האתגרים במעבר של מאגרי מידע ומערכות המאגר לענן

הגדרות שגויות – סיכון משמעותי בהליך המיגרציה לענן נובע מיצירת הגדרות שגויות אשר עשויות להוביל לכך שמידע ארגוני ייחשף לעיני גורמים שאינם מורשים. לצורך התמודדות עם אתגר זה, הרשות ממליצה להקצות כוח אדם מיומן ובהיקף הנדרש לביצוע המיגרציה וכי צוותי ה-IT  בארגון הוכשרו לצורך מתן מענה ברמה הנדרשת, הן לתהליך המיגרציה והן לתחזוקת תשתיות הענן והמערכות השונות בסיום התהליך.

ממשקי API שלא אובטחו כראוי – ממשקי API לא מאובטחים עלולים לאפשר לגורמים לא מורשים גישה למידע רגיש. לצורך אבטחת ממשקי ה-API  יש לשלב מנגנוני בקרה ותיעוד עדכניים בתהליכי המיגרציה והעבודה השוטפת בתשתיות הענן. כמו כן, מומלץ להצפין את המידע במנוחה ובתנועה, ולוודא כי מפתחות ההצפנה שמורים בסביבה מוגנת, שאינה סביבת הענן שבה הוצפן המידע.

חוסר התאמה של הארכיטקטורה הנוכחית (Architecture Current the of Incompatibility)  – חוסר תאימות  בין הארכיטקטורה בסביבה הישנה לבין החדשה עלול לגרום להעברת נתונים איטית או שגויה. על מנת להתאים את הארכיטקטורה למעבר לענן, הרשות מציעה לארגון לבצע סקירה מעמיקה ותיעוד מקיף של הארכיטקטורה המקומית. כך, במקרים בהם יש צורך לשלב בפתרון ענן פרטי וציבורי, יחד עם נכסים מקומיים ליצירת סביבה היברידית, ניתן יהיה לבחון מחדש את הארכיטקטורה הכללית, ובכלל זה את הארכיטקטורה של הסביבה המקומית, ולבצע את השינויים הנדרשים לצורך הפחתת הסיכונים.

חוסר אסטרטגיה במעבר לענן – הרשות מציעה לבחון מראש איזה מידע יישאר בסביבה המקומית ואיזה מידע יעבור לתשתיות הענן. לשם כך, יש לבצע כבר בתחילת ההליך מיפוי של מאגרי המידע, תוך תיעוד והבנה מעמיקה של מבנה תשתיות המחשוב הארגוני, היישומים ואופן זרימת המידע בהם. במידה וקיים במערכות הארגון מידע רגיש, יש לשקול בהתאם לאופי המידע ותהליך בחינת הסיכונים היכן כדאי לאחסן מידע זה. כמו כן, חשוב לשקול מראש האם זה נכון לארגון לעבוד עם ספקי ענן מרובים, שכן זה מצריך התייחסות רחבה יותר מצד הארגון ביחס לאופן בו נדרש להגן על נכסי הארגון ומעלה את רמת הסיכון.

אובדן נתונים (Loss Data) – לאור החשש מאובדן נתונים במהלך הליך המיגרציה, על הארגון להקפיד לגבות, לפני המעבר לענן, את כל הנתונים השמורים במערכות הארגון, ובמיוחד את הקבצים המיועדים לעבור לענן.

סיכוני אבטחה – המידע המצוי בענן חשוף לסיכוני אבטחה רבים, למשל התקפות חיצוניות, מתן הרשאות גישה באופן שגוי, תוכנות זדוניות ועוד. חובות אבטחת המידע הקבועות בתקנות הגנת הפרטיות (אבטחת מידע) התשע"ז, 2017 חלות על הארגון, בהתאם לרמת האבטחה החלה על מאגרי המידע של הארגון, גם בעת ביצוע מיגרציה לענן, לרבות החובה לקבוע מנגנוני אימות, הגבלת הרשאות, שימוש במנגנוני הצפנה, הדרכות עובדים, תיעוד ובקרה ועוד.