Ανάπτυξη ενός Secure Hybrid Cloud Environment - ανδρείκελα

Μια προσεκτική προσέγγιση στην ασφάλεια μπορεί να επιτύχει να μετριάσει πολλούς κινδύνους ασφάλειας σε περιβάλλον υβριδικού σύννεφου. Για να αναπτύξετε ένα ασφαλές υβριδικό περιβάλλον, πρέπει να αξιολογήσετε την τρέχουσα κατάσταση της στρατηγικής ασφαλείας σας καθώς και τη στρατηγική ασφάλειας που προσφέρει ο παροχέας σας σύννεφο.

Αξιολογήστε την τρέχουσα κατάσταση ασφάλειας

Σε ένα υβριδικό περιβάλλον, η ασφάλεια ξεκινά με την αξιολόγηση της τρέχουσας κατάστασής σας. Μπορείτε να ξεκινήσετε απαντώντας σε μια σειρά ερωτήσεων που μπορούν να σας βοηθήσουν να διαμορφώσετε την προσέγγισή σας στη στρατηγική ασφαλείας σας. Ακολουθούν ορισμένα σημαντικά ερωτήματα που πρέπει να λάβετε υπόψη:

• Αξιολογήσατε πρόσφατα τη δική σας παραδοσιακή υποδομή ασφαλείας;

• Πώς ελέγχετε τα δικαιώματα πρόσβασης σε εφαρμογές και δίκτυα - τόσο στην εταιρεία σας όσο και σε εκείνους εκτός του τείχους προστασίας; Ποιος έχει δικαίωμα πρόσβασης σε πόρους πληροφορικής; Πώς διασφαλίζετε ότι μόνο οι σωστές ταυτότητες αποκτούν πρόσβαση στις εφαρμογές και τις πληροφορίες σας;

• Μπορείς να εντοπίσεις τις ευπάθειες και τους κινδύνους των web εφαρμογών και στη συνέχεια να διορθώσεις τυχόν αδυναμίες;

• Έχετε έναν τρόπο ανίχνευσης του κινδύνου ασφαλείας σας με την πάροδο του χρόνου, ώστε να μπορείτε να μοιράζεστε εύκολα ενημερωμένες πληροφορίες με εκείνους που το χρειάζονται;

• Τα περιβάλλοντα διακομιστή σας προστατεύονται ανά πάσα στιγμή από εξωτερικές απειλές ασφαλείας;

• Εάν χρησιμοποιείτε κρυπτογράφηση, διατηρείτε τα δικά σας κλειδιά ή τα προμηθευτείτε από αξιόπιστο και αξιόπιστο πάροχο; Χρησιμοποιείτε τυπικούς αλγόριθμους;

• Μπορείτε να παρακολουθείτε και να ποσοτικοποιείτε τους κινδύνους ασφαλείας σε πραγματικό χρόνο;

• Μπορείτε να εφαρμόσετε πολιτικές ασφαλείας με συνέπεια σε όλους τους τύπους αρχιτεκτονικών σε χώρους και σε cloud;

• Πώς προστατεύετε όλα τα δεδομένα σας ανεξάρτητα από το πού είναι αποθηκευμένα;

• Μπορείτε να ικανοποιήσετε τις απαιτήσεις ελέγχου και αναφοράς για δεδομένα στο σύννεφο;

• Μπορείτε να ανταποκριθείτε στις απαιτήσεις συμμόρφωσης του κλάδου σας;

• Ποιο είναι το πρόγραμμά σας ασφάλειας εφαρμογών;

• Ποια είναι τα σχέδια καταστροφής και αποκατάστασης; Πώς εξασφαλίζετε τη συνέχεια της υπηρεσίας;

