Ochrana dat v AWS, Azure a GCP

Ochrana dat v cloudu

Ochrana dat v cloudu vyžaduje kombinaci správné architektury, bezpečnostních kontrol a provozních postupů, které respektují model sdílené odpovědnosti a specifika jednotlivých platforem. Tento text prakticky srovnává a doporučuje osvědčené postupy pro ochranu dat napříč třemi hlavními poskytovateli: Amazon Web Services (AWS), Microsoft Azure a Google Cloud Platform (GCP). Zaměřuje se na šifrování, správu klíčů, přístupy, segmentaci, monitoring, DLP, řízení rizik chybné konfigurace, zálohování a compliance.

Model sdílené odpovědnosti

Poskytovatel zajišťuje bezpečnost „of the cloud“ (fyzická infrastruktura, hypervizor, core služby). Zákazník zodpovídá za bezpečnost „in the cloud“ (identita, konfigurace služeb, klasifikace dat, šifrování, přístupová práva, audit, reakce na incidenty). Tato hranice se posouvá se zvoleným modelem (IaaS → PaaS → SaaS), ale odpovědnost za data (správné nakládání, zákonnost, integrita a dostupnost) zůstává na zákazníkovi.

Klasifikace a kategorizace dat

Zaveďte jednotný klasifikační systém (např. Veřejná / Interní / Důvěrná / Přísně důvěrná) s vazbou na technické kontroly: požadované šifrování, retence, DLP politiky, schvalování přístupů a geografickou lokalizaci. Tagujte a označujte zdroje (S3 bucket, Blob/GCS bucket, databáze, snapshoty) pro automatizované vynucování politik a reporting.

Šifrování dat v klidu a při přenosu

Všichni tři poskytovatelé podporují průmyslové standardy a transparentní šifrování na úrovni služeb. Minimální standard je TLS 1.2 a vyšší pro přenos a default-at-rest šifrování pro úložiště a databáze. Pro citlivá data preferujte vlastní klíče (CMEK) nebo dedikované HSM.

AWS: S3, EBS, EFS, RDS, DynamoDB a Redshift podporují šifrování s AWS KMS; pro nejvyšší požadavky použijte CloudHSM nebo External Key Store a funkce S3 Object Lock (WORM) a S3 Bucket Keys pro snížení nákladů na volání KMS.
Azure: Výchozí je šifrování úložiště s Microsoft-managed keys; pro CMEK využijte Azure Key Vault (včetně HSM tier), u databází (Azure SQL, Cosmos DB, PostgreSQL/MySQL) aktivujte TDE s vlastními klíči. Pro objekty jsou k dispozici Immutable Storage a právní držení (legal hold).
GCP: Cloud Storage, Persistent Disk, BigQuery i databáze podporují šifrování s Cloud KMS; pro špičkovou ochranu využijte Cloud HSM. BigQuery CMEK a per-table klíčování umožňuje granulární řízení. Objektové úložiště podporuje Bucket Lock (WORM) a Retention Policies.

Správa klíčů: KMS, HSM, BYOK a rotace

Centralizujte klíče v nativních KMS s pravidelnou rotací, izolací oprávnění a auditem. Pro vysoce regulované případy zvažte HSM (FIPS 140-2/3) a BYOK/HYOK.

AWS KMS: Oddělte správu klíčů (key administrators) od používání klíčů (key users), definujte klíčové politiky, používejte aliasy a automatickou rotaci. Pro sdílení napříč účty využijte granty nebo přístup přes IAM role.
Azure Key Vault: Rozdělujte trezory dle citlivosti a prostředí (produkční/testovací), aktivujte purge protection a soft-delete. Managed HSM nabízí nejvyšší úroveň kontroly a oddělení administrativních rolí.
GCP Cloud KMS/HSM: Využijte separaci projektů pro klíče, CMEK bindingy na služby (Storage, BigQuery), plán rotace klíčů a záznamy v Cloud Audit Logs pro operace s klíči.

Řízení identity a přístupu (IAM)

Princip minimálních oprávnění, krátkodobé, auditované a schvalované zvýšení práv a segmentace administrátorských povinností jsou základem. Využívejte federaci s poskytovateli identity (SAML/OIDC), MFA a just-in-time přidělování oprávnění.

