Hvad er skysikkerhed?

Få mere at vide om de teknologier, procedurer, politikker og kontrolelementer, der hjælper med at beskytte dine skybaserede systemer og data.

Definition af skysikkerhed

Skysikkerhed er en disciplin inden for cybersikkerhed, der fokuserer på at beskytte systemer og data i skyen mod interne og eksterne trusler. Det omfatter blandt andet bedste praksis, politikker og teknologier, der hjælper virksomheder med at undgå uautoriseret adgang og datalækager. Når virksomheder udvikler en strategi for skysikkerhed, skal de tage højde for fire typer cloudcomputingmiljøer:

 

Offentlig skymiljøer

Køres af cloudtjenesteudbydere. I dette miljø deles servere af flere lejere.

 

Private skymiljøer

Kan være i et kundeejet datacenter eller køres af en offentlig cloudtjenesteudbyder. I begge tilfælder har serverne én lejer, og organisationer skal ikke dele plads med andre virksomheder.

 

Hybride skymiljøer

Er en kombination af lokale datacentre og tredjepartsskyer.

 

Miljø i flere skyer

Inkluderer to eller flere cloudtjenester, der drives af forskellige cloudtjenesteudbydere.

 

Uanset hvilken type miljø eller kombination af miljøer, en organisation bruger, er meningen med skysikkerhed at beskytte fysiske netværk, herunder routere og elektriske systemer, data, datalager, dataservere, programmer, software, operativsystemer og hardware.

Hvorfor er skysikkerhed vigtigt?

Skyen er blevet en integreret del af onlinelivet. Den gør digital kommunikation og digitalt arbejde mere praktisk og har fremmet hurtig innovation for organisation. Men når venner deler billeder, kolleger samarbejder om et nyt produkt eller myndigheder leverer onlinetjenester, er det ikke altid tydeligt, hvor selve dataene lagres. Personer kan uforvarende flytte data til en mindre sikker placering, og når alt er tilgængeligt via internettet, er aktiver i større risiko for uautoriseret adgang.

 

Beskyttelse af data er også mere og mere vigtigt for personer og myndigheder. Regulativer såsom den generelle forordning om databeskyttelse (GDPR) og Health Insurance Portability and Accountability Act (HIPAA) kræver, at organisationer, som indsamler oplysninger, gør dette på en gennemsigtig måde og indfører politikker, der forhindrer tyveri og misbrug af data. Hvis dette ikke overholdes, kan det medføre store bøder og beskadiget omdømme.

 

For at organisationer kan forblive konkurrencedygtige skal de fortsætte med at bruge skyen til at forny sig hurtigt og gøre det nemt for medarbejdere og kunder at få adgang til tjenester, samtidig med at data og systemer beskyttes mod følgende trusler:

  • Kompromitterede konti: Personer med ondsindede hensigter bruger ofte phishing-kampagner til at stjæle medarbejderes adgangskoder og få adgang til systemer og værdifulde virksomhedsaktiver.
  • Hardware- og softwaresårbarheder: Uanset om en organisation bruger en offentlig eller privat sky, er det afgørende, at hardwaren og softwaren er patchet og opdateret.
  • Interne trusler: Menneskelige fejl er en stor drivkraft bag sikkerhedsbrud. Fejlkonfigurationer kan give muligheder for ondsindede aktører, og medarbejdere klikker ofte på dårlige links eller flytter uforvarende data til placeringer med mindre sikkerhed.

Hvordan virker skysikkerhed?

Ansvaret for skysikkerhed deles mellem cloudtjenesteudbydere og deres kunder. Ansvarsbyrden varierer afhængigt af typen af tilbudte tjenester:

 

Infrastruktur som en service

I denne model tilbyder cloudtjenesteudbydere beregningstjenester, netværk og lagerressourcer on-demand. Udbyderen har ansvar for at sikre de centrale beregningstjenester. Kunderne skal sikre alt, der ligger oven på operativsystemet, herunder programmer, data, kørsler, middleware og selve operativsystemet.

