Keamanan komputasi awan: Perbedaan antara revisi

'''{{PAGENAME}}''' atau (sederhananya '''Keamanan cloud''') mengacu pada serangkaian kebijakan, teknologi, dan kontrol yang diterapkan untuk melindungi data, aplikasi, dan infrastruktur [[komputasi awan]] yang terkait. Ini adalah sub-domain [[keamanan komputer]], [[keamanan jaringan]], dan, lebih luas lagi, [[keamanan informasi]].

[[Komputasi]] dan penyimpanan awan memberikan pengguna kemampuan untuk menyimpan dan memproses data mereka di [[pusat data]] milik pihak ketiga. <ref name="cloudid">{{cite journal | last1 = Haghighat | first1 = M. | last2 = Zonouz | first2 = S. | last3 = Abdel-Mottaleb | first3 = M. | year = 2015 | title = CloudID: Trustworthy Cloud-based and Cross-Enterprise Biometric Identification | doi = 10.1016/j.eswa.2015.06.025 | journal = Expert Systems with Applications | volume = 42 | issue = 21| pages = 7905–7916 }}</ref> Organisasi menggunakan awan dalam berbagai model layanan yang berbeda (dengan akronim seperti SaaS, PaaS, dan IaaS) dan model penyebaran (pribadi, publik, hibrida, dan komunitas). <ref name="Srinivasan">{{cite web|last=Srinivasan|first=Madhan|title='State-of-the-art cloud computing security taxonomies: a classification of security challenges in the present cloud computing environment|publisher= ACM ICACCI'|year=2012|url=http://doi.acm.org/10.1145/2345396.2345474}}</ref> Masalah keamanan yang terkait dengan komputasi awan termasuk dalam dua kategori besar: masalah keamanan yang dihadapi oleh penyedia cloud (organisasi yang menyediakan perangkat lunak-, platform-, atau infrastruktur-sebagai-layanan-melalui cloud) dan masalah keamanan yang dihadapi oleh pelanggan mereka (perusahaan atau organisasi yang meng-host aplikasi atau menyimpan data di cloud). <ref>{{cite news|url=http://security.sys-con.com/node/1231725|title=Swamp Computing a.k.a. Cloud Computing|publisher=Web Security Journal|date=2009-12-28|5=|access-date=2018-10-21|archive-date=2019-08-31|archive-url=https://web.archive.org/web/20190831163708/http://security.sys-con.com/node/1231725|dead-url=yes}}</ref> Tanggung jawab dibagi, namun. Penyedia harus memastikan bahwa infrastruktur mereka aman dan bahwa data dan aplikasi klien mereka dilindungi, sementara pengguna harus mengambil tindakan untuk memperkuat aplikasi mereka dan menggunakan kata sandi dan ukuran otentikasi yang kuat.

Ketika organisasi memilih untuk menyimpan data atau aplikasi host pada awan publik, ia kehilangan kemampuannya untuk memiliki akses fisik ke server yang menyimpan informasinya. Akibatnya, data sensitif dapat diserang oleh orang dalam. Menurut laporan Cloud Security Alliance baru-baru ini, serangan orang dalam adalah ancaman terbesar keenam dalam komputasi awan.<ref name="Top Threats to Cloud Computing v1.0">{{cite web|title=Top Threats to Cloud Computing v1.0|url=https://cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf|publisher=Cloud Security Alliance|4=|access-date=2018-10-21|archive-date=2018-09-28|archive-url=https://web.archive.org/web/20180928164516/https://cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf|dead-url=yes}}</ref> Oleh karena itu, penyedia layanan cloud harus memastikan bahwa pemeriksaan latar belakang menyeluruh dilakukan untuk karyawan yang memiliki akses fisik ke server di pusat data. Selain itu, pusat data harus sering dipantau untuk aktivitas yang mencurigakan.