Αξιολογήστε την ασφάλεια του προμηθευτή σας στο σύννεφο

Ένα περιβάλλον υβριδικών σύννεφων θέτει ένα ιδιαίτερο σύνολο προκλήσεων όσον αφορά την ασφάλεια και τη διακυβέρνηση. Τα υβριδικά σύννεφα χρησιμοποιούν τη δική σας υποδομή μαζί με την υποδομή σας. Για παράδειγμα, τα δεδομένα μπορούν να αποθηκευτούν στις εγκαταστάσεις σας αλλά να υποβληθούν σε επεξεργασία στο σύννεφο. Αυτό σημαίνει ότι η υποδομή σας εντός της εγκατάστασης μπορεί να συνδεθεί με ένα πιο δημόσιο σύννεφο, το οποίο θα επηρεάσει τα είδη ελέγχων ασφαλείας που χρειάζεστε.

Οι έλεγχοι πρέπει να είναι σε θέση για την περιμετρική ασφάλεια, την πρόσβαση, την ακεραιότητα των δεδομένων, το κακόβουλο λογισμικό και τα παρόμοια - όχι μόνο στη θέση σας, αλλά και με τον παροχέα σύννεφων.Οι πάροχοι υπηρεσιών Cloud έχουν το δικό τους τρόπο διαχείρισης της ασφάλειας. Μπορούν ή όχι να είναι συμβατά με το σχέδιο συμμόρφωσης και γενικότερης ασφάλειας του οργανισμού σας. Είναι απολύτως κρίσιμο το γεγονός ότι η εταιρεία σας δεν θάβει το κεφάλι της στην άμμο, υποθέτοντας ότι ο πάροχος σύννεφων καλύπτεται από ασφάλεια.

Πρέπει να επαληθεύσετε ότι ο πάροχός σας σύννεφο εξασφαλίζει το ίδιο επίπεδο ασφάλειας που ζητάτε εσωτερικά (ή ανώτερο επίπεδο, αν θέλετε να βελτιώσετε τη γενική στρατηγική ασφαλείας σας). Πρέπει να ζητήσετε πολλές δύσκολες ερωτήσεις για να διασφαλίσετε ότι η στρατηγική ασφάλειας και διακυβέρνησής της εταιρείας σας μπορεί να ενσωματωθεί με την υπηρεσία παροχής.

Ακολουθούν μερικές συμβουλές που μπορούν να σας βοηθήσουν να ξεκινήσετε και αυτό μπορεί να είναι χρήσιμο και για την αξιολόγηση της στρατηγικής σας ασφάλειας:

• Ρωτήστε τον πάροχο σύννεφο για το είδος των εταιρειών που εξυπηρετούν. Ζητήστε επίσης ερωτήσεις σχετικά με την αρχιτεκτονική του συστήματος, προκειμένου να κατανοήσετε περισσότερα σχετικά με το πώς χειρίζεται η πολυκατοικία.

• Επισκεφθείτε τη συσκευή χωρίς προειδοποίηση για να κατανοήσετε τι μέτρα φυσικής ασφάλειας ισχύουν. Σύμφωνα με την CSA, αυτό σημαίνει περπάτημα σε όλους τους χώρους, από το χώρο υποδοχής έως το δωμάτιο γεννήτριας και ακόμη και την επιθεώρηση των δεξαμενών καυσίμων. Πρέπει επίσης να ελέγξετε την ασφάλεια της περιμέτρου (για παράδειγμα, ελέγξτε τον τρόπο πρόσβασης των ατόμων στο κτίριο) και εάν ο χειριστής είναι έτοιμος για μια κρίση (για παράδειγμα, πυροσβεστήρες, συναγερμοί και παρόμοια).

