Trace Id is missing
Prejsť na hlavný obsah
Zabezpečenie od spoločnosti Microsoft

Čo je cloudové zabezpečenie?

Získajte ďalšie informácie o technológiách, postupoch, politikách a ovládacích prvkoch, ktoré vám pomáhajú chrániť cloudové systémy a údaje.

Definícia cloudového zabezpečenia

Cloudové zabezpečenie je zdieľanou zodpovednosťou medzi poskytovateľmi cloudových služieb a ich zákazníkmi. Zodpovednosť sa líši v závislosti od typu ponúkaných služieb:

Verejné cloudové prostredia
Spravujú ich poskytovatelia cloudových služieb. V tomto prostredí servery zdieľajú viacerí nájomníci.

Súkromné cloudové prostredia
Môžu byť v dátovom centre vlastnenom zákazníkom alebo môžu byť spravované poskytovateľom verejných cloudových služieb. V oboch prípadoch sú servery jedným nájomníkom a organizácie nemusia zdieľať priestor s inými spoločnosťami.

Hybridné cloudové prostredia
Sú kombináciou lokálnych dátových centier a cloudov tretích strán.

Multicloudové prostredia
Zahŕňa dve alebo viac cloudových služieb prevádzkovaných rôznymi poskytovateľmi cloudových služieb.

Bez ohľadu na to, aký typ prostredia alebo kombináciu prostredí organizácia používa, cloudové zabezpečenie je určené na ochranu fyzických sietí vrátane smerovačov a elektrických systémov, údajov, úložiska údajov, údajových serverov, aplikácií, softvéru, operačných systémov a hardvéru.

Prečo je cloudové zabezpečenie dôležité?

Cloud sa stal neoddeliteľnou súčasťou online života. Vďaka cloudu je digitálna komunikácia a práca pohodlnejšia a organizácie dokážu rýchlo inovovať. Keď však priatelia zdieľajú fotografie, kolegovia spolupracujú na novom produkte alebo vlády poskytujú online služby, nie je vždy jasné, kde sa ukladajú samotné údaje. Ľudia môžu neúmyselne premiestniť údaje na menej bezpečné miesto, a keďže všetko bude dostupné na internete, položky budú vystavené väčšiemu riziku neoprávneného prístupu.

Ochrana osobných údajov je tiež čoraz dôležitejšia ako pre ľudí, tak pre štátnu správu. Nariadenia ako Všeobecné nariadenie o ochrane údajov (GDPR) a Zákon USA o zodpovednosti za prenos údajov zdravotného poistenia (HIPAA) vyžadujú od organizácií, ktoré zhromažďujú informácie, aby tak urobili transparentne a zaviedli politiky, ktoré pomáhajú zabrániť odcudzeniu alebo zneužitiu údajov. Ak podmienky nedodržíte, môže to mať za následok nákladné pokuty a škody na reputácii.

Na zachovanie konkurencieschopnosti musia organizácie naďalej rýchlo prispôsobovať cloud a uľahčiť zamestnancom a zákazníkom prístup k službám a zároveň chrániť údaje a systémy pred nasledujúcimi hrozbami:

  • Zmeužité kontá: Útočníci často používajú kampane neoprávneného získavania údajov na krádež hesiel zamestnancov a získanie prístupu k systémom a cenným podnikovým aktívam.
  • Nedostatky hardvéru a softvéru: Bez ohľadu na to, či organizácia používa verejný alebo súkromný cloud, je dôležité, aby sa hardvér aj softvér opravili a aktualizovali.
  • Interné hrozby: Ľudské chyby sú veľkým faktorom narušenia zabezpečenia. Nesprávna konfigurácia môže vytvoriť priestor pre útočníkov a zamestnanci často kliknú na zlé prepojenia alebo neúmyselne premiestnia údaje do miest s menším zabezpečením.
  • Nedostatočný prehľad o cloudových prostriedkoch: Toto cloudové riziko sťažuje zisťovanie hrozieb a rizík zabezpečenia a reagovanie na ne, čo môže viesť k narušeniu zabezpečenia a strate údajov.
  • Nedostatočné určovanie priorít rizík: Keď správcovia zabezpečenia získajú prehľad o cloudových prostriedkoch, počet odporúčaní na zlepšenie úrovne zabezpečenia môže byť obrovský. Je dôležité určovať priority rizík, aby správcovia vedeli, na čo sa majú zamerať, aby to malo čo najväčší vplyv na zabezpečenie.
  • Vysokorizikové cloudové povolenia: S nárastom cloudových služieb a identít sa zvýšil aj počet vysokorizikových cloudových povolení, čo rozširuje možné miesta útokov. Metrika PCI (index nevyužitých povolení) meria, koľko škôd môžu identity spôsobiť na základe ich povolení.
  • Novovznikajúce hrozby: Riziká v oblasti cloudového zabezpečenia sa neustále vyvíjajú. Pokiaľ chcete zaistiť ochranu pred narušeniami zabezpečenia a únikom údajov, je dôležité udržiavať si prehľad o nových hrozbách.
  • Nedostatočná integrácia medzi cloudovým vývojom a zabezpečením: Je veľmi dôležité, aby bezpečnostné a vývojové tímy spolupracovali na identifikácii a oprave problémov s kódom ešte pred nasadením aplikácie do cloudu.

Ako funguje cloudové zabezpečenie?

Cloudové zabezpečenie je zdieľanou zodpovednosťou medzi poskytovateľmi cloudových služieb a ich zákazníkmi. Zodpovednosť sa líši v závislosti od typu ponúkaných služieb:

Infraštruktúra ako služba
V tomto modeli poskytovatelia cloudových služieb ponúkajú výpočtové, sieťové a ukladacie zdroje na požiadanie. Poskytovateľ je zodpovedný za zabezpečenie základných výpočtových služieb. Zákazníci musia zabezpečiť všetko, čo je súčasťou operačného systému, vrátane aplikácií, údajov, modulov runtime, middleware a samotného operačného systému.

Platforma ako služba
Mnohí poskytovatelia tiež ponúkajú kompletné vývojové prostredie a prostredie nasadenia v cloude. Okrem základných výpočtových služieb preberajú zodpovednosť za ochranu modulu runtime, middleware a operačného systému. Zákazníci musia chrániť svoje aplikácie, údaje, prístup používateľov, zariadenia koncových používateľov a siete koncových používateľov.

Softvér ako služba
Organizácie majú prístup k softvéru aj prostredníctvom modelu priebežných platieb, akým je Microsoft Office 365 alebo Google Drive. V tomto modeli musia zákazníci naďalej poskytovať zabezpečenie svojich údajov, používateľov a zariadení.

Bez ohľadu na to, kto je zodpovedný, cloudové zabezpečenie má štyri hlavné aspekty:

  • Obmedzenie prístupu: Keďže cloud zjednodušuje prístup k internetu, je mimoriadne dôležité zabezpečiť, aby k správnym nástrojom mali prístup len správni ľudia a len na správny čas.
  • Ochrana údajov: Organizácie musia pochopiť, kde sa ich údaje nachádzajú, a zadať príslušné ovládacie prvky na ochranu samotných údajov aj infraštruktúry, v ktorej sú údaje hosťované.
  • Obnovenie údajov: Dobré riešenie zálohovania a plán obnovenia údajov sú dôležité v prípade narušenia.
  • Plán reakcie: Organizácia pri útoku potrebuje plán na zníženie vplyvu a zabránenie ohrozenia ostatných systémov.
  • Zlepšenie zabezpečenia: Bezpečnostné a vývojové tímy spolupracujú na integrácii zabezpečenia priamo do kódu, takže natívne cloudové aplikácie sú zabezpečené od začiatku a zostávajú zabezpečené.
  • Zjednotenie viditeľnosti úrovne zabezpečenia DevOps: Minimalizujte počet slepých miest využívaním jednotného prehľadu na zobrazovanie informácií o úrovni zabezpečenia DevOps na platformách DevOps.
  • Zameranie bezpečnostných tímov na vznikajúce hrozby: Posilnite konfigurácie cloudových prostriedkov v kóde, aby ste obmedzili vnášanie problémov so zabezpečením do produkčných prostredí.

