Co to jest chmura i czy może nam się przydać?

Podziel się

Czas powolutku zmierzać w stronę także postów czysto technicznych. Jeszcze na spokojnie ale do tego zmierzamy, żeby sobie przetestować różne rozwiązania itp. Żeby jednak zacząć ustalmy najpierw pewne rzeczy na najwyższym poziomie abstrakcji. No to jedziemy.

Zgodnie z definicją Wikipedii  Chmura obliczeniowa to model przetwarzania danych oparty na użytkowaniu usług dostarczonych przez usługodawcę. Czyli co tak właściwie ? To po prostu różnego rodzaju usługi IT z których użytkownik może korzystać na różnym stopniu złożoności, zależnie od tego jakiego sposobu potrzebuje i chce. To generalnie nie żadna innowacja, marketingowo od kilku lat stało to się hitem. Usługi tego typu są wygodne dla klienta bo bardzo elastyczne – możemy dopasowywać sobie pakiety, parametry i jesteśmy za to najczęściej elastycznie rozliczani. Ze względu na wspomnianą złożoność chmurę możemy podzielić na różnego rodzaju modele:

  • SaaS (Software as a Service czyli aplikacja jako usługa) – najlepiej chyba będzie na przykładzie. Używacie może usługi Googla do poczty (Gmail)?Albo macie pocztę na nazwa.pl, na Onecie gdziekolwiek? A może dostęp do oprogramowania Waszej placówki macie “przez Internet” – z poziomu jakiejś ogólnodostępnej strony www? To jest właśnie ten model chmury. Nie interesuje Was warstwa serwerowa, oprogramowanie wirtualizacyjne i milion innych rzeczy na którym jest zainstalowane to oprogramowanie. Nie przejmujecie się tym, żeby to zawsze działało, przezroczyste są dla Was kopie zapasowe. Po prostu ma działać aplikacja a Wy z niej korzystacie.
  • PaaS (Platform as a Service czyli platforma jako usługa) – no tutaj już będzie bardziej informatycznie jeżeli ktoś nie ma za wiele wspólnego z IT 🙂 Platforma to środowisko troszkę niższego poziomu. Na platformie możemy tworzyć bazy danych do obsługi jakiejś aplikacji, dyski do przechowywania danych, możemy łączyć naszych użytkowników z Active Directory nie posiadając serwera AD, korzystać z różnego rodzaju platform integrujących oprogramowanie. Platforma daje też możliwości udostępniania środowisk programistycznych do budowy jakiś aplikacji. Rynek tak prężnie się rozwija, że w tym modelu zaczynają być już budowane ogromne aplikacje do zarządzania przedsiębiorstwem – tzw. systemy ERP. Także generalnie – wszystko zmierza w tym kierunku 🙂
  • IaaS (Infrastructure as a Service – infrastruktura jako usługa) – tutaj schodzimy na jeszcze niższy poziom. Możemy na przykład tworzyć maszyny wirtualne dla różnych usług – na przykład na swój serwer oprogramowania MMedica, KS-PPS, możemy chcieć mieć naszą usługę Active Directory nie na swoim serwerze w placówce tylko u sprawdzonego dostawcy .Po co nam to? Po to, żeby cały czas nie przejmować się najniższym poziomem – czyli sprzętem oraz systemami operacyjnymi. Nie musimy kupować serwera i zastanawiać się co zrobimy jak on nie działa. Po prostu płacimy miesięcznie za usługę i mamy swoją bazę czy system operacyjny którym zarządzamy. To po prostu wygodne i cały czas nie trzeba inwestować w sprzęt i kompetencje w zarządzanie na tym poziomie. A gdy brakuje nam jakiś zasobów – na przykład chcemy wdrożyć w placówce VoIP (czyli w skrócie rozmowy telefoniczne “przez Internet” – temat ten będzie rozwijany) nie musimy kupować do tego celu drogiego serwera. Wystarczy, że u naszego dostawcy chmury podamy odpowiednie parametry maszyny i w kilka chwil serwer jest nasz.

Rys. Rodzaje chmury obliczeniowej (źródło: Wikipedia)

Dobrze. Zejdźmy teraz na ziemię z tej chmury. Postaram się przedstawić kilka zastosowań chmury obliczeniowej w naszej codziennej pracy. Inspirowałem się w tych zastosowaniach artykułem mojego mentora w kwestii chmur – https://chmurowisko.pl/ , chociaż obciąłem je do takich, które mogą Was zainteresować. Na Chmurowisku znajdziecie w każdym razie solidną porcję wiedzy na ten temat, chociaż nie ukrywam, że u mnie także ten temat będzie się przewijał. Bo po prostu teraz chmury się używa 🙂

  1. Dysk w chmurze

Każdy chyba słyszał o DropBox, Google Drive? To nic innego jak wirtualne dyski w chmurze. W kontekście naszych placówek (nie tylko zresztą przy tym punkcie) z pewnością pojawi się pytanie – czy to bezpieczne, co z danymi medycznymi, RODO itp.? Na ten moment się tym nie przejmujcie – do tego wrócimy. Na razie poznajmy możliwości tego typu rozwiązań.

2. Backup i archiwizacja danych

Backup wszystkiego. Od pojedynczego komputera na Windowsie czy Linuxie ( Backblaze, Mozy by EMC, Arq, Carbonite) poprzez backupy baz danych czy maszyn wirtualnych ( Amazon Storage Gateway, Zerto, Ctera, Carbonite, Veeam Cloud Connect, NetApp SteelStore).

3. Odtwarzanie danych po awarii

Tak, wcale nie trzeba mieć skomplikowanych mechanizmów wirtualizacyjnych u siebie w placówce. Usługi tego typu polegają mniej więcej na tym, że w przypadku awarii np. naszego serwera odpalamy sobie nasze środowisko, czy aplikację w chmurze. Przykłady: Azure Site Recovery, Double Take oraz CloudEndure .

4.  Bazy danych

Wspominałem o tym wyżej. Dzięki usłudze chmurowej możemy skupić się na danych w bazie, jej strukturze i obróbce – nie musimy przejmować się mechanizmami replikacji czy kwestiami wydajnościowymi. Po prostu łączymy się ze swoją bazą i robimy co chcemy. Można zerknąć tutaj: Amazon RDS, Microsoft Azure SQL, Salesforce Database.com .

5. Poczta elektroniczna

To chyba komentarza nie wymaga. Zresztą, opisałem wcześniej – Office 365, Google Works, Amazon WorkMail

6. Narzędzia biurowe

Znowu trzeba kupić Office na jakiś komputer bo lekarz potrzebuje Excela nie wiadomo do czego? Nie trzeba 🙂 Można skorzystać z chmury, wyjdzie pewnie taniej a jak już oprogramowanie potrzebne nie będzie to można z niego po prostu zrezygnować. Wygoda użytkowania, elastyczność i optymalizacja kosztów. To cała chmura.

7. Komunikacja

Usługi telefoni, chat firmowy, wideokonferencje z pacjentami.. Nie trzeba do tego kupować dedykowanych urządzeń typu centrale telefoniczne, bramki VoIP, mostki telekonferencyjne. Można skorzystać z usług typu 3cx, Salesforce Chatter, Slack, Sqwiggle, Hipchat i mieć wszystko. Sam wdrażam klientom tego typu rozwiązania (nie tylko w branży  medycznej) i to naprawdę dobre rozwiązanie. I z pewnością tańsze.

8. Strony www

Od prostych Landing Pages do skomplikowanych stron z bajerami dla pacjentów. To wszystko można sobie po prostu wyklikać. Gdzie? Na przykład tutaj: LeadPages, Launch Effect, LaunchRock

9. Bezpieczeństwo – systemy SIEM, firewalle, rozbudowane zarządzanie DNS, antywirus, ochrona przed atakami typu DDoS

Przed wyzwaniem RODO to ciekawe rzeczy, którym warto się przyjrzeć. CloudFlare, F5, Barracuda, Citrix, Scuri .

