Οι cloud υπηρεσίες έχουν γίνει βασικό μέρος της καθημερινής λειτουργίας πολλών επιχειρήσεων. Email, αρχεία, εφαρμογές, databases και άλλες κρίσιμες υπηρεσίες μπορούν να λειτουργούν πλέον σε υποδομές τρίτων παρόχων.
Η μετάβαση στο cloud όμως δεν μεταφέρει αυτόματα όλη την ευθύνη ασφάλειας στον πάροχο. Η επιχείρηση εξακολουθεί να έχει σημαντικές ευθύνες για τους λογαριασμούς, τα δικαιώματα πρόσβασης, τις ρυθμίσεις, τα δεδομένα και τις διαδικασίες ανάκτησης.
Τι σημαίνει Cloud Security;
Cloud security είναι το σύνολο τεχνικών και οργανωτικών μέτρων που χρησιμοποιούνται για την προστασία δεδομένων, λογαριασμών, εφαρμογών και υποδομών που λειτουργούν σε cloud περιβάλλον.
Το τι πρέπει να προστατεύσει η ίδια η επιχείρηση εξαρτάται από το είδος της υπηρεσίας που χρησιμοποιεί.
- SaaS: ο πάροχος διαχειρίζεται μεγάλο μέρος της εφαρμογής και της υποδομής, αλλά η επιχείρηση εξακολουθεί να είναι υπεύθυνη για σημαντικά θέματα όπως οι χρήστες, οι προσβάσεις, οι ρυθμίσεις και η σωστή χρήση των δεδομένων.
- PaaS: η επιχείρηση αναλαμβάνει περισσότερες ευθύνες γύρω από τις εφαρμογές, τα δεδομένα και τις σχετικές ρυθμίσεις.
- IaaS: ο πελάτης έχει ακόμη μεγαλύτερη ευθύνη για λειτουργικά συστήματα, workloads, δικτυακές ρυθμίσεις, identities και άλλα επίπεδα πάνω από την υποδομή που διαχειρίζεται ο provider.
Τα ακριβή όρια ευθύνης διαφέρουν ανά υπηρεσία και πάροχο. Για αυτό πρέπει να εξετάζονται οι επίσημοι όροι και το shared responsibility model της συγκεκριμένης cloud υπηρεσίας.
1. Γνωρίστε ποιες Cloud υπηρεσίες χρησιμοποιεί η επιχείρηση
Δεν μπορείτε να προστατεύσετε υπηρεσίες που δεν γνωρίζετε ότι χρησιμοποιούνται. Καταγράψτε τις βασικές SaaS, PaaS και IaaS υπηρεσίες που χρησιμοποιεί η επιχείρηση και ποια δεδομένα φιλοξενούν.
Για κάθε σημαντική υπηρεσία πρέπει να γνωρίζετε:
- ποιος είναι ο ιδιοκτήτης ή υπεύθυνος της υπηρεσίας μέσα στην επιχείρηση,
- ποιοι χρήστες έχουν πρόσβαση,
- τι είδους δεδομένα αποθηκεύονται ή επεξεργάζονται,
- ποιοι εξωτερικοί συνεργάτες έχουν πρόσβαση,
- ποια είναι η διαδικασία όταν ένας χρήστης αποχωρεί,
- τι δυνατότητες logging, recovery και security παρέχει ο πάροχος.
Η καταγραφή βοηθά επίσης να εντοπιστούν ανεπίσημες cloud εφαρμογές που μπορεί να χρησιμοποιούνται χωρίς οργανωμένο έλεγχο από την επιχείρηση.
2. Προστατεύστε τις ταυτότητες με MFA
Οι cloud υπηρεσίες είναι προσβάσιμες μέσω διαδικτύου, επομένως η προστασία των λογαριασμών είναι κρίσιμη. Η πολυπαραγοντική αυθεντικοποίηση (MFA) πρέπει να εφαρμόζεται στους κρίσιμους εταιρικούς λογαριασμούς όπου υποστηρίζεται.
Ιδιαίτερη προσοχή χρειάζονται οι administrator και privileged λογαριασμοί, επειδή η παραβίασή τους μπορεί να δώσει πολύ μεγαλύτερο επίπεδο πρόσβασης στον επιτιθέμενο.
Όπου είναι τεχνικά εφικτό, εξετάστε phishing-resistant μεθόδους αυθεντικοποίησης και αποφύγετε την εξάρτηση αποκλειστικά από passwords.
