個資安全與雲端醫療研討會 -...

『雲端服務與資訊安全』- 實務運作的注意事項

個資安全與雲端醫療研討會

專案報告

報告人：翟正明

中華民國九十九年六月二十五日

http://www.tmuh.org.tw/

2

簡報大綱

雲端運算服務定義與歷程

世界與台灣的雲端現況

雲端架構說明

雲端運算服務的關鍵技術與挑戰PAAS 的關鍵技術

雲端服務與虛擬化

雲端服務下的管理

雲端服務下的資安

醫療實務運作範例

Q & A

Cloud Computing is just Marketing Term

“NOT” New Technology

YOU have to know what is Cloud Computing

3

Gartner Hype Cycle for Cloud Computing

Network Computing

Utility Computing

Grid Computing

Cloud Computing

Cost ($$$$) Computing

Distributed Computing

Automatic Computing

雲端運算說明

5

雲端運算服務 (Cloud Computing) - 定義

Wikipedia:

Cloud computing is a style of computing in which dynamically scalable

and often virtualized resources are provided as a service over the Internet

Users need not have knowledge of, expertise in, or control over the

technology infrastructure in the "cloud" that supports them

Gartner:

It is service-based

It is scalable and elastic. i.e., it is able to add and remove infrastructure as

needed

It uses shared infrastructure to build economies of scale.

It is metered and users pay according to usage.

Most importantly, of course, it uses Internet technologies.

6

雲端運算服務 (Cloud Computing) - 定義

凡是透過網際網路提供應用服務，而這個服務架構應用了Grid Computing、Utility Computing、SOA等概念，讓使用者透過瀏覽器就能使用，不需要了解伺服器在哪裡，內部如何運作，都被稱為雲端運算的服務，背後的技術也概稱為雲端運算

7

What is the Cloud feature ?

Single Integrated Application Platform(Virtualization)

Reduced complexity, no middleware integration

Cost down

Fewer License fees

High Performance

Less moving parts or network hops, guaranteed performance under any load

Scalable on Demand

Dynamic linear scalability, reduced cost of business growth, maximum hardware

utilization

Highly fault tolerant and resilient

Zero downtime under unpredictable loads

Open Architecture

Minimize vendor lock-in, protect historic investments

8

9

簡報大綱



雲端架構說明






Q & A

Amazon web services (2005) on a utility computing basis provides S3 and EC2 services (2006).

The first business use of Cloud Computing appears to be by Google „s CEO Eric Schmidt (2006).

Google , IBM , and a number of universities embarked on a large scale cloud computing research project (2007).

Salesforce.com provides Force.com service (2008).

Google provides Google App Engine service (2008).

Microsoft announced Window Azure (2008).

IBM announced Blue Cloud (2008).

雲端先行者

10

What are they doing ?

Amazon.com Saleforce.com Google Microsoft IBM

SaaS

PaaS

IaaS

Twitter

Animoto

RightScale

Amazon EC2

Amazon S3

Elstra

Force.com

Saleforce.com Gmail

Google Maps

Google Apps

for Enterprise

Google Apps

Engine

Hotmail

Exchange H.

SQL D. S.

Windows

Azure

Cloud computing services often provide common business applications online that are

accessed from a web browser, while the software and data are stored on the servers.

CODA 2go Loyuslive

Websphere

Tivoli

Xen / VM

DB2 images

11

全世界都在造雲！！

數位時代 : 雲端運算風暴來襲 (2008.10)

張明正在趨勢二十週年記者會上說：「雲端運算時代已經來臨。」

林百里(2009): 我不去藍海，我去雲端。2010 新 3C 元年 (cloud computing, connectivity, client device) ，「廣達十年後的樣貌我們重心不再是製造者而是系統解答供應者。

