Norii de deasupra serviciilor de informaţii

Comunitatea de informaţii din SUA a lansat, încă din 2012, o iniţiativă de utilizare a cloud computing obţinând, de la companiile furnizoare de astfel de servicii, interfeţe software cu ajutorul cărora îşi pot păstra, modifica şi şterge datele stocate.

Comunitatea beneficiază de două platforme de cloud computing, de o strategie oficială de cloud, iar, la finalul anului 2020, Agenţia Centrală de Informaţii (CIA) a atribuit unor cinci companii - Amazon Web Services, Microsoft, Google, Oracle şi IBM - contractul de servicii multi-cloud Commercial Cloud Enterprise (C2E).

Va schimba cloud computingul politicile şi procesele unei agenţii de intelligence? Este o întrebare pe care o punea, încă din 2012, Intelligence and National Security Alliance.

Cu siguranţă că lucrurile se vor schimba într-o comunitate de informaţii care, aşa cum de-a lungul anilor a optat să folosească internetul, apoi telefoanele mobile, apoi smartphonul, va decide şi că integrarea şi analiza datelor vor fi făcute la un nivel superior, cel al norilor.

Ce presupune, în linii generale, cloud computing

Din 24 august 2006, când Amazon şi-a activat o nouă capacitate, numită Elastic Compute Cloud (EC2), oferind putere IT ieftină, la cerere, ceea ce s-a numit „pariul riscant al lui Jeff Bezos” a ajuns să schimbe o întreagă industrie, având impact nu numai asupra afacerilor, ci şi asupra domeniului securităţii naţionale.

Cloud computing nu este altceva decât preluarea în zona de IT a unui concept existent mai demult: furnizarea de servicii - electricitatea, apa şi alte utilităţi - printr-o locaţie aflată la distanţă. Serviciile de cloud computing sunt livrate printr-o reţea, de obicei prin internet.

Organizaţia care optează pentru cloud computing alege să nu mai cheltuiască fonduri considerabile pe sisteme IT, ci să acceseze resursele de calcul ale altei companii (furnizorul de cloud), un conglomerat de servere sau sisteme software, şi să plătească doar pentru ceea ce foloseşte.

Infrastructura IT este stocată în afara locaţiei, într-un centru de date întreţinut de furnizorul de servicii de cloud computing, de pildă Microsoft, HP, IBM, Amazon ori Google.

Pe scurt, cloud computing presupune închirierea, în loc de achiziţionarea unui department de IT, utilizarea puterii de calcul prin internet şi plata pentru ceea ce se utilizează, în loc de investiţii semnificative în baze de date, software şi echipamente proprii.

Există clouduri publice (întreaga infrastructură de calcul este situată la sediul furnizorului de cloud, care oferă aceste servicii clientului prin intermediul internetului), private (utilizate exclusiv de o singură organizaţie şi situate fie în locaţia organizaţiei, fie în centrul de date al furnizorului de cloud, oferind cel mai înalt nivel de securitate şi control) şi hibride (combinaţie între celelalte două, în general, aplicaţiile esenţiale rămânând pe  serverele proprii ale organizaţiei, pentru mai multă securitate, iar aplicaţiile secundare vor fi stocate în locaţia furnizorulul de cloud).

În funcţie de dispozitivele utilizate, serviciile de cloud pot fi software ca serviciu (SaaS) - furnizorul de servicii cloud dezvoltă şi întreţine software-ul pentru aplicaţii cloud, pe care îl pune la dispoziţia clienţilor săi, cu plata în funcţie de utilizare -, platformă ca serviciu (PaaS) - furnizorul găzduieşte componentele infrastructurii şi middleware-ul (un software computerizat care oferă servicii aplicaţiilor software dincolo de cele disponibile din sistemul de operare), iar clientul accesează aceste servicii printr-un browser web -, şi infrastructură ca serviciu (IaaS) - furnizorul de cloud găzduieşte componentele infrastructurii, care furnizează capacităţi de calcul, de stocare şi de reţea, astfel încât abonaţii să îşi poată rula fluxurile de lucru în cloud.

De ce cloud computing?

Pentru că oferă flexibilitate, ceea ce se referă, în special, la puterea de adaptare a sistemelor cloud (scalabilitate), iar tehnologiile cloud permit ajustarea resurselor alocate, în mod automat, în funcţie de necesităţi, ceea ce generează creşterea eficienţei şi controlul costurilor.

