העולם העסקי מכיר שנים רבות את המודל העסקי של אירוח שרתים, השכרת תוכנות מחשבים, אולם רק בשנים האחרונות החלו חלק משירותים אלו להיכלל בתוך המונח "שירותי ענן" ולהיהפך למודל העסקי המועדף על ידי חברות רבות לרכש טכנולוגיות מידע בשל שתי תועלות עסקיות עיקריות: חיסכון בעלויות וקבלת פתרונות מהירים. אולם מודל עסקי זה דורש התאמות בתהליכי העבודה והניהול בארגון וכרוך בשינוי מפת הסיכונים בפניהם הוא ניצב.

שירותי ענן נבדלים משירותים מסורתיים כמו השכרת תוכנות ושירותי אירוח בכך שהם מאפשרים לארגון לנהל באופן עצמאי את היקף השירותים הנרכשים ומספק לו את הגמישות הטכנולוגית הנדרשת ומצד שני מספק לארגון מודל תמחירי גמיש אשר מבוסס על היקף השימוש בפועל של הארגון באותם שירותים.

שירותי ענן יכולים לספק ללקוחות חסכון בעלויות כתוצאה משימוש גמיש במשאבים והקצאתם ללקוחות השונים בהתאם לצורך. הגישה לשירות הענן נעשית באמצעות רשתות תקשורת כך שספק שירותי הענן יכול לספק ממיקום אחד שירותים לארגונים רבים.

ניתן לחלק את שירותי הענן לשלושה מודלים עיקריים:

IAAS – תשתית כשירות – ספק שירותי IAAS יעמיד ללקוחותיו תשתית עיבוד ואחסון לפי צרכי הלקוח, כאשר ניהול מערכות ההפעלה, מסדי הנתונים והיישומים עצמם הוא בידי הלקוח.

PAAS – פלטפורמה כשירות – לקוחות שירות זה יקבלו אפשרות להשתמש בשירותי מחשוב הכוללים את תשתית העיבוד והאחסון כמו גם את ניהול מערכות ההפעלה, תשתיות מסדי הנתונים ויישומים תשתיתיים נוספים. שירות זה נהוג כבר שנים רבות בתחום אתרי האינטרנט.

SAAS – תוכנה כשירות – במקרה זה הספק מעמיד יישום שלם ומלא ללקוחות ומנהל את כל הקשור לאותו יישום החל מתשתיות המחשוב ועד ניהול השינויים ותיקון תקלות במערכת.

השירותים השונים נועדו לתת מענה לצרכים ארגוניים שונים: בעוד ששירות IAAS נועד להגדיל את יכולות האחסון והעיבוד של הארגון בעלויות תחרותיות, שירות SAAS נותן מענה ליישומים ספציפיים אשר נדרשים לארגון. ארגון אשר צורך שירותי IAAS, מוציא למיקור חוץ את רכיב ניהול השרתים הפיזיים ומערכי האחסון בעוד צרכן שירותי SAAS מוציא למיקור חוץ גם את שירותי הפיתוח, התפעול והתחזוקה.

לפיכך, ככל שמודל "שירותי הענן" מוציא למיקור חוץ יותר רכיבים מהיישום בו משתמש הארגון הוא חשוף ליותר אתגרים בניהול ופיקוח על ספק השירות. כפי שממחיש התרשים הבא:

מתוך: "Controls and Assurance in the Cloud: Using COBIT® 5"

מאפייני הסיכונים במעבר למחשוב ענן

הסיכון הראשון שעולה בנסיבות אלו הוא הרחבת החשיפה של הארגון לאיומי סייבר כתוצאה משימוש בתקשורת ציבורית לרוב על מנת לתקשר נתונים עסקיים לשירות הענן ובחיבור השירות למערכות הליבה של הארגון. רכיב נוסף של חשיפה נמצא בכך ששירותי הענן עשויים להיות באמצעות שירות אינטרנטי בכך עלול להיות חשוף יותר לתקיפות ומגדיל את הסיכון של זליגת מידע.

סיכון נוסף הינו ניהול השינוי הארגוני אצל לקוח שירותי הענן, יחידת מערכות המידע צריכה להיות בעלת היכולת לפקח ולנהל את שירותי הענן.

מפתח הסיכונים הארגונית משתנה מארגון לארגון ולפי מאפייני השירות אותו היא מקבלת, להלן מספר היבטים אשר משפיעים על הסיכונים הללו:

• "שווי השוק" של המידע המנוהל בשירותי ענן- ישנם נתונים אשר מעניינים יותר גורמים זדוניים ומעלים את המוטיבציה לפגוע או לגנוב מידע, למשל: ניהול מספרי כרטיסי אשראי, תוכניות הנדסיות, מידע פרטי על אנשים וארגונים ועוד.

• ערך המידע לארגון- ישנם נתונים שפחות יעניינו האקרים זרים אולם חשיפתם עלולה לפגוע עסקית בארגון כגון: רשימת לקוחות, תוכניות עסקיות ועוד.

• חשיפה רגולטורית – חוק הגנת הפרטיות, הוראות המפקח על הבנקים ועוד חוקים ורגולציות אשר עשויים לחול על המידע המנוהל בענן חושפים את הארגון לסיכון נוסף במקרה של פגיעה במידע.

