Οι 7 θανάσιμες αμαρτίες της ασφάλειας του cloud και πώς οι μικρομεσαίες επιχειρήσεις μπορούν να κάνουν τα πράγματα καλύτερα

Επιχειρησιακή ασφάλεια

Εξαλείφοντας αυτά τα λάθη και τα τυφλά σημεία, ο οργανισμός σας μπορεί να κάνει τεράστια βήματα προς τη βελτιστοποίηση της χρήσης του cloud χωρίς να εκτίθεται σε κίνδυνο στον κυβερνοχώρο

Φιλ Μάνκαστερ

Ιανουάριος 16 2024  •  , 5 λεπτό. ανάγνωση

Το cloud computing είναι ένα ουσιαστικό συστατικό του σημερινού ψηφιακού τοπίου. Η υποδομή, οι πλατφόρμες και το λογισμικό πληροφορικής είναι πιο πιθανό να παραδοθούν σήμερα ως υπηρεσία (εξ ου και τα ακρωνύμια IaaS, PaaS και SaaS, αντίστοιχα) παρά σε μια παραδοσιακή διαμόρφωση εσωτερικής εγκατάστασης. Και αυτό απευθύνεται στις μικρές και μεσαίες επιχειρήσεις (ΜΜΕ) περισσότερο από τις περισσότερες.

Το Cloud παρέχει την ευκαιρία να ισοπεδώσετε τον αγωνιστικό χώρο με μεγαλύτερους αντιπάλους, επιτρέποντας μεγαλύτερη επιχειρηματική ευελιξία και ταχεία κλίμακα χωρίς να σπάσετε τα χρήματα. Αυτός μπορεί να είναι ο λόγος για τον οποίο το 53% των παγκόσμιων μικρομεσαίων επιχειρήσεων που ρωτήθηκαν σε α πρόσφατη έκθεση λένε ότι ξοδεύουν πάνω από 1.2 εκατομμύρια $ ετησίως στο cloud. από 38% πέρυσι.

Ωστόσο, ο ψηφιακός μετασχηματισμός ενέχει και τον κίνδυνο. Η ασφάλεια (72%) και η συμμόρφωση (71%) είναι η δεύτερη και τρίτη πιο συχνά αναφερόμενη κορυφαία πρόκληση cloud για αυτούς τους ερωτηθέντες μικρομεσαίες επιχειρήσεις. Το πρώτο βήμα για την αντιμετώπιση αυτών των προκλήσεων είναι να κατανοήσουμε τα κύρια λάθη που κάνουν οι μικρότερες επιχειρήσεις με τις αναπτύξεις τους στο cloud.

Τα κορυφαία επτά λάθη ασφάλειας cloud που κάνουν οι μικρομεσαίες επιχειρήσεις

Ας είμαστε ξεκάθαροι, τα παρακάτω δεν είναι απλώς λάθη που κάνουν οι μικρομεσαίες επιχειρήσεις στο cloud. Ακόμη και οι μεγαλύτερες και με τους καλύτερους πόρους επιχειρήσεις είναι μερικές φορές ένοχοι που ξεχνούν τα βασικά. Αλλά εξαλείφοντας αυτά τα τυφλά σημεία, ο οργανισμός σας μπορεί να κάνει τεράστια βήματα προς τη βελτιστοποίηση της χρήσης του cloud, χωρίς να εκτίθεται σε δυνητικά σοβαρό οικονομικό κίνδυνο ή κίνδυνο φήμης.

1. Χωρίς έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA)

Οι στατικοί κωδικοί πρόσβασης είναι εγγενώς ανασφαλείς και δεν τηρούν όλες οι επιχειρήσεις το α πολιτική δημιουργίας υγιούς κωδικού πρόσβασης. Οι κωδικοί πρόσβασης μπορεί να είναι κλαπεί με διάφορους τρόπους, όπως μέσω phishing, μεθόδων brute-force ή απλά εικασίες. Αυτός είναι ο λόγος για τον οποίο πρέπει να προσθέσετε ένα επιπλέον επίπεδο ελέγχου ταυτότητας στο κορυφαίο MFA, θα κάνει πολύ πιο δύσκολο για τους εισβολείς να έχουν πρόσβαση στις εφαρμογές των λογαριασμών SaaS, IaaS ή PaaS των χρηστών σας, μετριάζοντας έτσι τον κίνδυνο ransomware, κλοπής δεδομένων και άλλων πιθανών αποτελεσμάτων. Μια άλλη επιλογή περιλαμβάνει τη μετάβαση, όπου είναι δυνατόν, σε εναλλακτικές μεθόδους ελέγχου ταυτότητας, όπως π.χ έλεγχος ταυτότητας χωρίς κωδικό πρόσβασης.