De asemenea, odată ce există un sistem funcţional în cloud, el poate fi replicat rapid. Cloudul este fiabil, funcţionează prin distribuţia informaţiei pe mai multe servere, dar fără o dependenţă tehnică fixă între ele.

Sincronizarea datelor utilizatorului care foloseşte mai multe dispozitive legate la cloud este simplificată. Documentele online din cloud se pot prelucra cu ajutorul unor aplicaţii web. Viteza de calcul şi capacitatea de stocare sporesc, dar fără investiţii în propria configuraţie.

Există, însă, şi dezavantaje: e necesară o legătură la internet rapidă şi stabilă, iar securitatea datelor din cloud poate ridica probleme şi poate produce neîncrederea utilizatorilor aflaţi uneori într-o situaţie legală complexă, neştiind nici măcar în ce ţară sau în ce ţări se află serverele care îi găzduiesc datele.

În ceea ce priveşte serviciile secrete, cloud computing ajută întreaga comunitate de informaţii „să rămână agilă şi adaptativă”, în condiţiile în care comunitatea de informaţii se confruntă cu „provocări descurajante în sfera misiunilor sale”, generate de ritmul schimbării tehnologice şi de amploarea datelor disponibile, iar pentru a le face faţă are nevoie de o „mai mare agilitate analitică” şi de „abilităţi sofisticate”, cum ar fi artificial intelligence (AI), machine learning (ML) şi analiză big data.

Este ceea ce susţine Strategic Plan to Advance Cloud Computing in the Intelligence Community.

Potrivit documentului strategic american, publicat în iulie 2019, în comunitatea de informaţii se trece, deja, la o a două etapă de operaţionalizare a serviciilor cloud, în care se preiau „lecţiile învăţate” şi „succesele” etapei anterioare, cea a Intelligence Community Information Technology Enterprise (IC ITE), în scopul realizării „interoperabilităţii, securităţii şi mobilităţii pentru serviciile şi tehnologiile cloud într-un mediu federalizat”.

Opţiunea pentru cloud computing în comunitatea de informaţii americană face parte dintr-o serie de paşi pe care guvernul federal a decis să-i parcurgă din 2010, când  a creat pentru prima dată o strategie – Cloud First - care viza introducerea serviciile de cloud în agenţiile guvernamentale.

Cloud First a fost emisă într-un moment în care cloud computing era încă o tehnologie relativ la început. În conformitate cu noua politică, agenţiile federale au fost însărcinate să evalueze opţiunile de cloud computing şi, ulterior, să investească în tehnologiile de ultimă oră.

Dat fiind că termenul „cloud” era folosit pe scară largă pentru orice soluţie tehnologică oferită de un furnizor extern, Institutul Naţional de Standarde şi Tehnologie (National Institute of Standards and Technology - NIST) a definit modelele de implementare în cloud: Infrastructure as a Service (IaaS) unde se furnizează infrastructura şi hardware-ul, Platform as a Service (PaaS), unde este furnizat un mediu gestionat pentru aplicaţia unui client, şi Software as a Service (SaaS), unde se oferă o aplicaţie gestionată complet de către furnizor, clienţii punându-şi la dispoziţie datele.

Tot atunci, termenul de cloud computing a primit o definiţie oficială: „un model care permite accesul omniprezent, convenabil, la cerere, la o reţea partajată, grup de resurse de calcul configurabile (reţele, servere, stocare, aplicaţii şi servicii), ce poate fi rapid aprovizionat şi lansat cu un efort minim de gestionare sau interacţiune cu furnizorul de servicii”.

Migrarea structurilor guvernamentale americane către cloud a fost, însă, dificilă, în special dat fiind că acestea deţineau o infrastructură veche, dar şi pentru că ofertele furnizorilor erau numeroase şi făceau dificilă opţiunea.

În Raportul către preşedinte privind modernizarea federală IT, publicat în 2017, s-a decis actualizarea politicii guvernamentale federale de cloud computing (Cloud First), ulterior Administraţia Trump dezvoltând o nouă strategie pentru a accelera adoptarea de către agenţiile guvernamentale a soluţiilor bazate pe cloud: Cloud Smart.

