobé perspektivě dominovat VMWare na poli velkých zákazníků a Microsoft v segmentu malých a středních firem. Možnost vytvoření privátního a později případně hybridního cloudového prostředí částečně pomáhá zbořit mýty, kterými jsou firemní CIO obvykle dezinformováni. To v konečném důsledku umožní ještě rychlejší penetraci cloud computingu do firemních prostředí. Velmi přesně současnou situaci vyjadřuje Bart Copeland ve svém článku „Šest nástrah, kterým se vyhnout při implementaci cloudu“: „Don’t wait and see. Cloud computing’s not a fad. It’s a game-changer. And if you’re not moving to the cloud, then you’re Goliath and your nimble competitor is David, 48
using cloud-computing models to advantage. The sooner your enterprise gets to the cloud, the sooner you’ll realize its benefits“.17
Six pitfalls to avoid with enterprise cloud deployment. GIGAOM [online]. 2012. vyd. [cit. 2013-08-08]. Dostupné z: http://gigaom.com/2012/09/23/cloudfail-six-pitfalls-to-avoid-with-enterprise-clouddeployment/ 17
49
11. CONCLUSION Cloud computing presents already technology today which for the enterprise environment means lot of advantages. Business agility, simplified economic model, increase in the IT service quality, automation ultimately accelerating new technologies or changes implementation are just incomplete list of advantages which cloud computing can bring into the enterprise. There are only few disadvantages and mostly and likely it would just wrong implementation either by the cloud services provider or the tenant. It can also be caused by misunderstanding of basic principles of cloud computing. Key success factor to speed up cloud implementation in the enterprises is trust in the cloud itself. This trust can be easily gained by the cloud service providers if they implement simple measures such as infrastructure standardization, by using best practice, keep the cloud environment transparent, highly secure etc. All of this they can prove through the verification mechanisms. As an example it can be external auditor’s certifications, regular reporting, license or service level agreements. Whereas in the world of public cloud computing the biggest player is and for some time will be Amazon, however thanks to sophisticated virtualization tools it can be expected that private and ultimately hybrid cloud computing will be ruled by VMware in the large enterprise segment and Microsoft in the segment of small and medium enterprise. Possibility of private could creation and later on extending it into hybrid model helps to bring down the myths which usually the CIOs are being misinformed. In the end this should help quicker penetration of cloud computing in the enterprise environment. Current situation in the fields of cloud computing is very well expressed by Bart Copeland in his article „Six pitfalls to avoid with enterprise cloud deployment“: „Don’t wait and see. Cloud computing’s not a fad. It’s a game-changer. And if you’re not moving to the cloud, then you’re Goliath and your nimble competitor is David,
50
using cloud-computing models to advantage. The sooner your enterprise gets to the cloud, the sooner you’ll realize its benefits“.
51
12. SEZNAM POUŽITÉ LITERATURY 1. Attributes of Cloud Services. Gartner [online]. [cit. 2013-08-08]. Dostupné z: http://www.gartner.com/newsroom/id/1035013 2. Cloud Services, Virtual Machines and Virtual Network SLA. Microsoft [online]. [cit. 2013-08-08]. Dostupné z: http://www.microsoft.com/windowsazure/sla/ 3. Data v cloudu nejsou vaše. Linux Express [online]. 2012 [cit. 2013-08-08]. Dostupné z: http://www.linuxexpres.cz/usa-data-v-cloudu-nejsou-vase 4. ERIC BAUER, Randee Adams. Reliability and availability of cloud computing. Piscataway, NJ: IEEE Press. ISBN 11-181-7701-0. 5. Gartner [online]. 2011 [cit. 2011-06-23]. Gartner Technology Research. Dostupné z WWW: . 6. Google App Engine Price Hike. InformationWeek [online]. 2011 [cit. 2013-08-08]. Dostupné z: http://www.informationweek.com/cloud-computing/platform/googleapp-engine-price-hike-stuns-devel/231600672¨ 7. How we use your data. Microsoft Online Services [online]. [cit. 2013-08-08]. Dostupné z: http://www.microsoft.com/online/legal/v2/?docid=23 8. MELL, Peter a Timothy GRANCE. The NIST Definition of Cloud Computing. In: [online]. [cit. 2012-05-17]. Dostupné z: http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf 9. MULHOLLAND, Andy; PYKE, Jon; FINGAR, Peter. Enterprise Cloud Computing : A Strategy Guide for Business and Technology Leaders. United States : MeghanKiffer Press, 2010. 260 s. ISBN 978-0929652290. 10. RHOTON, John. Cloud Computing Explained : Implementation Handbook for Enterprises. United States : Recursive Press, 2009. 508 s. ISBN 978-0956355607.
