امنیت در رایانش ابری :بخش دوم:ممیزی فرآیند های عملیاتی و کسب و کار

شرکت ها اهمیت ممیزی و بازرسی سیستم های فناوری که میزبان برنامه های کاربردی و داده ها هستند را به خوبی درک می کنند تا اطمینان حاصل کنند که منطبق بر سیاستهای صنعتی واستاندارد عمل می کنند.
سه حوزه ی قابل توجه برای ممیزین و همچنین مشتریان خدمات ابری به شرح ذیل می باشد.
1) درک محیط کنترل داخلی یک ارائه دهنده ی ابر، شامل خطرات ، کنترل و مسائل دیگر
2) دسترسی به گزارش های ممیزی ، شامل گردش کار و مجوزها
3) اطمینان حاصل کردن از امکانات برای مدیریت و کنترل سرویس های ابری و اطمینان داشتن از امن بودن تجهیزات.


درک محیط کنترل داخلی یک ارائه دهنده ی خدمات ابر
چندین استاندارد موجود می باشد که می توان به عنوان مبنایی برای ممیزی محیط کنترل داخلی، از آنها استفاده نمود، و چون مشتریان انتظار دارند اطلاعات مربوطه ی ارائه دهنده ی خدمات ابر را قبل از عقد قرارداد باز بینی کنند ، می توانند از این استاندارد ها استفاده کنند.
استاندارد iso 27000 و سری این استاندارداطمینان کامل مشتریان را جلب میکند که کنترل مناسب در محل سازمان ارائه دهنده فراهم است.
نکات کلیدی کنترل خدمات ابری عبارتند از :
حصول اطمینان از دور ماندن برنامه های کاربردی و داده های مشتری از محیط های اشتراک گذاری و همچنین محیط های چند مستاجره.
حفاظت از دارایی های مشتری و جلوگیری از دسترسی های غیر مجاز توسط کارکنان ارائه دهنده ی خدمات ابر.
ممیزین ممکن است توسط مشتری و یا توسط سرویس دهنده استخدام شوند، اما نکته ی کلیدی این است ، که آنها باید حتما مستقل و بی طرف باشند.
همچنین کلیه ی مدارک و مستنداتی که مورد نیاز ممیزین می باشد، می بایست توسط ارائه دهنده ی سرویس در اختیارشان قرار گیرد.
دسترسی به گزارش ممیزی شرکت های بزرگ:
برای مشتریان خدمات ابری، بسیار حیاتی است که دسترسی مناسبی به رویدادهایی که برای ارائه دهنده ی سرویس اتفاق می افتد داشته باشند ، به طور مثال گزارش های ممیزی که کیفیت کنترل امنیتی را اثبات کند.
ممیزین می بایست به مشتریان گزارش دهند که تمام اطلاعات لازم در سیستم ثبت و به درستی ذخیره سازی شده است.
حصول اطمینان از تجهیزات و امکانات برای مدیریت و کنترل سرویس های ابری:
علاوه بر خدمات ابری، ارائه دهندگان به طور کلی به مشتریان امکان سلف سرویس نیز می دهند تا بتواند خدمات ابرخود را کنترل و نظارت کنند. این امکانات ممکن است شامل: فهرست خدمات ، خدمات اشتراکی ، فرآیند های پرداخت ، ارائه ی جریان داده های عملیاتی ، رویدادها و یادداشت ها شود و همچنین امکاناتی همچون پیکربندی خدمات از جمله اضافه کردن و حذف هویت کاربران .این امکانات اغلب از نظر امنیتی از خدمات و برنامه های کاربردی حساس تر هستند و احتمال سوء استفاده و آسیب آنها نیز بیشتر است. ممیز امنیتی می بایست به این امکانات نیز مانند خدمات اصلی ، توجه ویژه داشته باشد.