Hvad er skysikkerhed?

Ansvaret for skysikkerhed deles mellem cloudtjenesteudbydere og deres kunder. Ansvarsbyrden varierer afhængigt af typen af tilbudte tjenester:

Infrastruktur som en service. I denne model tilbyder cloudtjenesteudbydere beregningstjenester, netværk og lagerressourcer on-demand. Udbyderen har ansvar for sikkerheden for de centrale beregningstjenester. Kunderne skal sikre operativsystemet og alt oven på det, herunder programmer, data, kørsler og middleware.

Platform as a Service. Mange udbydere tilbyder også et komplet udviklings- og udrulningsmiljø i skyen. De tager ansvar for at beskytte kørslen, middleware og operativsystemet i tillæg til de centrale beregningstjenester. Kunderne skal beskytte deres programmer, data, brugeradgang, slutbrugerenheder og slutbrugernetværk.

Software som en service. Organisationer kan også få adgang til software efter en forbrugsafregnet model, f.eks. Microsoft Office 365 eller Google Drev. Med denne model skal kunderne stadig sørge for sikkerhed for deres data, brugere og enheder.

Fire værktøjer hjælper virksomheder med at beskytte deres ressourcer i skyen:

• En platform til beskyttelse af arbejdsbelastninger i skyen hjælper med at sikre beregnings-, lager- og netværksfunktionaliteterne, som programmer i skyen har brug for. Den virker ved at identificere arbejdsbelastninger i offentlige, private og hybride skymiljøer og scanne dem for sårbarheder. Hvis der registreres sårbarheder, foreslår løsningen kontroller til at udbedre problemerne.
• Cloud App Security Brokers hjælper it-teams med at få synlighed ind i brugen af apps i skyen og giver en risikovurdering for hver app. Disse løsninger hjælper også med at beskytte data og nå overholdelsesmål med værktøjer, der viser hvordan data bevæger sig gennem skyen. Organisationer bruger også cloud app security brokere til at registrere usædvanlig brugeradfærd og imødekomme trusler.
• En løsning til administration af niveau for skysikkerhed hjælper med at reducere risikoen ved kontinuerligt at lede efter konfigurationsfejl, der kunne føre til et brud. Disse løsninger automatiserer processen og reducerer derved risikoen for fejltagelser begået i manuelle processer og forbedrer overblikket over miljøer med tusindvis af tjenester og konti. Når sårbarhederne er blevet registreret, giver disse løsninger guidede anbefalinger for at hjælpe udviklerne med at løse problemet.
• Løsninger til identitets- og adgangsadministration giver værktøjer til at administrere identiteter og anvende adgangspolitikker. Organisationer bruger disse løsninger til at begrænse adgangen til følsomme ressourcer og håndhæve multifaktorgodkendelse og adgang med færrest rettigheder.
• En platform til skybaseret programbeskyttelse (CNAPP, Cloud-Native Application Protection Platform) hjælper sikkerhedsteams med at integrere sikkerhed fra kode til sky. CNAPP samler overholdelses- og sikkerhedsfunktionalitet for at forebygge, registrere og reagere på skysikkerhedstrusler fra udvikling til kørsel.
• Samlet DevOps-sikkerhedsadministration lader sikkerhedsteams samle, styrke og administrere sikkerhed med flere pipelines, flytte sikkerhed mod venstre for at integrere sikkerhed i selve koden og understøtte kode-til-sky-beskyttelser i én konsol.

Der er fire områder, som organisationer skal overveje, når de indfører procedurer og politikker for at beskytte deres skyer:

• Begrænsning af adgang: Fordi skyen gør alt tilgængeligt via internettet, er det særdeles vigtigt at sikre, at kun de rigtige personer har adgang til de rigtige værktøjer i det korrekte tidsrum.
• Beskyttelse af data: Organisationer skal forstå, hvor deres data er placeret, og anvende de rigtige kontroller til at sikre både infrastrukturen, hvor dataene hostes og lagres, og selve dataene.
• Genoprettelse af data: En god backupløsning og plan for genoprettelse af data er afgørende i tilfælde af et brud.
• Responsplan: Når der sker brud på en organisation, har den brug for en plan for at reducere indvirkningen og forhindre andre systemer i at blive kompromitteret.
• Flytning af sikkerhed mod venstre: Sikkerheds- og udviklingsteams samarbejder om at integrere sikkerhed i selve koden, så cloudbaserede programmer starter sikkert og forbliver sikre.
• Samling af synlighed for DevOps-sikkerhedsniveau: Minimer blinde vinkler ved at bruge en enkelt glasrude til at vise DevOps-sikkerhedsindsigter på tværs af DevOps-platforme.
• Sikkerhedsteams holdes fokuserede på fremkommende trusler: Styrk konfigurationer af skyressourcer i kode for at reducere antallet af sikkerhedsproblemer, der når produktionsmiljøer.