52
11. Six pitfalls to avoid with enterprise cloud deployment. GIGAOM [online]. 2012. vyd. [cit. 2013-08-08]. Dostupné z: http://gigaom.com/2012/09/23/cloudfail-sixpitfalls-to-avoid-with-enterprise-cloud-deployment/ 12. Smlouva o poskytování služeb. Google [online]. 2012 [cit. 2013-08-08]. Dostupné z: https://www.google.com/intl/cs/policies/terms/ 13. Smlouva o poskytování služeb. Microsoft [online]. 2012 [cit. 2013-08-08]. Dostupné z: http://windows.microsoft.com/cs-cz/windows-live/microsoft-servicesagreement 14. SOSINSKY, Barrie. Cloud Computing Bible. United States : Wiley, 2011. 528 s. ISBN 978-0470903568. 15. The Office 365 Trust Center. Office 365 [online]. [cit. 2013-08-08]. Dostupné z: http://trustoffice365.com/ 16. Understand The True Cost Of Cloud Services. Forrester: CIO Proffesionals. 2012, č. 1. Dostupné z: www.forrester.com 17. VELTE, Toby; VELTE, Anthony; ELSENPETER, Robert. Cloud Computing, A Practical Approach. United States : McGraw-Hill Osborne Media, 2009. 352 s. ISBN 978-0071626941.
53
13. SEZNAM POUŽITÝCH SYMBOLŮ A ZKRATEK Zkratka
Popisek
ANSI
American National Standards Institute
API
Application Programmable Interface
CAPEX
Capital Expenditure
CCM
Cloud Controls Matrix
CPU
Central Processing Unit
CRM
Customer Relationship Management
CSP
Cloud Service Provider
DNS
Domain Name System
DRP
Disaster Recovery Plan
IDS
Intrusion Detection System
IETF
Internet Engineering Task Force
IMAP
Internet Message Access Protocol
IPS
Intrusion Prevention System
ISO
International Organization for Standardization
IT
Information Technology
MIT
Massachusetts Institute of Technology
NIST
National Institute of Standards and Technologies
OPEX
Operational expenditure
POP
Post Office Protocol
QoS
Quality of Service
SLA
Service Level Agreement
SMB
Small and Medium Business
SMTP
Simple Mail Transfer Protocol
TCO
Total Cost of Ownership
WAN
Wide Area Network
54
14. SEZNAM OBRÁZKŮ Obrázek 1: Historie Cloud Computingu .......................................................................................... 11 Obrázek 2: Pět hlavních znaků cloud computingu ..................................................................... 13 Obrázek 3: Šest atributů cloud computingu dle Gartner Research ..................................... 14 Obrázek 4: NIST definice ...................................................................................................................... 17 Obrázek 5: Vrstvy modelů a změna vlastnictví ........................................................................... 19 Obrázek 6: Poskytovatelé služeb dle servisního modelu ........................................................ 21 Obrázek 7: Evoluce cloudu .................................................................................................................. 22 Obrázek 8: Hlavní důvody pro implementaci cloudových řešení......................................... 23 Obrázek 9: Klíčové rizikové faktory cloud computingu ........................................................... 23 Obrázek 10: Firemní IT jak by nemělo vypadat .......................................................................... 24 Obrázek 11: Datacentrum Google ..................................................................................................... 25 Obrázek 12: Hype Cycle - vývojový cyklus nových trendů a technologií .......................... 45 Obrázek 13: Předpokládaný růst trhu cloud computingu...................................................... 46 Obrázek 14: Očekávaná doba přijetí cloudových technologií ................................................ 47
55