9. Monitoring infrastruktury

Ciągnąc temat  bezpieczeństwa pewnie w mniejszym czy większym stopniu każda placówka monitoruje (lub chciałaby) swoje systemy i infrastrukturę. Czy to switche, czy komputery użytkowników, serwery. To przydatna wiedza i jest porządek gdy jest zebrana w jednym miejscu. Ja często lokalnie używam Nagiosa. Ale są też systemy chmurowe. Np.: New Relic, Server Density, Librato .

10. VDI

Czyli wirtualne pulpity w chmurze. A to akurat jedna z moich ulubionych i jeszcze niezbyt rozpowszechnionych zastosowań. Centralne zarządzanie końcówkami użytkowników, zapewnione mechanizmy bezpieczeństwa i wydajność. Super sprawa i naprawdę bardzo się rozwinęła w ostatnim czasie. Ten temat rozwinę jeszcze z pewnością nie raz. Do poczytania: Horizon, Citrix .

11. Obsługa użytkowników

Ja zawszę traktuję użytkowników końcowych jak klientów działu IT. Przy takim podejściu wszyscy są zadowoleni a praca zawsze jest sprawna i ułożona. Można sobie pomóc w chmurze: SalesForce Service Cloud, HelpScout, Groove, FreshDesk , dlaczego nie?

12. Autoryzacja użytkowników

Usługa AD w chmurze, synchronizacja danych pomiędzy różnymi aplikacjami i wszędzie jeden login a u nas żadnego serwera? To możliwe dzięki JumpCloud i OneLogin .

Najlepsze jest to, że te zastosowania można by mnożyć i mnożyć.. Zatrzymajmy się jednak tutaj, chociaż jeżeli macie ciekawe pomysły na wykorzystanie chmury to chętnie się o nich dowiem.

Zakładam, że do tej pory większość z Was kojarzyła chmurę z aplikacją do zarządzania przychodnią i w tym kontekście zastanawialiście się jak to jest i , że na pewno jest to niebezpieczne. Moim zadaniem było zmienić ten obraz i pokazać, że w swoich placówkach pewnie często z chmury korzystacie chociaż nawet o tym nie wiecie. Nie ma co się jej bać. Kwestia RODO też jest do ogarnięcia ale tak jak wspominałem wcześniej to temat na oddzielny wątek i na tym też się skupię. Żeby było jasne – nie chcę też tutaj na siłę nikogo namawiać. Nie byłoby to zresztą do końca zgodne z moim biznesem, ponieważ zajmuję się wdrożeniami najróżniejszych systemów – także niechmurowych. Chciałem tylko pokazać możliwości i trochę rozjaśnić temat.

0 Shares:
33 comments
  1. Pingback: viagra
  2. Pingback: essay on help
  3. Pingback: top custom essays
  4. Pingback: tadalafil
  5. Pingback: viagra generic
  6. Pingback: viagra
  7. Pingback: online cialis
Dodaj komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *

You May Also Like

Chmura w praktyce część 2 – bezpieczeństwo danych w chmurze (na przykładzie SQL databases w Azure)

Podziel się

 

We wpisie

Co to jest chmura i czy może nam się przydać?

jako jeden ze sposobów wykorzystania chmury w naszym środowisku informatycznym podałem wykorzystanie jej dość szeroko pojętej funkcjonalności nazwanej “baza danych”. Wpis ten jednak nie będzie roztrząsał rodzajów tego typu mechanizmów w poszczególnych typach chmury czy mechanizmów rozliczania. Uznajmy, że tego typu aspekty są do przedyskutowania na konkretnym przykładzie biznesowym. Tym wpisem chciałem zwrócić uwagę na bezpieczeństwo danych przechowywanych w mechanizmach chmurowych na przykładzie bazy danych. Wiadomo, rozwiązań chmurowych jest wiele i generalnie dostawcy radzą sobie z aspektami bezpieczeństwa na różne sposoby.

Na co warto zwrócić uwagę z punktu widzenia administratora danych osobowych i/lub pracowników działu IT w placówce medycznej?

Przepisy RODO regulują i dopuszczają powierzenie danych osobowych podmiotom trzecim, także w kontekście uwarunkowań formalno-prawnych przetwarzanie danych placówki ochrony zdrowia w chmurze nie jest wykluczone. Komisja Europejska w motywie 81 preambuły RODO wskazuje na konieczność korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby, odpowiadających wymaganiom bezpieczeństwa przetwarzania, w tym wymaganiom określonym przez RODO.

Najlepszą wskazówką w szukaniu odpowiedniego usługodawcy usług chmurowych (także zgodnie z zaleceniami CZIOZ) mogą być międzynarodowe standardy postępowania z danymi osobowymi a zatem normy takie jak ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 22301 oraz normy „branżowe” np. ISO 13606-1, ISO 13606-4.

Warto zwrócić też uwagę na normę ISO/IEC 27018, która nakłada następujące wymagania względem dostawców rozwiązań chmurowych:

  • Dane osobowe mogą być przetwarzane tylko i wyłącznie za wyrażeniem zgody przez klienta oraz wyłącznie do celów nieosobistych, oprócz sytuacji wyrażenia zgody przez klienta na tego rodzaju działanie.
  •  Należy zdefiniować procesy określające: zwrot, przekazanie, zniszczenie danych osobowych.
  •  Przed zakończeniem umowy należy ujawnić wszelkie podzlecenia usług przetwarzania oraz wszystkie kraje, w których występuje przetwarzanie danych.
  • Każdego rodzaju naruszenie ochrony danych należy udokumentować – łącznie z ustalonymi krokami rozwiązywania problemów i możliwymi następstwami.
  • Naruszenie ochrony danych należy niezwłocznie zgłosić klientowi
  • Należy wspierać klientów w zakresie postrzegania swoich praw: klientom, których dane przetwarzane są w chmurze należy oferować narzędzia, pozwalające by końcowi użytkownicy mogli uzyskać dostęp do swoich danych osobowych, w celu ich zmiany, usunięcia lub korekcji.
  • Przekazanie danych osobowych organom ścigania może nastąpić tylko i wyłącznie w przypadku istnienia prawnych zobowiązań w tym zakresie. Należy poinformować klienta, objętego takim postępowaniem, o ile informacja ta nie została utajniona.
  • Oferowane usługi „danych w chmurze” należy poddać regularnym kontrolom przez osoby trzecie.

Praktyka

Normy można sprawdzić i to istotne. Warto jednak wiedzieć jak to wygląda w praktyce. Aby od tego zacząć umieszczam poniżej do obejrzenia krótki filmik Microsoftu o tym w jaki sposób wygląda fizyczne i proceduralne zabezpieczenie do centrów danych będących częścią platformy Azure. Czy w szpitalu też tak macie? 🙂

Z ciekawostek – trwają ostre przygotowania do uruchomienia w Polsce platformy Azure Stack ( https://itreseller.com.pl/wspolna-oferta-microsoft-i-beyond-pl-w-oparciu-o-azure-stack-polscy-klienci-z-mozliwoscia-przetwarzania-danych-w-chmurze-z-lokalnego-polskiego-centrum-danych/ ). W centrum danych Beyond w Poznaniu powstanie zatem nasza “lokalna” platforma Azure`owa – gdyby ktoś się uparł na trzymanie danych u nas w kraju to idealne rozwiązanie. Ja jednak takiej potrzeby nie widzę, chociaż chętnie zmigruję kogoś do PL 🙂

Dlaczego Azure?

Działam na platformie Azure po pierwsze dlatego, że ją znam i wiem w jaki sposób wykorzystać niezliczone funkcjonalności do spełnienia naszych wymagań biznesowych w szeroko pojętym świecie medycyny. Po drugie dlatego, że bogactwo funkcjonalności i tempo rozwoju platformy jest ogromne. Świadczą o tym chociażby funkcjonalności, które poniżej zaprezentuję – jeszcze niedawno ich po prostu nie było. Po trzecie dlatego, że uważam, że to jest dobry wybór. I wcale nie oznacza to, że ograniczam się w swoich rozważaniach z klientami tylko do tej platformy. Znam wiele rozwiązań (OVH, Aruba Cloud, 3s DataCenter, Infomex DC) i w większym lub mniejszym stopniu z nich korzystam. Biorąc jednak pod uwagę funkcjonalności typowo usługowe – zwłaszcza mechanizmy PaaS Azure i AWS przodują i z pewnością będą.

