Utveckla en säker hybridmiljö - dummies

Ett genomtänkt säkerhetssätt kan lyckas med att mildra många säkerhetsrisker i en hybrid molnmiljö. För att utveckla en säker hybridmiljö måste du bedöma nuvarande säkerhetsstrategi och säkerhetsstrategin som erbjuds av din molnleverantör.

Bedöm ditt nuvarande säkerhetsläge

I en hybridmiljö startar säkerheten med att utvärdera ditt nuvarande tillstånd. Du kan börja med att svara på en rad frågor som kan hjälpa dig att formulera ditt tillvägagångssätt för din säkerhetsstrategi. Här är några viktiga frågor att tänka på:

• Har du nyligen utvärderat din egen traditionella säkerhetsinfrastruktur?

• Hur kontrollerar du åtkomsträttigheter till program och nätverk - både inom ditt företag och de som ligger utanför din brandvägg? Vem har rätt att få tillgång till IT-resurser? Hur ser du till att bara de rätta identiteterna får tillgång till dina applikationer och information?

• Kan du identifiera sårbarheter och risker för webbprogram och korrigera eventuella svagheter?

• Har du möjlighet att spåra din säkerhetsrisk över tid så att du enkelt kan dela uppdaterad information med dem som behöver det?

• Är dina servermiljöer skyddade hela tiden från externa säkerhetshot?

• Om du använder kryptering behåller du dina egna nycklar eller får dem från en pålitlig och pålitlig leverantör? Använder du standardalgoritmer?

• Kan du övervaka och kvantifiera säkerhetsrisker i realtid?

• Kan du implementera säkerhetspolicy konsekvent över alla typer av lokaler och molnarkitekturer?

• Hur skyddar du all din data oavsett var den lagras?

• Kan du tillfredsställa revisions- och rapporteringskrav för data i molnet?

• Kan du uppfylla kraven i din bransch?

• Vad är ditt programsäkerhetsprogram?

• Vad är dina katastrof- och återhämtningsplaner? Hur säkerställer du kontinuitet i tjänsten?

Bedöm din molnleverantörs säkerhet

En hybridmolnmiljö utgör en särskild uppsättning utmaningar när det gäller säkerhet och styrning. Hybrid moln använder din egen infrastruktur plus din tjänsteleverantörs. Till exempel kan data lagras i dina lokaler men bearbetas i molnet. Det innebär att din lokala infrastruktur kan vara kopplad till ett mer offentligt moln, vilket kommer att påverka de typer av säkerhetskontroller du behöver.

Kontroller måste finnas på plats för skydd av omkretsen, åtkomst, dataintegritet, skadlig kod och liknande - inte bara på din plats utan också hos din molnleverantör.Cloud-tjänsteleverantörer har alla sina egna sätt att hantera säkerhet. De kanske inte är kompatibla med din organisations överensstämmelse och övergripande säkerhetsplan. Det är absolut nödvändigt att ditt företag inte begraver sitt huvud i sanden genom att anta att molnleverantören har säkerheten täckt.

Du måste verifiera att din molnleverantör garanterar samma säkerhetsnivå som du kräver internt (eller en överlägsen nivå om du vill förbättra din övergripande säkerhetsstrategi). Du måste ställa många hårda frågor för att garantera att ditt företags säkerhets- och styrstrategi kan integreras med din leverantörs.

Här är några tips som kan komma igång och det kan också vara användbart vid bedömningen av din säkerhetsstrategi:

• Fråga din molnleverantör vilken typ av företag de tjänar. Ställ även frågor om systemarkitektur för att förstå mer om hur multi-tenancy hanteras.

• Besök anläggningen oanmäld för att förstå vilka fysiska säkerhetsåtgärder som är på plats. Enligt CSA innebär det att man går igenom alla områden, från receptionen till generalkammaren och till och med inspekterar bränsletankarna. Du måste också kontrollera omkretssäkerhet (t ex kontrollera hur personerna kommer till byggnaden) och om operatören är redo för en kris (till exempel brandsläckare, larm och liknande).

• Kontrollera var molnleverantören befinner sig. Till exempel ligger det i ett högt brottsområde eller ett område som är benäget för naturkatastrofer som jordbävningar eller översvämningar?

• Vilken slags uppdaterad dokumentation har molnleverantören på plats? Har det incidentplaner? Beredskapsplaner? Backup planer? Restaureringsplaner? Bakgrundskontroller av säkerhetspersonal och andra anställda?

• Vilken typ av certifieringar gör leverantören? Har moln säkerhetspersonal certifieringar som CISSP, CISA och ITIL?

• Ta reda på var dina uppgifter kommer att lagras. Om ditt företag har regler för överensstämmelse måste det uppfylla uppgifter som är bosatta i utlandet, det är viktigt att veta.

• Ta reda på vem som ska ha tillgång till dina uppgifter. Kontrollera även hur data kommer att skyddas.

• Ta reda på mer om leverantörens datasäkerhets- och lagringsplaner. Du kommer att vilja veta om dina data är förenade med annan data. Om du vill ha dina uppgifter tillbaka när du avslutar ditt kontrakt kan dessa problem vara viktiga.

• Hur kommer din leverantör att förebygga avslag (DoS)?

• Vilken typ av underhållskontrakt har din leverantör för sin utrustning?

• Övervakar din molnleverantör kontinuerligt sin verksamhet? Kan du få synlighet i denna övervakningsförmåga?

• Hur upptäcks incidenter? Hur är informationen inloggad?

• Hur hanteras händelser? Vad är definitionen av en incident? Vem är din kontaktpunkt hos din tjänsteleverantör? Vilka är rollmedlemmarnas roller och ansvarsområden?

• Hur hanterar din leverantör programsäkerhet och datasäkerhet?

• Vilka mätvärden övervakar din molnleverantör för att säkerställa att programmen förblir säkra?

Med tanke på vikten av säkerhet i molnmiljön kan du anta att en stor molnleverantör kommer att ha en uppsättning omfattande serviceavtal för sina kunder. Faktum är att många av standardavtalen är avsedda att skydda tjänsteleverantören - inte kunden. Så, ditt företag måste verkligen förstå kontraktet samt infrastrukturen, processerna och certifieringarna som din molnleverantör har.

Du måste tydligt formulera din clouds säkerhetskrav och styrstrategi och bestämma ansvarighet. Om din molnleverantör inte vill prata om dessa objekt bör du noga överväga en annan molnleverantör. Å andra sidan kan din molnleverantör faktiskt ha några knep upp på ärmen som kan förbättra din egen säkerhet!