7 surmavat pilveturbepattu ja kuidas VKEd saavad asju paremini teha

Äri turvalisus

Nende vigade ja pimealade kõrvaldamisega saab teie organisatsioon astuda suuri samme pilvekasutuse optimeerimiseks, ilma et see puutuks kokku küberriskidega

Phil Muncaster

16 Jan 2024  •  , 5 min. lugeda

Pilvandmetöötlus on tänapäeva digitaalse maastiku oluline komponent. IT-infrastruktuuri, platvorme ja tarkvara tarnitakse tänapäeval tõenäolisemalt teenusena (seega vastavalt akronüümid IaaS, PaaS ja SaaS) kui traditsioonilise kohapealse konfiguratsiooniga. Ja see meeldib väikestele ja keskmise suurusega ettevõtetele (VKEdele) rohkem kui enamikule.

Pilv annab võimaluse viia võrdsed võimalused suuremate rivaalidega, võimaldades suuremat äritegevust ja kiiremat ulatust ilma panka murdmata. See võib olla põhjus, miks 53% ülemaailmsetest VKEdest küsitleti a viimane aruanne ütlevad, et nad kulutavad pilvele üle 1.2 miljoni dollari aastas; eelmise aasta 38 protsendilt.

Kuid digitaalse ümberkujundamisega kaasneb ka risk. Turvalisus (72%) ja vastavus (71%) on VKEde vastajate jaoks teine ​​ja kolmas kõige sagedamini mainitud pilveprobleemid. Esimene samm nende väljakutsetega toimetulemiseks on mõista peamisi vigu, mida väiksemad ettevõtted pilve juurutamisel teevad.

Seitse peamist pilveturbe viga, mida VKEd teevad

Olgem selged, järgmised ei ole ainult vead, mida VKEd pilves teevad. Isegi suurimad ja parimate ressurssidega ettevõtted on mõnikord süüdi põhitõdede unustamises. Kuid nende pimealade kõrvaldamisega saab teie organisatsioon teha suuri samme pilvekasutuse optimeerimise suunas, ilma et see ohustaks end potentsiaalselt tõsistele finants- või maineriskidele.

1. Mitmefaktoriline autentimine (MFA) puudub

Staatilised paroolid on oma olemuselt ebaturvalised ja mitte iga ettevõte ei pea kinni a korraliku parooli loomise poliitika. Paroolid võivad olla varastatud mitmel viisil, näiteks andmepüügi, toore jõu meetodite või lihtsalt oletatavate meetoditega. Seetõttu peate MFA-le lisama täiendava autentimiskihi, mis muudab ründajatel palju raskemaks juurdepääsu teie kasutajate SaaS-i, IaaS-i või PaaS-i kontode rakendustele, vähendades nii lunavara, andmete varguse ja muude võimalike tagajärgede ohtu. Teine võimalus hõlmab võimaluse korral üleminekut alternatiivsetele autentimismeetoditele, näiteks paroolita autentimine.

2. Pilveteenuse pakkuja (CSP) vastu liiga palju usaldamine

Paljud IT-juhid usuvad, et pilve investeerimine tähendab tõhusalt kõike allhanget usaldusväärselt kolmandalt osapoolelt. See on ainult osaliselt tõsi. Tegelikult on seal a jagatud vastutuse mudel pilve turvamiseks jagage CSP ja kliendi vahel. See, mille eest peate hoolitsema, sõltub pilveteenuse tüübist (SaaS, IaaS või PaaS) ja CSP-st. Isegi kui suurem osa vastutusest lasub teenusepakkujal (nt SaaS-is), võib tasuda investeerida täiendavatesse kolmanda osapoole kontrollidesse.

3. Varundamine ebaõnnestus

Ülaltoodu kohaselt ärge kunagi eeldage, et teie pilveteenuse pakkuja (nt failide jagamise/salvestusteenuste puhul) on teie taga. Alati tasub ette planeerida halvim stsenaarium, milleks on suure tõenäosusega süsteemitõrge või küberrünnak. Teie organisatsiooni ei mõjuta mitte ainult kaotatud andmed, vaid ka vahejuhtumile järgnev seisakuaeg ja tootlikkus.

