Noha a felhőbiztonság minden bizonnyal nagy utat tett meg a felhő korai bevezetésének vadnyugati napjai óta, az igazság az, hogy hosszú út áll még előtte, amíg a legtöbb szervezet valóban kiforrotta felhőbiztonsági gyakorlatát. Ez pedig óriási költséget jelent a szervezeteknek a biztonsági incidensek tekintetében.

Vanson Bourne tanulmány Az év elején kimutatták, hogy a szervezetek által az elmúlt évben elszenvedett jogsértések csaknem fele a felhőből származik. Ugyanez a tanulmány megállapította, hogy az átlagos szervezet csaknem 4.1 millió dollárt veszített a felhőbe való visszaélés miatt az elmúlt évben.

A Dark Reading a közelmúltban utolérte a nulla bizalomvédelem keresztapját, John Kindervagot, hogy megvitassák a felhőalapú biztonság mai állapotát. Amikor a Forrester Research elemzője volt, a Kindervag segített a zéró bizalmi biztonsági modell koncepciójában és népszerűsítésében. Most ő az Illumio főevangélista, ahol tevékenysége közepette még mindig a nulla bizalom híve, és elmagyarázza, hogy ez kulcsfontosságú módja a biztonság újratervezésének a felhőkorszakban. A Kindervag szerint a szervezeteknek az alábbi kemény igazságokkal kell megküzdeniük ahhoz, hogy ezzel sikereket érjenek el.

1. Nem leszel nagyobb biztonságban, ha a felhőbe lépsz

A felhővel kapcsolatos manapság az egyik legnagyobb mítosz az, hogy az eredendően biztonságosabb, mint a legtöbb helyszíni környezet, mondja Kindervag.

„Van egy alapvető félreértés a felhővel kapcsolatban, hogy valamiképpen nagyobb biztonság van beleépítve, hogy nagyobb biztonságban vagyunk, ha a felhőbe lépünk pusztán azzal, hogy a felhőbe lépünk” – mondja.

A probléma az, hogy bár a hiperskálás felhőszolgáltatók nagyon jól védik az infrastruktúrát, az ügyfeleik biztonsági helyzetének ellenőrzése és felelőssége nagyon korlátozott.

„Sokan azt gondolják, hogy a biztonságot a felhőszolgáltatóra bízzák. Úgy gondolják, hogy áthárítják a kockázatot” – mondja. „A kiberbiztonságban soha nem lehet áthárítani a kockázatot. Ha Ön az adatok őrzője, mindig Ön az adatok őrzője, függetlenül attól, hogy ki őrzi azokat.”

Ez az oka annak, hogy a Kindervag nem nagy rajongója a gyakran ismételt kifejezésnek "megosztott felelősség”, ami szerinte úgy hangzik, mintha 50-50 közötti munka- és erőfeszítésmegosztás lenne. Inkább a következő kifejezést szereti:egyenetlen kézfogás”, amelyet egykori Forrester kollégája, James Staten alkotott meg.

„Ez az alapvető probléma, hogy az emberek azt hiszik, hogy létezik egy megosztott felelősségi modell, és helyette egyenetlen kézfogás” – mondja.

2. A natív biztonsági ellenőrzéseket nehéz kezelni egy hibrid világban

Eközben beszéljünk azokról a továbbfejlesztett natív felhőbiztonsági vezérlőkről, amelyeket a szolgáltatók az elmúlt évtizedben építettek ki. Noha sok szolgáltató jó munkát végzett azzal, hogy az ügyfeleknek nagyobb kontrollt biztosított a munkaterhelésük, a személyazonosságuk és a láthatóságuk felett, ez a minőség nem egységes. Ahogy Kindervag mondja: „Néhány jó, van, amelyik nem.” Az igazi probléma mindegyiknél az, hogy nehéz kezelni őket a való világban, egyetlen szolgáltató környezetének elszigeteltségén túl.

„Sok ember kell hozzá, és minden felhőben más és más. Azt hiszem, minden cég, amellyel az elmúlt öt évben beszéltem, rendelkezik multicloud- és hibridmodellekkel, mindkettő egyszerre történik” – mondja. „Hibrid lény: „A helyszíni dolgaimat és a felhőket használom, és több felhőt használok, és lehet, hogy több felhőt használok, hogy hozzáférést biztosítsak különböző mikroszolgáltatásokhoz egyetlen alkalmazás számára.” Az egyetlen módja annak, hogy megoldja ezt a problémát, egy olyan biztonsági ellenőrzés, amely az összes felhőben kezelhető.”

