Membangunkan Persekitaran Awan Hibrid Selamat - patung

Pendekatan yang bijaksana terhadap keselamatan dapat berhasil dalam meringankan banyak risiko keselamatan dalam persekitaran awan hibrid. Untuk membangunkan persekitaran hibrid yang selamat, anda mesti menilai keadaan semasa strategi keselamatan anda serta strategi keselamatan yang ditawarkan oleh penyedia awan anda.

Menilai keadaan keselamatan semasa

Dalam persekitaran hibrid, keselamatan bermula dengan menilai keadaan semasa anda. Anda boleh bermula dengan menjawab satu set soalan yang dapat membantu anda membentuk pendekatan anda untuk strategi keselamatan anda. Berikut adalah beberapa soalan penting untuk dipertimbangkan:

• Pernahkah anda menilai infrastruktur keselamatan tradisional anda baru-baru ini?

• Bagaimana anda mengawal hak akses ke aplikasi dan rangkaian - kedua-dua orang dalam syarikat anda dan orang-orang di luar firewall anda? Siapa yang mempunyai hak untuk mengakses sumber IT? Bagaimanakah anda memastikan bahawa hanya identiti yang betul mendapat akses ke aplikasi dan maklumat anda?

• Bolehkah anda mengenal pasti kelemahan dan risiko aplikasi web dan kemudian membetulkan sebarang kelemahan?

• Adakah anda mempunyai cara untuk mengesan risiko keselamatan anda dari semasa ke semasa supaya anda boleh berkongsi maklumat terkini dengan mereka yang memerlukannya?

• Adakah persekitaran pelayan anda dilindungi sepanjang masa dari ancaman keselamatan luaran?

• Jika anda menggunakan penyulitan, adakah anda mengekalkan kekunci anda sendiri atau mendapatkannya dari pembekal yang boleh dipercayai dan boleh dipercayai? Adakah anda menggunakan algoritma standard?

• Bolehkah anda mengawasi dan mengukur risiko keselamatan dalam masa nyata?

• Bolehkah anda melaksanakan dasar keselamatan secara konsisten merentasi semua jenis bangunan dan arkitek awan?

• Bagaimana anda melindungi semua data anda di mana ia disimpan?

• Bolehkah anda memenuhi keperluan pengauditan dan pelaporan untuk data di awan?

• Bolehkah anda memenuhi keperluan pematuhan industri anda?

• Apakah program keselamatan aplikasi anda?

• Apakah rancangan bencana dan pemulihan anda? Bagaimana anda memastikan kesinambungan perkhidmatan?

Menilai keselamatan penjual awan anda

Persekitaran awan hibrid menimbulkan satu cabaran khas untuk keselamatan dan tadbir urus. Awan hibrid menggunakan infrastruktur anda sendiri dan pembekal khidmat anda. Sebagai contoh, data mungkin disimpan di premis anda tetapi diproses di awan. Ini bermakna infrastruktur di premis anda mungkin disambungkan ke awan awam yang lebih besar, yang akan menjejaskan jenis kawalan keselamatan yang anda perlukan.

Kawalan perlu disediakan untuk keselamatan perimeter, akses, integriti data, perisian berniat jahat dan sebagainya - bukan sahaja di lokasi anda, tetapi juga dengan penyedia awan anda.Pembekal perkhidmatan awan masing-masing mempunyai cara sendiri untuk menguruskan keselamatan. Mereka mungkin atau mungkin tidak serasi dengan pematuhan dan pelan keselamatan keseluruhan organisasi anda. Benar-benar penting bahawa syarikat anda tidak mengebumikan kepalanya di pasir dengan mengandaikan bahawa pembekal awan mempunyai keselamatan yang dilindungi.

Anda perlu mengesahkan bahawa penyedia awan anda memastikan tahap keselamatan yang sama yang anda minta secara dalaman (atau tahap unggul, jika anda ingin meningkatkan strategi keselamatan keseluruhan anda). Anda harus meminta banyak soalan keras untuk menjamin strategi keselamatan dan tadbir urus syarikat anda dapat disepadukan dengan pembekal anda.

