Risiko Keselamatan khusus dalam Alam Sekitar Awan Hibrid - perusahaan patuh

Syarikat-syarikat yang bekerja dalam persekitaran awan hibrid mesti mempertimbangkan banyak jenis risiko keselamatan dan pertimbangan tadbir urus. Memahami keselamatan adalah sasaran yang bergerak. Pendidikan adalah kunci untuk memastikan semua orang dalam organisasi memahami peranan dan tanggungjawab keselamatannya.

Risiko keselamatan sistem komputer

Menurut Institut Kebangsaan dan Teknologi Kebangsaan (NIST), badan piawaian kerajaan, sistem komputer adalah tertakluk kepada banyak ancaman, dari kehilangan data kepada kehilangan keseluruhan kemudahan pengkomputeran kerana kebakaran atau bencana alam. Kerugian ini boleh diperoleh daripada pekerja yang dipercayai atau dari penggodam.

NIST membahagikan risiko berikut kepada kategori berikut:

• Kesilapan dan ketinggalan, termasuk kesilapan data atau kesalahan pengaturcaraan

• Penipuan dan kecurian

• Sabotage pekerja

• Penggodam berniat jahat

• Kod berniat jahat

• Ancaman kepada privasi peribadi individu

Risiko keselamatan awan hibrid

Banyak risiko keselamatan yang sama yang dihadapi oleh syarikat apabila berurusan dengan sistem komputer mereka sendiri terdapat dalam awan, tetapi terdapat beberapa kelainan penting. Perisytiharan Keselamatan Awan (CSA), organisasi yang didedikasikan untuk memastikan amalan terbaik keselamatan di awan, menyatakan dalam penerbitannya yang baru-baru ini, "Panduan Keselamatan untuk Bidang Kritikal yang Fokus dalam Pengkomputeran Awan," bahawa risiko keselamatan operasi yang penting di dalam awan termasuk yang berikut:

• Keamanan tradisional: Persekitaran awan hibrid mengubah keselamatan tradisional kerana anda tidak lagi terkawal sepenuhnya. Beberapa aset pengkomputeran yang anda gunakan tidak berada di premis anda. Kini, anda mesti memastikan langkah-langkah keselamatan tradisional yang kuat diikuti oleh pembekal awan anda.

  • Keamanan fizikal meliputi keselamatan peralatan IT, aset rangkaian, dan infrastruktur telekomunikasi. CSA mencadangkan pertahanan "aktif dan pasif" untuk keselamatan fizikal.

  • Keamanan sumber manusia memperkatakan sisi orang persamaan - memastikan pemeriksaan latar belakang, kerahsiaan, dan pengasingan tugas (iaitu mereka yang membangunkan aplikasi tidak mengendalikannya).

  • Kesinambungan perniagaan rancangan perlu menjadi sebahagian daripada perjanjian peringkat perkhidmatan untuk memastikan penyedia memenuhi perjanjian tahap perkhidmatan untuk operasi berterusan dengan anda.

  • Pemulihan bencana rancangan mesti memastikan bahawa aset anda (contohnya, data dan aplikasi) dilindungi.

• Pengendalian insiden: Persekitaran awan hibrid mengubah pengendalian insiden sekurang-kurangnya dua cara. Pertama, walaupun anda mungkin mempunyai kawalan ke atas pusat data anda sendiri, jika kejadian berlaku, anda perlu bekerjasama dengan pembekal khidmat anda kerana pembekal perkhidmatan mengawal sekurang-kurangnya sebahagian daripada infrastruktur.

  Kedua, sifat penyewa awan sering membuat penyiasatan kejadian lebih rumit. Sebagai contoh, kerana maklumat mungkin dikumpulkan, analisis log mungkin sukar, kerana pembekal perkhidmatan anda cuba mengekalkan privasi. Anda perlu mengetahui bagaimana penyedia perkhidmatan anda menentukan kejadian dan pastikan anda boleh berunding bagaimana anda akan bekerjasama dengan pembekal untuk memastikan semua orang berpuas hati.

• Keselamatan aplikasi: Apabila aplikasi berada di awan, ia terdedah kepada setiap jenis ancaman keselamatan. CSA membahagikan keselamatan aplikasi ke dalam bidang yang berbeza, termasuk menjamin kitar hayat pembangunan perisian di awan; pengesahan, kebenaran, dan pematuhan; pengurusan identiti, pengurusan kebenaran aplikasi, pemantauan aplikasi, ujian penembusan aplikasi, dan pengurusan risiko.

• Penyulitan dan pengurusan kunci: Penyulitan data merujuk kepada satu set algoritma yang boleh mengubah teks ke dalam bentuk yang dipanggil cyphertext, yang merupakan bentuk teks biasa yang disatukan bahawa pihak yang tidak dibenarkan tidak dapat membaca. Penerima mesej yang disulitkan menggunakan kunci yang mencetuskan algoritma untuk mendekripsi data dan menyediakannya dalam keadaan asalnya kepada pengguna yang dibenarkan. Oleh itu, anda boleh menyulitkan data dan memastikan bahawa hanya penerima yang dimaksudkan boleh mendekripsinya.

  Dalam awan awam, sesetengah organisasi mungkin tergoda untuk menyulitkan semua maklumat mereka kerana mereka bimbang tentang pergerakannya ke awan dan betapa selamatnya ketika berada di awan. Baru-baru ini, pakar dalam bidang telah mula mempertimbangkan langkah keselamatan lain selain penyulitan yang boleh digunakan di awan.

• Pengurusan identiti dan akses: Pengurusan identiti adalah topik yang sangat luas yang digunakan untuk banyak bidang pusat data. Matlamat pengurusan identiti adalah untuk mengawal akses kepada sumber komputer, aplikasi, data, dan perkhidmatan.

  Pengurusan identiti berubah dengan ketara di awan. Dalam pusat data tradisional, anda mungkin menggunakan perkhidmatan direktori untuk pengesahan dan kemudian menggunakan aplikasi dalam zon keselamatan firewall. Awan sering memerlukan pelbagai bentuk identiti untuk memastikan akses kepada sumber adalah selamat.

Dengan peningkatan penggunaan pengkomputeran awan, teknologi tanpa wayar, dan peranti mudah alih, anda tidak lagi mempunyai sempadan yang jelas mengenai apa yang dalaman dan apa yang luar sistem anda. Anda mesti menilai sama ada lubang atau kelemahan terdapat di seluruh pelayan, rangkaian, komponen infrastruktur, dan titik akhir, dan kemudian memantau mereka terus menerus. Dengan kata lain, anda perlu mempercayai infrastruktur anda sendiri serta infrastruktur penyedia awan.