Meritum

Wracając jednak do tematu. Jedną z przynajmniej kilku możliwości utworzenia bazy danych w Azure jest skorzystanie z usługi SQL database. Utwórzmy zatem nową instancję. W “Select source” wybrałem “Sample” – aby jakieś dane już były. Załóżmy, że to nasza baza pacjentów (a, że w tym przykładzie dane osobowe są to dobry przykład).

Po utworzeniu bazy możemy wejść w jej Dashboard:

Pragnę skupić się na następujących aspektach:

  • Set server firewall
  • Auditing and Threat Detection
  • Vulnerability Assesment
  • Data discovery and classifications
  • Dynamic Data Masking
  • Transparent data encryption.

Set server firewall – prosta funkcjonalność pozwalająca ustalić sobie zasady dostępu do bazy danych. W ustawieniach defaultowych mając server name (his1.database.windows.net) oraz użytkownika i hasło z bazą się po prostu połączymy. Można to okroić – do konkretnych adresów IP lub do konkretnych sieci wirtualnych. W tym wypadku prosta droga do skorzystania z mechanizmów opisanych we wpisie:

Chmura w praktyce – część 1 – VPN

Auditing and Threat Detection

Opcja inspekcji i wykrywania zagrożeń może zostać uruchomiona na poziomie pojedynczej instancji bazy danych lub na poziomie całego serwera. Domyślnie opcja Server-level jest wyłączona zarówno dla audytowania jak i wykrywania zagrożeń. Przy uruchamianiu tej opcji można podać także adres e-mail, na który będą przychodzić powiadomienia z alertami. Możemy wybrać tez wybrane zagrożenia, które mają być monitorowane.

Aha.. oto tabele w naszej bazie danych. Jak wcześniej wspomniałem to przykładowa baza, wypełniona danymi.

Po konfiguracji możemy sobie wyklinać pierwszy raport. Zawiera on wszystkie monitorowane przez nas aktywności wraz ze szczegółami – czyli. np który użytkownik jaką instrukcję lub operację na bazie danych wykonał lub chciał wykonać, z jakiego adresu ip itp. Dane możemy dowolnie filtrować a w przypadku gdy chcemy skorzystać z tych danych możemy podłączyć się do mechanizmu poprzez REST API.

Vulnerability Assesment

Ocena luk w zabezpieczeniach czy jak kto woli po prostu ocena podatności pozwala na automatyczny skan konfiguracji serwera bazy danych oraz danych zawartych w bazie. Wynikiem takiego skanowania jest rozbudowany raport zabezpieczeń bazy danych w następujących obszarach:

  • inspekcja i rejestrowanie
  • uwierzytelnianie i autoryzacja
  • zmniejszenie obszaru powierzchni
  • ochrona danych.

Jak widać na zrzucie powyżej mamy wyszczególnione wszystkie zadeklarowane i przeprowadzone kontrole oraz finalny status ich wykonania a także podsumowanie ryzyk wg. statusów (wysokie, niskie średnie). Szczegółowy raport rodzaju sprawdzanego zabezpieczenia, jego kategorii, instancji której dotyczy pozwala przyjrzeć się dokładnie wszystkim obszarom ryzyka. Mało tego – klikając na dane ryzyko otrzymujemy szczegółowy opis problemu a także zalecenie jego rozwiązania. Dla naszej bazy na przykład mamy informację, że niektóre kolumny w tabelach mogą zwierać dane wrażliwe (w rozumieniu Azure – mogą to być zatem dane osobowe lub inne). Dzięki temu możemy zareagować dokładając należytej staranności w opiece nad swoimi danymi. W opisanym przypadku w celu skorygowania tego problemu zostaniemy przeniesieni do Dynamic Data Masking, którą opisałem poniżej.

Data discovery and classifications

Kolejnym obszarem do analizy pod kątem bezpieczeństwa naszych danych w bazie jest mechanizm odnajdowania i klasyfikacji danych. Jest to narzędzie pozwalające nam na oznaczenie wszystkich kolumn w tabelach typem informacji która jest w danej kolumnie zawarta (np. Contact Info, Name, CreditCard) oraz nadania etykiet poufności. Dostępne na ten moment etykiety to:

Dodatkowo system sam rozpoznaje nam według swoich algorytmów typy danych i daje propozycje konfiguracji, którą możemy zaakceptować w całości lub częściowo wykorzystać. W razie konieczności system podpowiada nam także zalecenia do wykonania dla skonfigurowanej klasyfikacji danych.

Po zapisaniu klasyfikacji otrzymujemy rozkład przydzielonych etykiet oraz rozkład typu informacji w naszej bazie danych w przystępnej, graficznej formie. Raport ten możemy wyeksportować do Excela i dołączyć do swojej dokumentacji związanej z RODO.

Dynamic Data Masking

W skrócie dynamiczne maskowanie danych pomaga zapobiegać nieautoryzowanemu dostępowi do poufnych danych, umożliwiając klientom określenie, jak wiele wrażliwych danych ma się ujawnić przy minimalnym wpływie na warstwę aplikacji. Funkcja ta pozwala przykładowo wyświetlenie tylko części danych osobowych w recepcji placówki. W celu weryfikacji rozmówcy telefonicznego w systemie osobie obsługującej zgłoszenie mogą pojawić się wybrane dane osoby dzwoniącej – np. nazwisko, miejscowość zamieszkania oraz pierwsza i trzy ostatnie cyfry numeru PESEL. Myślę, że biznesowych zastosowań tej funkcjonalności w obliczu RODO czy po prostu mając świadomość wrażliwości tego typu danych (także proceduralną) można znaleźć wiele.

Transparent data encryption

Funkcjonalność ta wykonuje w czasie rzeczywistym szyfrowanie i deszyfrowanie bazy danych, powiązanych kopii zapasowych i plików dziennika transakcji bez konieczności wprowadzania zmian w aplikacji. Do realizacji tego zadania możemy wykorzystać zdefiniowane samodzielnie klucze znajdujące się w Key Picker. Dzięki wykorzystaniu tego mechanizmy mamy pewność, że wszystkie aplikacje i sposoby komunikowania się z naszą bazą danych otrzymują i wysyłają do niej dane zaszyfrowane.


Podsumowanie

Mam nadzieję, że opisane powyżej możliwości konfiguracji i dostosowania bazy danych do swoich restrykcyjnych potrzeb odnośnie przetwarzania danych rzucą nowe światło na ten temat. Zaznaczam, że wzięta na tapetę została tutaj tylko jedna z funkcjonalności – baza danych. Mechanizmów tych, dla różnych typów usług jest dużo więcej i postaram się o nich sukcesywnie pisać. Gdyby ktoś chciał poklikać sobie na żywo zapraszam do kontaktu – udostępnię subskrypcje testową bez konieczności podawania namiarów na swoją kartę kredytową 😉

“RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”

Podziel się

Z przyjemnością informuję, że 20.02.2018 roku będę miał przyjemność opowiedzieć o chmurze na konferencji organizowanej przez Centrum Promocji Informatyki. Wydarzenie odbywa się pod hasłem “RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”. Wiadomo, teraz do maja wszędzie RODO 😉

Szczegółowy harmonogram konferencji dostępny jest pod adresem: http://konferencja.com.pl/imprezy/2018/medi/index.php. W razie potrzeby posiadam jeszcze jedną miejscówkę na wydarzenie – proszę o kontakt mailowy.

Jeżeli chodzi o mnie to powiem o chmurze i o tym dlaczego nie powinniśmy się jej bać a nawet wręcz przeciwnie. Chmura i jej zastosowanie w placówkach ochrony zdrowia to w ogóle temat związany z moimi dość intensywnymi działaniami w najbliższych miesiącach ale o tym jeszcze będzie czas, żeby napisać.