 

Platform som en tjeneste

Mange udbydere tilbyder også et komplet udviklings- og udrulningsmiljø i skyen. De tager ansvar for at beskytte kørslen, middleware og operativsystemet i tillæg til de centrale beregningstjenester. Kunderne skal beskytte deres programmer, data, brugeradgang, slutbrugerenheder og slurbrugernetværk.

 

Software som en service

Organisationer kan også få adgang til software efter en forbrugsafregnet model, f.eks. Microsoft Office 365 eller Google Drev. Med denne model skal kunderne stadig sørge for sikkerhed for deres data, brugere og enheder.

 

Uanset hvem der har ansvaret, er der fire primære aspekter ved skysikkerhed:

  • Begrænsning af adgang: Fordi skyen gør alt tilgængeligt via internettet, er det særdeles vigtigt at sikre, at kun de rigtige personer har adgang til de rigtige værktøjer i det korrekte tidsrum.
  • Beskyttelse af data: Organisationer skal forstå, hvor deres data er placeret, og anvende de rigtige kontroller til at sikre både selve dataene og den infrastruktur, hvor dataene hostes.
  • Genoprettelse af data: En god backupløsning og plan for genoprettelse af data er afgørende i tilfælde af et brud.
  • Responsplan: Når en organisation angribes, har den brug for en plan for at reducere indvirkningen og forhindre andre systemer i at blive kompromitteret.

Typer af værktøjer til skysikkerhed

Værktøjer til skysikkerhed adresserer sårbarheder fra både medarbejdere og eksterne trusler. De hjælper også med at imødekommer fejl, der finder sted under udviklingen, og reducerer risikoen for, at uautoriserede personer får adgang til følsomme data.

  • Administration af niveau for skysikkerhed

    Fejlkonfigurationer af skyen sker ofte og giver muligheder for kompromittering. Mange af disse fejl finder sted, fordi personer ikke forstår, at kunden er ansvarlig for at konfigurere skyen og sikre programmer. Det er også nemt at begå en fejl i store virksomheder med komplekse miljøer.

     

    En løsning til administration af niveau for skysikkerhed hjælper med at reducere risikoen ved kontinuerligt at lede efter konfigurationsfejl, der kunne føre til et brud. Disse løsninger automatiserer processen og reducerer derved risikoen for fejltagelser begået i manuelle processer og forbedrer overblikket over miljøer med tusindvis af tjenester og konti. Når sårbarhederne er blevet registreret, kan udviklerne rette op på problemet med guidede anbefalinger. Administration af niveau for skysikkerhed overvåger også miljøet kontinuerligt for ondsindet aktivitet eller uautoriseret adgang.

  • Platform til beskyttelse af arbejdsbelastninger i skyen

    Eftersom organisationer har indført processer, der hjælper udviklere med at udvikle og udrulle funktioner hurtigere, er der en større risiko for at sikkerhedskontroller misses under udviklingen. En platform til beskyttelse af arbejdsbelastninger i skyen hjælper med at sikre beregnings-, lager- og netværksfunktionaliteterne, som programmer i skyen har brug for. Den virker ved at identificere arbejdsbelastninger i offentlige, private og hybride skymiljøer og scanne dem for sårbarheder. Hvis der registreres sårbarheder, foreslår løsningen kontroller til at udbedre dem.

  • Cloud access security broker

    Det er let at finde og få adgang til cloudtjenester, og derfor kan det være svært for it-afdelingen at holde styr på al den software, der bruges i organisationen.

     

    Cloud access security brokers (CASB) hjælper it-afdelingen med at få overblik over brug af apps og giver en risikovurdering for hver app. Disse løsninger hjælper også med at beskytte data og nå overholdelsesmål med værktøjer, der viser hvordan data bevæger sig gennem skyen. Organisationer bruger også disse værktøjer til at registrere usædvanlig brugeradfærd og imødekomme trusler.

  • Identitet og adgang

    Der er afgørende for beskyttelse af data i skyen, at det kontrolleres, hvem der har adgang til ressourcer. Organisationer skal kunne sikre, at medarbejdere, entreprenører og forretningspartnere alle har den rigtige adgang, uanset om de er på stedet eller arbejder fra en fjernplacering.