Typy nástrojov cloudového zabezpečenia

Nástroje cloudového zabezpečenia riešia zraniteľnosť zamestnancov aj externé hrozby. Pomáhajú tiež zmierniť chyby, ktoré sa vyskytujú počas vývoja, a znížiť riziko, že neoprávnení ľudia získajú prístup k citlivým údajom.

  • Spravovanie úrovne cloudového zabezpečenia

    Nesprávne konfigurácie cloudu sa dejú často a vytvárajú príležitosti na ohrozenie. Mnohé z týchto chýb sa vyskytujú, pretože ľudia nepochopia, že zákazník je zodpovedný za konfiguráciu cloudu a zabezpečenie aplikácií. Je tiež jednoduché urobiť chybu vo veľkých spoločnostiach so zložitými prostrediami.

    Riešenie spravovania úrovne cloudového zabezpečenia pomáha znižovať riziko tým, že neustále hľadá chyby konfigurácie, ktoré by mohli viesť k narušeniu. Automatizáciou procesu tieto riešenia znižujú riziko chýb v manuálnych procesoch a zvyšujú viditeľnosť prostredí s tisíckami služieb a kont. Po zistení zraniteľností môžu vývojári problém vyriešiť interaktívnymi odporúčaniami. Spravovanie úrovne cloudového zabezpečenia nepretržite monitoruje prostredie z dôvodu škodlivej aktivity alebo neoprávneného prístupu.

  • Platforma ochrany cloudových workloadov

    Keďže organizácie zaviedli procesy, ktoré pomáhajú vývojárom rýchlejšie vytvárať a nasadzovať funkcie, existuje väčšie riziko, že kontroly zabezpečenia budú počas vývoja prehliadnuté. Platforma ochrany cloudových workloadov pomáha zabezpečiť výpočtové, ukladacie a sieťové funkcie, ktoré aplikácie v cloude potrebujú. Funguje tak, že identifikuje workloady vo verejných, súkromných a hybridných cloudových prostrediach a kontroluje ich zraniteľnosti. Ak sa zistia zraniteľnosti, riešenie navrhne kroky, ktoré ich vyriešia.

  • Agent zabezpečenia prístupu do cloudu

    Keďže vyhľadávanie a prístup ku cloudovým službám sú také jednoduché, pre IT tímy môže byť ťažké udržať si prehľad o všetkom softvéri, ktorý sa používa v organizácii.

    Agenti zabezpečenia prístupu do cloudu (CASB) pomáhajú IT oddeleniu získať prehľad o používaní cloudových aplikácií a poskytovať hodnotenie rizík jednotlivých aplikácií. Tieto riešenia tiež pomáhajú chrániť údaje a spĺňať ciele dodržiavania súladu s nástrojmi, ktoré ukazujú, ako sa údaje presúvajú cez cloud. Organizácie používajú tieto nástroje aj na zisťovanie nezvyčajného správania používateľov a nápravu hrozieb.

  • Identita a prístup

    Určenie toho, kto má prístup k zdrojom, je dôležité na ochranu údajov v cloude. Organizácie musia mať možnosť zabezpečiť, aby zamestnanci, dodávatelia a obchodní partneri mali správny prístup bez ohľadu na to, či sú na pracovisku alebo pracujú na diaľku.

    Organizácie používajú riešenia identity a prístupu na overenie identít, obmedzenie prístupu k citlivým zdrojom a vynútenie viacfaktorového overovania a politík s najmenšími oprávneniami.

  • Správa nárokov v rámci cloudovej infraštruktúry

    Správa identity a prístupu je ešte zložitejšia, keď ľudia pristupujú k údajom vo viacerých cloudoch. Riešenie na správu nárokov na cloudovú infraštruktúru pomáha spoločnosti získať prehľad o tom, ktoré identity pristupujú k zdrojom v rámci svojich cloudových platforiem. IT tímy tiež používajú tieto produkty na priradenie prístupu s najmenšími oprávneniami a iných politík zabezpečenia.

  • Platforma na ochranu natívnych cloudových aplikácií

    Komplexná platforma na ochranu natívnych cloudových aplikácií (CNAPP) pomáha bezpečnostným tímom integrovať zabezpečenie od kódu po cloud. CNAPP zjednocuje možnosti dodržiavania súladu a zabezpečenia s cieľom predchádzať cloudovým bezpečnostným hrozbám, odhaľovať ich a reagovať na ne v multicloudových a hybridných prostrediach – od vývoja až po prevádzku.