2. Υπερβολική εμπιστοσύνη στον πάροχο cloud (CSP)

Πολλοί ηγέτες πληροφορικής πιστεύουν ότι η επένδυση στο cloud σημαίνει ουσιαστικά την εξωτερική ανάθεση των πάντων σε ένα αξιόπιστο τρίτο μέρος. Αυτό είναι μόνο εν μέρει αλήθεια. Στην πραγματικότητα, υπάρχει ένα μοντέλο κοινής ευθύνης για την ασφάλεια του cloud, διαχωρισμός μεταξύ CSP και πελάτη. Αυτό που πρέπει να προσέξετε θα εξαρτηθεί από τον τύπο της υπηρεσίας cloud (SaaS, IaaS ή PaaS) και το CSP. Ακόμη και όταν το μεγαλύτερο μέρος της ευθύνης ανήκει στον πάροχο (π.χ. στο SaaS), μπορεί να πληρώσει για να επενδύσει σε πρόσθετους ελέγχους τρίτων.

3. Αποτυχία δημιουργίας αντιγράφων ασφαλείας

Σύμφωνα με τα παραπάνω, μην υποθέτετε ποτέ ότι ο πάροχος cloud σας (π.χ. για υπηρεσίες κοινής χρήσης/αποθήκευσης αρχείων) έχει την πλάτη σας. Πάντα συμφέρει να σχεδιάσουμε το χειρότερο σενάριο, το οποίο είναι πολύ πιθανό να είναι μια αποτυχία συστήματος ή μια κυβερνοεπίθεση. Δεν είναι μόνο τα χαμένα δεδομένα που θα επηρεάσουν τον οργανισμό σας, αλλά και το χτύπημα του χρόνου διακοπής λειτουργίας και της παραγωγικότητας που θα μπορούσε να ακολουθήσει ένα περιστατικό.

4. Αποτυχία τακτικής επιδιόρθωσης

Αποτυγχάνετε να επιδιορθώσετε και εκθέτετε τα συστήματα cloud σας σε εκμετάλλευση ευπάθειας. Αυτό με τη σειρά του θα μπορούσε να οδηγήσει σε μόλυνση από κακόβουλο λογισμικό, παραβιάσεις δεδομένων και πολλά άλλα. Η διαχείριση ενημερώσεων κώδικα είναι μια βασική βέλτιστη πρακτική ασφάλειας που είναι τόσο σχετική στο cloud όσο και στις εγκαταστάσεις.

5. Εσφαλμένη διαμόρφωση του cloud

Τα CSP είναι μια καινοτόμος δέσμη. Ωστόσο, ο τεράστιος όγκος νέων χαρακτηριστικών και δυνατοτήτων που παρουσιάζουν ως απάντηση στα σχόλια των πελατών μπορεί να καταλήξει στη δημιουργία ενός απίστευτα πολύπλοκου περιβάλλοντος cloud για πολλές μικρομεσαίες επιχειρήσεις. Καθιστά πολύ πιο δύσκολο να γνωρίζουμε ποια διαμόρφωση είναι η πιο ασφαλής. Τα κοινά λάθη περιλαμβάνουν ρύθμιση παραμέτρων αποθήκευσης cloud ώστε οποιοσδήποτε τρίτος μπορεί να έχει πρόσβαση σε αυτό και αποτυγχάνει να αποκλείσει τις ανοιχτές θύρες.

6. Δεν παρακολουθεί την κυκλοφορία στο cloud

Ένα κοινό ρεφρέν είναι ότι σήμερα δεν πρόκειται για «αν» αλλά «όταν» παραβιάζεται το περιβάλλον του cloud (IaaS/PaaS). Αυτό καθιστά την ταχεία ανίχνευση και απόκριση κρίσιμης σημασίας εάν θέλετε να εντοπίσετε τα σημάδια νωρίς, για να περιορίσετε μια επίθεση πριν προλάβει να επηρεάσει τον οργανισμό. Αυτό καθιστά απαραίτητη τη συνεχή παρακολούθηση.

