Снижение рисков и информирование о ценности в мультиоблачных средах

Все больше предприятий используют мультиоблачный подход в рамках своих усилий по цифровой трансформации для поддержки распределенных команд, работающих в гибридных и удаленных моделях. И точно так же, как гибридные рабочие среды никуда не делись, многооблачный подход закрепился. Gartner прогнозирует, что глобальный доход от облачных вычислений достигнет $ 474 млрд 2022призывают 90% предприятий уже работает над многооблачной стратегией.

При правильном использовании многооблачная стратегия может повысить эффективность многих процессов. Он также обеспечивает большую устойчивость к сбоям и большую гибкость поставщиков, чем стратегия единого облака. К дополнительным преимуществам относятся:

• Избегайте привязки к поставщику с одним поставщиком облачных услуг. Организация с глобальным присутствием и специализированными данными может выбрать расположение центра обработки данных с наименьшим влиянием на свой бизнес. Например, Microsoft Azure в настоящее время лидирует на Ближнем Востоке с точки зрения расположения центров обработки данных.
• Возможность использовать отличительные функции, предлагаемые каждым поставщиком облачных услуг, такие как уникальные решения для баз данных в Google Cloud или возможность гораздо более удобного управления локальными и облачными ресурсами в Microsoft Azure.
• Снижение затрат и отказоустойчивость бизнеса за счет снижения стоимости определенных услуг от конкретного поставщика и защиты от перебоев в обслуживании. И то, и другое требует разработки ваших услуг для использования преимуществ, но после их создания ваша организация может окупить свои инвестиции в течение двух-трех лет, что приведет к долгосрочной экономии средств.

Однако эти преимущества имеют свою цену. Может быть сложно обеспечить безопасность данных и облачной инфраструктуры и их соответствие вашим обязательствам и средствам контроля, когда разрозненные среды размещаются у нескольких поставщиков. Рассказать единую историю о данных, конфигурации и безопасности в этих средах может быть практически невозможно.

Директора по информационной безопасности, которые охватывают мультиоблачный подход к данным должны сосредоточиться на двух основных проблемах безопасности: управлении рисками, создаваемыми поставщиками и их различными облачными операционными моделями, и демонстрации ценности их мер безопасности и стратегий перед лицом увеличения затрат на работу в мультиоблачном мире.

Управление рисками в облаках

Воздействие и частота кибератак росли параллельно с растущим вниманием к многооблачным стратегиям. Атаки программ-вымогателей, утечка данных и крупные сбои в работе ИТ Барометр рисков Allianz в этом году только второй раз в истории опроса, и руководители оценили их как более тревожные, чем нарушение цепочки поставок, стихийные бедствия и пандемия. Компании правильно проявляют заботу: организации по всему миру столкнулись с На 50% больше еженедельных кибератак в 2021 году по сравнению с 2020 годом.

Бизнес-лидеры осознают важность кибератак, но большинство из них недостаточно информированы о рисках, связанных с их партнерами-поставщиками. В PwC «Опрос Global Digital Trust Insights 2022 г.57% бизнес-лидеров заявили, что ожидают скачка атак на облачные сервисы, но только 37% заявили, что понимают облачные риски. Подход и операционные модели безопасности различаются у разных облачных провайдеров, а защита от рисков — это общая ответственность, которая становится все более сложной по мере добавления общих облачных служб, использующих разные подходы, такие как управление идентификацией и доступом (IAM) или виртуализированные серверы.

Например, у разных поставщиков облачных услуг свой подход к доступу на основе ролей. Amazon Web Services обрабатывает идентификацию, прикрепляя политики IAM непосредственно к виртуальному серверу, что дает серверу возможность выполнять действия. Предложение Google Cloud, напротив, фокусируется на создании сервисных учетных записей (пользователей) и последующем присоединении этих учетных записей к серверу, чтобы он мог взаимодействовать с другим ресурсом. Эти небольшие различия складываются в масштабе предприятия, усложняя безопасность для обеспечения минимальных привилегий и других требований безопасности в обоих облаках.