Jak ktoś doczytał do tego miejsca to wrzucam jeszcze ramowy plan wystąpienia:

Ochrona danych medycznych w systemach chmurowych:

  • przykłady chmur publicznych,
  • chmura a potrzeby podmiotów medycznych,
  • zabezpieczenia danych medycznych w poszczególnych typach chmur,
  • jak to się robi w USA?
  • czy jest czego się bać?

Zapraszam!

Zabezpieczenia danych medycznych w chmurze

Podziel się

I idąc za ciosem kolejny artykuł (żeby nie było, że nic nie publikuje ;)) Tym razem o sposobach zabezpieczeń danych medycznych na przykładzie konkretnych mechanizmów w Azure.

Przyglądamy się rozwiązaniom chmurowym pod kątem zabezpieczenia danych w sektorze medycznym w podziale na ogólnie przyjęte rodzaje platform chmurowych oraz mechanizmy, dzięki którym to bezpieczeństwo można zwiększyć, a także wykazać się zasadą rozliczalności, o której tak wiele mówi się w kontekście nowego unijnego rozporządzenia o ochronie danych osobowych.

Bardzo ważnym aspektem pojawiającym się u każdego managera IT, którego organizacja przetwarza dane o szczególnym priorytecie, jest kwestia zapewnienia bezpieczeństwa tych danych. Nie inaczej jest i w przypadku danych medycznych – ich bezpieczeństwo powinno być priorytetem. „No jak to, przecież się nie da”, „przecież muszę mieć możliwość fizycznego audytu danych, za które odpowiadam”, „trzymanie danych medycznych gdzieś za granicą jest niemożliwe i niebezpieczne” – często na konferencjach w oficjalnych pytaniach czy kuluarowych rozmowach słychać takie wątpliwości. Przyjrzyjmy się zatem w pierwszej kolejności temu, co mówią nam nowe regulacje odnośnie do wymagań, jakie trzeba spełnić z perspektywy podmiotu przetwarzającego dane osobowe w chmurze.

Zarówno przepisy uodo, jak i rodo regulują i dopuszczają powierzenie danych osobowych. Trzeba pamiętać o tym, że Komisja Europejska w motywie 81 preambuły rodo wskazuje na konieczność korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby, odpowiadających wymaganiom bezpieczeństwa przetwarzania, w tym wymaganiom określonym przez rodo. Najlepszą wskazówką w szukaniu odpowiedniego usługodawcy usług chmurowych (także zgodnie z dokumentem „Rekomendacje Centrum Systemów Informacyjnych Ochrony Zdrowia w zakresie bezpieczeństwa oraz rozwiązań technologicznych stosowanych podczas przetwarzania dokumentacji medycznej w postaci elektronicznej”) mogą być międzynarodowe standardy postępowania z danymi osobowymi, a zatem normy takie jak: ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 22301 oraz normy branżowe, np. ISO 13606-1, ISO 13606-4. Warto zwrócić też uwagę na normę ISO/IEC 27018.

Oczywiście trzeba zdawać sobie sprawę z możliwych incydentów bezpieczeństwa, które są nieco odmienne dla rozwiązań chmurowych w porównaniu z rozwiązaniami on premise. Rozważaniami na ten temat na poziomie europejskim zajęła się Grupa Robocza art. 29, która w opinii 5/2012 w sprawie przetwarzania danych w chmurze obliczeniowej przyjętej w dniu 1 lipca 2012 r. przeanalizowała kwestie istotne dla dostawców usług przetwarzania danych w chmurze działających w Europejskim Obszarze Gospodarczym (EOG) oraz ich klientów, określając wszystkie mające zastosowanie zasady z dyrektywy o ochronie danych UE (95/46/WE) oraz dyrektywy o prywatności i łączności elektronicznej 2002/58/WE (zrewidowanej dyrektywą 2009/136/WE). Wtedy nie było jeszcze mowy o rodo, ale specjaliści wskazują, że w tym zakresie nie zachodzą żadne zmiany w opinii.

Główne opisane zagrożenia obejmują brak kontroli oraz brak przejrzystości (różne aspekty, m.in.: brak dostępności, brak integralności, brak odizolowania). W ramach grupy roboczej opracowano także wytyczne dla klientów i dostawców usług przetwarzania danych w chmurze. To ważny aspekt związany z bezpieczeństwem przetwarzania danych osobowych i wrażliwych (a zatem także medycznych), ponieważ właśnie te wytyczne powinny być dla działów IT podstawą do opracowywania procedur ochrony danych przetwarzanych w środowiskach, za które odpowiadają. Są one także podstawą do zrozumienia, na jakich zasadach przetwarzać w chmurze dane swojej organizacji, aby zapewnić im bezpieczeństwo oraz sobie kontrolę nad nimi. Zgodnie ze wspominanym wcześniej dokumentem opracowanym przez CSIOZ najważniejsze z nich to:

  • Odpowiedzialność klienta usługi w chmurze jako administratora – klient powinien wybrać dostawcę usługi w chmurze, który gwarantuje zgodność z przepisami w zakresie ochrony danych, co odzwierciedlają odpowiednie zabezpieczenia umowne;
  • Zabezpieczenia w przypadku powierzenia – przepisy dla podmiotów, którym powierzono realizację usług, powinny być przewidziane w każdej umowie pomiędzy dostawcą usługi w chmurze i jego klientami;
  • Przestrzeganie podstawowych zasad ochrony danych – klientowi należy zapewnić zrozumiałe informacje na temat środków technicznych i organizacyjnych wdrożonych przez dostawcę; klient w ramach dobrych praktyk powinien przekazać osobom, których dane dotyczą, informacje na temat dostawcy usługi w chmurze, jak również dane na temat lokalizacji, w których dane mogą być przechowywane lub przetwarzane;
  • Określenie i ograniczenie celu – klient powinien zapewnić zgodność z zasadami określenia i ograniczenia celu przetwarzania danych oraz zadbać o to, aby żadne dane nie były przetwarzane do innych celów przez dostawcę;
  • Zatrzymywanie danych – klient jest odpowiedzialny za zapewnienie, aby dane osobowe zostały usunięte ze wszystkich miejsc, w których są przechowywane, w przypadku gdy ich przetwarzanie nie odbywa się lub realizowane jest prawo (do zapomnienia) osoby, której dane dotyczą;
  • Zabezpieczenia umowne – umowa z dostawcą powinna zapewniać wystarczające gwarancje pod względem technicznych środków bezpieczeństwa i środków organizacyjnych;
  • Dostęp do danych – tylko upoważnione osoby powinny mieć dostęp do danych. W umowie powinna być zawarta klauzula poufności w odniesieniu do dostawcy i jego pracowników;
  • Zobowiązania do współpracy – klient powinien zapewnić, aby dostawca był zobowiązany do współpracy w związku z prawem klienta do monitorowania operacji przetwarzania, do ułatwiania realizacji praw osób, których dane dotyczą, do dostępu do/poprawiania/usuwania ich danych oraz do powiadamiania klienta usługi w chmurze o wszelkich naruszeniach ochrony danych mających wpływ na dane klienta;

źródło:  Artykuł pochodzi z czasopisma „IT Professional” nr 04/2018.

(http://www.it-professional.pl/archiwum/art,7951,zabezpieczenia-danych-medycznych-w-chmurze.html)

W jaki sposób uruchomić darmowy system wideokonferencyjny w placówce medycznej? część 2

Podziel się

W poprzedniej części przygotowaliśmy do pracy nasz system. Na zdefiniowanego dla swojego konta maila w poprzedniej części dostaliśmy pełną informację o swoim koncie i dostępach zarówno do konsoli zarządzania jak i do Webclienta – przeglądowej aplikacji, dzięki której możemy korzystać między innymi z wideokonferencji. Na tym się skupmy, przedtem jednak pokaże szybko w jaki sposób utworzyć nowego użytkownika z poziomu konsoli administratora – w przypadku, gdyby trzeba było to zrobić dla któregoś z lekarzy w naszej placówce, który zechce konsultować zdalnie z innym specjalistom lub gdybyśmy chcieli przygotować konto dla pacjenta. Nie jest to jednak konieczne – aby pacjent mógł korzystać z wideo konsultacji wystarczy wysłać mu unikalny link stworzonej wideokonferencji. Ale zacznijmy od początku.

