Что такое безопасность облака?

Узнайте подробности о технологиях, процедурах, политиках и элементах управления, которые помогут вам защитить облачные системы и данные.

Определение безопасности облака

Безопасность облака — это раздел кибербезопасности, посвященный защите облачных систем и данных от внутренних и внешних угроз, включая передовые методы, политики и технологии, которые помогают компаниям предотвратить несанкционированный доступ и утечку данных. При разработке стратегии безопасности облачных вычислений компании должны учитывать четыре типа сред облачных вычислений.

 

Общедоступные облачные среды

Такими средами управляют поставщики облачных служб. Сервера используются несколькими клиентами.

 

Частные облачные среды

Могут быть как центрами обработки данных, принадлежащими клиентам, так и управляться поставщиками облачных служб. В обоих случаях серверы используются только одним клиентом, и организациям не приходится делить место с другими компаниями.

 

Гибридные облачные среды

Такие среды являются комбинацией локальных центров обработки данных и сторонних облачных служб.

 

Многооблачные среды

Включают две и более облачных служб, которые управляются разными поставщиками.

 

Независимо от того, какой тип среды или комбинацию сред использует организация, безопасность облака призвана защитить физические сети, включая маршрутизаторы и электрические системы, данные, хранилища данных, серверы данных, приложения, программное обеспечение, операционные системы и аппаратное обеспечение.

Почему безопасность облака важна?

Облако стало неотъемлемой частью работы в сети. Благодаря ему цифровое общение и работа становятся более удобными и стимулируют быстрое внедрение инноваций в организациях. Но когда друзья обмениваются фотографиями, коллеги работают над новым продуктом или правительства предоставляют онлайн-услуги, не всегда понятно, где хранятся сами данные. Люди могут случайно переместить данные в менее безопасное место, а поскольку в Интернете может стать доступным всё, файлы подвергаются большему риску несанкционированного доступа.

 

Конфиденциальность данных также становится все более важной для людей и правительства. Такие нормативные акты, как Общий регламент по защите данных (GDPR) и акт о передаче и защите данных учреждений здравоохранения HIPAA (HIPAA), требуют от организаций, собирающих сведения, делать это прозрачно и внедрять политику, помогающую предотвратить кражу или неправомерное использование данных. Несоблюдение требований может привести к большим штрафам и ущербу для репутации.

 

Чтобы сохранять конкурентоспособность, организации должны продолжать использовать облако для быстрой итерации и упрощения доступа сотрудников и клиентов к услугам, одновременно защищая данные и системы от следующих угроз.

  • Скомпрометированные учетные записи: Злоумышленники часто используют фишинговые кампании, чтобы украсть пароли сотрудников и получить доступ к системам и важным данным организации.
  • Уязвимости аппаратного и программного обеспечения: Как в случае использования общедоступного, так и частного облака, критически важно, чтобы аппаратное и программное обеспечение организации было исправлено и обновлено.
  • Внутренние угрозы: Человеческий фактор является одной из самых частых причин брешей в системах безопасности. Неправильная конфигурация может создать возможности атаки для злоумышленников, а сотрудники часто переходят по нежелательным ссылкам или непреднамеренно перемещают данные в места с меньшим уровнем безопасности.

Как работает безопасность облака?

Безопасность облака — это коллективная ответственность поставщиков облачных служб и их клиентов. Обязательства зависят от типов предоставляемых услуг:

 

Инфраструктура как услуга

В этой модели поставщик облачных служб предоставляет ресурсы для вычислений, сети и хранилища по запросу. За безопасность служб вычислений отвечает поставщик услуг. Клиенты должны обеспечивать безопасность всего, что находится поверх операционной системы, включая приложения, данные, среду выполнения, ПО промежуточного слоя и саму ОС.

 

Платформа как услуга

Многие поставщики также предлагают полноценную среду для разработки и развертывания в облаке. Помимо основных вычислений, на них лежит ответственность за защиту среды выполнения, ПО промежуточного слоя и операционную систему. Клиенты должны принимать все необходимые меры безопасности для своих приложений, данных, пользовательских доступов, устройств и сетей конечных пользователей.

 

Программное обеспечение как услуга

Кроме того, организации могут получить программное обеспечение по предоплатной модели, например решения Microsoft Office 365 или Google Диск. В этой модели клиенты по-прежнему должны обеспечивать безопасность своих данных, пользователей и устройств.

 

Независимо от того, на ком лежит ответственность, выделяют четыре основных аспекта безопасности облака.