Berikut adalah beberapa petua yang dapat anda mulakan dan ini juga berguna dalam menilai strategi keselamatan anda:

• Tanya penyedia awan anda jenis syarikat yang mereka berikan. Juga tanyakan soalan mengenai seni bina sistem untuk memahami lebih lanjut mengenai bagaimana penyewaan pelbagai guna.

• Lawati kemudahan yang tidak diumumkan supaya dapat memahami langkah-langkah keselamatan fizikal yang ada. Menurut CSA, ini bermakna berjalan melalui semua kawasan, dari kawasan penerimaan ke bilik penjana dan juga memeriksa tangki bahan bakar. Anda juga perlu menyemak keselamatan perimeter (contohnya, periksa cara orang mengakses bangunan) dan sama ada pengendali disediakan untuk menghadapi krisis (contohnya pemadam kebakaran, penggera, dan sebagainya).

• Semak di mana pembekal awan berada. Sebagai contoh, adakah ia berada di kawasan jenayah yang tinggi atau kawasan yang terdedah kepada bencana alam seperti gempa bumi atau banjir?

• Dokumentasi terkini apa pembekal awan ada? Adakah ia mempunyai rancangan tindak balas kejadian? Pelan tindak balas kecemasan? Rancangan cadangan? Pelan pemulihan? Pemeriksaan latar belakang kakitangan keselamatan dan anggota kakitangan lain?

• Persijilan apa jenis pembekal? Adakah anggota keselamatan awan mempunyai sijil seperti CISSP, CISA, dan ITIL?

• Ketahui di mana data anda akan disimpan. Jika syarikat anda mempunyai peraturan pematuhan, ia mesti memenuhi data yang tinggal di negara-negara asing, ini penting untuk diketahui.

• Ketahui siapa yang akan mempunyai akses kepada data anda. Semak juga untuk melihat bagaimana data akan dilindungi.

• Ketahui lebih lanjut tentang cadangan sandaran data dan penyimpan data penyedia. Anda akan ingin tahu jika data anda dikumpulkan dengan data lain. Sekiranya anda ingin data anda kembali apabila anda menamatkan kontrak anda, isu-isu ini mungkin penting.

• Bagaimanakah penyedia anda menghalang serangan denial-of-service (DoS)?

• Apakah jenis kontrak penyelenggaraan yang disediakan oleh pembekal anda untuk peralatannya?

• Adakah penyedia awan anda sentiasa memantau operasinya? Bolehkah anda melihat keupayaan pemantauan ini?

• Bagaimanakah kejadian dikesan? Bagaimanakah maklumat dicatatkan?

• Bagaimana kejadian yang dikendalikan? Apakah takrif kejadian? Siapa titik hubungan anda di pembekal khidmat anda? Apakah peranan dan tanggungjawab ahli pasukan?

• Bagaimana pembekal anda mengendalikan keselamatan aplikasi dan keselamatan data?

• Metrik apakah pemantau penyedia awan anda untuk memastikan aplikasi tetap terjamin?

Memandangkan kepentingan keselamatan di persekitaran awan, anda mungkin mengandaikan bahawa pembekal perkhidmatan awan utama akan mempunyai satu set perjanjian peringkat perkhidmatan komprehensif untuk pelanggannya. Sebenarnya, banyak perjanjian standard bertujuan untuk melindungi pembekal perkhidmatan - bukan pelanggan. Oleh itu, syarikat anda benar-benar mesti memahami kontrak serta infrastruktur, proses, dan pengesahan penyedia cloud anda.

Anda mesti menyatakan dengan jelas keperluan keselamatan awan dan strategi tadbir urus dan menentukan akauntabiliti. Jika pembekal awan anda tidak mahu bercakap mengenai perkara ini, anda mungkin perlu mempertimbangkan pembekal awan yang berbeza. Sebaliknya, penyedia awan anda sebenarnya mungkin mempunyai beberapa helah sehingga lengannya yang dapat meningkatkan keselamatan anda sendiri!