Spezifische Sicherheitsrisiken in der hybriden Cloud-Umgebung - Dummies

Unternehmen, die in hybriden Cloud-Umgebungen arbeiten, müssen viele Arten von Sicherheitsrisiken und Governance-Überlegungen berücksichtigen. Sicherheit zu verstehen ist ein bewegendes Ziel. Bildung ist der Schlüssel dafür, dass jeder in der Organisation seine Sicherheitsrollen und -verantwortlichkeiten versteht.

Computersystem-Sicherheitsrisiken

Laut dem Nationalen Institut für Standards und Technologie (NIST), einer staatlichen Normungsorganisation, sind Computersysteme zahlreichen Bedrohungen ausgesetzt, die von Datenverlust bis zum Verlust einer ganzen Rechenanlage aufgrund von Bränden reichen. oder Naturkatastrophe. Diese Verluste können von vertrauenswürdigen Mitarbeitern oder von Hackern kommen.

NIST unterteilt diese Risiken in die folgenden Kategorien:

• Fehler und Auslassungen, einschließlich Datenfehlern oder Programmierfehlern

• Betrug und Diebstahl

• Mitarbeitersabotage

• Verlust der physischen Infrastrukturunterstützung

• Böswillige Hacker

• Bösartiger Code

• Bedrohungen für die persönliche Privatsphäre

Hybride Cloud-Sicherheitsrisiken

Viele der gleichen Sicherheitsrisiken, mit denen Unternehmen im Umgang mit ihren eigenen Computersystemen konfrontiert sind, sind in der Cloud zu finden, aber es gibt einige wichtige Änderungen. Die Cloud Security Alliance (CSA), eine Organisation zur Sicherstellung von Best Practices für Sicherheit in der Cloud, hat in ihrer jüngsten Veröffentlichung "Security Guidance für kritische Bereiche im Cloud Computing" festgestellt, dass wichtige Bereiche des operativen Sicherheitsrisikos in der Cloud umfassen: Folgendes:

• Herkömmliche Sicherheit: Eine hybride Cloud-Umgebung ändert die traditionelle Sicherheit, weil Sie nicht mehr die volle Kontrolle haben. Einige der von Ihnen verwendeten Computer-Assets befinden sich nicht in Ihren Räumlichkeiten. Jetzt müssen Sie sicherstellen, dass starke traditionelle Sicherheitsmaßnahmen von Ihrem Cloud-Anbieter eingehalten werden.

  • Physische Sicherheit umfasst die Sicherheit von IT-Geräten, Netzwerkressourcen und Telekommunikationsinfrastrukturen. CSA empfiehlt sowohl "aktive als auch passive" Verteidigung für die physische Sicherheit.

  • Humanressourcen-Sicherheit befasst sich mit der Personenseite der Gleichung - Sicherstellung von Hintergrundüberprüfungen, Vertraulichkeit und Aufgabentrennung (dh diejenigen, die Anwendungen entwickeln, betreiben sie nicht).

  • Pläne zur Business Continuity müssen Teil einer Service-Level-Vereinbarung sein, um sicherzustellen, dass der Anbieter seine Service-Level-Vereinbarung für den kontinuierlichen Betrieb mit Ihnen erfüllt.

  • Pläne zur Notfallwiederherstellung müssen sicherstellen, dass Ihre Ressourcen (z. B. Daten und Anwendungen) geschützt sind.

• Vorfallbehandlung: Eine Hybrid-Cloud-Umgebung ändert die Vorfallbehandlung auf mindestens zwei Arten. Erstens haben Sie möglicherweise die Kontrolle über Ihr eigenes Rechenzentrum. Wenn ein Vorfall auftritt, müssen Sie jedoch mit Ihrem Dienstanbieter zusammenarbeiten, da der Dienstanbieter zumindest einen Teil der Infrastruktur steuert.

  Zweitens macht die Multi-Tenant-Natur der Cloud die Untersuchung eines Vorfalls oft komplizierter. Da beispielsweise Informationen gemischt werden können, ist die Protokollanalyse möglicherweise schwierig, da Ihr Dienstanbieter versucht, die Privatsphäre zu schützen. Sie müssen herausfinden, wie Ihr Dienstanbieter einen Vorfall definiert, und sicherstellen, dass Sie verhandeln können, wie Sie mit dem Anbieter zusammenarbeiten, um sicherzustellen, dass alle zufrieden sind.

• Anwendungssicherheit: Wenn sich eine Anwendung in der Cloud befindet, ist sie jeder Art von Sicherheitsbedrohung ausgesetzt. Die CSA unterteilt die Anwendungssicherheit in verschiedene Bereiche, einschließlich der Sicherung des Softwareentwicklungslebenszyklus in der Cloud. Authentifizierung, Autorisierung und Compliance; Identitätsmanagement, Verwaltung von Anwendungsberechtigungen, Anwendungsüberwachung, Penetrationstests für Anwendungen und Risikomanagement.

• Verschlüsselung und Schlüsselverwaltung: Datenverschlüsselung bezieht sich auf eine Reihe von Algorithmen, die Text in eine Form namens Cyphertext, umwandeln können. Dies ist eine verschlüsselte Form von Klartext, den Unbefugte nicht lesen können… Der Empfänger einer verschlüsselten Nachricht verwendet einen Schlüssel, der den Algorithmus dazu veranlasst, die Daten zu entschlüsseln und dem autorisierten Benutzer in seinem ursprünglichen Zustand zur Verfügung zu stellen. Daher können Sie Daten verschlüsseln und sicherstellen, dass nur der vorgesehene Empfänger sie entschlüsseln kann.

  In der öffentlichen Cloud sind einige Unternehmen möglicherweise versucht, alle ihre Informationen zu verschlüsseln, weil sie sich Sorgen um ihre Verschiebung in die Cloud machen und wissen, wie sicher sie ist, sobald sie in der Cloud ist. Kürzlich haben Experten auf diesem Gebiet damit begonnen, neben der Verschlüsselung andere Sicherheitsmaßnahmen in Betracht zu ziehen, die in der Cloud verwendet werden können.

• Identitäts- und Zugriffsverwaltung: Das Identitätsmanagement ist ein sehr umfassendes Thema, das für viele Bereiche des Rechenzentrums gilt. Das Ziel des Identitätsmanagements ist die Kontrolle des Zugriffs auf Computerressourcen, Anwendungen, Daten und Dienste.

  Das Identitätsmanagement ändert sich in der Cloud erheblich. In einem herkömmlichen Rechenzentrum können Sie einen Verzeichnisdienst für die Authentifizierung verwenden und die Anwendung dann in einer sicheren Zone für die Firewall bereitstellen. Die Cloud benötigt häufig mehrere Identitätsformen, um sicherzustellen, dass der Zugriff auf Ressourcen sicher ist.

Mit dem zunehmenden Einsatz von Cloud Computing, drahtloser Technologie und mobilen Geräten haben Sie keine klaren Grenzen mehr hinsichtlich interner und externer Aspekte Ihrer Systeme. Sie müssen bewerten, ob Löcher oder Schwachstellen zwischen Servern, Netzwerk, Infrastrukturkomponenten und Endpunkten vorhanden sind, und diese dann kontinuierlich überwachen. Mit anderen Worten: Sie müssen Ihrer eigenen Infrastruktur sowie der Infrastruktur eines Cloud-Anbieters vertrauen können.