3. Εφαρμόστε Least Privilege
Κάθε χρήστης, εφαρμογή ή υπηρεσία πρέπει να έχει μόνο τα δικαιώματα που πραγματικά χρειάζεται. Αυτό είναι ιδιαίτερα σημαντικό στο cloud, όπου ένα λανθασμένο permission μπορεί να επηρεάσει μεγάλο αριθμό δεδομένων ή πόρων.
Ελέγχετε περιοδικά:
- administrator και privileged accounts,
- προσβάσεις πρώην εργαζομένων και συνεργατών,
- shared accounts,
- service accounts και application permissions,
- εξωτερική πρόσβαση σε αρχεία και υπηρεσίες.
Η πρόσβαση πρέπει να αφαιρείται όταν δεν υπάρχει πλέον επιχειρησιακή ανάγκη.
4. Ελέγξτε τις Cloud ρυθμίσεις
Ένα σημαντικό μέρος του cloud security είναι η σωστή παραμετροποίηση. Μια υπηρεσία μπορεί να διαθέτει ισχυρούς μηχανισμούς ασφαλείας αλλά να παραμένει εκτεθειμένη αν έχουν δοθεί υπερβολικά δικαιώματα ή έχουν ενεργοποιηθεί ακατάλληλες ρυθμίσεις.
Ανάλογα με την υπηρεσία, ελέγξτε θέματα όπως:
- δημόσια προσβάσιμα resources ή storage,
- εξωτερικό sharing,
- administrator privileges,
- network exposure,
- security policies και authentication settings,
- default ή παλιές ρυθμίσεις που δεν χρειάζονται πλέον.
Οι αλλαγές στις κρίσιμες cloud ρυθμίσεις πρέπει να γίνονται ελεγχόμενα και να επανεξετάζονται περιοδικά.
5. Προστατεύστε τα δεδομένα
Πριν μεταφερθούν κρίσιμα δεδομένα σε μια cloud υπηρεσία, η επιχείρηση πρέπει να γνωρίζει τι αποθηκεύει, πού χρησιμοποιείται και ποιος μπορεί να το προσπελάσει.
Η κρυπτογράφηση δεδομένων κατά τη μεταφορά και την αποθήκευση αποτελεί σημαντικό control, αλλά πρέπει να εξετάζεται μαζί με τη διαχείριση κλειδιών, τα permissions και τις δυνατότητες της συγκεκριμένης υπηρεσίας.
Για ευαίσθητα δεδομένα, ελέγξτε επίσης αν η υπηρεσία παρέχει τις απαιτούμενες δυνατότητες για τις επιχειρησιακές, συμβατικές ή κανονιστικές ανάγκες σας.
6. Ενεργοποιήστε Logging και Monitoring
Η πρόληψη δεν αρκεί. Μια επιχείρηση πρέπει να έχει τη δυνατότητα να εντοπίζει ύποπτη δραστηριότητα στις κρίσιμες cloud υπηρεσίες της.
Ανάλογα με την πλατφόρμα και το διαθέσιμο plan, εξετάστε logs και alerts για γεγονότα όπως:
- ύποπτες ή ασυνήθιστες συνδέσεις,
- αλλαγές σε administrator privileges,
- δημιουργία ή διαγραφή λογαριασμών,
- αλλαγές σε κρίσιμες security ρυθμίσεις,
- ασυνήθιστη πρόσβαση σε δεδομένα ή cloud resources.
Η ύπαρξη logs δεν αρκεί αν κανείς δεν τα εξετάζει. Πρέπει να είναι σαφές ποιος λαμβάνει τα σημαντικά alerts και ποια διαδικασία ακολουθείται όταν εντοπιστεί κάτι ύποπτο.
7. Σχεδιάστε Backup και Recovery
Το γεγονός ότι τα δεδομένα βρίσκονται στο cloud δεν σημαίνει ότι κάθε πιθανό σενάριο απώλειας καλύπτεται αυτόματα. Versioning, retention, recycle bins, snapshots και backup είναι διαφορετικοί μηχανισμοί και οι δυνατότητές τους διαφέρουν ανά υπηρεσία.
Για κάθε κρίσιμο cloud workload πρέπει να γνωρίζετε:
- τι ακριβώς προστατεύεται,
- ποια recovery points υπάρχουν,
- για πόσο διάστημα διατηρούνται,
- ποιος μπορεί να τα διαγράψει ή να τα τροποποιήσει,
- πώς γίνεται η πραγματική επαναφορά.
Οι κρίσιμες διαδικασίες recovery πρέπει να δοκιμάζονται. Ένα διαθέσιμο backup ή snapshot δεν αποδεικνύει από μόνο του ότι η επιχείρηση μπορεί να επαναφέρει εγκαίρως μια υπηρεσία.
