Co je zabezpečení cloudu?

Zabezpečení cloudu je sdílená odpovědnost mezi poskytovateli cloudových služeb a jejich zákazníky. Odpovědnost se liší v závislosti na typu nabízených služeb:

Infrastruktura jako služba (IaaS). V tomto modelu poskytovatelé cloudových služeb nabízí výpočetní a síťové prostředky a prostředky úložišť na vyžádání. Poskytovatel zodpovídá za zabezpečení základních výpočetních služeb. Zákazníci musí zabezpečit operační systém a vše nad úrovní operačního systému – včetně aplikací, dat, modulů runtime a middlewaru.

Platforma jako služba (PaaS). Mnoho poskytovatelů také nabízí kompletní prostředí pro vývoj a nasazování v cloudu. Vedle základních výpočetních služeb přebírají odpovědnost za ochranu modulu runtime, middlewaru a operačního systému. Zákazníci musí chránit své aplikace, data, přístupy uživatelů, zařízení koncových uživatelů a sítě koncových uživatelů.

Software jako služba (SaaS). Organizace mají také přístup k softwaru v modelu s průběžnými platbami, jako je Microsoft Office 365 nebo Disk Google. V tomto modelu musí zákazníci stále zajišťovat bezpečnost svých dat, uživatelů a zařízení.

Společnostem pomáhají chránit prostředky v cloudu čtyři nástroje:

• Platforma ochrany cloudových workloadů pomáhá zabezpečit výpočetní a síťové funkce a funkce úložišť, které aplikace v cloudu potřebují. Funguje tak, že identifikuje úlohy v prostředích veřejných, privátních a hybridních cloudů a vyhledává možná ohrožení zabezpečení. Pokud se zjistí ohrožení zabezpečení, řešení navrhne kontrolní mechanismy k opravě těchto problémů.
• Zprostředkovatelé zabezpečení cloudových aplikací pomáhají IT týmům získávat přehled o využívání cloudových aplikací a poskytují hodnocení rizik u všech aplikací. Tato řešení také pomáhají chránit data a plnit cíle dodržování předpisů pomocí nástrojů, které ukazují, jak se data v cloudu přesouvají. Organizace k detekci neobvyklého chování uživatelů a k nápravě hrozeb používají také zprostředkovatele zabezpečení cloudových aplikací.
• Řešení pro správu stavu zabezpečení cloudu pomáhá snižovat riziko tím, že průběžně hledá chyby konfigurace, které by mohly vést k porušení zabezpečení. Automatizací procesu tato řešení snižují riziko chyb v manuálních procesech a zvyšují přehled o prostředích s velkými počty služeb a účtů. Po zjištění ohrožení zabezpečení poskytují tato řešení doporučení s asistencí, která vývojářům pomůžou problém vyřešit.
• Řešení pro správu identit a přístupu poskytují nástroje pro správu identit a používání zásad přístupu. Organizace používají tato řešení k omezení přístupu k citlivým prostředkům a k vynucování vícefaktorového ověřování a používání nejnižších možných oprávnění.
• Platforma ochrany nativních cloudových aplikací (CNAPP) pomáhá týmům pro zabezpečení integrovat zabezpečení od kódu po cloud. CNAPP sjednocuje funkce dodržování předpisů a zabezpečení, aby bylo možné předcházet cloudovým bezpečnostním hrozbám, odhalovat je a reagovat na ně – od vývoje až po provoz.
• Jednotná správa zabezpečení DevOps umožňuje týmům pro zabezpečení sjednocovat, posilovat a spravovat vícekanálové zabezpečení, zlepšit zabezpečení integrací zabezpečení přímo do kódu a podporovat funkce ochrany od kódu po cloud v jediné konzole.

Při zavádění postupů a zásad pro ochranu cloudů musí organizace zvažovat čtyři oblasti:

• Omezení přístupu: Vzhledem k tomu, že cloud umožňuje přístup ke všemu přes internet, je velmi důležité zajistit, aby ke správným nástrojům měli přístup jen ti správní lidé po správnou dobu.
• Ochrana dat: Organizace musí porozumět tomu, kde se jejich data nachází, a zavést odpovídající kontrolní mechanismy k ochraně infrastruktury, kde jsou data hostovaná, i k ochraně samotných dat.
• Obnovení dat: V případě porušení zabezpečení je velmi důležité dobré řešení zálohování a plán pro obnovení dat.
• Plán reakce: Když je organizace napadena, potřebuje plán, jak snížit dopad útoku a zabránit napadení dalších systémů.
• Zlepšení zabezpečení: Týmy pro zabezpečení a vývojové týmy spolupracují na integraci zabezpečení přímo do kódu, takže aplikace nativní pro cloud jsou zabezpečené od začátku a zůstávají zabezpečené.
• Sjednocení přehledu o stavu zabezpečení DevOps: Minimalizujte slepá místa využíváním jednotného přehledu k zobrazení informací o stavu zabezpečení DevOps napříč platformami DevOps.
• Zaměření týmů pro zabezpečení na nově vznikající hrozby: Posilte konfigurace cloudových prostředků v kódu, abyste omezili vnášení problémů se zabezpečením do produkčních prostředí.