AWS: IAM role, permission boundary, Service Control Policies (SCP) na úrovni organizace, IAM Identity Center (SSO). Omezte inline policies, preferujte managed policies a používejte session tags pro kontextové řízení.
Azure: Azure AD/Entra ID, Privileged Identity Management (PIM) pro privilegovaný přístup, role-based access (RBAC) na úrovni scope (management group, subscription, resource group, resource), Conditional Access a MFA.
GCP: IAM bindings na úrovni organizace/folderu/projektu, zásady least privilege, organizační politiky (Organization Policy) k omezení rizikových funkcí (např. veřejný přístup). Využijte Workload Identity Federation pro bezklíčovou integraci CI/CD.

Segmentace sítě a privátní přístup k datům

Udržujte data mimo veřejný internet pomocí privátních konektorů, firewallů a mikrosegmentace. Logika by měla oddělovat produkční, non-produktní, citlivé služby a administrační rozhraní.

AWS: VPC, Security Groups, NACLs, VPC Endpoints (Gateway/Interface) a AWS PrivateLink pro privátní přístup ke službám (S3, DynamoDB, KMS). Kontrolujte egress (Egress-only, NAT, firewall).
Azure: VNety, NSG/ASG, Private Endpoints a Service Endpoints pro Storage a databáze, Azure Firewall a DDoS Protection, User-Defined Routes pro řízení egressu.
GCP: VPC, Firewall rules, Private Service Connect a VPC Service Controls pro perimetrovou ochranu dat v managed službách, Cloud NAT a kontrola egressu.

Bezpečné služby úložiště a databází

Objektové úložiště: S3/Azure Blob/Cloud Storage vždy s blokací veřejného přístupu, zásadami bucket-level IAM, verzováním, WORM/immutability a řízením lifecycle (archivace, expirace). Implementujte požadavky na TLS, referer/host restrikce a server-side šifrování s CMEK.
Databáze: Aktivujte TDE, audit, síťový privátní přístup a CMK/CMEK. Omezte role superuživatelů, používejte managed identity pro přístup aplikací, oddělte data a logy, aktivujte geografickou replikaci a point-in-time restore (PITR).
Big data: Pro Redshift/Synapse/BigQuery vynucujte regionální lokalitu, CMEK, row-/column-level security, data masking a řízení přístupu na úrovni datasetů a tabulek.

Detekce, monitoring a DLP

Pravidelné audity, alerting a detekce anomálií jsou nezbytné pro včasné odhalení úniku či zneužití dat. Využívejte nativní bezpečnostní centra a DLP nástroje.

AWS: CloudTrail a S3 Access Logs pro audit, CloudWatch/CloudWatch Logs, GuardDuty pro detekci anomálií, Macie pro DLP a klasifikaci PII, Security Hub jako agregátor a kontrolní rámec, Config pro sledování compliance a driftu konfigurace.
Azure: Azure Monitor a Activity Logs, Defender for Cloud pro řízení posture a detekci hrozeb, Purview pro správu dat a klasifikaci, Sentinel jako SIEM/SOAR platforma, Azure Policy pro vynucování konfigurací.
GCP: Cloud Audit Logs, Cloud Monitoring/Logging, Security Command Center (SCC) pro řízení posture a detekce, Cloud DLP pro inspekci a maskování citlivých dat, Policy Intelligence pro řízení přístupů.

Ochrana před mis-konfiguracemi a governance

Nejčastější úniky dat souvisejí s chybnými právy a veřejným vystavením. Zaveďte preventivní a detekční guardraily a průběžné posture management.

AWS: Organizace (AWS Organizations) se Service Control Policies pro centrální omezení, AWS Config a conformance packy, Proactive Controls v CodePipeline, šablony CloudFormation s StackSets a detekcí driftu.
Azure: Management Groups a Azure Policy (povolování/zakazování), Blueprints, Bicep/Terraform se schvalovacími bránami, Defender for Cloud doporučení a Secure Score.
GCP: Organization Policy Constraints (např. zákaz public buckets), Forseti/Config Validator, Terraform Validator v CI, SCC Findings a Security Health Analytics.

Zálohování, obnova a odolnost

Implementujte strategii 3-2-1 a oddělené, ideálně neměnné kopie (immutable backups). Testujte obnovu a definujte RPO/RTO pro jednotlivé třídy dat.

