De 7 dödliga molnsäkerhetssynderna och hur små och medelstora företag kan göra saker bättre

Affärssäkerhet

Genom att eliminera dessa misstag och blinda fläckar kan din organisation ta stora steg mot att optimera sin användning av moln utan att utsätta sig för cyberrisker

Phil Muncaster

16 Jan 2024  •  , 5 min. läsa

Cloud computing är en viktig komponent i dagens digitala landskap. IT-infrastruktur, plattformar och mjukvara är mer sannolikt att levereras idag som en tjänst (därav förkortningarna IaaS, PaaS respektive SaaS) än i en traditionell lokal konfiguration. Och detta tilltalar små och medelstora företag (SMB) mer än de flesta.

Cloud ger en möjlighet att utjämna spelplanen med större rivaler, vilket möjliggör större affärsflexibilitet och snabb skala utan att bryta banken. Det kan vara anledningen till att 53 % av globala små och medelstora företag tillfrågade i en senaste rapporten säga att de spenderar över 1.2 miljoner USD årligen på molnet; upp från 38 % förra året.

Men med digital transformation kommer också risker. Säkerhet (72 %) och efterlevnad (71 %) är de näst och tredje vanligaste molnutmaningarna för dessa SMB-respondenter. Det första steget för att ta itu med dessa utmaningar är att förstå de största misstagen som mindre företag gör med sina molninstallationer.

De sju största molnsäkerhetsmisstagen som små och medelstora företag gör

Låt oss vara tydliga, följande är inte bara misstag som små och medelstora företag gör i molnet. Till och med de största företagen med bäst resurser gör sig ibland skyldiga till att glömma grunderna. Men genom att eliminera dessa blinda fläckar kan din organisation ta stora steg mot att optimera sin användning av molnet, utan att utsätta sig för potentiellt allvarliga ekonomiska risker eller ryktesrisker.

1. Ingen multifaktorautentisering (MFA)

Statiska lösenord är i sig osäkra och inte alla företag håller sig till en en sund policy för att skapa lösenord. Lösenord kan vara stulna på olika sätt, till exempel via nätfiske, brute-force-metoder eller helt enkelt gissade. Det är därför du behöver lägga till ett extra lager av autentisering ovanpå MFA kommer att göra det mycket svårare för angripare att komma åt dina användares SaaS-, IaaS- eller PaaS-kontoappar, vilket minskar risken för ransomware, datastöld och andra möjliga resultat. Ett annat alternativ innebär att byta, där det är möjligt, till alternativa metoder för autentisering som t.ex lösenordsfri autentisering.

2. Att lita för mycket på molnleverantören (CSP)

Många IT-ledare tror att att investera i molnet effektivt innebär att lägga ut allt till en pålitlig tredje part. Det är bara delvis sant. Faktum är att det finns en modell med delat ansvar för att säkra molnet, uppdelat mellan CSP och kund. Vad du behöver ta hand om beror på typen av molntjänst (SaaS, IaaS eller PaaS) och CSP. Även när det mesta av ansvaret ligger hos leverantören (t.ex. i SaaS), kan det löna sig att investera i ytterligare kontroller från tredje part.

3. Det går inte att säkerhetskopiera

Enligt ovanstående, anta aldrig att din molnleverantör (t.ex. för fildelnings-/lagringstjänster) har din rygg. Det lönar sig alltid att planera för det värsta scenariot, som med största sannolikhet är ett systemfel eller en cyberattack. Det är inte bara förlorad data som kommer att påverka din organisation, utan också driftstoppen och produktiviteten som kan följa en incident.

4. Misslyckas med att patcha regelbundet

Misslyckas med att korrigera och du utsätter dina molnsystem för sårbarhetsexploatering. Det i sin tur kan resultera i skadlig programvara, dataintrång och mer. Patchhantering är en grundläggande säkerhetspraxis som är lika relevant i molnet som den är på plats.

5. Felkonfiguration av molnet

CSP:er är ett innovativt gäng. Men den stora mängden nya funktioner och möjligheter som de lanserar som svar på kundfeedback kan sluta med att skapa en otroligt komplex molnmiljö för många små och medelstora företag. Det gör det mycket svårare att veta vilken konfiguration som är den säkraste. Vanliga misstag inkluderar konfigurera molnlagring så att vilken tredje part som helst kan komma åt det och misslyckas med att blockera öppna portar.

6. Övervakar inte molntrafik

En vanlig refräng är att det idag inte är ett fall av "om" utan "när" din molnmiljö (IaaS/PaaS) bryts. Det gör snabb upptäckt och respons avgörande om du ska upptäcka tecknen tidigt, för att stoppa en attack innan den har en chans att påverka organisationen. Detta gör kontinuerlig övervakning ett måste.

7. Misslyckas med att kryptera företagets kronjuveler

Ingen miljö är 100 % intrångssäker. Så vad händer om en illvillig part lyckas nå din mest känsliga interna data eller högt reglerade personal-/kunduppgifter? Genom att kryptera den i vila och under transport säkerställer du att den inte kan användas, även om den erhålls.

Att få rätt molnsäkerhet

Det första steget för att hantera dessa molnsäkerhetsrisker är att förstå var ditt ansvar ligger och vilka områden som kommer att hanteras av CSP. Sedan handlar det om att göra en bedömning av om du litar på CSP:s molnbaserade säkerhetskontroller eller vill förbättra dem med ytterligare tredjepartsprodukter. Tänk på följande:

• Investera i säkerhetslösningar från tredje part för att förbättra din molnsäkerhet och skydd för dina e-post-, lagrings- och samarbetsapplikationer utöver säkerhetsfunktionerna inbyggda i molntjänster som erbjuds av världens ledande molnleverantörer
• Lägg till utökade eller hanterade detektions- och svarsverktyg (XDR/MDR) för att driva snabba incidentreaktioner och intrångsinneslutning/sanering
• Utveckla och distribuera ett kontinuerligt riskbaserat patchprogram byggt på stark tillgångshantering (dvs. vet vilka molntillgångar du har och se till att de alltid är uppdaterade)
• Kryptera data i vila (på databasnivå) och under överföring för att säkerställa att den är skyddad även om skurkarna får tag i den. Detta kommer också att kräva effektiv och kontinuerlig dataupptäckt och klassificering
• Definiera en tydlig policy för åtkomstkontroll; kräver starka lösenord, MFA, principer för lägsta privilegier och IP-baserade begränsningar/tillåtningslistor för specifika IP-adresser
• Överväg att anta en Zero Trust tillvägagångssätt, som kommer att införliva många av ovanstående element (MFA, XDR, kryptering) tillsammans med nätverkssegmentering och andra kontroller

Många av ovanstående åtgärder är samma bästa praxis som man kan förvänta sig att implementera på plats. Och på hög nivå är de, även om detaljerna blir annorlunda. Viktigast av allt, kom ihåg att molnsäkerhet inte bara är leverantörens ansvar. Ta kontroll idag för att bättre hantera cyberrisker.