     

    Organisationer bruger identitets- og adgangsløsninger til at bekræfte identiteter, begrænse adgang til følsomme ressourcer og håndhæve multifaktorgodkendelse og politikker for færrest rettigheder.

  • Rettighedsadministration til cloudinfrastruktur

    Identitets- og adgangsstyring bliver endnu mere kompliceret, når personer får adgang til data på tværs af flere skyer. En løsning til rettighedsadministration til cloudinfrastruktur hjælper en virksomhed med at få overblik over, hvilke identiteter der tilgår hvilke ressourcer på tværs af dens skyplatforme. It-teams bruger også disse produkter til at anvende adgang med færrest rettigheder og andre sikkerhedspolitikker.

Hvilke udfordringer er der ved skysikkerhed?

Skyens mange forbindelser gør det nemt at arbejde og interagere online, men det skaber også sikkerhedsrisici. Sikkerhedsteams har brug for løsninger, der hjælper dem med at adressere følgende nøgleudfordringer i skyen:

  • Manglende overblik over data

    It-afdelinger skal give medarbejdere, forretningspartnere og entreprenører adgang til virksomhedsaktiver og -oplysninger for at holde organisationer produktive. Mange af disse personer arbejder hjemmefra eller uden for virksomhedens netværk, og i store virksomheder ændres listen over autoriserede brugere hele tiden. Når så mange personer bruger flere enheder til at få adgang til virksomhedsressourcer på tværs af en række offentlige og private skyer, kan det være svært at overvåge, hvilke tjenester der bruges, og hvordan data bevæger sig gennem skyen. Tekniske teams skal sikre, at dataene ikke flyttes til lagerløsninger, der er mindre sikre, og de skal forhindre de forkerte personer i at få adgang til følsomme oplysninger.

  • Komplekse miljøer

    Skyen har gjort udrulning af infrastruktur og apps meget nemmere. Med så mange forskellige udbydere og tjenester at vælge mellem, kan it-afdelingen vælge det miljø, der passer bedst til kravene for hvert produkt og hver tjeneste. Dette har ført til et komplekst miljø på tværs af det lokale miljø og offentlig og privat sky. Et hybridmiljø på tværs af flere skyer kræver sikkerhedsløsninger, der virker på tværs af hele økosystemet og beskytter personer, der opnår adgang til forskellige aktiver fra forskellige placeringer. Konfigurationsfejl er mere sandsynlige, og det kan være en udfordring at overvåge trusler der bevæger sig tværs gennem disse komplekse miljøer.

  • Hurtigt innovation

    En kombination af faktorer har gjort organisationer i stand til at skabe hurtig innovation og udrulle nye produkter hurtigt. Kunstig intelligens, maskinel indlæring og internet of things-teknologi har gjort virksomheder i stand til at indsamle og bruge data mere effektivt. Cloudtjenesteudbydere tilbyder tjenester med lave eller ingen kodekrav for at gøre det nemmere for virksomheder at bruge avancerede teknologier. DevOps-processer har afkortet udviklingscyklussen. Og eftersom mere infrastruktur hostes i skyen har mange organisation omfordelt ressourcer til forskning og udvikling. Bagsiden af medaljen ved hurtig innovation er, at teknologien ændrer sig så hurtigt, at sikkerhedsstandarder ofte springes over eller overses.

  • Overholdelse af angivne standarder og styring

    Selvom de fleste store cloudtjenesteudbydere overholder flere velkendte akkrediteringsprogrammer for overholdelse angivne standarder, er det stadig cloudkundernes ansvar at sikre, at deres arbejdsbelastninger overholder myndighedsstandarder og interne standarder.

  • Insidertrusler

    Medarbejderne er en af virksomhedernes største sikkerhedsrisici. Mange brud starter, når en medarbejder klikker på et link, der downloader malware. Desværre skal organisationer også holde øje med insidere, der lækker data bevidst.

Implementering af skysikkerhed

Det er muligt at reducere risikoen for et cyberangreb mod dig med den rigtige kombination af processer, kontroller og teknologi.