Lansată în octombrie 2018, de către Office of Management and Budget, la aproape un deceniu de la predecesoarea sa, Cloud Smart „oferă îndrumări practice de implementare a misiunilor guvernamentale pentru a actualiza pe deplin promisiunea şi potenţialul tehnologiilor bazate pe cloud”.

Cloud Smart „se concentrează pe dotarea agenţiilor cu instrumentele necesare pentru a lua decizii tehnologice în conformitate cu nevoile misiunii lor şi utilizează soluţii din sectorul privat pentru a oferi cele mai bune servicii poporului american”.

Noua strategie se bazează pe ceea ce Administraţia a considerat ca fiind cei trei piloni cheie ai adoptării cu succes a cloudului: securitate, achiziţii şi forţa de muncă instruită în domeniu.

În timp ce Cloud First a reprezentat doar „o abordare prudentă a adoptării cloud-ului”, Cloud Smart ia în considerare chestiuni concrete, de pildă faptul că „anumite politici guvernamentale de securitate a informaţiilor au devenit un impediment pentru adoptarea cloud şi trebuie revizuite”. Este cazul sistemelor de tip Trusted Internet Connections (TIC) din reţelele federale. Agenţiile vor trebui să pună un accent mai mare pe sistemele de detectare şi prevenire a intruziunilor la nivel guvernamental, cum este programul EINSTEIN, ori pe instrumente precum brokerajul pentru soluţii de securitate în mediul virtual (Cloud Acces Security Brokers, CASB), care se bazează pe controlul virtual, mai degrabă decât fizic, al datelor.

Cloud computingul se pare că a fost adus în vocabularul şefilor serviciilor de informaţii în 2011, când directorul National Intelligence, James R. Clapper, s-a referit, în discursul de deschidere la simpozionul anual GEOINT al fundaţiei US Geospatial Intelligence (USGIF), la colaborarea în cadrul comunităţii şi la „integrarea unei arhitecturi IT comune, care să permită flexibilitate pentru cerinţe unice”.

La acel moment, potrivit lui James R. Clapper, se făceau presiuni asupra NSA şi CIA pentru a lucra împreună în găsirea de soluţii la provocările ridicate de cloud, fiind necesar „să fie aduşi toţi caii împreună pe o singură direcţie”.

Un an mai târziu, comunitatea de informaţii din SUA a lansat o iniţiativă îndrăzneaţă de utilizare a serviciile cloud ca modalitate care să faciliteze schimbul de informaţii între agenţii şi care să permită instrumentelor de analiză să funcţioneze având la dispoziţie informaţii colectate de către toate agenţiile de intelligence.

Începând din 2012, directorul National Intelligence a desemnat CIA şi NSA ca furnizori de servicii cloud pentru întreaga comunitate, celor două agenţii revenindu-le gestionarea a două platfome: Commercial Cloud Services (C2S) şi IC-GovCloud.

Platforma C2S, servicii comerciale în cloud prin Amazon Web Services, a fost gestionată de CIA, iar IC-GovCloud, mediul analitic de big data al comunităţii de informaţii, a revenit NSA. Ambele au reprezentat două opţiuni pentru cloud computing în cadrul iniţiativei Intelligence Community Information Technology Enterprise (IC ITE), datele stocate fiind accesibile tuturor agenţiilor din cadrul comunităţii, pentru toate structurile şi misiunile de informaţii.

Strategia de cloud computing din 2019 numeşte IC-GovCloud „cea mai puternică şi performantă platformă analitică de date” a comunităţii de informaţii.

Planul strategic porneşte de la premisa schimbărilor tehnologice de amploare cu care se confruntă comunitatea de informaţii şi care provoacă capacităţile acesteia de furnizare rapidă a informaţiilor necesare acţiunilor, în contextul în care „adversarii” se dezvoltă rapid în domeniul cibernetic.

Strategia stabileşte că agenţiile de informaţii necesită „un ecosistem cloud integrat, interoperabil”, capacităţile cloud urmând să sprijine „un set divers de utilizatori” şi să determine funcţionarea eficientă a comunităţii, care „va gestiona puterea datelor ca bun comunitar, oferind, astfel, avantaj factorilor de decizie ai naţiunii”.