Penggunaan [[virtualisasi]] yang ekstensif dalam mengimplementasikan infrastruktur cloud membawa masalah keamanan yang unik bagi pelanggan atau penyewa layanan cloud publik. <ref name="Cloud Virtual Security Winkler">{{cite web|last=Winkler|first=Vic|title=Cloud Computing: Virtual Cloud Security Concerns|url=https://technet.microsoft.com/en-us/magazine/hh641415.aspx|publisher=Technet Magazine, Microsoft|}}</ref> Virtualisasi mengubah hubungan antara OS dan perangkat keras yang mendasari - baik itu komputer, penyimpanan atau bahkan jaringan. Ini memperkenalkan lapisan tambahan - virtualisasi - itu sendiri harus dikonfigurasi, dikelola, dan dijamin dengan benar.<ref name="virtualization risks hickey">{{cite web|last=Hickey|first=Kathleen|title=Dark Cloud: Study finds security risks in virtualization|url=http://gcn.com/articles/2010/03/18/dark-cloud-security.aspx|publisher=Government Security News|accessdate=12 February 2012|archive-date=2012-01-30|archive-url=https://web.archive.org/web/20120130090012/http://gcn.com/articles/2010/03/18/dark-cloud-security.aspx|dead-url=yes}}</ref> Kekhawatiran khusus termasuk potensi untuk mengkompromikan perangkat lunak virtualisasi, atau "hypervisor". Meskipun kekhawatiran ini sebagian besar bersifat teoritis, mereka memang ada.<ref name="Securing the Cloud Winkler virt">{{cite book|last=Winkler|first=Vic|title=Securing the Cloud: Cloud Computer Security Techniques and Tactics|year=2011|publisher=Elsevier|location=Waltham, MA USA|isbn=978-1-59749-592-9 |page=59|url=http://www.elsevier.com/wps/find/bookdescription.cws_home/723529/description#description}}</ref> Sebagai contoh, pelanggaran di workstation administrator dengan perangkat lunak manajemen dari perangkat lunak virtualisasi dapat menyebabkan seluruh pusat data turun atau dikonfigurasikan sesuai keinginan penyerang.

Arsitektur keamanan awan hanya efektif jika implementasi defensif yang benar sudah ada. Arsitektur keamanan awan yang efisien harus mengenali masalah yang akan muncul dengan manajemen keamanan. [<ref name="Krutz, Ronald L. 2010">Krutz, Ronald L., and Russell Dean Vines. "Cloud Computing Security Architecture." Cloud Security: A Comprehensive Guide to Secure Cloud Computing. Indianapolis, IN: Wiley, 2010. 179-80. Print.</ref> Manajemen keamanan menangani masalah ini dengan kontrol keamanan. Kontrol ini dipasang untuk menjaga setiap kelemahan dalam sistem dan mengurangi efek serangan. Meskipun ada banyak jenis kontrol di belakang arsitektur keamanan cloud, mereka biasanya dapat ditemukan di salah satu kategori berikut: <ref name="Krutz, Ronald L. 2010"/>

Umumnya direkomendasikan bahwa kontrol keamanan informasi dipilih dan diterapkan sesuai dan sebanding dengan risikonya, biasanya dengan menilai ancaman, kerentanan dan dampaknya. Kekhawatiran keamanan cloud dapat dikelompokkan dalam berbagai cara; Gartner menamai tujuh <ref>{{cite news|url=http://www.infoworld.com/d/security-central/gartner-seven-cloud-computing-security-risks-853|title=Gartner: Seven cloud-computing security risks|publisher=InfoWorld|date=2008-07-02|}}</ref> sementara Cloud Security Alliance mengidentifikasi dua belas area yang menjadi perhatian.<ref>{{cite web|url=https://cloudsecurityalliance.org/artifacts/top-threats-cloud-computing-plus-industry-insights/|title=Top Threats to Cloud Computing Plus: Industry Insights|last=|first=|date=2017-10-20|year=|website=|publisher=Cloud Security Alliance|archive-url=|archive-date=|dead-url=|}}</ref> Broker keamanan akses cloud (CASBs) adalah perangkat lunak yang berada di antara pengguna cloud dan aplikasi cloud untuk memberikan visibilitas ke penggunaan aplikasi cloud, perlindungan data dan tata kelola untuk memantau semua aktivitas dan menegakkan kebijakan keamanan. <ref>{{Cite web|title = What is a CASB (Cloud Access Security Broker)?|publisher = CipherCloud|url = https://www.ciphercloud.com/what-is-a-casb|4 = |access-date = 2018-10-21|archive-date = 2018-08-31|archive-url = https://web.archive.org/web/20180831071934/https://www.ciphercloud.com/what-is-a-casb|dead-url = yes}}</ref>