  • Ограничение доступа: Так как облако делает все доступным через Интернет, невероятно важно обеспечить, чтобы только нужные люди имели доступ к нужным инструментам в течение нужного времени.
  • Защита данных: Организации должны понимать, где находятся их данные, и внедрять соответствующие средства контроля для защиты как самих данных, так и инфраструктуры, в которой эти данные размещены.
  • Восстановление данных: Надежное решение для резервного копирования и план восстановления данных играют ключевую роль в случае бреши в системе безопасности.
  • План реагирования: Когда организация подвергается атаке, ей необходим план по снижению последствий и предотвращению компрометации других систем.

Типы инструментов для безопасности облака

Инструменты для безопасности облака помогают устранять уязвимости, исходящие как от сотрудников, так и извне. Кроме того, они помогают исправить ошибки, возникающие в процессе разработки, и снизить риск получения доступа к конфиденциальным данным посторонними лицами.

  • Управление состоянием безопасности облака

    Ошибки в конфигурации облака происходят часто и создают возможности для компрометации. Многие из этих ошибок происходят потому, что люди не понимают, что клиент отвечает за настройку облака и защиту приложений. В больших корпорациях со сложной средой также легко совершить ошибку.

     

    Управление состоянием безопасности облака помогает снизить риски за счет постоянного наблюдения за ошибками конфигурации, которые могут привести к бреши. Автоматизируя процесс, эти решения снижают риск ошибок в ручных процессах и повышают прозрачность сред с тысячами сервисов и учетных записей. После обнаружения уязвимостей разработчики могут устранить проблему с помощью рекомендаций. Управление состоянием безопасности облака также постоянно отслеживает среду на предмет вредоносной активности или несанкционированного доступа.

  • Платформа для защиты рабочей нагрузки в облаке

    Поскольку организации внедряют процессы, помогающие разработчикам быстрее создавать и внедрять новые функции, возрастает риск того, что некоторые проверки безопасности будут пропущены во время разработки. Платформа для защиты рабочей нагрузки в облаке помогает обезопасить вычисления, хранение и функции сети, которые используют приложения в облаке. Платформа определяет рабочие нагрузки в общедоступных, частных и гибридных облачных средах и проверяет их на наличие уязвимостей. При обнаружении уязвимостей решение предложит меры по их устранению.

  • Брокер безопасного доступа в облако

    Найти облачные службы и получить к ним доступ легко. Поэтому ИТ-специалисты не всегда могут успевать следить за всем программным обеспечением, используемым в организации.

     

    Брокеры безопасного доступа в облако (CASB) помогают ИТ-специалистам улучшить видимость использования облачных приложений и произвести оценку каждого приложения. Кроме того, эти решения помогают защитить данные и обеспечить соответствие требованиям благодаря инструментам, которые отображают перемещение данных в облаке. Организации также используют эти инструменты для обнаружения необычного поведения пользователей и устранения угроз.

  • Идентификация и доступ

    Контроль того, кто имеет доступ к ресурсам, имеет решающее значение для защиты данных в облаке. Организации должны гарантировать, что сотрудники, подрядчики и деловые партнеры имеют необходимый доступ независимо от того, находятся ли они в офисе или работают удаленно.

     

    Организации используют решения для идентификации и доступа для проверки личности, ограничения доступа к конфиденциальным ресурсам, применения многофакторной аутентификации и политик наименьших привилегий.

  • Управление правами в облачной инфраструктуре

    Система управления идентификацией и доступом становится сложнее, когда люди получают доступ к данным из разных облачных сред. Решения для управления правами в облачной инфраструктуре помогают организациям получить видимость того, какие удостоверения получают доступ к ресурсам на облачных платформах. ИТ-команды также используют эти продукты для применения доступа на основе привилегий и других политик безопасности.

В чем заключаются сложности безопасности облака?

Взаимосвязанность облака упрощает работу и взаимодействие в Интернете, но при этом создает риски для безопасности. Службам безопасности нужны решения, которые помогут им со следующими ключевыми проблемами в облаке.

  • Недостаток видимости данных

    Для обеспечения продуктивной работы организаций ИТ-отдел должен предоставлять сотрудникам, деловым партнерам и подрядчикам доступ к данным и информации компании. Многие из этих людей работают удаленно или за пределами сети компании, а на крупных предприятиях список авторизованных пользователей постоянно меняется. Поскольку часто люди используют множество устройств для доступа к ресурсам компании через различные публичные и частные облака, может быть сложно отслеживать, какие службы используются и как данные перемещаются через облако. Техническим командам необходимо следить за тем, чтобы данные не перемещались в менее безопасные системы хранения, а также предотвращать доступ к конфиденциальной информации посторонних лиц.