郭台銘(2010): 在高雄軟體園區建立雲端數據中心。鴻海與資策會合作，建立雲端運算實驗室 (2009.6) 。

曾鏘聲:雲端跑得快，不能掉以輕心。華碩 100 % 子公司全球聯訊提供線上儲存服務，賣一台Eee PC附有 500 GB 雲端容量。

中華電計畫以130億元的預算設立雲端中心，預計2013年完工。

經濟部(2009,11)宣布將雲端納入六大新興產業，還和台灣微軟簽定成立雲端運算技術中心。

工研院研發『貨櫃運算』低 PUE (Rackable System, Sun, IBM, HP ) 。

台灣的風起雲湧

14

敦陽是雲端運算聯盟唯一的 SI

15

16

簡報大綱



雲端架構說明






Q & A

SaaS, PaaS, IaaS

雲端服務的架構

SaaS (Softwareas a Service)

以服務的形式提供軟體

PaaS (Platform as a Service)

•以服務的形式提供平台•平台包括中介軟體 (資料庫、應用程式執行環境、管理工具等)•執行程式的時候不需要考慮延展性•限制開發語言

IaaS (Infra. as a Service)

以服務的形式提供基礎架構 (虛擬機器與儲存設備)可以安裝自己想要的作業系統與中介軟體來執行程式需要考慮延展性

17

雲端服務的架構

雲端軟、硬體的主要項目: (1) 作業系統 : Linux, Windows (2) 主機 : 各類x86 伺服器或 Unix 伺服器 (Sun, IBM, HP, Dell) (3) 儲存設備 : HDS, NetApp, Infortrend (4) 網路 : Juniper, Cisco (5) 雲端軟體平台 : Gigaspaces, Oracle OFM, Hadoop

18

19

簡報大綱



雲端架構說明






Q & A

傳統的 Application Server 架構

私有雲 PAAS 的關鍵技術

SaaS-Enabled Business Application

Tenant App. View

Users

Tenant App. View

Tenant App. View

Users Users

Software as a Service (SaaS)

ApplicationProvider

User Organizations

PlatformSupplier

Host

Platform as a Service (PaaS)

GigaSpaces CCF4XAP Scale-out Application Server

Hypervisors / Metering

Public Cloud Private Cloud

Infrastructure as a Service

(IaaS)

• Automated application deployment

• Multi-Tenancy

• Auto Scaling

• Self healing

• Built-in portability

• Zero installation

• Highly secure

• Application life cycle

• Standard development tools

21

IaaS = Virtualization ??

Desktop/ ClientFile Server

Server Farm

SAN 3SAN 2SAN 1

Storage Virtualization

File Virtualization

Desktop Virtualizatrion

Server Virtualization

22

關鍵考量１：該搭配哪些等級的硬體設備？如何評估？關鍵考量２：是否能充分比較各家計價方式？關鍵考量３：管理工具功能與操作介面要注意哪些事？關鍵考量４：對於線上移轉VM的基本與進階功能是否有需求？關鍵考量５：作業系統相容性與支援類型是否能因應企業本身需求？關鍵考量６：建立虛擬主機的方式，要採用P2V，還是重新建立比較好？關鍵考量７：能否評估出不適合導入虛擬化平臺的服務？關鍵考量８：導入測試時間要多久比較恰當？關鍵考量９：如何改善虛擬環境的安全防護？關鍵考量１０：其他設備的相關評估？網路、儲存設備

導入虛擬化前要注意的10大關鍵

23

http://www.ithome.com.tw/001/20090629/index.htm

雲端上的管理更需要工具輔助

24

更需要符合的準則

25

甚至需要自動化管理

Automation Platform

Network Lifecycle Automation

Maintain &Support

• Report on assets, change activity, compliance & much more

• Download new device support monthly

• Monthly content updates via HP Live Network e.g. PCI Policies

Audit & Enforce

• Define compliance policies

• Detect violations in real-time & auto-remediate

• Dynamically alerted to emerging threats via The Opsware Network

Change & Configure

• Create and deploy configuration changes

• Standardize and validate changes before applying

• Uniformly apply software updates

• Enforce workflow & approvals

Discover &Track

• Discover and catalog the network

• Visualize layer 2 & layer 3 dependencies

• Snapshot & store device information in real time

Scalable Global Deployment Architecture Secure Extensible

Operations OrchestrationAutomate change approval, alert/event triage, routine networking tasks