  • Jednotná správa zabezpečenia DevOps

    Zjednoťte správu zabezpečenia pre DevOps a zaistite zabezpečenie cloudových aplikácií hneď od začiatku. Bezpečnostné tímy majú možnosť zjednocovať, posilňovať a spravovať viackanálové zabezpečenie, zlepšiť zabezpečenie s cieľom integrácie zabezpečenia priamo do kódu a podporovať funkcie ochrany od kódu po cloud v jedinej konzole.

Aké sú výzvy cloudového zabezpečenia?

Vďaka prepojeniu cloudu je práca a interakcia online jednoduchá, no zároveň vytvára bezpečnostné riziká. Bezpečnostné tímy potrebujú možnosti, ktoré im pomôžu riešiť nasledujúce kľúčové výzvy v cloude:

Nedostatočná viditeľnosť údajov
Na zachovanie produktivity organizácií musí IT oddelenie poskytnúť zamestnancom, obchodným partnerom a dodávateľom prístup k materiálom a informáciám spoločnosti. Mnohí z týchto ľudí pracujú na diaľku alebo mimo podnikovej siete a vo veľkých podnikoch sa zoznam oprávnených používateľov neustále mení. Keďže toľko ľudí používa viacero zariadení na prístup k zdrojom spoločnosti v rôznych verejných a súkromných cloudoch, môže byť ťažké monitorovať, ktoré služby sa používajú a ako sa údaje presúvajú cez cloud. Technické tímy musia zabezpečiť, aby sa údaje nepremiestnili do riešení úložiska, ktoré sú menej bezpečné, a aby sa zabránilo nesprávnym ľuďom získať prístup k citlivým informáciám.

Zložité prostredia
Cloud výrazne zjednodušil nasadzovanie infraštruktúry a aplikácií. Pri toľkých rôznych poskytovateľoch a službách si IT tímy môžu vybrať prostredie, ktoré najlepšie vyhovuje požiadavkám jednotlivých produktov a služieb. To viedlo k zložitému prostrediu v lokálnom, verejnom a súkromnom cloude. Hybridné multicloudové prostredie vyžaduje riešenia zabezpečenia, ktoré fungujú v celom ekosystéme a chránia ľudí, ktorí pristupujú k rôznym položkám z rôznych umiestnení. Chyby konfigurácie sú pravdepodobnejšie a monitorovanie hrozieb, ktoré sa presúvajú v týchto zložitých prostrediach, môže byť náročné.

Rýchle inovácie
Kombinácia faktorov umožnila organizáciám rýchlo inovovať a nasadzovať nové produkty. Umelá inteligencia, strojové učenie a internet vecí umožňujú podnikom efektívnejšie zhromažďovať a používať údaje. Poskytovatelia cloudových služieb ponúkajú služby s nízkym kódom a bez kódu, aby spoločnostiam uľahčili používanie pokročilých technológií. Procesy DevOps skrátili vývojový cyklus. Vďaka väčšej časti infraštruktúry hosťovanej v cloude mnohé organizácie prerozdelili zdroje na výskum a vývoj. Nevýhodou rýchlych inovácií je, že technológia sa mení tak rýchlo, že bezpečnostné normy sú často vynechané alebo prehliadané.

Dodržiavanie súladu a riadenie
Napriek tomu, že väčšina hlavných poskytovateľov cloudových služieb je v súlade s niekoľkými známymi programami na akreditáciu súladu, stále je zodpovednosťou cloudových zákazníkov zabezpečiť, aby ich workloady boli v súlade s vládnymi a internými normami.

