Мы рассматриваем идею переноса приложения ASP.NET MVC в Windows Azure, но мне интересно узнать, достаточно ли безопасен SQL Azure для хранения данных клиентов, таких как их домашние адреса и т. д.
Мы не храним банковские реквизиты или что-то подобное и хотим использовать возможности облака в целях масштабируемости, но не хотим, чтобы фактор безопасности стал проблемой, препятствующей работе.
Есть мысли? Или мне зашифровать ВСЕ персональные данные и расшифровывать каждый раз при доступе?
решение1
Я настоятельно рекомендую классифицировать данные, с которыми вы работаете (являются ли имя клиента и его домашний адрес PII?) и понимать соответствующие государственные и федеральные правила отправки этих данных третьей стороне. Защищены не только «банковские реквизиты».
Закон штата Массачусетс может потребовать, чтобы данные были зашифрованы при передаче для любого резидента. См.201 КМР 17,00. Закон штата Невада может также требовать защиты некоторой информации для резидентов. См. НевадаСБ347. КалифорнияСБ 1386налагает определенные требования, если данные резидента «есть основания полагать, что они были [...] получены неуполномоченным лицом». Если у вас есть незашифрованные данные в облаке, и поставщик сообщает о неуказанной утечке, вам, возможно, придется уведомить клиентов.
Это всего лишь выборка того, что есть. Поэтому (1) поймите, какие данные у вас есть, и (2) поймите, каковы ваши правовые и нормативные требования, чтобы помочь вам принять обоснованное решение.
Более подробную информацию об облаке см.КСАиПроект облака OWASP.
решение2
Я был на небольшой конференции по безопасности с представителями Microsoft, Google и т. д. Если вы спросите их, они скажут, что это безопасно, и они, вероятно, правы.
Я не думаю, что их платформы технически несовершенны, когда дело касается безопасности, но у Microsoft есть полный доступ к вашим данным. Однако у них есть меры, которые ограничивают, как и когда их сотрудники могут получить к ним доступ.
Есть много приложений, размещенных в облаке, я думаю, что безопасно использовать его, если вы не имеете дело с чем-то особенно секретным, например, с медицинскими записями. Тогда это, вероятно, даже не законно в некоторых странах.
В конечном итоге речь идет о доверии другой компании позаботиться о ваших данных.