Ez az egyik fő tényező, amely a zéró bizalom felhőbe helyezéséről szóló vitákat ösztönzi, mondja.

„A nulla bizalom működik, függetlenül attól, hogy hová helyezzük el az adatokat vagy az eszközöket. Lehet a felhőben. Lehet, hogy a helyszínen. Lehet, hogy egy végponton van” – mondja.

3. Az identitás nem menti meg a felhőt

Mivel manapság nagy hangsúlyt fektetnek a felhőalapú identitáskezelésre, és aránytalanul nagy figyelmet fordítanak az identitáskomponensre a nulla bizalom mellett, fontos, hogy a szervezetek megértsék, hogy az identitás csak egy kiegyensúlyozott reggeli része a felhőbe vetett bizalom nélkül.

„A nulla bizalomról szóló narratíva nagy része az identitásról, az identitásról, az identitásról szól” – mondja Kindervag. „Az identitás fontos, de az identitást nulla bizalommal használjuk fel a politikában. Nem ez a vége, legyen minden. Nem old meg minden problémát.”

A Kindervag azt jelenti, hogy a nulla megbízhatósági modellnél a hitelesítő adatok nem biztosítanak automatikusan hozzáférést a felhasználóknak semmihez a nap alatt egy adott felhőn vagy hálózaton belül. A házirend korlátozza, hogy pontosan mihez és mikor adnak hozzáférést bizonyos eszközökhöz. A Kindervag régóta a szegmentálás – hálózatok, munkaterhelések, eszközök, adatok – támogatója volt, jóval azelőtt, hogy elkezdte volna feltérképezni a nulla bizalom modelljét. Amint kifejti, a zéró bizalmi hozzáférés házirend általi meghatározásának lényege a dolgok „védelmi felületekre” való felosztása, mivel az egyes védelmi felületekhez hozzáférő különböző típusú felhasználók kockázati szintje határozza meg az adott hitelesítő adatokhoz kapcsolódó szabályzatokat.

„Ez az én küldetésem, hogy rávegyem az embereket arra, hogy arra összpontosítsanak, amit meg kell védeniük, és a fontos dolgokat különböző védőfelületekre helyezni, például a PCI hitelkártya-adatbázisnak a saját védelmi felületén kell lennie. A HR-adatbázisnak a saját védelmi felületén kell lennie. Az IoT-rendszer vagy az OT-rendszer HMI-jének a saját védőfelületén kell lennie” – mondja. „Amikor a problémát ezekre a kis falatnyi darabokra bontjuk, egyenként oldjuk meg őket, és egymás után oldjuk meg őket. Ez sokkal skálázhatóbbá és kivitelezhetőbbé teszi.”

4. Túl sok cég nem tudja, mit próbál megvédeni

Ahogy a szervezetek eldöntik, hogyan szegmentálják a felhőben lévő védett felületeiket, először egyértelműen meg kell határozniuk, hogy mit akarnak védeni. Ez döntő fontosságú, mert minden eszköz, rendszer vagy folyamat magában hordozza a saját egyedi kockázatát, és ez határozza meg a hozzáférési szabályokat és a körülötte lévő szigorításokat. A vicc az, hogy nem építenél 1 millió dolláros páncélszekrényt néhány száz fillér befogadására. Az ezzel egyenértékű felhő rengeteg védelmet biztosítana egy olyan felhőeszköz körül, amely el van szigetelve az érzékeny rendszerektől, és nem tartalmaz érzékeny információkat.

A Kindervag szerint hihetetlenül gyakori, hogy a szervezeteknek nincs világos elképzelésük arról, mit védenek a felhőben vagy azon túl. Valójában a legtöbb szervezetnek manapság még nem is feltétlenül van világos elképzelése arról, hogy mi az, ami még a felhőben is található, vagy mi kapcsolódik a felhőhöz, nem beszélve arról, hogy mit kell védeni. Például, a Cloud Security Alliance tanulmánya azt mutatja, hogy a szervezetek mindössze 23%-a rendelkezik teljes rálátással a felhőkörnyezetekre. Az Illumio év eleji tanulmánya pedig azt mutatja, hogy a szervezetek 46%-a nem látja teljes mértékben szervezete felhőszolgáltatásainak összekapcsolhatóságát.