Stworzenie nowego usera (extension) odbywa się z poziomu administratora i sprowadza się do wejścia w zakładkę Extension oraz klikniecie przycisku Add. Następnie podajemy dane nowego użytkownika – na potrzeby wideokonferencji wystarczy wpisać First name i Email address aby użytkownik mógł otrzymać informację o swoich danych logowania. Extension number jest generowany automatycznie. Na marginesie – to numer wewnętrzny użytkownika w “sieci telefonicznej”. Utwórzmy użytkownika CSK Kardiologia, później nam się przyda.

Jeżeli chodzi o wideokonferencje to w konsoli administracyjnej mamy też możliwości zmiany standardowej konfiguracji. Niektóre z tych opcji można zmienić na etapie tworzenia samego Webmeetingu. Ważnym aspektem przy tych parametrach jest Lokalizacja spotkania oraz Pasmo wideo. Ten pierwszy to wskazanie odpowiedniego serwera 3cx, który będzie odpowiadał za nasze spotkanie – tutaj z doświadczenia jeżeli jesteśmy w Polsce najlepiej wybrać Węgry lub Niemcy. Kolejny parametr to maksymalne pasmo wykorzystywane przez klientów i serwer podczas konferencji. W przypadku protokołu WebRTC używanego przez nasze rozwiązanie pasmo to jest zbliżone do podanej tutaj wartości, zatem trzeba pamiętać, że w przypadku połączenia większej ilości użytkowników oraz niestabilnego połączenia internetowego w niektórych przypadkach może się pojawić opóźnienie w dostarczaniu obrazu. Wtedy z reguły należy ten parametr po prostu zmniejszyć.

(opcje te są dostępne także z poziomu tworzenia przez użytkownika wideokonferencji – przy ustawieniach dostępnych obok opcji Profil webmeeting)

W ustawieniach tych możemy także zmodyfikować szablony wiadomości mailowych dla użytkowników zaplanowanych spotkań. Standardowo każdy użytkownik jest informowany mailowo po stworzeniu Webmeetingu oraz 30 minut przed jego rozpoczęciem. W przypadku anulowania spotkania także wysyłany jest mail.

Więcej wiedzy nie potrzebujemy. Przejdźmy teraz na nasze konto zwykłego użytkownika systemu logując się na link podany w mailu. Ma on postać: https://nasza-nazwa.3cx.pl:5001/webclient/ lub podobną.

Omówmy najpierw proponowaną logikę, bo dużo od tego zależy. Ja standardowo proponuję następującą realizację 3 scenariuszy:

  • telekonsultacja z lekarzem specjalistą z innej placówki – w tym przypadku zakładam (chociaż nie jest to konieczne), że nasza placówka (niech będzie to POZ) współpracuje z konkretnymi specjalistami w konkretnym ośrodku. W takim przypadku z pewnością potrzebne jest ustalanie z wyprzedzeniem terminów konsultacji poszczególnych przypadków. W 3cx możemy takie konsultacje zaplanować. W jaki sposób? Oczywiście za pomocą zakładki Zaplanuj konferencję. Wybieramy typ konferencji Wideo oraz czy ma się rozpocząć natychmiast czy Później. Nasza jest planowana, zatem wybieramy Później. Jeżeli wybierzemy później to podajemy dane rozpoczęcia oraz czas trwania. Do tego nazwę spotkania oraz ewentualny opis spotkania. Profil – Webmeeting. W zakładce kalendarz natomiast mamy do wyboru w jaki sposób poinformować zainteresowanych oraz gdzie w swoich zasobach zapisac info o spotkaniu. Mamy tutaj do wyboru Kalendarze Google, Office365, Outlook Online lub ewentualnie plik iCal (do zaimportowania do Outlooka zainstalowanego na komputerze). Możemy też po prostu podać użytkowników (utworzonych w systemie) lub adresy mail zewnętrznych, którzy ewentualnie mają w spotkaniu uczestniczyć. W omawianym przypadku wybieramy 3cx (direct email) i wybieramy stworzonego wcześniej użytkownika – nasz ośrodek konsultacyjny.

Po potwierdzeniu nasze spotkanie zostanie dodane do listy zaplanowanych. W razie potrzeby mamy dostępny bezpośredni link do niego, możemy dodać innych użytkowników i wykonywać inne podstawowe operacje.

Ten rodzaj konfiguracji może zostać także wykorzystany z powodzeniem dla wielodziałowych placówek w celu organizowania zebrań czy innego rodzaju wewnętrznych spotkań.

  • konsultacje lekarz-pacjent – w tym scenariuszu przyjmujemy, że jest to konsultacje jednorazowa – pacjent zatem nie musi mieć utworzonego konta w naszym systemie. Będzie on otrzymywał jednorazowy spersonalizowany link, który będzie unikalny w obrębie konsultacji. Można sobie wyobrazić także, że ma – może się to przydać chociażby w koordynacji jego opieki w przypadku cyklicznych zdalnych konsultacji, jednakże wtedy wygląda to dokładnie jak w przypadku powyżej i nie wymaga omówienia. W tym momencie zakładamy, że konto w systemie ma nasz lekarz i pacjent umówił konsultacje (czy to telefonicznie, czy przez stronę www czy osobiście). Musimy wtedy podać jego mail, tak aby dotarł do niego link oraz umówiony termin i aby otrzymał przed nim przypomnienie. W tym przypadku postępujemy podobnie jak powyżej, natomiast zamiast użytkownika naszego systemu podajemy maila pacjenta. Od tej pory wizyta jest umówiona.
  • szkolenia personelu, edukacja pacjentów – w tym przypadku mogą nam się przydać funkcjonalności typu tworzenie ankiet podczas wideokonferencji, udzielanie głosu osobą, które chcą go zabrać lub w ekstremalnych przypadkach wyrzucanie niepokornych użytkowników. W takim przypadku wybieramy jako profil spotkania – Webinar (classroom). Możemy jak w poprzednich przypadkach podać po prostu maile użytkowników ale możemy także skorzystać z zewnętrznego systemu – np. kalendarza Google z którego korzystamy w placówce do organizacji niektórych spraw operacyjnych (tak, jest to zgodne z RODO a do tego też darmowe). W takim przypadku w naszym terminarzu mamy już taką konferencję uwzględnioną.

Warto zaznaczyć, że wideokonferencje możemy organizować na dowolnym urządzeniu. Wymagana jest przeglądarka Chrome lub Firefox. W przypadku gdy korzystamy z Androida lub iOS musimy ściągnąć aplikację i też działa. Tak elastyczna forma pozwoli z pewnością na pełne wykorzystanie chociaż oczywiście dobrą praktyką byłoby zorganizowanie sobie w placówce chociażby jednego stanowiska skonfigurowanego pod nasze wideokonferencje – komputera PC wraz z zestawem wideokonferencyjnym. Po to, żeby nie rozwiązywać na cito problemów technicznych tylko zawsze być gotowym do wideo konsultacji.

W kolejnej części w końcu będziemy z nich korzystać i omawiać poszczególne funkcjonalności, które mogą przydać się podczas omówionych wyżej przykładowych spotkań.

W jaki sposób uruchomić darmowy system wideokonferencyjny w placówce medycznej? część 1

Podziel się

Ścieżek pewnie jest wiele, przedstawię jedną z nich. Na przykładzie bardzo ostatnio popularnego wśród placówek medycznych systemu typu Unified Communications3cx . A co to w ogóle jest i w jakim celu nam to jest potrzebne?

