Dezvoltarea unui mediu cloud Secure Hybrid - dummies

O abordare atentă a securității poate reuși să atenueze multe riscuri de securitate într-un mediu hibrid în nor. Pentru a dezvolta un mediu hibrid sigur, trebuie să evaluați starea actuală a strategiei dvs. de securitate, precum și strategia de securitate oferită de furnizorul dvs. de cloud.

Evaluați starea actuală de securitate

Într-un mediu hibrid, securitatea începe cu evaluarea stării actuale. Puteți începe prin a răspunde la un set de întrebări care vă pot ajuta să vă formați abordarea strategiei dvs. de securitate. Iată câteva întrebări importante care trebuie luate în considerare:

• Ați evaluat recent infrastructura dvs. tradițională de securitate?

• Cum controlați drepturile de acces la aplicații și rețele - atât cei din cadrul companiei dvs., cât și cei din afara firewall-ului dvs.? Cine are dreptul să acceseze resurse IT? Cum vă asigurați că numai identitățile corecte obțin acces la aplicațiile și informațiile dvs.?

• Puteți identifica vulnerabilitățile și riscurile aplicațiilor web și apoi puteți corecta orice slăbiciune?

• Aveți o metodă de urmărire a riscului de securitate în timp, astfel încât să puteți împărtăși cu ușurință informații actualizate celor care au nevoie de ea?

• Mediile dvs. de server sunt protejate în orice moment de amenințările de securitate externe?

• Dacă utilizați criptarea, vă păstrați propriile chei sau le obțineți de la un furnizor de încredere și de încredere? Folosiți algoritmi standard?

• Puteți monitoriza și cuantifica riscurile de securitate în timp real?

• Puteți implementa consecvent politicile de securitate pentru toate tipurile de arhitecturi locale și cloud?

• Cum vă protejați toate datele, indiferent unde sunt stocate?

• Puteți satisface cerințele de audit și de raportare pentru datele din cloud?

• Puteți să îndepliniți cerințele de conformitate ale industriei dvs.?

• Care este programul dvs. de securitate a aplicațiilor?

• Care sunt planurile dvs. de dezastru și de recuperare? Cum asigurați continuitatea serviciului?

Evaluați securitatea distribuitorului norului

Un mediu hibrid în cloud prezintă un set special de provocări în ceea ce privește securitatea și guvernanța. Nivelele hibride utilizează infrastructura proprie plus cea a furnizorului de servicii. De exemplu, datele pot fi stocate în incinta dvs., dar sunt prelucrate în cloud. Aceasta înseamnă că infrastructura dvs. locală poate fi conectată la un nor mai public, ceea ce va afecta tipurile de controale de securitate de care aveți nevoie.

Trebuie să existe controale pentru securitatea perimetrală, accesul, integritatea datelor, programele malware și altele asemenea - nu numai la locația dvs., ci și cu furnizorul dvs. de cloud.Furnizorii de servicii cloud au fiecare modul propriu de gestionare a securității. Acestea pot fi sau nu compatibile cu planul de conformitate și de securitate generală al organizației dvs. Este absolut esențial ca compania dvs. să nu-și îngroape capul în nisip, presupunând că furnizorul de nor a acoperit securitatea.

Trebuie să verificați dacă furnizorul dvs. de cloud asigură același nivel de securitate pe care îl solicitați intern (sau un nivel superior, dacă doriți să vă îmbunătățiți strategia globală de securitate). Trebuie să întrebați multe întrebări dificile pentru a vă asigura că strategia de securitate și guvernanță a companiei dvs. poate fi integrată cu furnizorul dvs..

Iată câteva sfaturi care vă pot ajuta să începeți și care ar putea fi de asemenea utile în evaluarea strategiei dvs. de securitate:

• Adresați-vă furnizorului dvs. de cloud ce fel de companii le deservesc. De asemenea, adresați-vă întrebări despre arhitectura sistemului, pentru a înțelege mai multe despre modul în care este tratată multi-locația.

• Vizitați unitatea neanunțată pentru a înțelege ce măsuri de securitate fizică există. Conform CSA, aceasta înseamnă că mergem prin toate zonele, de la zona de recepție până la camera generatoarelor și chiar de inspecția rezervoarelor de combustibil. De asemenea, trebuie să verificați securitatea perimetrului (de exemplu, verificați modul în care oamenii accesează clădirea) și dacă operatorul este pregătit pentru o criză (de exemplu, stingătoare de incendiu, alarme și altele asemenea).

• Verificați unde este localizat furnizorul de cloud. De exemplu, se află într-o zonă cu criminalitate ridicată sau într-o zonă predispusă la dezastre naturale, cum ar fi cutremure sau inundații?

• Ce fel de documentație actualizată are furnizorul de servicii cloud? Are planuri de răspuns la incidente? Planuri de răspuns în caz de urgență? Planuri de rezervă? Planuri de restaurare? Verificări de fond ale personalului de securitate și ale altor membri ai personalului?

• Ce fel de certificări are furnizorul? Personalul de securitate din cloud are certificări cum ar fi CISSP, CISA și ITIL?

• Află unde vor fi stocate datele tale. Dacă compania dvs. are regulamente de conformitate, trebuie să se întâlnească cu privire la datele care locuiesc în țări străine, este important de știut.

• Află cine va avea acces la datele tale. De asemenea, verificați modul în care datele vor fi protejate.

• Aflați mai multe despre planurile de backup și de păstrare a datelor furnizorului. Veți dori să știți dacă datele dvs. sunt amestecate cu alte date. Dacă doriți să vă întoarceți datele când vă încheiați contractul, aceste probleme pot fi importante.

• Cum va preveni furnizorul dvs. atacurile de tip DoS?

• Ce fel de contracte de întreținere are furnizorul dvs. pentru echipamentul său?

• Furnizorul dvs. de cloud monitorizează continuu operațiunile sale? Puteți avea vizibilitate în această capacitate de monitorizare?

• Cum sunt detectate incidentele? Cum se înregistrează informațiile?

• Cum sunt tratate incidentele? Care este definiția unui incident? Cine este punctul dvs. de contact la furnizorul dvs. de servicii? Care sunt rolurile și responsabilitățile membrilor echipei?

• Cum gestionează furnizorul dvs. securitatea aplicațiilor și securitatea datelor?

• Ce metrice monitorizează furnizorul dvs. de cloud pentru a vă asigura că aplicațiile rămân sigure?

Având în vedere importanța securității în mediul cloud, este posibil să presupuiți că un furnizor major de servicii de cloud va avea un set de acorduri complete de servicii pentru clienții săi. De fapt, multe dintre acordurile standard sunt menite să protejeze furnizorul de servicii - nu clientul. Deci, compania dvs. trebuie să înțeleagă cu adevărat contractul, precum și infrastructura, procesele și certificările pe care le deține furnizorul dvs. de cloud.

Trebuie să vă articulați în mod clar cerințele privind securitatea cloud și strategia de guvernanță și să determinați răspunderea. Dacă furnizorul dvs. de cloud nu dorește să vorbească despre aceste elemente, ar trebui să luați în considerare probabil un furnizor de cloud diferit. Pe de altă parte, furnizorul dvs. de cloud poate avea de fapt câteva trucuri până la maneca, care vă pot îmbunătăți securitatea!