  • Сложные среды

    Облако значительно упростило развертывание инфраструктуры и приложений. Благодаря большому количеству различных поставщиков и служб ИТ-специалисты могут выбрать среду, которая наилучшим образом соответствует требованиям каждого продукта и услуги. Это привело к созданию сложной среды, включающей локальные, общедоступные и частные облака. Гибридная, многооблачная среда требует решений безопасности, которые работают во всей экосистеме и защищают людей, которые получают доступ к различным данным из разных мест. Ошибки конфигурации более вероятны, и может быть сложно отслеживать угрозы способом бокового смещения в этих сложных средах.

  • Ускоренная разработка инноваций

    Сочетание различных факторов позволило организациям быстро внедрять инновации и выпускать новые продукты. Искусственный интеллект, машинное обучение и технологии Интернета вещей позволили предприятиям более эффективно собирать и использовать данные. Поставщики облачных служб предлагают малокодовые и бескодовые решения, чтобы облегчить компаниям использование передовых технологий. Процессы DevOps сократили цикл разработки. А поскольку все большая часть инфраструктуры размещается в облаке, многие организации перераспределили ресурсы на исследования и разработки. Обратная сторона ускорения внедрения инноваций заключается в том, что технологии меняются так быстро, что стандарты безопасности часто пропускаются или упускаются из виду.

  • Соответствие требованиям и управление

    Большинство крупных поставщиков облачных служб соответствуют нескольким известным программам аккредитации на соответствие требованиям, однако ответственность за соответствие своих рабочих нагрузок государственным и внутренним стандартам по-прежнему лежит на заказчиках облачных услуг.

  • Внутренние угрозы

    Сотрудники являются одним из самых больших рисков для безопасности компании. Многие бреши в системе безопасности начинаются с того, что сотрудник нажимает на ссылку, по которой скачивается вредоносное ПО. К сожалению, организациям также необходимо быть внимательными по отношению к сотрудникам, которые могут целенаправленно сливать данные.

Внедрение безопасности облака

Снижение риска кибератаки на вашу облачную среду возможно при правильном сочетании процессов, средств контроля и технологий.

 

Платформа облачных приложений, включающая платформу для защиты рабочих нагрузок в облаке, управление правами в облачной инфраструктуре и управление состоянием безопасности облака, поможет вам сократить количество ошибок, укрепить безопасность и эффективно управлять доступом. 

 

Для поддержки инвестиций в технологии регулярно проводите обучение, чтобы помочь сотрудникам научиться распознавать фишинговые кампании и другие методы социальной инженерии. Убедитесь, что сотрудники могут легко уведомить ИТ-отдел, если они подозревают, что получили вредоносное письмо. Контролируйте эффективность своей обучающей программы с помощью симуляторов фишинга.

 

Разработайте процессы, которые будут помогать вам обнаруживать и предотвращать атаки, а также реагировать на них. Регулярно обновляйте программное и аппаратное обеспечение для уменьшения уязвимостей. Шифруйте конфиденциальные данные и разрабатывайте надежные политики паролей, чтобы снизить риск компрометации учетной записи. Многофакторная проверка подлинности значительно усложняет несанкционированный доступ, при этом технологию проверки подлинности без пароля гораздо проще использовать, а защита, которую она обеспечивает, более надежна, чем в случае традиционных паролей.

 

Поскольку все больше организаций внедряют гибридную модель работы, которая дает сотрудникам возможность работать в офисе и удаленно, необходима новая модель безопасности, которая защищает людей, устройства, приложения и данные независимо от их местонахождения. В основе модели "Никому не доверяй" лежит принцип, что вы не можете доверять запросу на доступ, даже если он исходит из внутренней сети. Чтобы снизить риск, предположите, что вы подверглись взлому, и тщательно проверяйте все запросы на доступ. Используйте доступ с наименьшими привилегиями, чтобы предоставлять сотрудникам доступ только к тем ресурсам, которые им необходимы, и не более того.

Решения для обеспечения безопасности в облаке

Хотя облако создает новые риски для безопасности, правильные решения, процессы и политики безопасности облака могут помочь вам значительно снизить эти риски. Начните со следующих шагов.