 

En cloudbaseret programplatform, som inkluderer en platform til beskyttelse af arbejdsbelastninger i skyen, rettighedsadministration til cloudinfrastruktur og administration af niveau for skysikkerhed, vil hjælpe dig med at reducere fejl, styrke sikkerhed og administrere adgang effektivt. 

 

Du kan understøtte din teknologiinvestering ved at udføre regelmæssig træning for at hjælpe medarbejderne med at genkende phishing-kampagner og andre social engineering-teknikker. Sørg for, at det er nemt for personer at underrette it-afdelingen, hvis de mistænker, at de har modtaget en ondsindet mail. Kør phishingsimuleringer for at overvåge dit programs effektivitet.

 

Skab processer, der hjælper dig med at undgå, registrere og reagere på et angreb. Patch software og hardware regelmæssigt for at reducere sårbarheder. Kryptér følsomme data og skab politikker for stærke adgangskoder for at reducere din risiko for en kompromitteret konto. Multifaktorgodkendelse gør det meget svært for uautoriserede brugere at få adgang, og teknologier uden adgangskode er enklere at bruge og mere sikre end en traditionel adgangskode.

 

Med modeller for hybridarbejde, som giver medarbejderne fleksibilitet til at arbejde på kontoret, hjemme eller andre steder, har organisationer brug for en ny sikkerhedsmodel, som beskytter personer, enheder, apps og data, uanset hvor de befinder sig. En Nul tillid-struktur starter med det princip, at du ikke længere kan stole på en adgangsanmodning, selv hvis den kommer inde fra netværket. For at begrænse din risiko skal du antage, at der har været brud på sikkerheden og udtrykkeligt bekræfte alle adgangsanmodninger. Anvend minimumsrettigheder til adgang, så du kun giver folk adgang til de ressourcer, de har brug for, og intet andet.

Løsninger til skysikkerhed

Selvom skyen introducerer nye sikkerhedsrisici, processer og politikker, kan den hjælpe dig med at reducere din risiko betydeligt. Start med følgende trin:

  • Identificer alle de cloudtjenesteudbydere, organisationen bruger, og gør dig selv bekendt med deres ansvar med hensyn til sikkerhed og privatliv.
  • Invester i værktøjer såsom en cloud app security broker for apps i skyen for at få overblik over de apps og data, din organisation bruger.
  • Udrul en administration af niveau for skysikkerhed til at hjælpe dig med at identificere og løse konfigurationsfejl.
  • Implementer en platform til beskyttelse af arbejdsbelastninger i skyen for at bygge sikkerhed ind i udviklingsprocessen.
  • Installer softwarepatches regelmæssigt og indfør politikker for at holde medarbejdernes enheder opdaterede.
  • Indfør et træningsprogram som sikrer, at medarbejderne kender til de seneste trusler og phishingtaktikker.
  • Implementer en Nul tillid-sikkerhedsstrategi, og brug identitets- og adgangsadministration til at administrere og beskytte adgang.

Få mere at vide om Microsoft Security

Microsoft Defender for Cloud

Overvåg og beskyt arbejdsmængder på tværs af dine skyer og hybride miljøer.

Få mere at vide

Microsoft Defender for Cloud Apps

Få omfattende synlighed i og kontrol over skyapps med en førende CASB.

Få mere at vide

Avanceret GitHub-sikkerhed

Opbyg sikrere apps hurtigere med trusselsmodellering, sårbarhedsscanning og enhedstestning.

Få mere at vide

Azure Active Directory

Beskyt alle dine brugere og bruger data med enkeltlogon, multifaktorgodkendelse og betinget adgang.

Få mere at vide

Microsoft Entra Tilladelsesstyring

Opdag, afhjælp og overvåg tilladelsesrisici i din infrastruktur i flere skyer.

Få mere at vide

Risk IQ

Afslør og vurder trusler på tværs af hele din virksomhed – lokalt, Azure og andre skyer.

Få mere at vide

Ofte stillede spørgsmål

|

Ansvaret for skysikkerhed deles mellem cloudtjenesteudbydere og deres kunder. Ansvarsbyrden varierer afhængigt af typen af tilbudte tjenester:

 

Infrastruktur som en service. I denne model tilbyder cloudtjenesteudbydere beregningstjenester, netværk og lagerressourcer on-demand. Udbyderen har ansvar for sikkerheden for de centrale beregningstjenester. Kunderne skal sikre alt, der ligger oven på operativsystemet, herunder programmer, data, kørsler, middleware og selve operativsystemerne.

