Riskien vähentäminen ja arvon viestiminen monipilviympäristöissä

Yhä useammat yritykset ottavat käyttöön multicloud-lähestymistavan osana digitaalista muutosta tukeakseen hajautettuja tiimejä, jotka työskentelevät hybridi- ja etämalleissa. Ja aivan kuten hybridityöympäristöt ovat tulleet jäädäkseen, multicloud-lähestymistapa on ottanut valtaansa. Gartner ennustaa globaalin pilvitulon saavuttavan $ 474 miljardia 2022, kanssa 90% yrityksistä työskentelee jo kohti multicloud-strategiaa.

Oikein käytettynä multicloud-strategia voi tehostaa monia prosesseja. Se tarjoaa myös paremman sietokyvyn katkoksia vastaan ​​ja enemmän toimittajan joustavuutta kuin yhden pilven strategia. Muita etuja ovat:

• Vältä toimittajan lukkiutuminen yhden pilvipalveluntarjoajan kanssa. Organisaatio, jolla on globaali jalanjälki ja erikoistunut data, voi valita palvelinkeskuksen sijainnin, jolla on vähiten vaikutus sen liiketoimintaan. Esimerkiksi Microsoft Azure johtaa tällä hetkellä Lähi-idässä datakeskuksen sijainnin näkökulmasta.
• Mahdollisuus hyödyntää kunkin pilvitoimittajan tarjoamia erottuvia ominaisuuksia, kuten ainutlaatuisia tietokantaratkaisuja Google Cloudissa tai kykyä hallita paikallisia ja pilviresursseja paljon saumattomasti Microsoft Azuressa.
• Paremmat kustannukset ja liiketoiminnan joustavuus, kun tietyt palvelut ovat halvempia tietyn toimittajan ansiosta ja suojaus palveluhäiriöitä vastaan. Molemmat edellyttävät palveluiden suunnittelua hyötyjen hyödyntämiseksi, mutta kun se on perustettu, organisaatiosi voi saada investoinnin takaisin kahdessa tai kolmessa vuodessa, mikä johtaa pitkän aikavälin kustannussäästöihin.

Näillä eduilla on kuitenkin hintansa. Voi olla haastavaa varmistaa, että data ja pilviinfrastruktuuri ovat turvallisia ja mukautettuja velvoitteisiisi ja valvontaan, kun useat palveluntarjoajat isännöivät erilaisia ​​ympäristöjä. Yhtenäisen tarinan kertominen tiedoista, määrityksistä ja turvallisuudesta näissä ympäristöissä voi olla lähes mahdotonta.

CISO:t, jotka omaksuvat a multicloud-datalähestymistapa on keskityttävä kahteen pääasialliseen turvallisuushuoliin: toimittajien ja heidän erilaisten pilvitoimintamalliensa aiheuttamien riskien hallintaan sekä heidän tietoturvakontrolliensa ja -strategioidensa arvon osoittamiseen monipilvimaailmassa toimimisesta aiheutuvien kustannusten nousun edessä.

Riskien hallinta pilvien yli

Kyberhyökkäysten vaikutus ja esiintymistiheys on kasvanut samanaikaisesti multicloud-strategioiden lisääntyvän keskittymisen kanssa. Ransomware-hyökkäykset, tietomurrot ja suuret IT-katkot olivat kärjessä Allianzin riskibarometri tänä vuonna vasta toisen kerran tutkimuksen historiassa, ja johtajat pitävät niitä huolestuttavampina kuin toimitusketjun häiriöt, luonnonkatastrofit ja pandemia. Yritykset ovat oikeassa osoittaessaan huolensa: Organisaatiot maailmanlaajuisesti kokeneita 50 % enemmän viikoittaisia ​​kyberhyökkäyksiä vuonna 2021 verrattuna vuoteen 2020.

Yritysjohtajat ovat kiinnittäneet huomiota kyberhyökkäysten tärkeyteen, mutta useimmat heistä ovat alitietoisia myyjäkumppaniensa aiheuttamista riskeistä. PwC:ssä"2022 Global Digital Trust Insights Survey”, 57 % yritysjohtajista sanoi odottavansa pilvipalveluihin kohdistuvien hyökkäysten lisääntymistä, mutta vain 37 % sanoi ymmärtävänsä pilviriskejä. Tietoturvan lähestymistapa ja toimintamallit vaihtelevat pilvipalveluntarjoajien välillä, ja riskeiltä suojautuminen on jaettu vastuu, joka vain monimutkaistuu, kun lisäät yleisiä erilaisia ​​lähestymistapoja käyttäviä pilvipalveluita, kuten identiteetin ja pääsyn hallintaa (IAM) tai virtualisoituja palvelimia.

Esimerkiksi eri pilvitoimittajilla on oma lähestymistapa roolipohjaiseen pääsyyn. Amazon Web Services käsittelee identiteetin liittämällä IAM-käytännöt suoraan virtuaalipalvelimeen, mikä antaa palvelimelle mahdollisuuden toimia. Google Cloudin tarjonta sen sijaan keskittyy palvelutilien (käyttäjien) luomiseen ja sitten näiden tilien liittämiseen palvelimeen, jotta se voi olla vuorovaikutuksessa toisen resurssin kanssa. Nämä pienet erot kasvavat yrityksen mittakaavassa, mikä lisää tietoturvan monimutkaisuutta ja takaa vähiten etuoikeudet ja muut tietoturvavaatimukset molemmissa pilvissä.

