Specifieke beveiligingsrisico's in de Hybrid Cloud-omgeving - dummies

Bedrijven die in hybride cloudomgevingen werken, moeten rekening houden met vele soorten beveiligingsrisico's en governance-overwegingen. Beveiliging begrijpen is een bewegend doelwit. Onderwijs is essentieel om ervoor te zorgen dat iedereen in de organisatie zijn of haar beveiligingsrollen en verantwoordelijkheden begrijpt.

Computersysteembeveiligingsrisico's

Volgens het National Institute of Standards and Technology (NIST), een overheidsinstantie, zijn computersystemen onderhevig aan vele bedreigingen, gaande van gegevensverlies tot het verlies van een hele computerfaciliteit vanwege brand of natuurramp. Deze verliezen kunnen afkomstig zijn van vertrouwde werknemers of van hackers.

NIST verdeelt deze risico's in de volgende categorieën:

• Fouten en weglatingen, waaronder gegevensfouten of programmeerfouten

• Fraude en diefstal

• Sabotage van de werknemer

• Verlies van fysieke infrastructuurondersteuning

• Schadelijke hackers

• Schadelijke code

• Bedreigingen voor individuele persoonlijke privacy

Hybride cloudbeveiligingsrisico's

Veel van dezelfde veiligheidsrisico's waarmee bedrijven te maken krijgen als zij met hun eigen computersystemen omgaan, zijn te vinden in de cloud, maar er zijn enkele belangrijke wendingen. De Cloud Security Alliance (CSA), een organisatie die zich inzet voor het garanderen van best practices op het gebied van beveiliging in de cloud, merkte in zijn recente publicatie 'Beveiligingsrichtlijnen voor kritieke aandachtsgebieden in cloud computing' op dat belangrijke gebieden van operationeel beveiligingsrisico in de cloud onder meer het volgende:

• Traditionele beveiliging: Een hybride cloudomgeving verandert de traditionele beveiliging omdat u niet langer volledig in controle bent. Sommige computeronderdelen die u gebruikt, bevinden zich niet op uw locatie. Nu moet u ervoor zorgen dat de sterke traditionele beveiligingsmaatregelen worden gevolgd door uw cloudprovider.

  • Fysieke beveiliging omvat beveiliging van IT-apparatuur, netwerkactiva en telecommunicatie-infrastructuur. CSA beveelt zowel "actieve als passieve" verdedigingen voor fysieke beveiliging aan.

  • Human Resource Security gaat over de mensenzijde van de vergelijking - het waarborgen van achtergrondcontroles, vertrouwelijkheid en functiescheiding (dat wil zeggen dat degenen die applicaties ontwikkelen deze niet bedienen).

  • Bedrijfscontinuïteit -plannen moeten onderdeel zijn van elke serviceniveauovereenkomst om ervoor te zorgen dat de dienstverlener voldoet aan zijn service level agreement voor continu gebruik met u.

  • Herstel na noodgevallen moet ervoor zorgen dat uw bedrijfsmiddelen (bijvoorbeeld gegevens en applicaties) worden beschermd.

• Afhandeling van incidenten: Een hybride cloudomgeving verandert de behandeling van incidenten op minstens twee manieren. Ten eerste, terwijl u mogelijk de controle over uw eigen datacenter hebt, moet u bij een incident met uw serviceprovider samenwerken omdat de serviceprovider ten minste een deel van de infrastructuur bestuurt.

  Ten tweede maakt het multi-tenant karakter van de cloud het onderzoeken van een incident vaak ingewikkelder. Omdat informatie bijvoorbeeld kan worden samengevoegd, kan loganalyse moeilijk zijn, omdat uw serviceprovider probeert de privacy te handhaven. U moet weten hoe uw serviceprovider een incident definieert en ervoor zorgen dat u kunt onderhandelen over hoe u samenwerkt met de provider om ervoor te zorgen dat iedereen tevreden is.

• Toepassingsbeveiliging: Wanneer een toepassing zich in de cloud bevindt, wordt deze blootgesteld aan elk soort beveiligingsrisico. De CSA verdeelt toepassingsbeveiliging op verschillende gebieden, waaronder het beveiligen van de levenscyclus van softwareontwikkeling in de cloud; authenticatie, autorisatie en compliance; identiteitsbeheer, beheer van toepassingsautorisatie, applicatiebewaking, penetratietesten van applicaties en risicobeheer.

• Versleuteling en sleutelbeheer: Gegevensversleuteling verwijst naar een reeks algoritmen die tekst kunnen omzetten in een vorm met de naam cyphertext, , een gecodeerde vorm van platte tekst die onbevoegde partijen niet kunnen lezen. De ontvanger van een gecodeerd bericht gebruikt een sleutel die het algoritme inschakelt om de gegevens te decoderen en deze in zijn oorspronkelijke staat aan de geautoriseerde gebruiker te verstrekken. Daarom kunt u gegevens versleutelen en ervoor zorgen dat alleen de beoogde ontvanger het kan decoderen.

  In de public cloud kunnen sommige organisaties geneigd zijn al hun informatie te versleutelen omdat ze zich zorgen maken over de beweging naar de cloud en hoe veilig het is als het eenmaal in de cloud is. Onlangs zijn deskundigen in het veld begonnen met het overwegen van andere beveiligingsmaatregelen naast codering die in de cloud kan worden gebruikt.

• Identiteits- en toegangsbeheer: Identiteitsbeheer is een zeer breed onderwerp dat op veel gebieden van het datacenter van toepassing is. Het doel van identiteitsbeheer is om de toegang tot computerbronnen, applicaties, gegevens en diensten te beheren.

  Identiteitsbeheer verandert aanzienlijk in de cloud. In een traditioneel datacenter kunt u een directoryservice voor verificatie gebruiken en de toepassing vervolgens in een veilige zone van de firewall implementeren. De cloud vereist vaak meerdere identiteitsvormen om ervoor te zorgen dat toegang tot bronnen veilig is.

Door het toenemende gebruik van cloudcomputing, draadloze technologie en mobiele apparaten beschikt u niet langer over goed gedefinieerde grenzen voor wat intern is en wat extern is aan uw systemen. U moet beoordelen of er gaten of kwetsbaarheden zijn op servers, netwerk-, infrastructuurcomponenten en eindpunten en deze vervolgens continu controleren. Met andere woorden, u moet zowel op uw eigen infrastructuur als op de infrastructuur van een cloudprovider kunnen vertrouwen.