  • Определите всех поставщиков облачных услуг, используемых в организации, и ознакомьтесь с их обязанностями в отношении безопасности и конфиденциальности.
  • Инвестируйте в такие инструменты, как брокер безопасности облачных приложений, чтобы получить видимость приложений и данных, которые использует ваша организация.
  • Разверните управление состоянием безопасности облака, чтобы проще выявлять и исправлять ошибки конфигурации.
  • Внедрите платформу для защиты рабочей нагрузки в облаке для обеспечения безопасности в процессе разработки.
  • Регулярно обновляйте программное обеспечение и внедряйте политики для поддержания устройств сотрудников в актуальном состоянии.
  • Организуйте программу обучения, чтобы сотрудники знали о новых угрозах и тактиках фишинга.
  • Внедрите стратегию безопасности "Никому не доверяй" и используйте систему управления идентификацией и доступом для управления доступом и его защиты.

Подробнее о Microsoft Security

Вопросы и ответы

|

Безопасность облака — это коллективная ответственность поставщиков облачных служб и их клиентов. Обязательства зависят от типов предоставляемых услуг:

 

Инфраструктура как услуга. В этой модели поставщик облачных служб предоставляет ресурсы для вычислений, сети и хранилища по запросу. За безопасность служб вычислений отвечает поставщик услуг. Клиенты должны обеспечивать безопасность всего, что находится поверх операционной системы, включая приложения, данные, среду выполнения, ПО промежуточного слоя и саму ОС.

 

Платформа как услуга. Многие поставщики также предлагают полноценную среду для разработки и развертывания в облаке. Помимо основных вычислений, на них лежит ответственность за защиту среды выполнения, ПО промежуточного слоя и операционную систему. Клиенты должны принимать все необходимые меры безопасности для своих приложений, данных, пользовательских доступов, устройств и сетей конечных пользователей.

 

Программное обеспечение как услуга. Кроме того, организации могут получить программное обеспечение по предоплатной модели, например решения Microsoft Office 365 или Google Диск. В этой модели клиенты по-прежнему должны обеспечивать безопасность своих данных, пользователей и устройств.

Четыре инструмента помогают компаниям защищать свои ресурсы в облаке:

  • Платформа для защиты рабочей нагрузки в облаке помогает обезопасить вычисления, хранение и функции сети, которые используют приложения в облаке. Платформа определяет рабочие нагрузки в общедоступных, частных и гибридных облачных средах и проверяет их на наличие уязвимостей. При обнаружении уязвимостей решение предложит меры по их устранению.
  • Брокеры безопасности облачных приложений помогают ИТ-отделу получить представление об использовании облачных приложений и провести оценку рисков для каждого из них. Кроме того, эти решения помогают защитить данные и обеспечить соответствие требованиям благодаря инструментам, которые отображают перемещение данных в облаке. Организации также используют брокеры для обнаружения необычного поведения пользователей и устранения угроз.
  • Управление состоянием безопасности облака помогает снизить риски за счет постоянного наблюдения за ошибками конфигурации, которые могут привести к бреши. Автоматизируя процесс, эти решения снижают риск ошибок в ручных процессах и повышают прозрачность сред с тысячами сервисов и учетных записей. После обнаружения уязвимостей разработчики могут устранить проблему с помощью рекомендаций, которые предоставляют решения.
  • Системы управления идентификацией и доступом предоставляют инструменты для управления идентификационными данными и применения политик доступа. Организации используют эти решения для проверки личности, ограничения доступа к конфиденциальным ресурсам, применения многофакторной аутентификации и политик по принципу предоставления минимальных прав.

Существует четыре области, которые организации должны учитывать при внедрении процедур и политик для защиты своих облачных сред.

  • Ограничение доступа: Так как облако делает все доступным через Интернет, невероятно важно обеспечить, чтобы только нужные люди имели доступ к нужным инструментам в течение нужного времени.
  • Защита данных: Организации должны понимать, где находятся их данные, и внедрять соответствующие средства контроля для защиты как самих данных, так и инфраструктуры, в которой эти данные размещены.
  • Восстановление данных: Надежное решение для резервного копирования и план восстановления данных играют ключевую роль в случае бреши в системе безопасности.
  • План реагирования: Когда организация подвергается атаке, ей необходим план по снижению последствий и предотвращению компрометации других систем.

Организациям необходимо остерегаться следующих рисков.

  • Скомпрометированные учетные записи: Злоумышленники часто используют фишинговые кампании, чтобы украсть пароли сотрудников и получить доступ к системам и важным данным организации.
  • Уязвимости аппаратного и программного обеспечения: Как в случае использования общедоступного, так и частного облака, критически важно, чтобы аппаратное и программное обеспечение организации было исправлено и обновлено.
  • Внутренние угрозы: Человеческий фактор является одной из самых частых причин брешей в системах безопасности. Неправильная конфигурация может стать возможностью атаки для злоумышленника. Сотрудники часто переходят по нежелательным ссылкам или непреднамеренно перемещают данные в места с меньшим уровнем безопасности.