Koska pilvipalveluita ei ole suunniteltu integroitumaan kilpailijoidensa kanssa, tietoturvatyökalujen käytön oppiminen jokaiselle pilvipalveluntarjoajalle on vasta alkua. IT-tiimien on keskitettävä turvallisuusseurantansa tietoturvatietojen tapahtumien hallintatyökalulla (SIEM) sekä muilla kolmannen osapuolen työkaluilla pilvipalvelujen yhteentoimivuuden lisäämiseksi. Nämä lisätyt järjestelmät vaativat lisäkoulutusta ja -resursseja ja ehkä jopa lisää IT-henkilöstöä varmistaakseen asiantuntemuksen jokaisessa pilviympäristössä ja miten nämä alustat toimivat yhdessä.

Näiden palveluidensa sisäisten erojen lisäksi useimmat pilvipalveluntarjoajat priorisoivat omat, erityisesti räätälöidyt tietoturvatarjouksensa. Tämä aiheuttaa monia komplikaatioita, jotka vaivaavat pilviturvallisuutta. Esimerkiksi pilviverkkosovelluspalomuuria (WAF) voidaan käyttää verkkosi suojaamiseen, mutta se toimii vain tietyn pilvipalveluntarjoajan kanssa, eikä sitä voida laajentaa useisiin pilvipalveluihin. Näiden toimintojen monistaminen eri palveluntarjoajille edellyttää joko monistaa tiimejä, jotka tukevat ja hallitsevat näitä keskeisiä suojaustyökaluja, tai pilvipalveluiden ostamista, mikä lisää yhdistelmään uuden toimittajan.

Tämä lisäriski ja -kustannus, joka yleensä havaitaan vasta monipilvimallin käyttöönoton myöhäisessä vaiheessa, voi lyödä aikajanaa, lisätä kustannuksia ja laukaista tarkastushavaintoja. Jos näitä riskejä ei suunnitella ja lieventää, yritys voi altistua taloudellisille menetyksille, viranomaistoimille, oikeudenkäynneille ja mainevaurioille.

Arvon ilmoittaminen riskin kvantifioinnin avulla

Gartner arvioi, että vuoteen 2023 mennessä 30 % CISO:n tehokkuudesta riippuu heidän kyvystään osoittaa arvoa. Kun multicloud-datastrategioista tulee normi ja strategian mukaisten turvatoimien kustannukset kasvavat, riskien kvantifiointi voi auttaa johtajia viestimään arvostaan ​​johdonmukaisesti ilmaisemalla multicloud-riskiasennon selkeinä rahallisina arvoina.

PwC:n mukaan organisaatioilla, jotka raportoivat merkittävimmistä parannuksista datan luottamuksen tuloksiin, oli kaksi yhteistä asiaa: ne ennustivat kyberturvallisuuskulujensa kasvua, ja ne sisällyttivät liiketoimintatiedon ja data-analytiikan toimintamalleihinsa, mukaan lukien riskien kvantifiointiin.

Multicloud-strategian taloudellisten riskien arvioimiseksi CISO:n on otettava huomioon kunkin alustan kustannukset suhteessa niiden havaittuihin riskeihin. Näihin näkökohtiin on sisällyttävä kaikkien harkitsemiesi pilvipalveluntarjoajien tiedonhallinta- ja kyberturvallisuuskäytännöt sekä mahdolliset pilvitagnostiset työkalut ja alustat, joita käytät yhteiseen valvontaan.

Koska pelissä on niin monia tekijöitä, sinulla ei ole varaa luottaa epätarkkoihin, sisäilman tunteen mittausasteikoihin, kuten "matala, keskitaso, korkea" ja "punainen, keltainen, vihreä". Riskitietojen ilmaiseminen taloudellisesti on tehokas työkalu, koska se tarjoaa yhteisen kielen kommunikoidakseen muuttuvista riskiprioriteeteista, parantaa CISO:n ja hallituksen välistä yhdenmukaisuutta ja helpottaa tietoisempia riskienhallintapäätöksiä.

Tässä on esimerkki: CISO tarkastelee taloudellista arvoa, joka liittyy multicloud-arkkitehtuurin eri riskeihin. Vertaamalla kyberturvallisuushäiriön lieventämistaktiikoita he huomaavat, että hallinnollisten oikeuksien parempi valvonta vähentää tapahtuman taloudellisia kustannuksia paljon enemmän kuin kyberturvallisuuskoulutusohjelman toteuttaminen. Vaikka CISO ymmärtää multicloud-arkkitehtuurin kyberriskin tekniset yksityiskohdat, C-sarjan muu osa hyötyy jokaiseen riskiin ja lieventämistaktiikkaan liittyvien rahallisten arvojen selkeydestä. Antamalla CISO:ille valtuudet esittää kantansa kollegoilleen ja johtokunnalle riskien kvantifiointi tuo lisää läpinäkyvyyttä monipilvistrategian moniin liikkuviin osiin.

Gartnerin mukaan yli 85 % organisaatioista toimii pilvipohjaisina vuoteen 2025 mennessä, eivätkä ne pysty toteuttamaan digitaalisia strategioitaan täysin ilman pilvipohjaisia ​​teknologioita. Gartnerin johtaja ilmaisi asian näin: "Ei ole liiketoimintastrategiaa ilman pilvistrategiaa."

On välttämätöntä, että yritysjohtajat noudattavat strategioita tietojensa turvaamiseksi ja kommunikoivat monipilvi-prioriteettinsa ja linjaavat kaikkialla organisaatiossa yhteisen arvokielen.