;Manajemen Identitas :Setiap perusahaan akan memiliki sistem manajemen identitasnya sendiri untuk mengontrol akses ke informasi dan sumber daya komputasi. Penyedia Cloud mengintegrasikan sistem manajemen identitas pelanggan ke dalam infrastruktur mereka sendiri, menggunakan teknologi federasi atau SSO, atau sistem identifikasi berbasis biometrik,<ref name="cloudid"/> atau menyediakan sistem manajemen identitas mereka sendiri.<ref>{{cite web|url=http://www.darkreading.com/identity-management-in-the-cloud/d/d-id/1140751 |title=Identity Management in the Cloud |publisher=Information Week |date=2013-10-25 |}}</ref> CloudID,<ref name="cloudid"/> misalnya, menyediakan identifikasi biometrik berbasis cloud dan lintas perusahaan yang melestarikan privasi. Ini menghubungkan informasi rahasia dari pengguna ke biometrik mereka dan menyimpannya secara terenkripsi. Memanfaatkan teknik enkripsi yang dapat dicari, identifikasi biometrik dilakukan dalam domain terenkripsi untuk memastikan bahwa penyedia cloud atau penyerang potensial tidak mendapatkan akses ke data sensitif atau bahkan isi dari pertanyaan individu. <ref name="cloudid"/>

;Keamanan fisik :Penyedia layanan cloud secara fisik mengamankan perangkat keras TI (server, router, kabel, dll.) Terhadap akses tidak sah, gangguan, pencurian, kebakaran, banjir, dll. Dan memastikan bahwa pasokan penting (seperti listrik) cukup kuat untuk meminimalkan kemungkinan gangguan. Ini biasanya dicapai dengan melayani aplikasi cloud dari 'kelas dunia' (yaitu pusat data yang ditentukan secara profesional, dirancang, dibangun, dikelola, dipantau dan dipelihara).

;Keamanan personil :Berbagai masalah keamanan informasi yang berkaitan dengan TI dan profesional lain yang terkait dengan layanan cloud biasanya ditangani melalui kegiatan pra-, para dan pasca-kerja seperti perekrutan potensi perekrutan keamanan, kesadaran keamanan dan program pelatihan, proaktif.

;Pribadi :Penyedia memastikan bahwa semua data penting (nomor kartu kredit, misalnya) ditutupi atau dienkripsi dan hanya pengguna yang berwenang yang memiliki akses ke data secara keseluruhan. Selain itu, identitas dan kredensial digital harus dilindungi sebagaimana seharusnya data apa pun yang dikumpulkan atau dihasilkan oleh penyedia tentang aktivitas pelanggan di cloud.

==== Vulnerability and Penetration Testing Awan ====

Pemindaian bisa dari luar dan dalam menggunakan produk gratis atau komersial sangat penting karena tanpa lingkungan yang keras layanan Anda dianggap sebagai sasaran empuk. Server virtual harus dikeraskan seperti server fisik terhadap kebocoran data, malware, dan kerentanan yang dieksploitasi. "Kehilangan data atau kebocoran mewakili 24,6% dan malware terkait cloud 3,4% dari ancaman yang menyebabkan pemadaman cloud" <ref>{{Cite journal|last=Thangasamy|first=Veeraiyah|date=2017|title=Journal of Applied Technology}}</ref>

Sejumlah ancaman keamanan dikaitkan dengan layanan data cloud: tidak hanya ancaman keamanan tradisional, seperti penyadapan jaringan, invasi ilegal, dan penolakan serangan layanan, tetapi juga ancaman komputasi awan tertentu, seperti serangan saluran samping, kerentanan virtualisasi, dan penyalahgunaan layanan cloud. Persyaratan keamanan berikut membatasi ancaman.<ref>{{Cite journal|last=Jun Tang|first=Yong Cui|date=2016|title=Ensuring Security and Privacy Preservation for Cloud Data Services|url=http://www.4over6.edu.cn/cuiyong/lunwen/Ensuring%20Security%20and%20Privacy%20Preservation%20for%20Cloud%20Data%20Services.pdf|journal=ACM Computing Surveys|doi=10.1145/2906153|pmid=|access-date=|archive-date=2016-04-06|archive-url=https://web.archive.org/web/20160406214320/http://www.4over6.edu.cn/cuiyong/lunwen/Ensuring%20Security%20and%20Privacy%20Preservation%20for%20Cloud%20Data%20Services.pdf|dead-url=yes}}</ref>

Di CP-ABE, enkripsi mengontrol strategi akses. Pekerjaan penelitian utama CP-ABE difokuskan pada desain struktur akses. <ref>

Di KP-ABE, set atribut digunakan untuk mendeskripsikan teks terenkripsi dan kunci privat terkait dengan kebijakan tertentu yang akan dimiliki pengguna.

Banyak undang-undang dan peraturan yang berkaitan dengan penyimpanan dan penggunaan data. Di AS ini termasuk undang-undang privasi atau perlindungan data, Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS), Asuransi Kesehatan Portabilitas dan Akuntabilitas Act (HIPAA), Sarbanes-Oxley Act, Undang-Undang Pengelolaan Keamanan Informasi Federal 2002 (FISMA) , dan Undang-Undang Perlindungan Privasi Online Anak-anak tahun 1998, antara lain.