IT Teams

ITSystems

26

27

簡報大綱



雲端架構說明






Q & A

Challenges/Issues of Cloud

多用戶、動態分配、標準化、虛擬化

傳統…拒敵於門外

雲端…處處皆兵

29

“資訊集中”大不同 (雲端 + 個資法)

實體安全備援機制虛擬化安全應用程式安全內部人員濫用

分散式阻斷服務攻擊

Grouping

Dependency

虛擬化安全性（相依性安全, Guest<->Guest）

31

API Security

Patch Management

News

Advisory

虛擬化安全性（相依性安全, Guest<->Host）

32

應用程式安全 - Security in SDLC

Define Design Develop/Test Deploy Maintain

Security

requirements

Risk

analysis

Code

Review

Dynamic

testingDesign

review

Continuous

monitoring

Secure Programming Training Security SOP

33

角色定義 / 職責分工

資料使用 / 資料儲存

認證與授權

DLP Solution

Encryption

Logs Management

Recovery

Training

Data Protection

34

緊急應變

網路控制

圍堵

持續調查與清除

長期強化

Secure Zone

SOP

定期檢測

部署相關安全設備

教育訓練

Incident Response & Forensic

35

Operating System

Hypervisor

Application (Commercial, Cutomize, API)

ApplicationServer

Middleware Database

VM ResourceNetworking

ResourceStorage

& Backup

Man

agem

en

t / SLA / Le

galInter – VM SecurityvFirewall / vIPS

vWAF / vLBvAnti-Virus

Legacy SecurityFirewall / IPS / Anti-Virus

SecureRoutingDDoS Protection

Data EncryptionData Protection

Log ManagementDRP

OS Security Policy / Vulnerability Management

WAFPenetration TestSecurity Tuning

Web Service SOP

AAA SolutionEncryptionAccess Log

DB SOP

Security in SDLC / Identity as a Service Stand

ard / A

ud

iting / D

LP /In

cide

nt R

esp

on

se

雲端運算資安解決方案藍圖

36

38

簡報大綱



雲端架構說明






Q & A

傳統PC使用環境

39

Apps

Windows

Profile

Hardware Dynamically

Delivered Desktop

Virtualization• Fewest possible desktop images

• Desktop image simplicity

• Fewer conflicts, minimized testing

• Low-touch, self-serve re-imaging

User

Profiles

Apps

OS

Virtualized & Isolated

What Is Desktop Virtualization?

UsersVMVMVM VM

50-60 VMs per server

40

Desktops & Apps as a

Service

41

管理、資安，非省錢 !!

個資法通過後對您造成的影響

公務機關： §18應指定專人辦理安全維護事項

防止個人資料被竊取、竄改、毀損、滅失或洩漏

新法通過後，對於公務機關而言，可以用「嚴苛」二字來形容，也就是保有個人資料檔案者，應採行適當的安全措施，來防止個人資料遭到竊取、竄改、毀損、滅失，要如何防止則是一大課題。

非公務機關： §27應採行適當之安全措施

防止個人資料被竊取、竄改、毀損、滅失或洩漏

中央目的事業主管機關得指定非公務機關訂定個人資料檔案安全維護計畫或業務終止後個人資料處理方法，其標準等相關事項之辦法，由中央目的事業主管機關定之。

42

資訊安全基礎架構，該做的還是要做，ISMS下需要注意的資安設備機制

Firewall

IDS/IPS

Anti-Virus

其他仍需注意的事項，即便沒有雲端和法律WLAN Security

定期的資安健康檢查(滲透、掃描服務)

Web Application Security

個資保密下應注意事項：Gateway DLP

Virtual Desktop

雲端(虛擬化)下，資訊安全的應注意事項

雲端 + 個資法後資訊安全的實務運作

43

謝謝各位

44

個資安全與雲端醫療研討會 -...

Documents

Transcript of 個資安全與雲端醫療研討會 -...