• המערכות הקיימות בארגון – ארגון אשר בו שירותי הענן מקושרים למערכות הליבה הקיימות, חושף את מערכות הליבה לתקשורת מול גורמים חיצוניים ונדרש לבצע ממשקים רבים יותר מהארגון החוצה ובכך מגדיל את שטח התקיפה בו הוא חשוף לפגיעה. בהקשר זה יש לקחת בחשבון את סוגי הממשקים אשר מעמיד הספק ללקוחות, ממשקים קניינים של הספק יקשו על הלקוח לעבור ספק בעוד שימוש בממשקים סטנדרטיים יאפשרו מעבר מהיר ויעיל יותר בין ספקים.

• סיכון ספק השירות – ספקי שירותי הענן נבדלים ביניהם בגודל ויכולות טכנולוגיות, ספק שירותי ענן עשוי להביא לסיכונים נוספים כמו זליגת מידע לעובדי הספק, זליגת מידע בין לקוחות ועוד.

• תרבות ארגונית – תאבון הסיכון של הארגון ויכולות העובדים שלו להתנהל מול ספק שירותי ענן משנים את רמות הסיכון אליו חשוף הארגון.

מענה לסיכונים

בפני לקוחות שירותי הענן מספר פתרונות ומנגנונים אשר עשויים להקטין את החשיפה של הארגון לסיכונים חדשים ולצמצם נזק אפשרי אשר עלול להיגרם לארגון בשל כך. גורמים כמו הפיקוח על הבנקים בישראל נתנו דעתם על תהליך זה ונתנו דגשים והנחיות בנושא אשר משולבים בפרק זה.

בעת התקשרות עם ספק שירותי הענן יש לבצע בדיקת נאותות על טיבו ולבנות הסכם התקשרות מתאים. בהסכם ההתקשרות עם הספק יש לשים לב כי ארגון יכול להעביר אחריות לספק אולם לא יכול להעביר לו את הסיכון התפעולי שלו עצמו ולכן עליו להסדיר בהסכם גם את הבאים:

• להבהיר לספק את תכולת השירות הנדרש.

• הגדרת תהליכי עבודה משותפים להכנסת שינויים במערכת, הדרכות, תמיכה טכנית ובירור תקלות.

• הבהרת רמת אבטחת המידע, סביבת השירות ורמת בקרת האיכות על האבטחה.

• הגדרת SLA לבקרת רמת השירות.

• הגדרת הדיווח והמידע התפעולי שיסופק ללקוח. במסגרת זו כולל יכולות ניטור על פעילות המערכת.

• הגדרת הבעלות על המידע ובכלל זה המידע התומך שיצרה במערכת כגון: לוגים.

• הגדרת "תוכנית יציאה" – הסדרת יכולת הספק לצאת מהמערכת כאשר הדבר יידרש, לרבות קבלת הנתונים הנדרשים לצורך הסבה למערכת אחרת.

• הסדרת היכולת של הספק לבצע בדיקות וביקורות בעצמו על מנת לוודא רמת שירות ואבטחה נאותים.
לפני התחלת ההתקשרות יש לבצע בדיקת נאותות ("Due Diligence") על ספק שירותי הענן. בדיקה זו צריכה לכלול לפחות את הבדיקות הבאות לגבי הספק:

• איתנותו הפיננסית.

• יכולותיו המקצועיות והמוניטין שלו.

• בדיקה טכנולוגית של השירות.

• בדיקת סוגי הממשקים אשר מעמיד הספק ללקוח והאם מדובר בממשקים סטנדרטיים או קנייניים.
• בדיקות רמת אבטחת המידע ואופן הטיפול שלו בחסיון המידע.

• בדיקת אופן הפיקוח של הספק על עובדיו ובדיקת מהימנותם.

• יכולות הגיבוי, הDRP והBCP של הספק.

• בדיקת תהליכי הניטור והפיקוח אשר מיישם הספק על עצמו.

לקוחות שירותי ענן יכולים להסתייע בגורמים חיצוניים לבחינת ספק השירות ואת תקינות השירות עצמו, לשם כך ניתן לדרוש מספק השירות דוח SOC 2 או דוח SOC 3 אשר מהווים סוג של תו תקן לניהול השירות בהיבטים של זמינות, אבטחה, חיסיון ובקרה.

בנוסף ארגון העובר לשירותי ענן ובעת מעבר לספק שירות חדש נדרש לבצע הערכת סיכונים טכנולוגיים כתוצאה מהמעבר, לשם כך אפשר להיעזר בתקן כמו COBIT 5 אשר ממפה את מגוון הסיכונים בפניהם עומד ארגון אשר מבצע מעבר כזה ומאפשר ניהול סיכונים מהיר וממוקד.

לסיכום, מחשוב ענן הינו ההווה העסקי של כל הארגונים המסחריים בארץ. על הנהלת הארגון לנהל את השינוי הארגוני הנדרש בעת כניסה לשירות כזה ולנהל סיכונים על מנת למצות את המיטב שיש למודל עסקי זה לתת ולהימנע מהסיכונים הכרוכים בו.