Werner Vogels (Amazon): security in cloud beter

Tijdens een presentatie voor de Burton Group Catalyst-conferentie in San Diego gaf Vogels eind vorige maand hoog op van de huidige kwaliteit van cloud-netwerken. Amazon kan nu al betere security bieden dan bedrijven zelf, maar de cloud-divisie van Amazon is van plan de lat voor security nog hoger leggen, zo verklaarde hij.

Sommige analisten menen echter dat Amazon nog onvoldoende transparant is over de eigen interne security-maatregelen, zo bleek uit de commentaren na afloop van de bijeenkomst van Vogels.

Amazon heeft al een SAS70 Type II-certificatie voor zijn cloud-diensten. Het bedrijf hoopt voor het eind van dit jaar te voldoen aan de ISO 27001-informatie security-standaard, verklaarde Vogels.

Bezwaren

De Burton Group heeft Amazon in het verleden uitgedaagd om meer informatie te verstrekken over het beleid met betrekking tot de beveiliging van zijn datacenters. Om die reden meent de Burton Group dat de cloud van Amazon niet gebruikt zou moeten worden voor enterprise-applicaties met hoge veiligheids- en beschikbaarheidseisen.

Analist Drue Reeves herhaalde een deel van deze bezwaren tijdens de conferentie. "We hebben het idee dat Amazon onvoldoende transparant is. We willen je graag geloven, maar hebben simpelweg meer informatie nodig."

Vogels wees erop dat Amazon in de SAS70 beschrijft hoe verschillende processen – zoals het vernietigen van disks en het verwijderen van datat – bij Amazon verlopen.

Amazon werkt bovendien aan een volledig geautomatiseerd beleid voor toegangscontrole. Dat berekent bijvoorbeeld dat klanten ervoor kunnen kiezen om bepaalde gebruikers wel toe te staan om een virtual machine te starten, maar niet om een virtual machine op te heffen. Ook wordt het mogelijk om ontwikkelaars toegang te geven tot bepaalde objecten, terwijl ze niet de mogelijkheid hebben om de betreffende objecten aan te passen.

Denial of service

Amazon biedt nu al een Virtual Private Cloud aan, die bedrijven in staat stelt om een deel van het cloud-netwerk af te schermen van andere gebruikers.

Vogels erkende wel dat er altijd gevaren zijn, of het nu gaat om denial of service-aanvallen of om man-in-the-middle-exploits. "Bij Amazon is security onze belangrijkste prioriteit. Maar er bestaat niet zoiets als een finishstreep in security. De security-wereld is nooit stabiel. De slechteriken passen zich altijd aan aan de omstandigheden."

En dat Amazon een betere security heeft dan het gemiddelde bedrijf, is dat ook omdat dat noodzakelijk is. Amazon is een groot bedrijf en daarmee een lucratief doelwit voor hackers.