Organisationer skal holde øje med følgende risici ved skyen:

• Kompromitterede konti: Personer med ondsindede hensigter bruger ofte phishing-kampagner til at stjæle medarbejderes adgangskoder og få adgang til systemer og værdifulde virksomhedsaktiver.
• Hardware- og softwaresårbarheder: Uanset om en organisation bruger en offentlig eller privat sky, er det afgørende, at hardwaren og softwaren er patchet og opdateret.
• Interne trusler: Menneskelige fejl er en stor drivkraft bag sikkerhedsbrud. Fejlkonfigurationer kan give muligheder for ondsindede aktører. Medarbejdere klikker ofte på dårlige links eller flytter uforvarende data til placeringer med mindre sikkerhed.
• Manglende synlighed for skyressourcer: Skyrisici gør det mere udfordrende at registrere og besvare sikkerhedssårbarheder og -trusler, hvilket kan medføre brud og datatab.
• Manglede risikoprioritering: Når sikkerhedsadministratorer får synlighed over skyressourcer, kan antallet af anbefalinger om at forbedre sikkerhedsniveauet være overvældende. Det er vigtigt at prioritere risiko, så administratorer ved, hvor de skal fokusere for at opnå den største forbedring af sikkerheden.
• Skytilladelser med høj risiko: Spredningen af skytjenester og -identiteter har øget antallet af skytilladelser med høj risiko, hvilket udvider antallet af mulige angrebsoverflader. Målepunktet Permission Creep Index (PCI) måler hvor meget skade, identiteter kan forårsage, med udgangspunkt i deres tilladelser.
• Fremkommende trusselslandskab: Risikoen i forbindelse med skysikkerhed udvikler sig hele tiden. For at beskytte mod sikkerhedsbrud og datatab er det vigtigt altid at være opdateret, efterhånden som nye trusler viser sig.
• Manglende integration mellem cloudbaseret udvikling og sikkerhed: Det er afgørende for sikkerheds- og udviklingsteams at samarbejde om at identificere og løse kodeproblemer, før appen udrulles til skyen.

Skysikkerhed omhandler de teknologier, procedurer, politikker og kontrolelementer, der hjælper med at beskytte skybaserede systemer og data. Nogle eksempler på skysikkerhed er:

• Værktøjer såsom en Cloud Access Security Broker for at få synlighed over de apps og data, en organisation bruger.
• Administration af niveau for skysikkerhed til at hjælpe dig med at identificere og løse konfigurationsfejl.
• Værktøjer til at hjælpe sikkerheds- og udviklingstemas med at samarbejde om at integrere sikkerhed i selve koden.
• En platform til beskyttelse af arbejdsbelastninger i skyen for at integrere sikkerhed i udviklingsprocessen.
• Implementering af politikker for at holde medarbejderes enheder opdaterede, herunder regelmæssige opdatering af software.
• Indførelse af et oplæringsprogram som sikrer, at medarbejderne kender til de seneste trusler og phishingtaktikker.

Når skysystemer og -data beskyttes mod interne og eksterne trusler, reducerer skysikkerhed risikoen for et cyberangreb. Skysikkerhed understøtter også modeller for hybridarbejde ved at styre, hvem der har adgang til ressourcer – om det så er medarbejdere, leverandører eller forretningspartnere, der arbejder lokalt eller eksternt. En anden fordel er, at skysikkerhed forbedrer beskyttelse af personlige oplysninger og hjælper organisationer med at overholde lovgivning såsom GDPR og HIPAA (Health Insurance Portability and Accountability Act). Hvis disse love ikke overholdes, kan det medføre store bøder og beskadiget omdømme.

Bedste praksis for skysikkerhed går på tværs af din organisations teknologi, processer og kontrolelementer, herunder:

• Sikring af, at din cloudbaserede programplatform inkluderer en platform til beskyttelse af arbejdsbelastninger i skyen, rettighedsadministration til infrastruktur i skyen og administration af niveau for skysikkerhed, som vil hjælpe dig med at reducere fejl, styrke sikkerheden og administrere adgang effektivt.
• Udførsel af regelmæssig oplæring for at hjælpe medarbejderne med at genkende phishing-kampagner og andre social engineering-teknikker. Desuden implementering af processer, der hjælper dig med at forebygge, registrere og besvare et angreb, herunder kryptering af følsomme data, regelmæssig opdatering af software og hardware og udvikling af politikker for stærke adgangskoder.
• Ibrugtagning af en Nul tillid-struktur, der udtrykkeligt verificerer alle anmodninger om adgang. Dette inkluderer anvendelse af adgang med færrest rettigheder, så du giver folk adgang til de ressourcer, de har brug for, og intet andet.
• Flytning af sikkerhed mod venstre i DevOps-pipelinen gør sikkerheds- og udviklingsteams i stand til at samarbejde om at integrere sikkerhed i selve koden, så cloudbaserede programmer starter sikkert og forbliver sikre.