8. Αξιολογήστε τον Cloud Provider
Η επιλογή cloud provider δεν πρέπει να βασίζεται μόνο σε κόστος και λειτουργίες. Για κρίσιμες υπηρεσίες εξετάστε επίσης τις δυνατότητες ασφάλειας και ανάκτησης που προσφέρει.
Ανάλογα με τις ανάγκες της επιχείρησης, αξιολογήστε:
- το shared responsibility model,
- τις διαθέσιμες security και identity δυνατότητες,
- logging και audit capabilities,
- backup, retention και recovery επιλογές,
- τεκμηρίωση για incident handling και service availability,
- σχετικές πιστοποιήσεις ή ανεξάρτητες αξιολογήσεις όπου έχουν επιχειρησιακή σημασία,
- όρους για δεδομένα, τοποθεσία επεξεργασίας και διαγραφή μετά τη λήξη της συνεργασίας.
Οι πραγματικές απαιτήσεις πρέπει να καθορίζονται από τα δεδομένα, τον κλάδο και το επίπεδο κινδύνου της επιχείρησης.
9. Προετοιμαστείτε για Cloud Security Incident
Η επιχείρηση πρέπει να γνωρίζει τι θα κάνει αν ένας cloud λογαριασμός παραβιαστεί, ένα credential διαρρεύσει ή εντοπιστεί μη εξουσιοδοτημένη πρόσβαση.
Η διαδικασία response πρέπει, ανάλογα με το περιστατικό, να προβλέπει:
- άμεση αναφορά στον υπεύθυνο IT ή ασφάλειας,
- περιορισμό της μη εξουσιοδοτημένης πρόσβασης,
- έλεγχο των επηρεαζόμενων identities και resources,
- διατήρηση διαθέσιμων logs και άλλων στοιχείων,
- επικοινωνία με τον cloud provider όταν απαιτείται,
- ανάκτηση των επηρεαζόμενων δεδομένων ή υπηρεσιών με ελεγχόμενο τρόπο.
Οι λεπτομέρειες διαφέρουν ανά cloud service, γι' αυτό τα κρίσιμα στοιχεία υποστήριξης και escalation του provider πρέπει να είναι γνωστά πριν συμβεί περιστατικό.
Cloud Security Checklist για ΜΜΕ
- Γνωρίζουμε ποιες cloud υπηρεσίες χρησιμοποιεί η επιχείρηση.
- Γνωρίζουμε ποια κρίσιμα δεδομένα βρίσκονται σε καθεμία.
- Έχουμε κατανοήσει το shared responsibility model.
- Χρησιμοποιούμε MFA στους κρίσιμους λογαριασμούς.
- Περιορίζουμε administrator και άλλα αυξημένα δικαιώματα.
- Ελέγχουμε τακτικά εξωτερικές προσβάσεις και sharing.
- Επανεξετάζουμε τις κρίσιμες cloud ρυθμίσεις.
- Γνωρίζουμε ποια logs και alerts είναι διαθέσιμα.
- Έχουμε σχεδιάσει και δοκιμάσει recovery για κρίσιμα workloads.
- Γνωρίζουμε πώς θα επικοινωνήσουμε με τον provider σε περιστατικό.
Το Cloud δεν καταργεί την ευθύνη της επιχείρησης
Ένας αξιόπιστος cloud provider μπορεί να αναλάβει σημαντικό μέρος της υποδομής και της ασφάλειάς της. Αυτό όμως δεν καταργεί τις ευθύνες του πελάτη.
Η ασφαλής χρήση cloud υπηρεσιών απαιτεί σωστή διαχείριση ταυτοτήτων και δικαιωμάτων, ελεγχόμενες ρυθμίσεις, προστασία δεδομένων, monitoring και πραγματικό σχέδιο ανάκτησης. Το ακριβές μείγμα controls εξαρτάται από το αν χρησιμοποιείται SaaS, PaaS ή IaaS και από τις δυνατότητες της συγκεκριμένης υπηρεσίας.
Πώς μπορεί να βοηθήσει η DataShield.gr;
Η DataShield.gr μπορεί να αξιολογήσει βασικά σημεία της cloud υποδομής και των υπηρεσιών μιας επιχείρησης, όπως identities, δικαιώματα πρόσβασης, κρίσιμες ρυθμίσεις, προστασία δεδομένων, logging και recovery.
Οι κατάλληλες παρεμβάσεις εξαρτώνται από τις cloud υπηρεσίες, τα δεδομένα και το επίπεδο κινδύνου της κάθε επιχείρησης.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της ασφάλειας των cloud υπηρεσιών που χρησιμοποιεί η επιχείρησή σας.