To bardzo dobre pytanie. Systemy tego typu to połączenie systemów VOiP (w dużym skrócie – telekomunikacyjnych) oraz wszystkich innych funkcjonalności związanych z poprawą komunikacji w organizacji. Jednolitą komunikację definiuje się jako proces, w którym wszystkie środki komunikacji, urządzenia i media są zintegrowane, pozwalając użytkownikom pozostawać ze sobą w kontakcie w czasie rzeczywistym bez względu na miejsce pobytu. Celem jednolitej komunikacji jest optymalizacja procedur biznesowych i ułatwienie komunikacji międzyludzkiej dzięki upraszczaniu procesów. A

le po co nam to w placówce medycznej ktoś zapyta? Jak to po co? 🙂 To idealne narzędzie zapewniające optymalizację wielu problemów z komunikacją na linii placówka-lekarz, rejestracja-pacjent, pacjent-lekarz . W dobie legislacji dążącej do ułatwień związanych z telekonsultacjami oraz tematami związanymi z opieką koordynowaną tego typu rozwiązania to idealne narzędzia do komunikacji. Tym bardziej, że umożliwiają także bezpieczną wymianę dokumentów, czy przeprowadzanie prezentacji.

Nie będę jednak w tym wpisie zajmował się roztrząsaniem wszystkich funkcjonalności tego typu systemów i możliwości wykorzystania w naszych placówkach, zostawię to na później. Dziś skupię się na pokazaniu w jaki sposób postawić sobie w pełni działający system.

Licencjonowanie i wymagania sprzętowe

Licencjonowanie produktu jest możliwe na dwa sposoby. Z jednej strony można wykupić licencję roczną, z drugiej licencje wieczystą. W tym drugim przypadku jednak darmowe wsparcie mamy na rok. Później trzeba je komercyjnie przedłużyć. W obu wspomnianych przypadkach cena  licencji jest zależna od dwóch rzeczy:

– liczby jednoczesnych połączeń – zarówno wewnętrznych jak i zewnętrzne

– wersji oprogramowania. Mamy do wyboru trzy. Standard, Professional oraz Enterprise. Do wideokonferencji wystarczy Standard i na ten moment na tym poprzestańmy. Jakby ktoś chciał więcej info o różnicach pomiędzy wersjami to może sobie poczytać tutaj: https://www.3cx.com/phone-system/edition-comparison/ .

Producent oprogramowania 3cx oferuje darmową licencje w wersji Standard do 16 jednoczesnych połączeń na 1 rok. Po roku licencja ta zostaje darmowa (w przypadku gdy nie opłacimy jej przedłużenia), zmienia się tylko ilość jednoczesnych połączeń – jest zmniejszana do 4. Co dla nas (biorąc pod uwagę temat wpisu) najważniejsze – w tym rodzaju licencji mamy funkcjonalność wideokonferencji do 25 jednoczesnych uczestników. Wykorzystajmy to zatem!

Aha.. jeszcze wymagania sprzętowe.. Tutaj mamy dwie drogi. Jedna z nich to instalacja naszego serwera 3cx na którejś z maszyn w naszej placówce. Dostępna jest wersja dla Windowsa i Linuxa. Wymagania nie są bardzo wyżyłowane. Zgodnie z dokumentację w wersji do 16 jednoczesnych połączeń to:

CPU Intel® Core™ i3-3210 Processor (3M Cache, 3.20 GHz)
Memory 2 GB
HDD SATA 30GB
Can be Virtualized Yes
NETWORK 100/1000 Mbit/s

Więcej szczegółów odnośnie wymagań sprzętowych i konkretnych wersji systemów operacyjnych, które są wpierane znajdziecie na https://www.3cx.com/docs/recommended-hardware-specifications-for-3cx/ oraz https://www.3cx.com/docs/supported-operating-systems/ .

System możemy zainstalować lokalnie lub wykorzystać swoje konto w chmurze publicznej. 3cx jest kompatybilny z następującymi dostawcami:

– Google Cloud

– OVH

– AWS

– 1&1

lub z każdym innym wspierającym protokół OpenStack API w wersji 2.0. Przez kompatybilność rozumiem, że cała potrzebna do utworzenia instancji serwera infrastruktura tworzy się automatycznie. Nasza rola ogranicza się do podania dostawcy chmury u którego mamy konto oraz do wybrania po jego stronie parametrów maszyn wirtualnych, które chcemy wykorzystać do instalacji.

Instalacja systemu

Instalację zaczynami od wejścia na stronę www.3cx.com do zakładki Try. Wypełniamy  tam swoje dane i klikamy Submit & Download . Number of extensions jest to orientacyjna liczba numerów wewnętrznych/użytkowników, których będziemy chcieli skonfigurować w systemie.

Po wypełnieniu formularza otrzymamy dostęp do strony z instalkami oraz dokumentacją systemu. Jeżeli chcemy instalować oprogramowanie na własnej maszynie to jest dobry moment aby pobrać pliki instalacyjne. Otrzymamy też na maila link potwierdzający aplikację o nową licencję. Po jego kliknięciu będziemy mieć dostępny nasz klucz licencyjny oraz możliwość wyboru rodzaju instalacji. My idziemy do chmury, wybieramy zatem Deploy in Your Cloud.

Otworzy nam się dokładnie to samo co dzieje się podczas instalacji systemu on-premise na własnym serwerze. Na początek konfigurujemy strefę czasową, numeracyjną oraz język.

W kolejnym kroku wybieramy swoją nazwę dla serwera oraz domenę. Podczas instalacji zostanie wygenerowany automatycznie darmowy na okres 1 roku certyfikat ssl.

oraz ilość znaków numeru wewnętrznego, których potrzebujemy. Uwaga – proponuje to dobrze przemyśleć, to co tutaj zaznaczymy zostaje już na zawsze 😉

Nadszedł czas na wybór dostawcy chmury.  Ja wybieram Azure. Wpisuję id swojej subskrypcji i w kolejnym kroku jestem proszony o podanie poświadczeń do swojego konta Azure i o akceptację dostępu do niego przez aplikację 3cxapp, która zrobi za nas całą robotę.

Później idąc tropem minimalnych wymagań przedstawionych wyżej wybieramy rodzaj maszyny na której chcemy postawić nasza instalację oraz wybieramy region. I to generalnie tyle.

UWAGA! Raz czy dwa po kroku wyboru  maszyny wirtualnej zdarzyło mi się, że system wrócił do kroku w którym należy podać strefę czasową, numeracyjną itp. Instalacja jednak się utworzyła. Temat zgłosiłem. Nie dzieje się tak dla Google Cloud. Podejrzewam, że może to być spowodowane tym, że 3cx spiął się z Azure w tamtym tygodniu jakoś i jeszcze nie wszystko jest w 100% dopracowane.

Czekamy cierpliwie aż nasza infrastruktura wirtualna zostanie utworzona. Zostaniemy o tym poinformowani komunikatem:

W przypadku Azure stworzona infrastruktura wygląda w ten sposób:

Po poprawnym zakończeniu instalacji otrzymujemy wiadomości mailowe. Jedną z danymi związanymi z dostępem do konsoli zarządzania oraz innymi rzeczami związanymi z administrowaniem systemem:

oraz drugi – z danymi potrzebnymi zwykłemu użytkownikowi systemu. Takiego maila otrzyma każdy, któremu utworzymy w systemie konto.

W ten dość prosty i szybki sposób mamy do pracy gotowy system.

W przypadku gdy instalację robiliśmy  na własnym serwerze pierwszą rzecz jaką polecam do zrobienia po zalogowaniu do konsoli to sprawdzenie FirewallCheckera. Biorąc pod uwagę, że system 3cx korzysta z zewnętrznych (z perspektywy naszej instalacji) serwerów do wideokonferencji musimy mieć do i z maszyny otwarty port 443:

W przypadku instalacji cloudowej wszystkie porty potrzebne do usług 3cx otwierają się automatycznie I nie musimy się tym przejmować (testowałem dla Azure, OVH oraz dla Google Cloud). Na wszelki wypadek jednak dobrze to zweryfikować.

