Bulutu güven altına almak biraz fil yemek gibi hissedebilir. Bir fili nasıl yersin? Her seferinde bir ısırık. Aynı şey bulut güvenliği için de geçerlidir – süreci dört açık ve pratik adıma böldüğünüzde zorluklar çok daha yönetilebilir hale gelir: Değerlendirme, Analiz, Harekete Geçme ve Güvence.
Bulut hizmetleri benimseme, dijital dönüşüm ve daha fazla çeviklik, esneklik, ölçeklenebilirlik ve maliyet verimliliği vaadinden kaynaklanmaktadır. Ancak bulutla ilgili ihlaller paralel olarak artıyor. Dijital, Kültür, Medya ve Spor Bölümü, Siber Güvenlik İhlalleri Araştırması 2018'de bulut bilişim kullanan işletmelerin ihlallerle karşılaşma olasılığının (% 52'ye karşı% 43) daha fazla olduğunu bildirdi.
Yazar hakkında
Nathan Britton, NTT'de Bulut Güvenliği Uygulama Lideri.
Uber ihlali şirketin depolanması sonucunda geldi AWS Github deposundaki, daha sonra bilgisayar korsanları tarafından alınan ve Uber'in AWS hesabına erişmek için kullanılan kimlik bilgileri. Bir başka yüksek profilli ihlal, VerICE'da, tedarikçi NICE Systems tarafından sahip olunan ve işletilen yanlış yapılandırılmış bir S3 kovasının, 14 milyon kadar ABD müşterisinin adını, adresini, hesap detaylarını ve PIN'lerini ortaya çıkardığı bir olay oldu.
Bulut güvenliği
Bulut, şirket içinde olduğundan doğal olarak daha güvensiz değildir IT altyapısı. Çoğu ihlal, yanlış yapılandırmadaki hatalara veya beklenen bulut güvenliğinin yanlış anlaşılmasına bağlıdır. Peki, verilerin neden bulutta ortaya çıkması daha olasıdır?
Birçok güvenlik ekibi, bulut dağıtımlarının hızına ayak uydurmakta zorlanır. Güvenlik kontrollerinin 'kaldırılması ve kaydırılması' da boşluk bırakabilir. Bulut uygulamaları şirket içi sürümlerini her zaman yansıtmaz, bu nedenle destek sağlamak için kontrollerin yeniden gözden geçirilmesi gerekebilir iş uygulamaları yeniden barındırılan, yeniden platformlanan veya yeniden düzenlenen.
Diğer bir potansiyel sorun, 'tasarımla güvenli' bulut benimsemesini sağlamak için buluta özgü güvenlik politikalarının veya yönergelerinin eksikliğidir. Paylaşılan güvenlik modelleri, verileri koruma sorumluluğunun işletme, bulut sağlayıcısı, tüketici veya üçünün birleşimi ile ilgili olup olmadığı belirsizse verileri savunmasız bırakabilir. Bulut modeli – IaaS, PaaS veya SaaS – sorumluluk alanlarını etkileyebilir.
4 Bulut güvenliğine gelince
Bu dört aşamalı süreç, kuruluşların bulut dağıtımlarını nasıl güvenli hale getireceklerini, bulut ayak izlerinin görünürlüğünü nasıl elde edebileceklerini, ağrı noktalarını ve risklerini anlayacaklarını ve en önemlisi bulut güvenliğini artırmak için bir yol haritası oluşturmak için bu bilgiyi nasıl kullanacaklarını anlamalarına yardımcı olacaktır.
Değerlendirmek
Görmediğiniz şeyi güvence altına alamazsınız. Bulut çözümlerinin değerlendirilmesi ve denetlenmesi, orada dağıtılan varlıklar ve iş yükleri üzerinde görünürlük sağlayacaktır. Ayrıca potansiyel tehditleri, güvenlikteki boşlukları ve genel güvenlik duruşunu da vurgulayacaktır. Bu, güvenliğin Cloud Solutions Provider'ın (CSP) kendisi tarafından “nereye inşa edildiğine” ve nereye eklenmesi veya artırılması gerektiğine bakmak için doğru zamandır. Nerede boşluklar olduğunu değerlendirmenize yardımcı olacak araçlar ve süreçler aramak iyi bir fikirdir. Değerlendirmenin bulguları, bugün bulunduğunuz yeri yakalamak ve geleceğe yönelik bir bulut güvenlik yol haritası oluşturmak için bir karşılaştırma ölçütü olarak kullanılabilir.
çözümlemek
Bu, bir bulut dağıtımının iyi güvenlik uygulamalarına veya çerçevelerine karşı nasıl ölçüldüğünü tanımlamakla başlar – mevzuata uyumluluk gereksinimleri dahil. Daha sonra, bu analizin vurguladığı güvenlik açıklarını inceleyin ve bunlardan kaynaklanan potansiyel riskleri ve tehditleri ölçün. Daha sonra, boşluklara yeniden aracılık etmek ve bunları uygulama sırasına öncelik vermek için tehditleri doğru güvenlik denetimlerine eşleyebilirsiniz.
Bu Analiz aşamasında edindiğiniz bilgi, bulut güvenliği tasarımınız ve uygulamanızın dağıtımında tutarlılığı sağlayacak şekilde kontrol etmeniz konusunda bilinçli kararlar almanıza yardımcı olacaktır.
davranmak
Bulut dağıtımının güvenlik duruşunun ve varlıkların görünürlüğünün daha net bir resmine sahip olduğunuzda, gerekli güvenlik kontrollerini tasarlayıp uygulayarak güvenlik sorunlarını ele alacak bir konumda olacaksınız. Bu, buluta dağıtım için tutarlı bir yaklaşım sağlayacaktır ve güvenlik 'tasarım gereğidir'.
CSP'nin yerel güvenlik denetimleri ve yapılandırmalarıyla başlamak ve bunları gelecekteki bulut kaynaklarını güvenli ve tutarlı bir şekilde oluşturmak için uygulanabilecek minimum uygulanabilir bir güvenlik şablonu oluşturmak için bir temel olarak kullanmak iyi bir fikirdir. Bunlar daha sonra gömülü bulut yerel güvenlik denetimleriyle tamamlanabilir.
Temin etmek
Bulut dağıtımlarının güvenliğini sağlama söz konusu olduğunda, iş asla yapılmaz. Dağıtımlar arttıkça ve daha fazla iş yükü buluta taşınırken veya bulutta oluşturulurken bulut güvenliğinizin büyümesi gerekir. Mevzuata uygunluğu korumak ve gelişen tehditleri ele almak için bulut dağıtımlarının, üzerinde anlaşmaya varılan güvenlik standartlarından herhangi bir sapma olduğunda sürekli olarak izlenmesi gerekir. Sorunların hızlı bir şekilde düzeltilmesini garanti etmek için otomasyon burada çok önemlidir.
Sürecin bu aşamasından en iyi şekilde yararlanmak için, güvenlik operasyonel gereksinimlerinize uygun güvenlik izleme ve uyumluluk araçları ve platformlarının desteğine ihtiyacınız olacaktır.
Bu proaktif "dört As" yaklaşımını kullanarak bulut güvenliğini bozarak, kuruluşlar bulut iş yüklerinin ve varlıklarının görünürlüğünün artması ve ele alınması gereken risk ve tehditlerden yararlanabilir. Bu, önceliklendirilmiş bir iyileştirme ve iyileştirme yol haritası oluşturmak için ihtiyaç duydukları bilgileri sağlayacak ve güvenliğin mevcut ve gelecekteki tüm dağıtımlarda tutarlı olmasını ve "oluşturulmasını" sağlayacaktır.