4. Regulaarselt lappimine ebaõnnestus

Paigutamine ebaõnnestub ja puutute oma pilvesüsteemidesse haavatavuse ärakasutamisse. See võib omakorda põhjustada pahavara nakatumist, andmetega seotud rikkumisi ja palju muud. Paigutuste haldamine on turvalisuse parim tava, mis on sama asjakohane nii pilves kui ka kohapeal.

5. Pilve vale konfiguratsioon

CSP-d on uuenduslik kogum. Kuid klientide tagasiside põhjal käivitatavate uute funktsioonide ja võimaluste tohutu hulk võib lõppeda paljude VKEde jaoks uskumatult keeruka pilvekeskkonna loomisega. See muudab palju raskemaks teada, milline konfiguratsioon on kõige turvalisem. Levinud vead hõlmavad pilvesalvestuse seadistamine nii et kõik kolmandad osapooled pääsevad sellele juurde ega suuda avatud porte blokeerida.

6. Ei jälgi pilveliiklust

Üks levinud refrään on see, et täna pole tegemist mitte "kui"-ga, vaid "kui" teie pilve (IaaS/PaaS) keskkonda rikutakse. See muudab kiire tuvastamise ja reageerimise kriitiliseks, kui soovite märke varakult märgata, et rünnak ohjeldada enne, kui sellel on võimalus organisatsiooni mõjutada. See muudab pideva jälgimise kohustuslikuks.

7. Ettevõtte kroonijuveele ei õnnestu krüptida

Ükski keskkond pole 100% rikkumiskindel. Mis juhtub siis, kui pahatahtlikul osapoolel õnnestub jõuda teie kõige tundlikumate siseandmeteni või rangelt reguleeritud töötaja/kliendi isikuandmeteni? Kui krüpteerite selle puhkeolekus ja transpordi ajal, tagate, et seda ei saa kasutada isegi siis, kui see hangitakse.

Pilveturbe parandamine

Esimene samm nende pilveturberiskidega võitlemisel on mõista, kus on teie kohustused ja milliste valdkondadega CSP tegeleb. Seejärel tuleb otsustada, kas usaldate CSP pilvepõhiseid turvakontrolle või soovite neid täiustada täiendavate kolmanda osapoole toodetega. Kaaluge järgmist.

• Investeerima kolmandate osapoolte turvalahendused täiustada teie pilveturvet ja teie meili-, salvestus- ja koostöörakenduste kaitset lisaks maailma juhtivate pilveteenuse pakkujate pakutavatele pilveteenustesse sisseehitatud turvafunktsioonidele
• Lisage laiendatud või hallatud tuvastamise ja reageerimise (XDR/MDR) tööriistad, et kiirendada intsidentidele reageerimist ja rikkumiste ohjeldamist/parandust
• Töötage välja ja juurutage pidev riskipõhine parandamisprogramm, mis põhineb tugeval varahaldusel (st teadke, millised pilvevarad teil on, ja veenduge, et need oleksid alati ajakohased)
• Krüptige andmed puhkeolekus (andmebaasi tasemel) ja edastamisel, et tagada nende kaitse isegi siis, kui pahalased need kätte saavad. See nõuab ka tõhusat ja pidevat andmete leidmist ja klassifitseerimist
• Määratlege selge juurdepääsukontrolli poliitika; kindlate IP-de jaoks tugevate paroolide, MFA-de, vähimate privileegide põhimõtete ja IP-põhiste piirangute/lubade loetelu kehtestamine
• Kaaluge lapsendamist a Null-usaldusviis, mis sisaldab paljusid ülaltoodud elemente (MFA, XDR, krüpteerimine) koos võrgu segmenteerimise ja muude juhtelementidega

Paljud ülaltoodud meetmed on samad parimad tavad, mida võiks eeldada kohapeal juurutamisel. Ja nad on kõrgel tasemel, kuigi üksikasjad on erinevad. Kõige tähtsam on meeles pidada, et pilveturve ei ole ainult teenusepakkuja vastutus. Küberriskide paremaks haldamiseks haarake juhtimine juba täna.