Odsapnijmy teraz i w oczekiwaniu na część drugą w której omówimy funkcjonalności związane z tworzeniem, obsługą i możliwościami wideokonferencji cieszmy się piękną wiosną 🙂

Read More

Chmura w praktyce – część 1 – VPN

Podziel się

Na wstępnie chciałbym zaznaczyć, że żaden z moich wpisów nie jest wpisem sponsorowanym. Mam zamiar pokazywać tutaj różne produkty, ich wady i zalety. Nie będę ukrywał, że najczęściej będą to produkty, które sam wdrażam klientom – ale to chyba dobrze, bo na ich temat mam większą wiedzę. Mnogość rozwiązań w każdym temacie zmusza do skupienia się na czymś bo inaczej nie będę w stanie nic konkretnego pokazać. Przygodę z chmurą publiczną chciałbym zatem rozpocząć od rozwiązania Microsoftu – Azure. Dlaczego? Bo sam ją teraz testuje. W miarę wolnego czasu chętnie skupię się na innych rozwiązaniach, mogę też pokusić się o porównanie. W tym momencie jednak moim celem jest pokazanie na przykładzie tego, w jaki sposób usługi chmurowe mogą przyczynić się do usprawnienia pracy i zwiększenia bezpieczeństwa danych w placówce medycznej. Zaczynajmy zatem swoją przygodę z chmurą!

We wpisie “Co to jest chmura i czy może nam się przydać?” opowiedziałem (nic odkrywczego) o rodzajach chmury i sposobach jej wykorzystania. Zakładajmy zatem szybko konto i logujmy się do swojej chmury aby zobaczyć jak to wygląda w praktyce. Microsoft daje nam 170 euro i 30 dni na zabawę. Po tym czasie możemy korzystać z zasobów darmowych przez kolejny rok. W szczególnych przypadkach z pomocą resselera (np. mnie) można bez problemu testową usługę przedłużyć. Albo założyć nowe konto testowe 😉 Z minusów – w celach aktywacyjnych trzeba podać dane swojej karty kredytowej. Też się krzywiłem ale spokojnie, nic bez naszej wiedzy z konta nie ma prawa zostać zabrane i tak się nie stanie.

Pierwsze logowanie

Żeby zalogować się do usługi musimy  mieć swoje konto w MS. Wejdźmy najpierw na stronę https://azure.microsoft.com/pl-pl/free/ (tutaj można przeczytać więcej info o możliwościach testów) a następnie “Rozpocznij bezpłatnie”. Zostaniemy przekierowani na stronę logowania MS i jeżeli mamy konto wystarczy się zalogować. Jeżeli nie – musimy przejść do rejestracji nowego konta.

Możemy wybrać dwie metody weryfikacji konta – albo telefonicznie albo mailowo. Na wybrane medium przyjdzie nam hasło, które będziemy musieli wpisać potwierdzając, że to nasze. Później jeszcze tylko captcha (przepisanie tekstu z obrazka) i wypełnienie formularzy z danymi:

Na tym etapie musimy podać numer telefonu a następnie wybrać rodzaj weryfikacji (sms lub telefon):

Później zostają już (tylko) dane karty:

zatwierdzenie umowy licencyjnej i jesteśmy w domu.

Następnie po przekierowaniu, lub po wejściu na stronę https://portal.azure.com jesteśmy po raz pierwszy w swoich zasobach chmurowych. Oczom naszym ukaże się dashboard:

Proponuję poklikać tutaj z 10 minut i wiele rzeczy stanie się jasne. Możliwości dopasowania do swoich potrzeb są ogromne – zarówno pod kątem wyglądu jak i elementów wyświetlanych. W miarę dodawania nowych usług nasza strona główna będzie ewoluowała – musimy się po prostu tego nauczyć. Praca tutaj jest w miarę intuicyjna i przyjemna. Jak czegoś nie wiemy – Google wie wszystko a MS dokumentację ma.

Jak widzicie przeklikanie wszystkich usług graniczy z cudem. Tyle tego jest a do tego cały czas dodawane są kolejne. Warto też zaznaczyć, że w Azure nie są dostepne usługi Office365 – czyli popularnego pakietu do tworzenia i zarządzania dokumentami w chmurze. To odrębny i wbrew pozorom również bardzo rozbudowany temat.

Tworzenie VPN Point-to-Site do chmury

Długo zastanawiałem się od czego zacząć. Zdecydowałem, że zacznę od końca. Utworzymy sobie (jeden z wielu możliwych do utworzenia) szyfrowany kanał komunikacji pojedynczej stacji roboczej (czy serwera, to bez znaczenia) do naszej instancji chmurowej a konkretniej – do jednej z nowo utworzonych sieci wirtualnych. W tej sieci na dalszym etapie będziemy mogli tworzyć sobie maszyny wirtualne czy inne usługi do których będziemy chcieli mieć dostęp z poziomu komputerów w placówce. Jeżeli chodzi o pytania dotyczące bezpieczeństwa (bezpieczeństwo to raz a RODO dwa :)) to już  odpowiadam. Połączenia w tym modelu są szyfrowane na dwa sposoby:

  • Secure Socket Tunelling Protocol (SSTP) – używany głównie w systemach Windows protokół przenoszący ramki PPP (te, które odpowiadają za komunikację w modelu Point-to-Point i w naszym przypadku za Point-to-Site) poprzez bezpieczny kanał szyfrowania Transport Layer Security (TLS) i jego poprzednika – Secure Socket Layer (SSL)
  • Internet Key Exchange version 2 (IKEv2) – protokół transmisji danych poprzez protokół IpSec.

Opis działania tych protokołów jest tutaj zbędny. Proponuję po prostu przyjąć, że połączenie to jest bezpieczne na nasze potrzeby. W przypadkach szczególnych trzeba sytuację analizować i dopasowywać do szczególnych potrzeb a tutaj pole do popisu jest.

Aktualnie możliwe jest połączenie z następujących systemów operacyjnych:

  • Windows 7 (32-bit and 64-bit)
  • Windows Server 2008 R2 (64-bit only)
  • Windows 8 (32-bit and 64-bit)
  • Windows 8.1 (32-bit and 64-bit)
  • Windows Server 2012 (64-bit only)
  • Windows Server 2012 R2 (64-bit only)
  • Windows Server 2016 (64-bit only)
  • Windows 10
  • OSX version 10.11 for Mac (El Capitan)
  • macOS version 10.12 for Mac (Sierra) .

Samych usług VPN Microsoft ma co najmniej kilka. Prawie każdą z konfiguracji możemy zrobić na różne sposoby (np. wyklikując lub korzystając z linii komend PowerShella). Więcej o tych sposobach a także o możliwościach konkretnych modeli a także o tym jak dany model połączenia skonfigurować można przeczytać tutaj: https://docs.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-plan-design . Jeżeli chodzi natomiast o pełną konfigurację tego co przestawiłem poniżej to wersję oficjalną na której bardzo mocno bazowałem znajdziecie pod tym adresem .

Dodawanie sieci wirtualnej i bramy dla VPN

Wejdźmy na Marketplace i wpiszmy “Virtual Network”. Zaznaczmy żądaną opcję , “deployment model” wybierzmy “Resource Manager”.