Mergând mai departe, în acelaşi an cu emiterea strategiei comunităţii de intelligence, CIA a anunţat planuri de miliarde de dolari investiţii în Cloud 2 Enterprise (C2E), reprezentând un mediu multicloud (distribuirea de active cloud, software, aplicaţii etc. în mai multe medii cloud), capabil să gestioneze date la toate nivelurile de securitate şi să ofere opţiuni la nivel mondial.

În noiembrie 2020, contractul Commercial Cloud Enterprise (C2E) a fost atribuit de Agenţia Centrală de Informaţii companiilor Amazon Web Services, Microsoft, Google, Oracle şi IBM.

Contractul şi documentele de achiziţie nu au fost făcute publice.

Potrivit directorului de informaţii al comunităţii de intelligence, John Sherman, C2E reprezintă o continuare multi-cloud, multi-furnizor al serviciilor comerciale în cloud C2S, livrate până acum doar de Amazon Web Services.

De asemenea, Agenţia Naţională de Securitate intenţionează să modernizeze capacităţile care alcătuiesc GovCloud, următorul pas în dezvoltarea serviciilor cloud la nivelul comunităţii fiind lansarea, în martie 2021, a aşa-numitei „iniţiative de cloud hibrid” (HCI), pe care Sherman a descris-o drept „mediu analitic de înaltă performanţă”, o „operaţiune pe scară largă”, agenţiile urmând să-şi coreleze datele cu „datele semnificative ale NSA”.

C2E şi HCI sunt „complementare” şi „nu sunt deloc concurente”, împreună realizând „un punct de inflexiune pentru utilizarea tehnologiilor digitale moderne de către comunitatea de informaţii”. (John Sherman)

Ca în cazul tuturor progreselor tehnologice magice, există avantaje şi dezavantaje

Ce obţin serviciile de securitate din capacităţile oferite de o infrastructură cloud, în comparaţie cu IT-ul tradiţional?

O putere mare de calcul la cerere, viteză mare de procesare, satisfacerea cu operativitate a unei anumite necesităţi şi apoi o relocare în altă parte, când necesitatea dispare. De asemenea, procese mult mai complexe, printre care analiza big data, pot fi realizate rapid şi fără investiţii semnificative în supercomputere.

În 2012, când începuse să se ridice problema trecerii serviciilor americane de informaţii la cloud, Intelligence and National Security Alliance, o organizaţie profesională non-profit, a convocat un grup de lucru pentru a studia impactul cloud computer asupra comunităţii de intelligence, realizând o analiză a modului în care organizaţiile trebuiau să îşi asume responsabilitatea, revizuindu-şi politicile şi procesele în funcţie de noua tehnologie.

Concluziile de atunci rămân, cu siguranţă, valabile şi astăzi pentru orice altă comunitate de informaţii care va fi nevoită să ia în considerare evoluţia tehnologică:

Cloud computing-ul răspunde necesităţilor critice ale apărării şi intelligence-ului, oferind oportun datele necesare misiunilor, crescând eficienţa şi reducând costurile.

Cloud computing nu este doar o tehnologie nouă, ci o schimbare semnificativă în consumul de resurse IT şi alocarea finanţării IT.

Modelul de cloud adoptat va fi determinat de sensibilitatea datelor găzduite, iar decizia de a adopta un model de cloud în comunitatea de informaţii trebuie luată, diferenţiat, de la caz la caz.

Securitatea informaţiilor poate fi îmbunătăţită printr-o abordare cloud computing, dar dacă securitatea nu este avută în vedere din proiectare, arhitecturile cloud computing cresc dramatic riscul de insecuritate.

Cei care doresc să migreze către cloud trebuie să ia în considerare faptul că aceasta reprezintă în acelaşi timp şi o schimbare a modelului de afaceri, care va transforma politicile şi procesele organizaţiei.

Ca urmare, este necesar să fie avut în vedere impactul asupra culturii organizaţionale, schimbarea fundamentală a acesteia, de la controlul riguros al informaţiilor deţinute la încurajarea schimbului de informaţii inter-agenţii.

Găsirea unor modalităţi de cooperare eficientă între guvern, mediul academic şi industrie, împărtăşirea lecţiilor învăţate este esenţială pentru reducerea riscurilor şi tranziţia cu succes a comunităţii de informaţii la cloud.