„Az emberek nem gondolnak arra, hogy valójában mit akarnak elérni, mit próbálnak megvédeni” – mondja. Ez egy alapvető probléma, ami miatt a vállalatok rengeteg biztonsági pénzt pazarolnak el anélkül, hogy megfelelő védelmet állítanának be a folyamat során – magyarázza a Kindervag. „Odamennek hozzám, és azt mondják: „A nulla bizalom nem működik”, én pedig megkérdezem: „Nos, mit próbálsz megvédeni?” és azt mondják: „Ezen még nem gondolkodtam”, és a válaszom: „Nos, akkor még közel sem vagy megkezdődik a zéró bizalom folyamata. ”

5. A felhő natív fejlesztési ösztönzői kifogytak

A DevOps gyakorlatok és a natív felhőalapú fejlesztés nagymértékben javult a felhőplatformok és -eszközök által biztosított sebesség, méretezhetőség és rugalmasság révén. Ha a biztonságot megfelelően beépítik ebbe a keverékbe, jó dolgok történhetnek. A Kindervag azonban azt állítja, hogy a legtöbb fejlesztő szervezet nincs megfelelően ösztönözve arra, hogy ez megtörténjen – ami azt jelenti, hogy a felhő-infrastruktúra és a rajta nyugvó összes alkalmazás veszélybe kerül a folyamat során.

„Szeretem azt mondani, hogy a DevOps alkalmazás emberei az IT Ricky Bobbyjai. Csak gyorsan akarnak menni. Emlékszem, beszéltem egy cég fejlesztési vezetőjével, akit végül feltörtek, és megkérdeztem tőle, mit tesz a biztonsággal. És azt mondta: „Semmi, nem érdekel a biztonság” – mondja Kindervag. „Megkérdeztem: „Hogy lehet, hogy nem törődik a biztonsággal? és azt mondja: „Mert nincs KPI-m hozzá. A KPI-m szerint napi öt lökést kell csinálnom a csapatomban, és ha ezt nem teszem meg, akkor nem kapok bónuszt.'”

A Kindervag szerint ez az egyik nagy probléma szemléltetése, nemcsak az AppSec-ben, hanem a felhőben és azon túl is. Túl sok szervezetnek egyszerűen nincs meg a megfelelő ösztönző struktúrája ahhoz, hogy ez megvalósuljon – sőt, sokuknak vannak rossz ösztönzői, amelyek végül bizonytalan gyakorlatra ösztönöznek.

Ezért támogatja a nulla bizalommal működő kiválósági központok kialakítását a vállalatokon belül, amelyek nemcsak technológusokat, hanem üzleti vezető szerepet is magukban foglalnak a tervezésben, a tervezésben és a folyamatban lévő döntéshozatali folyamatokban. Amikor ezek a többfunkciós csapatok találkoznak, azt mondja, hogy „az ösztönző struktúrák valós időben megváltoznak”, amikor egy erőteljes vállalatvezető előrelép, és azt mondja, hogy a szervezet ebbe az irányba fog haladni.

„A legsikeresebb zéró bizalmi kezdeményezések azok, amelyekbe az üzleti vezetők is bekapcsolódtak” – mondja Kindervag. „Volt egy olyan gyártó cégnél, ahol az ügyvezető alelnök – a vállalat egyik legfelsőbb vezetője – a gyártási környezet zéró bizalmi átalakításának bajnoka lett. Ez nagyon simán ment, mert nem voltak gátlók.”

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• PlatoData.Network Vertical Generative Ai. Erősítse meg magát. Hozzáférés itt.
• PlatoAiStream. Web3 Intelligence. Felerősített tudás. Hozzáférés itt.
• PlatoESG. Carbon, CleanTech, Energia, Környezet, Nap, Hulladékgazdálkodás. Hozzáférés itt.
• PlatoHealth. Biotechnológiai és klinikai vizsgálatok intelligencia. Hozzáférés itt.
• Forrás: https://www.darkreading.com/cloud-security/5-hard-truths-about-the-state-of-cloud-security-2024