Lezioni dalla violazione della sicurezza informatica di GitHub: protezione dei dati più sensibili

A nessuno piace sentire la parola B: violazione. Gli sviluppatori sicuramente non vogliono sentire quella parola in relazione a una piattaforma che usano giorno dopo giorno.

Quando all’inizio di quest’anno GitHub ha rivelato i dettagli di una violazione della sicurezza che ha consentito a un utente malintenzionato sconosciuto di scaricare dati da dozzine di repository di codici privati, lo scenario è stato uno scenario da incubo. Gli aggressori stavano utilizzando le informazioni raccolte da GitHub per prendere di mira due piattaforme cloud come servizio (PaaS) di terze parti: Heroku e Travis CI.

Gli aggressori avevano rubato i token OAuth rilasciati a Heroku e Travis CI e li avevano utilizzati per accedere e scaricare i contenuti di repository privati. GitHub trovato.

Dove risiedono le informazioni più sensibili nella tua organizzazione? Per le organizzazioni che utilizzano Heroku, Salesforce ospita le informazioni che potrebbero paralizzare l'organizzazione, se esposte. I team di sicurezza devono pensare a proteggere i propri dati Salesforce. Perché dovrebbero mettere a rischio la sicurezza informatica dell'organizzazione facendo affidamento su integrazioni di terze parti?

Questi tre semplici passaggi possono aiutare a migliorare il livello di sicurezza informatica su Salesforce.

1. Utilizzare applicazioni native di Salesforce

Le applicazioni basate su Salesforce assicurano che i tuoi dati rimangano in un unico posto con lo stesso livello di sicurezza informatica della piattaforma Salesforce. Con le app consolidate su un'unica piattaforma, la superficie di attacco è notevolmente ridotta.

2. Stabilire un modello Zero Trust

Non fidarti mai, verifica sempre. Tutti gli utenti dovrebbero disporre del livello minimo di autorizzazioni e accesso necessari per poter completare le attività necessarie, richiedendo al tempo stesso agli utenti di dimostrare le proprie necessità e identità prima dell'accesso. Controlla tutto.

3. Utilizzare la gestione dei segreti

Non archiviare mai le credenziali in testo non crittografatoe presupporre sempre che i repository privati ​​siano pubblici. Avere una soluzione di gestione dei segreti garantisce che i tuoi segreti vengano ruotati oltre ad avere un livello adeguato di conformità di sicurezza riguardo alle tue credenziali.

Con questo miglioramento della strategia di sicurezza informatica, gli sviluppatori, i team di sicurezza informatica e il CEO si sentiranno a proprio agio sapendo che i dati più sensibili dell'organizzazione sono al sicuro.