Поскольку облачные службы не предназначены для интеграции со своими конкурентами, изучение того, как использовать инструменты безопасности для каждого поставщика облачных услуг, — это только начало. ИТ-специалистам потребуется централизовать мониторинг безопасности с помощью инструмента управления событиями безопасности (SIEM) и других сторонних инструментов для повышения совместимости облачных сервисов. Эти дополнительные системы требуют дополнительного обучения и ресурсов и, возможно, даже дополнительного ИТ-персонала для обеспечения опыта работы с каждой облачной платформой. и как эти платформы работают вместе.

В дополнение к этим встроенным различиям между их услугами, большинство поставщиков облачных услуг отдают приоритет своим собственным специально разработанным предложениям по обеспечению безопасности. Это приводит к множеству осложнений, которые мешают облачной безопасности. Например, брандмауэр облачных веб-приложений (WAF) можно использовать для защиты вашей сети, но он будет работать только с определенным поставщиком облачных услуг и не может быть расширен на несколько облачных предложений. Дублирование этих функций для разных поставщиков требует либо дублирования команд для поддержки и управления этими ключевыми инструментами безопасности, либо покупки облачно-независимого сервиса, что добавляет в список еще одного поставщика.

Этот дополнительный риск и затраты, которые обычно обнаруживаются только на позднем этапе развертывания мультиоблачной модели, могут сдвинуть сроки, увеличить стоимость и привести к выводам аудита. Неспособность спланировать и снизить эти риски может сделать компанию подверженной финансовым потерям, действиям регулирующих органов, судебным разбирательствам и репутационному ущербу.

Сообщение ценности с количественной оценкой риска

По оценкам Gartner, к 2023 г. 30% эффективности директоров по информационной безопасности будет зависеть от их способности продемонстрировать ценность. По мере того, как стратегии многооблачных данных становятся нормой, а стоимость мер безопасности в рамках этой стратегии увеличивается, количественная оценка риска может помочь руководителям последовательно сообщать о своей ценности, выражая степень риска многооблачной среды в четких денежных единицах.

По данным PwC, организации, сообщившие о наиболее значительном улучшении показателей доверия к данным, имели две общие черты: они прогнозировали увеличение своих расходов на кибербезопасность и включали бизнес-аналитику и аналитику данных в свои операционные модели, включая количественную оценку рисков.

Чтобы оценить финансовые риски мультиоблачной стратегии, директора по информационной безопасности должны учитывать затраты на каждую платформу в сопоставлении с предполагаемыми рисками. Эти соображения должны включать методы управления данными и кибербезопасности всех облачных провайдеров, которых вы рассматриваете, а также любые инструменты и платформы, не зависящие от облака, которые вы будете использовать для совместного мониторинга.

С таким количеством действующих факторов вы не можете позволить себе полагаться на неточные, интуитивные шкалы измерения, такие как «низкий, средний, высокий» и «красный, желтый, зеленый». Представление данных о рисках в финансовом выражении — это мощный инструмент, поскольку он предлагает общий язык для информирования об изменении приоритетов в отношении рисков, улучшения согласованности между директорами по информационной безопасности и советом директоров, а также способствует принятию более обоснованных решений по управлению рисками.

Вот пример: Директор по информационной безопасности оценивает финансовую ценность, связанную с различными рисками многооблачной архитектуры. Сравнивая тактики смягчения последствий инцидента кибербезопасности, они обнаружили, что лучший контроль над административными привилегиями снижает финансовые затраты на мероприятие гораздо больше, чем внедрение программы обучения кибербезопасности. В то время как директор по информационной безопасности понимает технические детали кибер-рисков в многооблачной архитектуре, остальная часть высшего руководства выиграет от ясности денежных значений, связанных с каждым риском и тактикой смягчения. Предоставляя директорам по информационной безопасности возможность излагать свои доводы перед коллегами и советом директоров, количественная оценка рисков обеспечивает большую прозрачность многих движущихся частей мультиоблачной стратегии.

По данным Gartner, к 85 году более 2025% организаций будут работать в первую очередь в облаке, и они не смогут полностью реализовать свои цифровые стратегии без использования облачных технологий. Руководитель Gartner сказал об этом так: «Бизнес-стратегии не бывает без облачной стратегии».

Крайне важно, чтобы бизнес-лидеры следовали стратегиям защиты своих данных и сообщали о своих приоритетах в области мультиоблачных вычислений, используя для всей организации общий язык ценностей.