EMC er blant IT-gigantene som ønsker å spille en vesentlig rolle i den pågående overgangen fra fysiske dataanlegg i egne lokaler, til leide, virtuelle anlegg i nettskyen. Det dreier seg om mye mer enn lagring: Datterselskapene RSA (sikkerhet) og VMware (virtualisering) marsjerer i takt. Det samme gjør konsernets konsulentavdeling, som trekker på flere års intern erfaring med å bygge om EMCs interne systemer etter nettskymodellen.
RSA gjennomførte sin store årlige kundesamling i Moscone-senteret i San Francisco i forrige uke, der de presenterte en kommende sikkerhetstjeneste for nettskyen, døpt «Cloud Trust Authority». Denne tjenesten, som selv skal leveres gjennom nettskyen, framstilles som svaret på utfordringen stilt av framtidens distribuerte virtuelle datasentraler.
RSA ser for seg en ikke alt for fjern framtid der bedrifters virtuelle datasentraler er fordelt på et stort antall tjenestetilbydere, og stiller flere spørsmål: Hvordan skal dette håndteres fra et sikkerhetssynspunkt? Hvordan skal man sørge for at den virtuelle datasentralen ikke krever en egen pålogging for hver av tjenestetilbyderne den er fordelt på? Hvordan skal man sikre seg innsyn i at konfidensiell informasjon håndteres i samsvar med kontrakten man har satt opp? Hvordan skal man kunne hente inn stadig nye tjenester fra flere ulike tilbydere uten å måtte sette opp egne sikkerhets- og regelhåndhevingsrutiner for hver av dem?
I dag er det nemlig slik, ifølge sikkerhetsleder Drew Simonis i Willis Group som er med på å prøve ut ideene bak den nye RSA-tjenesten, at bedrifter som ønsker å hente tjenester fra flere nettskyer, må selv opprette løsninger for sikker tilgang, og lage egne ordninger for å måle i hvilken utstrekning regler knyttet til håndtering av ID og informasjon faktisk følge.
– Kompleksiteten og kostnadene forbundet med å etablere sikre og pålitelige forbindelser med hver tilbyder senker verdien av nettskyen, fordi den undergraver evnen til å trekke inn nye tilbydere som del av den samlede IT-porteføljen, sier han.
Han mener RSA løser dette ved å erstatte alle toveis forbindelsene mellom bedrifter og tilbydere med én felles tjeneste for alle typer sikkerhet som alle kan forholde seg til. Ønsker man en nettskytjeneste som man vil sikre etter en enhetlig og pålitelig modell, skal man altså ty til Cloud Trust Authority, og la alle forbindelser til alle tilbydere gå gjennom den.
Cloud Trust Authority dreier seg altså om å samle nettskytilbydere rundt RSAs standardiserte løsninger, og om å tilby brukere et felles grensesnitt for å håndtere alle sikkerhetsforhold i nettskyen, overfor alle tilbydere.
– Organisasjoner skal kunne styre sine forbindelser til nettskytilbydere gjennom konsollen til RSA Cloud Trust Authority, heter det i en offisiell beskrivelse. – Konsollen skal gjøre det enkelt å konfigurere og legge opp nettskybaserte sikkerhetstjenester. Systemet konstrueres med tanke på å strømlinjeforme den pågående styringen av tillitsforhold, slik at man ikke skal måtte legge opp mange punkt-til-punkt integrasjoner med skreddersydd kode hos både organisasjoner og tilbydere.
Det må understrekes at det ikke dreier seg om en lansering. Først i annet halvår i år lover RSA å gjøre en «beta» (prøveversjon) av tjenesten tilgjengelig. Denne prøveversjonen skal omfatte to tjenester, en for ID og en for regelhåndheving («compliance»).
ID-tjenesten bygger på et ennå uferdig prosjekt hos VMware, kjent som «Project Horizon». Den skal gjøre det mulig for en kunde å styre både brukere og deres adgang til ulike tjenester i ett grensesnitt, uavhengig av antall tjenester og mengden tilbydere som leverer dem. Reglene for brukeraksess skal omfatte variable som fysisk klient og type forbindelse. Det skal være mulig å pålegge sterk autentisering med RSA-teknologien «SecurID». Brukere skal sikres «single sign on». En organisasjon som styrer sine brukere gjennom Active Directory, skal sikres at alle endringer i Active Directory straks gjøres gjeldende for tilgangen til alle tjenester i systemet.
Tjenesten for regelhåndheving er døpt «Compliance Profiling Service» og bygger på RSAs eksisterende «GRC»-platform («Governance, Risk and Compliance») Archer. Den innebærer å gi kunden en anledning til å granske nettskytilbyderes tillitsprofiler etter standardmålene etablert av bransjealliansen Cloud Security Alliance (CSA). Oversikten over medlemmene i CSA viser at nær sagt ingen av de tenkelige medlemmene mangler. Tjenesten skal gi innsyn i hvordan tilbydere håndterer krav til for eksempel i hvilket land følsomme opplysninger lagres.
RSA forsikrer at de allerede er i gang med å bygge et «økosystem av nettskytilbydere» rundt Cloud Trust Authority.
Bakgrunnsmateriale om den kommende tjenesten er tilgjengelig gjennom bloggen til en av RSAs ledende eksperter, Nirav Mehta, og gjennom denne videoen på Youtube.
