På CLOSER-konferansen har jeg nylig presentert artikkelen “Cloud Provider Transparency – A View from Cloud Customers” forfattet av Daniela S. Cruzes og undertegnede. Artikkelen fikk “Best paper award“, og vi spanderer derfor på oss et lite sammendrag her:
Nettskyen kommer med mange fordeler, men bekymringer rundt sikkerhet og personvern gjør at mange potensielle brukere vegrer seg. I prosjektet A4Cloud argumenterer vi for at Accountability (som vi fortsatt ikke har noe godt norsk ord for) kan være det som skal til for å døyve bekymringene.
Som vi har forklart tidligere, må en virksomhet som er villig til å la seg stille til ansvar, binde seg til ansvarlig røkt av andre menneskers data. Dette innebærer at virksomheten må:
- Definere hva den gjør
- Overvåke sine handlinger for å verifisere at den faktisk gjøre det den sier den skal gjøre
- Korrigere alle avvik som oppdages
- Forklare og begrunne alle handlinger
I prosjektet A4Cloud har vi identifisert 7 attributter for accountability, og den første er nettopp transparens. I denne konteksten definerer vi transparens som synlighet av styrende normer, oppførsel, og i hvilken grad oppførselen faktisk er i tråd med de styrende normene. Dette kan gjelde for et system, en virksomhet, eller en person. Mye tyder på at det i dag er et gap mellom den transparens en nettskykunde forventer eller ønsker, og den grad av transparens de forskjellige leverandørene faktisk tilbyr.
A4Cloud-prosjektet har involvert over 300 interessenter i forskjellige kravaktiviteter, og for denne artikkelen var en workshop om risiko i skyen som ble arrangert i Edinburgh høsten 2013 spesielt relevant. Deltakerne besto av 20 representanter fra europeiske og internasjonale virksomheter samt akademikere og myndighetsrepresentanter, og i løpet av workshiopen ble det identifisert 15 tentative transparens-krav. Vi fulgte opp disse kravene via dybdeintervjuer med 8 representanter fra norske profesjonelle nettskybrukere.
Fra intervjuene kan vi konkludere at det viktigste for nettskykundene er:
- Tydelige erklæringer om hva leverandøren kan gjøre med kundens data
- Etterlevelse av databehandleravtaler
- Hvor i verden er dataene fysisk plassert
- Hvem inngår i leverandørkjeden
- Prosedyrer for å forlate tjenesten (bytte leverandør)
- Forsikring om at kunden fortsatt eier sine data og immaterielle rettigheter
Når kundene ble spurt om hva som kunne øke deres tillit til at sikkerheten er ivaretatt, nevnte de:
- Transparens fra leverandøren i forkant
- Positive diskusjoner i brukerforum og på faglige møteplasser
- Økt bevissthet hos kundene
- En veldefinert utgangsstrategi
- Leverandørens renomme
- At leverandøren støtter bruk av kryptering
- Databehandleravtaler
- Fysisk plassering (typisk i Norge eller et EU-land)
Kundene uttalte at de ønsket å vite hva som er planlagt i forbindelse med håndtering av eventuelle sikkerhetshendelser, og når en hendelse har skjedd ønsker de å vite hva som har skjedd, hvorfor skjedde det, hva gjøres for å rette opp feilene, og når kommer tjenestene til å være tilbake til normalen. I etterkant av en hendelse er brukerne mest opptatt av å få vite hvilken lærdom leverandøren har dratt av hendelsen.
Vi spurte kundene om i hvilken grad de ønsket å være aktivt involvert i beslutninger som leverandøren gjør på deres vegne, men i de fleste tilfeller ønsket kundene kun å bli informert. Unntakene var når data vurderes flyttet til et annet land, når nye aktører tas inn i leverandørkjeden, og når kontraktsteksten endres; i disse tilfellene ønsket kundene å kunne delta aktivt i prosessen, og godkjenne eller forkaste foreslåtte endringer.
I A4Cloud-prosjektet er vi i ferd med å utvikle en rekke verktøy som kan bidra til å oppfylle transparenskrav. Sluttbrukerverktøyet “Data Track” gjør det mulig for brukere å holde styr på hvilken informasjon som er lastet opp til forskjellige leverandører, samt lage en oppsummering av hvilken informasjon en gitt leverandør har om brukeren. Vi har videreutviklet “PrimeLife Policy Language” (PPL) til også å dekke Accountability, og det nye språket kalles A-PPL. Videre har vi laget en sentral kontrollmekanisme (A-PPL Engine) som kan skjekke A-PPL spesifikasjoner opp mot faktiske handlinger, og reagere på eventuelle brudd.
På det praktiske planet har vi laget verktøyet Cloud Offerings Advisory Tool (COAT) som gjør det mulig å sammenligne ulike nettskytjenester for å finne den som best tilfredsstiller brukerens krav til transparens, ansvarlighet, etc. (litt på samme måte som løsningen CloudSurfer som vi presenterte på bloggen for noen år siden). Oppmerksomme lesere vil også huske at vi jobber med et verktøy for deling av hendelsesinformasjon i skyen, og det kommer også en komponent for sluttbrukere for behandling av varsel og eventuelt iverksetting av tiltak.
Til slutt kan vi nevne at artikkelen presenterer 22 bearbeidede krav til transparens i skyen, hvorav de fleste kan tilfredsstilles ved å tilby tilstrekkelig informasjon på leverandørens hjemmeside. Vi vil påstå at det å være transparent kan være et forretningsfortrinn i morgendagens marked, og det er opp til leverandørene å kjenne sin besøkelsestid!
Referanse:
Daniela S. Cruzes and Martin Gilje Jaatun: “Cloud Provider Transparency – A View from Cloud Customers”, in Proceedings of the 5th International Conference on Cloud Computing and Services Science, Lisbon, Portugal, 20-22 May 2015. SciTePress 2015 ISBN 978-989-758-104-5. p. 30-39