Hrozby zvnútra
 Pre IT a bezpečnostné tímy je veľmi dôležité, aby chránili svoju organizáciu pred zamestnancami, ktorí by mohli svoj autorizovaný prístup využiť na spôsobenie nejakej škody – či už úmyselne, alebo neúmyselne. Medzi hrozby zvnútra patrí ľudská chyba, ktorá môže viesť k potenciálnym bezpečnostným incidentom, napríklad keď zamestnanec omylom nainštaluje malvér potom, ako odpovie na e-mailovú kampaň na neoprávnené získavanie údajov. Iné typy hrozieb spôsobujú insideri so škodlivými úmyslami, ktorí chcú spôsobiť škodu, napríklad krádež alebo podvod. Môžu konať nezávisle alebo spolupracovať s nejakou kyberzločineckou organizáciou. Hrozby zvnútra sa ťažšie rozpoznávajú ako externé hrozby, pretože insideri už majú prístup k prostriedkom organizácie a poznajú bezpečnostné opatrenia spoločnosti.

Implementácia cloudového zabezpečenia

Zníženie rizika kybernetického útoku na vaše cloudové prostredie je možné pomocou správnej kombinácie procesov, ovládacích prvkov a technológií.

Natívna cloudová aplikačná platforma, ktorá zahŕňa platformu ochrany cloudových workloadov, správu nárokov na cloudovú infraštruktúru a spravovanie úrovne cloudového zabezpečenia, vám pomôže znížiť počet chýb, zvýšiť zabezpečenie a efektívne spravovať prístup. 

Na podporu investícií do technológií vykonávajte pravidelné školenia, ktoré zamestnancom pomôžu rozpoznať kampane na neoprávnené získavanie údajov a iné techniky sociálneho inžinierstva. Uistite sa, že je pre ľudí jednoduché informovať oddelenie IT, ak majú podozrenie, že dostali škodlivý e-mail. Spustite simulácie neoprávneného získavania údajov na monitorovanie efektivity programu.

Vyvíjajte procesy, ktoré vám pomôžu predchádzať útoku, zistiť ho a reagovať naň. Pravidelne opravujte softvér a hardvér, aby ste znížili zraniteľnosti. Šifrujte citlivé údaje a vytvárajte silné politiky hesiel, aby ste znížili riziko zneužitia konta. Viacfaktorové overovanie výrazne sťažuje neoprávneným používateľom získať prístup a bezheslové technológie sa jednoduchšie používajú a sú bezpečnejšie než tradičné heslá.

Vďaka hybridným pracovným modelom, ktoré zamestnancom poskytujú flexibilitu pri práci v kancelárii a na diaľku, potrebujú organizácie nový model zabezpečenia, ktorý chráni ľudí, zariadenia, aplikácie a údaje bez ohľadu na to, kde sa nachádzajú.  Architektúra nulovej dôvery (Zero Trust) stojí na princípe, podľa ktorého nemôžete viac veriť žiadosti o prístup, aj keď pochádza zvnútra siete. Ak chcete zmierniť riziko, musíte predpokladať, že u vás došlo k narušeniu a explicitne overiť všetky žiadosti o prístup. Využite prístup s najmenšími oprávneniami, aby ste ľuďom poskytli prístup len k zdrojom, ktoré potrebujú, a k ničomu ďalšiemu.

Riešenia cloudového zabezpečenia

Hoci cloud predstavuje nové bezpečnostné riziká, správne riešenia, procesy a politiky cloudového zabezpečenia vám môžu pomôcť výrazne ich znížiť. Začnite nasledujúcimi krokmi:

  • Identifikujte všetkých poskytovateľov cloudových služieb, ktorí sa používajú v organizácii, a oboznámte sa s ich zodpovednosťami týkajúcimi sa zabezpečenia a ochrany osobných údajov.
  • Investujte do nástrojov, ako je napríklad sprostredkovateľ zabezpečenia prístupu ku cloudu, aby ste získali prehľad o aplikáciách a údajoch, ktoré vaša organizácia používa.
  • Nasaďte spravovanie úrovne cloudového zabezpečenia, ktoré vám pomôže identifikovať a opraviť chyby konfigurácie.
  • Implementujte platformu ochrany cloudových workloadov, aby ste mohli k procesu vývoja pripojiť zabezpečenie.
  • Pravidelne opravujte softvér a politiky inštitútu, aby boli zariadenia zamestnancov aktuálne.
  • Vytvorte školiaci program, ktorý zabezpečí, že zamestnanci budú informovaní o najnovších hrozbách a taktikách neoprávneného získavania údajov.
  • Implementujte stratégiu zabezpečenia s nulovou dôverou (Zero Trust) a pomocou správy identít a prístupu spravujte a chráňte prístup.
  • Zlepšite zabezpečenie v kanáli DevOps s cieľom integrácie zabezpečenia priamo do kódu, aby natívne cloudové aplikácie boli zabezpečené od začiatku a zostávali zabezpečené.