 

Platform som en tjeneste. Mange udbydere tilbyder også et komplet udviklings- og udrulningsmiljø i skyen. De tager ansvar for at beskytte kørslen, middleware og operativsystemet i tillæg til de centrale beregningstjenester. Kunderne skal beskytte deres programmer, data, brugeradgang, slutbrugerenheder og slurbrugernetværk.

 

Software som en service. Organisationer kan også få adgang til software efter en forbrugsafregnet model, f.eks. Microsoft Office 365 eller Google Drev. Med denne model skal kunderne stadig sørge for sikkerhed for deres data, brugere og enheder.

Fire værktøjer hjælper virksomheder med at beskytte deres ressourcer i skyen:

  • En platform til beskyttelse af arbejdsbelastninger i skyen hjælper med at sikre beregnings-, lager- og netværksfunktionaliteterne, som programmer i skyen har brug for. Den virker ved at identificere arbejdsbelastninger i offentlige, private og hybride skymiljøer og scanne dem for sårbarheder. Hvis der registreres sårbarheder, foreslår løsningen kontroller til at udbedre problemerne.
  • Cloud app security brokere hjælper it-afdelingen med at få overblik over brugen af apps i skyen og giver en risikovurdering for hver app. Disse løsninger hjælper også med at beskytte data og nå overholdelsesmål med værktøjer, der viser hvordan data bevæger sig gennem skyen. Organisationer bruger også cloud app security brokere til at registrere usædvanlig brugeradfærd og imødekomme trusler.
  • En løsning til administration af niveau for skysikkerhed hjælper med at reducere risikoen ved kontinuerligt at lede efter konfigurationsfejl, der kunne føre til et brud. Disse løsninger automatiserer processen og reducerer derved risikoen for fejltagelser begået i manuelle processer og forbedrer overblikket over miljøer med tusindvis af tjenester og konti. Når sårbarhederne er blevet registreret, giver disse løsninger guidede anbefalinger for at hjælpe udviklerne med at løse problemet.
  • Løsninger til identitets- og adgangsstyring giver værktøjer til administrere identiteter og anvende adgangspolitikker. Organisationer bruger disse løsninger til at begrænse adgangen til følsomme ressourcer og håndhæve multifaktorgodkendelse og adgang med færrest rettigheder.

Der er fire områder, som organisationer skal overveje, når de indfører procedurer og politikker for at beskytte deres skyer:

  • Begrænsning af adgang: Fordi skyen gør alt tilgængeligt via internettet, er det særdeles vigtigt at sikre, at kun de rigtige personer har adgang til de rigtige værktøjer i det korrekte tidsrum.
  • Beskyttelse af data: Organisationer skal forstå, hvor deres data er placeret, og anvende de rigtige kontroller til at sikre både infrastrukturen, hvor dataene hostes og lagres, og selve dataene.
  • Genoprettelse af data: En god backupløsning og plan for genoprettelse af data er afgørende i tilfælde af et brud.
  • Responsplan: Når der sker brud på en organisation, har den brug for en plan for at reducere indvirkningen og forhindre andre systemer i at blive kompromitteret.

Organisationer skal holde øje med følgende risici ved skyen:

  • Kompromitterede konti: Personer med ondsindede hensigter bruger ofte phishing-kampagner til at stjæle medarbejderes adgangskoder og få adgang til systemer og værdifulde virksomhedsaktiver.
  • Hardware- og softwaresårbarheder: Uanset om en organisation bruger en offentlig eller privat sky, er det afgørende, at hardwaren og softwaren er patchet og opdateret.
  • Interne trusler: Menneskelige fejl er en stor drivkraft bag sikkerhedsbrud. Fejlkonfigurationer kan give muligheder for ondsindede aktører. Medarbejdere klikker ofte på dårlige links eller flytter uforvarende data til placeringer med mindre sikkerhed.