Wypełnijmy pola formularza w następujący sposób (subscription mamy do wyboru tylko Free Trial):

Czyli tworzymy wirtualną sieć o nazwie VNet1 (192.168.0.0 – 192.168.255.255) z podsiecią FrontEnd dla naszej infrastruktury (192.168.1.0 – 192.168.1.255). Następnie musimy stworzyć w naszej sieci wirtualnej  podsieć dla bramy domyślnej – klikjijmy na +Gateway subnet dla naszej podsieci. w ustawieniach sieci:

i podajmy jakąś wolną podsieć z zakresu naszej sieci. Niech to będzie 192.168.200.0/24:

Teraz stwórzmy wirtualną bramę dla swojej usługi. W znanym już menu +New wpiszmy “Virtual network gateway”. Uzupełnijmy pola wybierając i wpisując następujące ustawienia (subscription to oczywiście Free Trial):

W tym miejscu musimy się chociaż na chwilę zatrzymać. Jeżeli chodzi o Gateway type  to jak się domyślamy rodzaje bram. Te rodzaje różnią się od siebie (w skrócie) gwarantowanym transferem oraz ilościom kanałów, które można utworzyć a co za tym idzie ceną. Więcej informacji na temat cen i sposobów rozliczania dostępne jest tutaj . Jeżeli chodzi o standardowe wykorzystanie naszego VPNa – do połączeń dla użytkowników wybieramy po prostu VPN i odpowiedni typ i SKU (który mówi o cenie, transferze oraz ilości tuneli). W przypadku gdybyśmy potrzebowali większego transferu – na przykład chcąc robić migrację większej ilości danych przez narzędzie, lub jakieś mechanizmy backupu itp. ExpressRoute pozwala korzystać z bardziej zaawansowanych protokołów WAN niż zwykły Internet (np. MPLS) i osiągać transery do 10 Gbps. To już kwestia indywidualnych potrzeb, w każdym razie warto zapamiętać, że w przypadku gdy ktoś nie ma pewności czy wybrać chmurę ze względu  na potrzebę zapewniania stabilności i szybkości transferu to nie ma się o co martwić. Zawsze zrobi się tak, jak będzie trzeba . Więcej info o samym ExpressRoute znajdziecie tutaj .

Idąc dalej w konfiguracji wybierzmy naszą wirtualną sieć oraz kliknijmy w Create public IP adress i tam wybierzmy ustawienia Basic:

Następnie dajemy Create i rozpoczyna się proces tworzenia naszej bramy VPN.

Certyfikaty

Już sporo za nami – mamy utworzoną podsieć dla naszego środowiska z którym będziemy chcieli się łączyć, utworzyliśmy dla niego bramę domyślną. Teraz musimy zająć się certyfikatami. To zadanie musimy wykonać w dwóch etapach – po pierwsze wygenerować nasz główny certyfikat, który będzie miał za zadanie pilnować od strony platformy Azure naszych połączeń a następnie wygenerować certyfikat/certyfikaty dla klientów.

Zadania te możemy wykonać na dwa sposoby. Albo na jakimkolwiek PC z systemem operacyjnym Windows 10 (w przypadku gdy takowego nie mamy możemy na tą potrzebę utworzyć sobie na naszym koncie wirtualną maszynę na naszym Azure – ja tak zrobiłem) lub skorzystać z narzędzia MakeCert.

Jeżeli chodzi o bezpieczeństwo to nasze certyfikaty są oparte o algorytm hashujący sha256 a klucze zaszyfrowane są w schemacie Base64. Certyfikaty zapisane są w standardzie X.509 .

Procedura generowania została krok po kroku opisana tutaj i nie ma sensu jej powielać. W przypadku gdyby ktoś miał jakieś konkretne pytania zapraszam do ich zadawania. Jeżeli przejdziecie krok po kroku procedurę wszystko się uda.

Dokończenie konfiguracji na bramie domyślnej

Mając certyfikat główny możemy do dodać do konfiguracji naszej bramy.  W tym celu przechodzimy do jej konfiguracji – do zakładki Point-to-site Configuration:

Tam po pierwsze wpisujemy adres puli prywatnej dla bramy (adresy z tej puli będą dostawać komputery klientów i z tej sieci będzie routing do naszej sieci wirtualnej):

Następnie wybierzmy typy tuneli (opisane wcześniej) oraz nasz authentication type:

i kopiując nasz wygenerowany wcześniej root cert ze zwykłego notatnika:

nadajmy mu nazwę Rootcert1 i wklejmy go do konfiguracji bramy:

Instalacja certyfikatów u klientów

Teraz wystarczy wygenerowane wcześniej certyfikaty zainstalować u klientów. Dla Windows i Mac procedura opisana jest tutaj . Jest to dodawanie certyfikatów standardowe dla wszystkich usług i pewnie nie raz tak robiliśmy. Generowanie certyfikatów (jakby ktoś przeoczył) dostępne jest tutaj w sekcji na samym dole – Export a client certificate .

Pobieranie, konfiguracja i test klienta VPN

Sprowadza się to do ściągnięcia instalki z konfiguracji bramy (Download VPN Client na górze konfiguracji). Szczegóły opisane są tutaj (wrzucam ponieważ dla iOS wygląda to troszkę inaczej niż dla Windows gdzie wystarczy ściągnąć oprogramowanie,m zainstalować i mając zainstalowany już na kliencie certyfikat po prostu się podłączyć. Ale to też jest do zrobienia.

Finalnie (w Windowsie) odpalamy naszego klienta:

i połączenie zostanie utworzone:

Na tego potwierdzenia załączam screen ze swojego połączenia z jak widać przypisanym poprawnie adresem IP z puli:

Koszty

Wcześniej wspomniałem coś o kosztach i metodach rozliczeń tej usługi. Generalnie w celu estymacji jakichkolwiek cen w Azure i zapoznania się z metodami rozliczania polecam kalkulator znajdujący się pod tym linkiem: https://azure.microsoft.com/pl-pl/pricing/calculator/ . Będę go tutaj jeszcze używał.

Dla naszej usługi sprawa kosztów przedstawia się następująco:

Microsoft Azure Estimate
Twoje szacowanie
Service type Custom name Region Description SKU Estimated Cost
VPN Gateway West Europe Typ Bramy VPN Gateway, warstwa Podstawowa sieć VPN, godz. korzystania z bramy: 160, 50 GB, typ bramy VPN Gateway na wyjściu: VPN €8,16
Virtual Network Transfer danych z regionu Europa Zachodnia do regionu Europa Zachodnia: 50 GB €0,84
Support Free level Support €0,00
Monthly Total €9,00
Annual Total €108,03

 

 

 

 

Założyłem 50 GB miesięcznego transferu wychodzącego i tyle samo przychodzącego przy 160 godzinach w miesiącu działania bramy. To 38 zł przy transferze Basic (tutaj jeszcze raz pełny cennik) – 128 połączeń, transfer 100 Mb/s. Czy to dużo czy mało? Nie mnie odpowiadać na to pytanie. To kwestia indywidualnych potrzeb – w przypadku VPN potrzeb związanych z poziomem zapewnienia bezpieczeństwa, ilości połączeń, czasu dostępności połączenia (co także przekłada się na bezpieczeństwo), transferu miesięcznego a także szybkości. Jedno jest pewne. Możliwości dopasowania każdej z usług w tym modelu, także kosztowego dopasowania, są tak ogromne, że moim zdaniem każdy znajdzie optymalny dla siebie sposób.

Podumowanie

Uff udało się. Trochę tego było, prawda? Ale udało nam się skonfigurować naszą bazową usługę dla chmury. Jest to do przeklikania, trzeba tylko poznać strukturę i zależności. Jak widać bezpieczeństwo jest tutaj priorytetem. Aby jeszcze troszkę dołożyć odnośnie naszego słynnego RODO to istnieje możliwość uruchomienia swojej infrastruktury chmurowej w dwóch lokalizacjach w Niemczech. Jest to o tyle istotne, że lokalizacje te posiadają certyfikat ISO/IEC 27018:2014 charakteryzujący się spełnianiem podwyższonych norm z zakresu ochrony danych osobowych. Więcej można przeczytać tutaj. W innym przypadku zawsze można skorzystać z Holandii czy Irlandii. W każdym razie MS w zakresie bezpieczeństwa danych i wymogów RODO udostępnił (i stale rozwija) platformę na której możemy zobaczyć bardzo rozbudowaną dokumentację potwierdzającą zgodność z normami przetwarzania danych. Można tam także zobaczyć przykłady wdrożeń a także (narazie tylko dla o365 ale już wkrótce dla Azure) platformę, dzięki której sami będziemy mogli przeprowadzić audyt swojej chmury pod kątem konkretnych zapisów z RODO. Wszystko dostępne jest tutaj ale to biorąc pod uwagę, że jest oddzielnym i bardzo złożonym tematem czeka w kolejce na liście postów do napisania na blogu.

Zachęcam do testów!

P.S. Jak ktoś chciałby konto testowe bez podawania danych karty zapraszam 😉