Ďalšie informácie o zabezpečení od spoločnosti Microsoft

Microsoft Defender for Cloud

Monitorujte a pomáhajte chrániť workloady v multicloudových a hybridných prostrediach.

Microsoft Defender for Cloud Apps

Získajte podrobný prehľad o cloudových aplikáciach a kontrolu nad nimi pomocou nášho popredného agenta CASB.

Microsoft Defender pre DevOps

Získajte zjednotenú správu zabezpečenia DevOps v rámci multicloudových a multikanálových prostredí.

Microsoft Entra Správa povolení

Zisťujte, naprávajte a monitorujte riziká týkajúce sa povolení vo vašej multicloudovej infraštruktúre.

Microsoft Defender Správa externých možných miest útokov

 Získajte prehľad o úrovni zabezpečenia za bránou firewall aj pred ňou.

Najčastejšie otázky

  • Cloudové zabezpečenie je zdieľanou zodpovednosťou medzi poskytovateľmi cloudových služieb a ich zákazníkmi. Zodpovednosť sa líši v závislosti od typu ponúkaných služieb:

    Infraštruktúra ako služba. V tomto modeli poskytovatelia cloudových služieb ponúkajú výpočtové, sieťové a ukladacie zdroje na požiadanie. Poskytovateľ je zodpovedný za zabezpečenie základných výpočtových služieb. Zákazníci musia zabezpečiť operačný systém a všetko nad jeho úrovňou vrátane aplikácií, údajov, modulov runtime a middleware.

    Platforma ako služba. Mnohí poskytovatelia tiež ponúkajú kompletné vývojové prostredie a prostredie nasadenia v cloude. Okrem základných výpočtových služieb preberajú zodpovednosť za ochranu modulu runtime, middleware a operačného systému. Zákazníci musia chrániť svoje aplikácie, údaje, prístup používateľov, zariadenia koncových používateľov a siete koncových používateľov.

    Softvér ako služba. Organizácie majú prístup k softvéru aj prostredníctvom modelu priebežných platieb, akým je Microsoft Office 365 alebo Google Drive. V tomto modeli musia zákazníci naďalej poskytovať zabezpečenie svojich údajov, používateľov a zariadení.

     

  • Štyri nástroje, ktoré pomáhajú spoločnostiam chrániť zdroje v cloude:

    • Platforma ochrany cloudových workloadov pomáha zabezpečiť výpočtové, ukladacie a sieťové funkcie, ktoré aplikácie v cloude potrebujú. Funguje tak, že identifikuje vyťaženia vo verejných, súkromných a hybridných cloudových prostrediach a kontroluje ich zraniteľnosti. Ak sa zistia zraniteľnosti, riešenie navrhne kroky, ktoré ich vyriešia.
    • Agenti zabezpečenia cloudových aplikácií pomáhajú IT tímom získať prehľad o používaní cloudových aplikácií a poskytovať hodnotenie rizík jednotlivých aplikácií. Tieto riešenia tiež pomáhajú chrániť údaje a spĺňať ciele dodržiavania súladu s nástrojmi, ktoré ukazujú, ako sa údaje presúvajú cez cloud. Organizácie tiež používajú agentov cloudového zabezpečenia aplikácií na zisťovanie nezvyčajného správania používateľov a nápravu hrozieb.
    • Riešenie správy úrovne cloudového zabezpečenia pomáha znižovať riziko tým, že neustále hľadá chyby konfigurácie, ktoré by mohli viesť k narušeniu. Automatizáciou procesu tieto riešenia znižujú riziko chýb v manuálnych procesoch a zvyšujú viditeľnosť prostredí s tisíckami služieb a kont. Po zistení zraniteľností tieto riešenia poskytujú interaktívne odporúčania, ktoré vývojárom pomôžu problém vyriešiť.
    • Riešenia na správu identít a prístupu poskytujú nástroje na spravovanie identít a používanie politík prístupu. Organizácie používajú tieto riešenia na obmedzenie prístupu k citlivým zdrojom a na vynútenie viacfaktorového overovania a prístupu s najmenšími oprávneniami.
    • Platforma na ochranu natívnych cloudových aplikácií (CNAPP) pomáha bezpečnostným tímom integrovať zabezpečenie od kódu po cloud. CNAPP zjednocuje možnosti dodržiavania súladu a zabezpečenia s cieľom predchádzať cloudovým bezpečnostným hrozbám, odhaľovať ich a reagovať na ne od vývoja až po prevádzku.
    • Jednotná správa zabezpečenia DevOps umožňuje bezpečnostným tímom zjednocovať, posilňovať a spravovať viackanálové zabezpečenie, zlepšiť zabezpečenie s cieľom integrácie zabezpečenia priamo do kódu a podporovať funkcie ochrany od kódu po cloud v jedinej konzole.
  • Existujú štyri oblasti, ktoré musia organizácie zvážiť pri zavádzaní postupov a politík na ochranu svojich cloudov:

    • Obmedzenie prístupu: Keďže cloud zjednodušuje prístup k internetu, je mimoriadne dôležité zabezpečiť, aby k správnym nástrojom na správny čas mali prístup len správni ľudia.
    • Ochrana údajov: Organizácie musia pochopiť, kde sa ich údaje nachádzajú, a nasadiť príslušné ovládacie prvky na zabezpečenie infraštruktúry, v ktorej sú údaje hosťované a uložené, ako aj samotných údajov.
    • Obnovenie údajov: Dobré riešenie zálohovania a plán obnovenia údajov sú dôležité v prípade narušenia.
    • Plán odpovedí: Organizácia pri napadnutí potrebuje plán na zníženie vplyvu a zabránenie ohrozenia ostatných systémov.
    • Zlepšenie zabezpečenia: Bezpečnostné a vývojové tímy spolupracujú na integrácii zabezpečenia priamo do kódu, takže natívne cloudové aplikácie sú zabezpečené od začiatku a zostávajú zabezpečené.
    • Zjednotenie viditeľnosti úrovne zabezpečenia DevOps: Minimalizujte počet slepých miest využívaním jednotného prehľadu na zobrazovanie informácií o úrovni zabezpečenia DevOps na platformách DevOps.
    • Zameranie bezpečnostných tímov na vznikajúce hrozby: Posilnite konfigurácie cloudových prostriedkov v kóde, aby ste obmedzili vnášanie problémov so zabezpečením do produkčných prostredí.
  • Organizácie si musia dávať pozor na nasledujúce cloudové riziká:

    • Ohrozené kontá: Útočníci často používajú kampane neoprávneného získavania údajov na krádež hesiel zamestnancov a získanie prístupu k systémom a cenným podnikovým aktívam.
    • Nedostatky hardvéru a softvéru: Bez ohľadu na to, či organizácia používa verejný alebo súkromný cloud, je dôležité, aby sa hardvér aj softvér opravili a aktualizovali.
    • Interné hrozby: Ľudské chyby sú veľkým faktorom narušenia zabezpečenia. Nesprávna konfigurácia môže vytvoriť otvory pre nevhodných účastníkov. Zamestnanci často kliknú na zlé prepojenia alebo neúmyselne premiestnia údaje do miest s menším zabezpečením.
    • Nedostatočný prehľad o cloudových prostriedkoch: Toto cloudové riziko sťažuje zisťovanie hrozieb a rizík zabezpečenia a reagovanie na ne, čo môže viesť k narušeniu zabezpečenia a strate údajov.
    • Nedostatočné určovanie priorít rizík: Keď správcovia zabezpečenia získajú prehľad o cloudových prostriedkoch, počet odporúčaní na zlepšenie úrovne zabezpečenia môže byť obrovský. Je dôležité určovať priority rizík, aby správcovia vedeli, na čo sa majú zamerať, aby to malo čo najväčší vplyv na zabezpečenie.
    • Vysokorizikové cloudové povolenia: S nárastom cloudových služieb a identít sa zvýšil aj počet vysokorizikových cloudových povolení, čo rozširuje možné miesta útokov. Metrika PCI (index nevyužitých povolení) meria, koľko škôd môžu identity spôsobiť na základe ich povolení.
    • Novovznikajúce hrozby: Riziká v oblasti cloudového zabezpečenia sa neustále vyvíjajú. Pokiaľ chcete zaistiť ochranu pred narušeniami zabezpečenia a únikom údajov, je dôležité udržiavať si prehľad o nových hrozbách.
    • Nedostatočná integrácia medzi cloudovým vývojom a zabezpečením: Je veľmi dôležité, aby bezpečnostné a vývojové tímy spolupracovali na identifikácii a oprave problémov s kódom ešte pred nasadením aplikácie do cloudu.
  • Cloudové zabezpečenie odkazuje na technológie, postupy, politiky a ovládacie prvky, ktoré pomáhajú chrániť cloudové systémy a údaje. Medzi príklady cloudového zabezpečenia patria:

    • Nástroje, ako je napríklad sprostredkovateľ zabezpečenia prístupu ku cloudu, umožňujúce získať prehľad o aplikáciách a údajoch, ktoré organizácia používa.
    • Spravovanie úrovne cloudového zabezpečenia, ktoré pomáha identifikovať a opravovať chyby konfigurácie.
    • Nástroje, ktoré pomáhajú bezpečnostným a vývojovým tímom spolupracovať na integrácii zabezpečenia priamo do kódu.
    • Platforma ochrany cloudových workloadov, ktorá integruje zabezpečenie do procesu vývoja.
    • Implementácia politík na udržiavanie zariadení zamestnancov v aktuálnom stave vrátane zabezpečenia pravidelných opráv softvéru.
    • Zavedenie školiaceho programu, ktorý zabezpečí, že zamestnanci budú informovaní o najnovších hrozbách a taktikách neoprávneného získavania údajov.
  • Prostredníctvom ochrany cloudových systémov a údajov pred internými a externými hrozbami znižuje cloudové zabezpečenie riziko kybernetického útoku. Cloudové zabezpečenie podporuje aj modely hybridnej práce tým, že riadi, kto má prístup k prostriedkom – bez ohľadu na to, či zamestnanci, dodávatelia a obchodní partneri pracujú na pracovisku alebo na diaľku. Ďalšou výhodou je, že cloudové zabezpečenie zlepšuje ochranu osobných údajov a pomáha organizáciám dodržiavať nariadenia, ako je všeobecné nariadenie o ochrane údajov (GDPR) a zákon USA o zodpovednosti za prenos údajov zdravotného poistenia (HIPAA). Nedodržanie týchto nariadení môže viesť k nákladným pokutám a poškodeniu reputácie.

  • Osvedčené postupy pre cloudové zabezpečenie zahŕňajú technológie, procesy a ovládacie prvky vašej organizácie vrátane nasledujúceho:

    • Zabezpečenie, že vaša natívna cloudová aplikačná platforma zahŕňa platformu ochrany cloudových workloadov, správu nárokov na cloudovú infraštruktúru a spravovanie úrovne cloudového zabezpečenia, čo vám pomôže znížiť počet chýb, zvýšiť zabezpečenie a efektívne spravovať prístup.
    • Vykonávanie pravidelných školení, ktoré zamestnancom pomôžu rozpoznať kampane na neoprávnené získavanie údajov a iné techniky sociálneho inžinierstva. A tiež implementácia procesov, ktoré vám pomôžu predchádzať útokom, zisťovať ich a reagovať na ne, vrátane šifrovania citlivých údajov, zabezpečenia pravidelných opráv softvéru a hardvéru a vytvorenia politík silných hesiel.
    • Prijatie architektúry nulovej dôvery (Zero Trust), ktorá explicitne overuje všetky žiadosti o prístup. To zahŕňa používanie prístupu s najmenšími oprávneniami, aby ľudia mali prístup len k zdrojom, ktoré potrebujú, a k ničomu ďalšiemu.
    • Zlepšenie zabezpečenia v kanáli DevOps umožňuje bezpečnostným a vývojovým tímom spolupracovať na integrácii zabezpečenia priamo do kódu, takže natívne cloudové aplikácie sú zabezpečené od začiatku a zostávajú zabezpečené.

Sledujte zabezpečenie od spoločnosti Microsoft