:Penyedia Cloud memiliki kesinambungan bisnis dan rencana pemulihan data untuk memastikan bahwa layanan dapat dipertahankan jika terjadi bencana atau keadaan darurat dan kehilangan data apa pun akan dipulihkan.<ref>{{cite web |url=http://content.dell.com/us/en/enterprise/d/large-business/benefits-cloud-based-recovery.aspx |title=It’s Time to Explore the Benefits of Cloud-Based Disaster Recovery |publisher=Dell.com |4= |access-date=2018-10-21 |archive-date=2012-05-15 |archive-url=https://web.archive.org/web/20120515134339/http://content.dell.com/us/en/enterprise/d/large-business/benefits-cloud-based-recovery.aspx |dead-url=yes }}</ref> Rencana ini dapat dibagikan dengan dan ditinjau oleh pelanggan mereka, idealnya selaras dengan pengaturan keberlanjutan pelanggan sendiri. Latihan kesinambungan bersama mungkin tepat, mensimulasikan kegagalan pasokan internet atau listrik utama misalnya.

:Peraturan GDPR Uni Eropa telah memperkenalkan persyaratan kepatuhan baru untuk data pelanggan. <ref>{{Cite web|url=https://www.safeswisscloud.ch/en/blog/general-data-protection-regulation-gdpr-how-does-new-european-data-protection-standard-impact|title=General Data Protection Regulation (GDPR): How does the new European data-protection standard impact a company's cloud strategy? Safe Swiss Cloud|url=https://safeswisscloud.com/en/blog/general-data-protection-regulation-gdpr-how-does-new-european-data-protection-standard-impact/|website=www.safeswisscloud.chcom|language=en|}}</ref>

* {{cite journal|ref=harv|title=The Fog over the Grimpen Mire: Cloud Computing and the Law|first=Miranda|last=Mowbray|year=2009|volume=6|issue=1|journal=SCRIPTed|page=129|url=http://www.law.ed.ac.uk/ahrc/script-ed/vol6-1/mowbray.asp|access-date=2018-10-21|archive-date=2015-12-21|archive-url=https://web.archive.org/web/20151221010802/http://www2.law.ed.ac.uk/ahrc/script-ed/vol6-1/mowbray.asp|dead-url=yes}}

* {{cite book|ref=harv|title=Cloud Security and Privacy: An Enterprise Perspective on Risks and Compliance|url=https://archive.org/details/cloudsecuritypri0000math|first1=Tim|last1=Mather|first2=Subra|last2=Kumaraswamy|first3=Shahed|last3=Latif|publisher=O'Reilly Media, Inc.|year=2009|isbn=9780596802769}}

* {{cite book|ref=harv|title=Securing the Cloud: Cloud Computer Security Techniques and Tactics|url=https://archive.org/details/securingcloudclo0000wink|first1=Vic|last1=Winkler|publisher=Elsevier|year=2011|isbn=9781597495929}}

* {{cite book|ref=harv|title=Securing the Virtual Environment: How to Defend the Enterprise Against Attack|url=https://archive.org/details/securingvirtuale0000otte|first1=Davi|last1=Ottenheimer|publisher=Wiley|year=2012|isbn=9781118155486}}

* {{cite journal|title=CloudID: Trustworthy Cloud-based and Cross-Enterprise Biometric Identification|first=Mohammad|last=Haghighat|year=2015|volume=42|issue=21|journal=Expert Systems with Applications|pages=7905–7916|doi=10.1016/j.eswa.2015.06.025}}

* [http://www.iso.org/iso/catalogue_detail?csnumber=43757 BS ISO/IEC 27017]: "Information technology. Security techniques. Code of practice for information security controls based on ISO/IEC 27002 for cloud services." (2015)

* [http://www.ciphercloud.com/what-is-cloud-security www.ciphercloud.com/what-is-cloud-security What is Cloud Security] {{Webarchive|url=https://web.archive.org/web/20181018201648/https://www.ciphercloud.com/what-is-cloud-security |date=2018-10-18 }}

* [https://iase.disa.mil/cloud_security/Pages/index.aspx DoD Cloud Computing Security Requirements Guide (CC SRG)] {{Webarchive|url=https://web.archive.org/web/20181021193742/https://iase.disa.mil/cloud_security/Pages/index.aspx |date=2018-10-21 }}