• Ελέγξτε πού βρίσκεται ο παροχέας σύννεφων. Για παράδειγμα, βρίσκεται σε μια περιοχή υψηλής εγκληματικότητας ή σε μια περιοχή επιρρεπής σε φυσικές καταστροφές, όπως σεισμούς ή πλημμύρες;

• Τι είδους ενημερωμένη τεκμηρίωση έχει ο πάροχος σύννεφο στη θέση του; Έχει σχέδια αντιμετώπισης περιστατικών; Σχέδια αντιμετώπισης έκτακτης ανάγκης; Backup σχέδια; Σχέδια αποκατάστασης; Έλεγχοι ιστορικού του προσωπικού ασφαλείας και άλλων μελών του προσωπικού;

• Τι είδους πιστοποιήσεις έχει ο πάροχος; Το προσωπικό ασφάλειας νέφους έχει πιστοποιήσεις όπως CISSP, CISA και ITIL;

• Μάθετε πού αποθηκεύονται τα δεδομένα σας. Εάν η εταιρεία σας έχει κανονισμούς συμμόρφωσης πρέπει να πληροί τα δεδομένα που διαμένουν σε ξένες χώρες, αυτό είναι σημαντικό να γνωρίζουμε.

• Μάθετε ποιος θα έχει πρόσβαση στα δεδομένα σας. Ελέγξτε επίσης για να δείτε πώς θα προστατεύονται τα δεδομένα.

• Μάθετε περισσότερα σχετικά με τα αντίγραφα ασφαλείας και τα σχέδια διατήρησης δεδομένων του παρόχου. Θα θελήσετε να μάθετε εάν τα δεδομένα σας συγχέονται με άλλα δεδομένα. Εάν θέλετε τα δεδομένα σας πίσω όταν τερματίσετε τη σύμβασή σας, αυτά τα θέματα μπορεί να είναι σημαντικά.

• Πώς θα παρεμποδίσει ο πάροχός σας τις επιθέσεις άρνησης εξυπηρέτησης (DoS);

• Τι είδους συμβάσεις συντήρησης έχει ο προμηθευτής σας για τον εξοπλισμό του;

• Ο παροχέας του cloud παρακολουθεί συνεχώς τις λειτουργίες του; Μπορείτε να έχετε ορατότητα σε αυτήν την ικανότητα παρακολούθησης;

• Πώς εντοπίζονται τα περιστατικά; Πώς καταγράφονται οι πληροφορίες;

• Πώς χειρίζονται τα περιστατικά; Ποιος είναι ο ορισμός ενός περιστατικού; Ποιος είναι ο τόπος επικοινωνίας σας με τον παροχέα υπηρεσιών σας; Ποιοι είναι οι ρόλοι και οι ευθύνες των μελών της ομάδας;

• Πώς ο παροχέας σας χειρίζεται την ασφάλεια εφαρμογών και την ασφάλεια των δεδομένων;

• Τι μετρήσεις ελέγχει ο πάροχος του cloud για να διασφαλίσει ότι οι εφαρμογές παραμένουν ασφαλείς;

Δεδομένης της σημασίας της ασφάλειας στο περιβάλλον του cloud, ίσως υποθέσετε ότι ένας σημαντικός πάροχος υπηρεσιών cloud θα έχει ένα σύνολο ολοκληρωμένων συμφωνιών επιπέδου υπηρεσιών για τους πελάτες του. Στην πραγματικότητα, πολλές από τις τυποποιημένες συμφωνίες αποσκοπούν στην προστασία του παρόχου υπηρεσιών - όχι του πελάτη. Έτσι, η εταιρεία σας πρέπει πραγματικά να καταλάβει τη σύμβαση καθώς και την υποδομή, τις διαδικασίες και τις πιστοποιήσεις που κατέχει ο παροχέας σύννεφων.

Πρέπει να διατυπώσετε σαφώς τις απαιτήσεις ασφάλειας και της στρατηγικής διακυβέρνησης του cloud και να καθορίσετε την ευθύνη. Εάν ο πάροχός σας σύννεφο δεν θέλει να μιλήσει για αυτά τα στοιχεία, θα πρέπει πιθανώς να εξετάσετε έναν διαφορετικό πάροχο σύννεφο. Από την άλλη πλευρά, ο παροχέας σύννεφων μπορεί να έχει μερικά κόλπα μέχρι το μανίκι του, που μπορεί να βελτιώσει τη δική σας ασφάλεια!