Organizace si musí dávat pozor na následující rizika související s cloudem:

• Napadené účty: Útočníci často používají phishingové kampaně ke krádežím hesel zaměstnanců a k získání přístupu k systémům a cenným firemním prostředkům.
• Ohrožení zabezpečení hardwaru a softwaru: Bez ohledu na to, jestli organizace používá veřejný nebo privátní cloud, je důležité, aby měl hardware a software všechny opravy a byl aktuální.
• Interní hrozby: Významnou příčinou porušení zabezpečení jsou lidské chyby. Chyby konfigurací můžou vytvořit prostor pro aktéry se zlými úmysly. Zaměstnanci často klikají na škodlivé odkazy nebo neúmyslně přesouvají data do umístění s nižším zabezpečením.
• Nedostatečný přehled o cloudových prostředcích: Toto cloudové riziko ztěžuje zjišťování ohrožení zabezpečení a hrozeb a reakci na ně, což může vést k porušení zabezpečení a ztrátě dat.
• Nedostatečné určování priorit rizik: Jakmile správci zabezpečení získají přehled o cloudových prostředcích, může být množství doporučení pro zlepšení stavu zabezpečení ohromující. Je důležité určovat prioritu rizik, aby správci věděli, na co se mají zaměřit tak, aby to mělo co největší dopad na zabezpečení.
• Vysoce riziková cloudová přístupová oprávnění: S nárůstem cloudových služeb a identit se zvýšil počet vysoce rizikových cloudových přístupových oprávnění, což rozšiřuje potenciální oblasti útoku. Metrika PCI (index nevyužitých oprávnění) měří, kolik škod můžou identity způsobit na základě jejich oprávnění.
• Nově vznikající hrozby: Rizika v oblasti zabezpečení cloudu se neustále vyvíjí. Pokud chcete zajistit ochranu před porušením zabezpečení a ztrátou dat, je důležité si udržovat přehled, protože se neustále objevují nové hrozby.
• Nedostatečná integrace mezi vývojem pro cloud a zabezpečením: Je důležité, aby týmy pro zabezpečení a vývojové týmy spolupracovaly na identifikaci a opravě problémů s kódem ještě před nasazením aplikace do cloudu.

Zabezpečení cloudu odkazuje na technologie, postupy, zásady a kontrolní mechanismy, které pomáhají chránit cloudové systémy a data. Mezi příklady zabezpečení cloudu patří:

• Nástroje, jako je zprostředkovatel zabezpečení přístupu ke cloudu, umožňující získat přehled o aplikacích a datech používaných v organizaci.
• Správa stavu zabezpečení cloudu, která pomáhá identifikovat a opravovat chyby konfigurace.
• Nástroje, které pomáhají týmům pro zabezpečení a vývojovým týmům spolupracovat na integraci zabezpečení přímo do kódu.
• Platforma ochrany cloudových workloadů, která integruje zabezpečení do procesu vývoje.
• Implementace zásad k udržování zařízení zaměstnanců v aktuálním stavu, včetně zajištění pravidelných oprav softwaru.
• Zavedení školicího programu, aby zaměstnanci věděli o nejnovějších hrozbách a phishingových taktikách.

Prostřednictvím ochrany cloudových systémů a dat před interními a externími hrozbami snižuje zabezpečení cloudu riziko kybernetického útoku. Zabezpečení cloudu také podporuje hybridní pracovní modely tím, že řídí, kdo má přístup k prostředkům – bez ohledu na to, jestli zaměstnanci, externí pracovníci a obchodní partneři pracují přímo na pracovišti nebo na dálku. Další výhodou je, že zabezpečení cloudu zvyšuje ochranu osobních údajů a pomáhá organizacím dodržovat předpisy, jako je obecné nařízení o ochraně osobních údajů (GDPR) a zákon o odpovědnosti za přenos údajů o zdravotním pojištění (HIPAA). Nedodržování těchto předpisů může vést k nákladným pokutám a poškození pověsti.

Osvědčené postupy pro zabezpečení cloudu zahrnují technologie, procesy a kontrolní mechanismy vaší organizace, včetně následujících oblastí:

• Zajištění, že vaše nativní cloudová aplikační platforma zahrnuje platformu ochrany cloudových úloh, správu nároků cloudové infrastruktury a správu stavu zabezpečení cloudu, což vám pomůže omezit chyby, posílit zabezpečení a efektivně spravovat přístup.
• Provádění pravidelných školení, která zaměstnancům pomáhají rozpoznávat phishingové kampaně a další techniky sociálního inženýrství. A také implementace procesů, které vám pomůžou předcházet útokům, zjišťovat je a reagovat na ně, včetně šifrování citlivých dat, zajištění pravidelných oprav softwaru a hardwaru a vytvoření silných zásad pro hesla.
• Přijetí architektury nulové důvěry (Zero Trust), která explicitně ověřuje všechny žádosti o přístup. To zahrnuje používání přístupů s nejnižší možnou úrovní oprávnění, aby uživatelé měli přístup k prostředkům, které potřebují, a k ničemu dalšímu.
• Zlepšení zabezpečení v kanálu DevOps umožňuje týmům pro zabezpečení a vývojovým týmům spolupracovat na integraci zabezpečení přímo do kódu, takže aplikace nativní pro cloud jsou zabezpečené od začátku a zůstávají zabezpečené.