7. Αποτυχία κρυπτογράφησης των εταιρικών κοσμημάτων

Κανένα περιβάλλον δεν είναι 100% απόδειξη παραβίασης. Τι θα συμβεί λοιπόν εάν ένα κακόβουλο μέρος καταφέρει να φτάσει τα πιο ευαίσθητα εσωτερικά σας δεδομένα ή τις άκρως ρυθμιζόμενες προσωπικές πληροφορίες εργαζομένου/πελάτη; Κρυπτογραφώντας το σε κατάσταση ηρεμίας και κατά τη μεταφορά, θα βεβαιωθείτε ότι δεν μπορεί να χρησιμοποιηθεί, ακόμα κι αν το αποκτήσετε.

Λήψη σωστής ασφάλειας στο cloud

Το πρώτο βήμα για την αντιμετώπιση αυτών των κινδύνων για την ασφάλεια του cloud είναι να κατανοήσετε πού βρίσκονται οι ευθύνες σας και ποιους τομείς θα χειριστεί ο CSP. Έπειτα, πρόκειται για μια κρίση σχετικά με το εάν εμπιστεύεστε τα εγγενή στοιχεία ελέγχου ασφαλείας του CSP ή θέλετε να τα βελτιώσετε με πρόσθετα προϊόντα τρίτων. Σκέψου τα ακόλουθα:

• Επένδυσε σε λύσεις ασφαλείας τρίτων για να βελτιώσετε την ασφάλεια και την προστασία σας στο cloud για τις εφαρμογές ηλεκτρονικού ταχυδρομείου, αποθήκευσης και συνεργασίας, πέρα ​​από τις δυνατότητες ασφαλείας που είναι ενσωματωμένες στις υπηρεσίες cloud που προσφέρονται από τους κορυφαίους παρόχους cloud στον κόσμο
• Προσθέστε εκτεταμένα ή διαχειριζόμενα εργαλεία ανίχνευσης και απόκρισης (XDR/MDR) για την ταχεία απόκριση περιστατικού και τον περιορισμό/αποκατάσταση παραβίασης
• Αναπτύξτε και αναπτύξτε ένα συνεχές πρόγραμμα επιδιόρθωσης με βάση τον κίνδυνο που βασίζεται σε ισχυρή διαχείριση περιουσιακών στοιχείων (δηλαδή, να γνωρίζετε ποια περιουσιακά στοιχεία cloud έχετε και στη συνέχεια να βεβαιωθείτε ότι είναι πάντα ενημερωμένα)
• Κρυπτογραφήστε τα δεδομένα σε κατάσταση ηρεμίας (σε επίπεδο βάσης δεδομένων) και σε διαμετακόμιση για να διασφαλίσετε ότι προστατεύονται ακόμη και αν τα καταλάβουν οι κακοί. Αυτό θα απαιτήσει επίσης αποτελεσματική και συνεχή ανακάλυψη και ταξινόμηση δεδομένων
• Καθορίστε μια σαφή πολιτική ελέγχου πρόσβασης. επιβολή ισχυρών κωδικών πρόσβασης, MFA, αρχών ελάχιστων προνομίων και περιορισμών/καταχώρισης άδειας βάσει IP για συγκεκριμένες διευθύνσεις IP
• Σκεφτείτε να υιοθετήσετε α Προσέγγιση μηδενικής εμπιστοσύνης, το οποίο θα ενσωματώνει πολλά από τα παραπάνω στοιχεία (MFA, XDR, κρυπτογράφηση) παράλληλα με την τμηματοποίηση δικτύου και άλλα στοιχεία ελέγχου

Πολλά από τα παραπάνω μέτρα είναι οι ίδιες βέλτιστες πρακτικές που θα περίμενε κανείς να αναπτυχθούν στις εγκαταστάσεις. Και σε υψηλό επίπεδο βρίσκονται, αν και οι λεπτομέρειες θα είναι διαφορετικές. Το πιο σημαντικό, να θυμάστε ότι η ασφάλεια στο cloud δεν είναι μόνο ευθύνη του παρόχου. Πάρτε τον έλεγχο σήμερα για να διαχειριστείτε καλύτερα τον κυβερνοχώρο.