Sensitive Data in Cloud Environment

Bc. Adam Skrášek

Master's thesis

Abstract:

Výzkumné aktivity v přírodních vědách dnes mohou vyžadovat uložení, zpracování a analyzování citlivých dat. Česká národní výzkumná e-infrastruktura poskytuje výzkumníkům prostředí a služby, které jsou specificky vytvořeny pro tyto účely. Jednou z těchto služeb je SensitiveCloud, který je vyvíjen Centrem vzdělávání, výzkumu a inovací v informačních a komunikačních technologiích (CERIT). Informační bezpečnost v prostředí SensitiveCloud závisí na technických i organizačních faktorech. Mezi uznávané framework pro správu bezpečnosti informací patří rodina standardů ISO/IEC 27000. Pro přispění k certifikaci prostředí SensitiveCloud pomocí standardů z rodiny ISO/IEC 27000 byly v rámci této diplomové práce studovány požadavky těchto standardů a byly analyzovány možnosti jejich zavedení v prostředí SensitiveCloud. Jednou z hlavních částí tohoto procesu bylo provedení analýzy rizik. Dále byly popsány výhody správy tzv. secrets pro správu informační bezpečnosti. Dále bylo provedeno porovnání vybraných nástrojů pro správu secrets v prostředí SensitiveCloud. Nejvhodnější nástroj byl pak nasazen v testovacím režimu a proces nasazení a konfigurace byl automatizován. Automatizování tohoto procesu poskytuje výchozí bod pro další testování a nasazení do ostrého provozu.

Abstract:

Modern challenges in life sciences require researchers to store, process, and analyse sensitive data (such as medical records and users’ personal information). Czech national research e-infrastructure provides the researchers with environments and services created specifically for these purposes. One of such solutions is SensitiveCloud that is being developed by CERIT-SC (CERIT Scientific Cloud). Information security in the SensitiveCloud environment depends on technical and organizational factors. The generally recognised international framework for information security management is the ISO/IEC 27000 series of international standards. To contribute to the process of ISO/IEC 27000 certification of SensitiveCloud, this thesis studied the requirements of the standards and analysed their potential deployment. An integral part of this process was conducting a risk analysis. Furthermore, the benefits of secrets management for information security management were described, and selected tools for secrets management within SensitiveCloud were compared. The most appropriate tool for the SensitiveCloud environment was deployed in a testing infrastructure, and a process for automation of the set up was developed to provide grounds for additional testing and future production deployment.

Keywords

ISMS, ISO/IEC 27000, secrets management, HashiCorp Vault, SensitiveCloud, Risk Analysis

Language used: English

Date on which the thesis was submitted / produced: 17. 5. 2022

Thesis defence

• Date of defence: 24. 6. 2022
• Supervisor: RNDr. Michal Růžička, Ph.D.
• Reader: RNDr. Lukáš Daubner

Masaryk University

Faculty of Informatics

Master programme / field:
Computer systems, communication and security / Information security