AWS: AWS Backup s backup vault lock a cross-region/cross-account kopiemi, S3 Cross-Region Replication, RDS/EC2/Aurora snapshoty s omezeným přístupem.
Azure: Azure Backup a Backup Vault (s funkcí immutability), geo-redundantní uložiště (GRS/ZRS), SQL geo-replikace a long-term retention.
GCP: Filestore/PD snapshoty, GCS versioning s bucket lock, BigQuery time travel a export do separátního projektu.

Správa tajemství a aplikační integrace

Nepoužívejte statické klíče v kódu. Tajemství uchovávejte v nativních trezorech a přidělujte je runtime identitám.

AWS: Secrets Manager a Systems Manager Parameter Store, IAM role pro EC2/Lambda/Kontejnery, rotace pověření databází.
Azure: Key Vault Secrets, Managed Identities pro VM/Functions/AKS, Key Vault reference v App Services.
GCP: Secret Manager, Workload Identity pro GKE/Cloud Run, automatická rotace a IAM na úrovni tajemství.

Zero Trust a řízení datové expanze

Implementujte principy Zero Trust: ověřování identity a zařízení, kontextový přístup, mikrosegmentace a kontinuální hodnocení rizik. Omezujte datové kopie, definujte golden sources, využijte data catalogs (Purview/Dataplex/Glue) a access workflows pro schvalování přístupů.

Pokročilé ochrany: confidential computing a enclaves

Pro vysoce citlivá data využijte výpočty nad šifrovanými daty a izolované prováděcí prostředí.

AWS: Nitro Enclaves pro izolované zpracování a KMS attestation; EC2/kontejnery s podporou šifrované paměti.
Azure: Confidential Computing (SGX/TDX/SEV-SNP) pro virtuální stroje a kontejnery, Confidential Ledger pro audit odolný proti manipulaci.
GCP: Confidential VMs a GKE s AMD SEV-SNP, Confidential Space pro kolaborativní výpočty nad citlivými daty.

Compliance, audit a data residency

Mapujte právní a regulatorní požadavky (GDPR, HIPAA, PCI DSS, ISO 27001, SOC 2) na konkrétní kontrolní mechanismy a důkazy. Zajistěte uchování auditních stop, řízení retenčních dob, anonymizaci/pseudonymizaci a řízení subjektů údajů (DSAR). Dodržujte pravidla umístění dat výběrem regionů, zákazem přeshraničních přenosů bez právního základu a oddělením metadat/logů.

DevSecOps a automatizace bezpečnosti

Šablonujte konfigurace v IaC (CloudFormation/Bicep/Terraform) s bezpečnostními policy-as-code validacemi v CI/CD. Používejte skenery tajemství, SAST/DAST, kontejnery z důvěryhodných registrů a image signing. Zavádějte pre-deployment bezpečnostní brány a post-deployment kontinuální compliance skeny.

Typické chyby a jak se jim vyhnout

Veřejné bucket/Blob/GCS objekty omylem exponované bez potřeby; vynucujte block public access/public access prevention.
Příliš široká IAM oprávnění (např. *:*) bez časového omezení a bez MFA; používejte role a PIM/JIT.
Neexistující nebo neotestované zálohy; zavádějte pravidelná DR cvičení a immutable kopie.
Neřízená expanze kopírování dat mezi projekty/účty/tenanty; katalogizace a workflow pro schvalování přístupů.
Chybějící monitoring a DLP; aktivujte nativní nástroje a nastavte alerty na anomální přístupy a velké odchody dat (egressy).

Referenční architektura pro citlivá data

Samostatné účty/projekty/subscription pro citlivé pracovní zátěže, oddělené landing zóny a guardraily (SCP/Policy/Organization Policy).
Privátní přístup ke službám (PrivateLink/Private Endpoint/Private Service Connect), bez přímého veřejného přístupu.
Šifrování s CMEK a centralizované KMS/HSM, rotace klíčů, oddělené role pro správu a použití klíčů.
RBAC/IAM založené na rolích a skupinách, federace s IdP, PIM/JIT a povinné MFA.
DLP a klasifikace dat, katalogizace a data masking, řízení přístupů na úrovni řádků a sloupců.
Centralizovaný audit, integrace SIEM/SOAR, alerting na citlivé operace (změny politik, klíče, veřejné ACL).
Immutable zálohy, multi-region replikace, pravidelné testy obnovy a definované RPO/RTO.