האתגרים העומדים בפני קציני אבטחת מידע ראשיים (CISOs) התפתחו באופן דרמטי בעשור האחרון. היום, עליהם להתאים את מאמצי האבטחה שלהם - והתקציבים - עם היעדים העסקיים של הארגון שלהם, שעשויות לנוע בין שמירה על אמון הלקוחות שהנתונים שלהם בטוחים ועד להגנה על קניין רוחני מפני גניבה.
כחבר מפתח בצוות ההנהלה הבכיר, ל-CISO יש לרוב אחריות דיווח ברמת הדירקטוריון. עליהם לנהל רמה חדשה ומרתיעה של מורכבות טכנית שהוצג על ידי הענן, שבו זהויות הן למעשה קו ההגנה הראשון והאחרון. והעבודה לא מסתיימת בזה. כדי להצליח, עליהם גם להשקיע מאמץ משמעותי בבניית צוות עם מיומנויות במגוון דיסציפלינות, ובחירת הטכנולוגיות ההגנתיות הנכונות.
האתגר הטכני
המעבר למודלים של עבודה מרחוק או היברידי בשילוב עם אימוץ מואץ של ענן יש הרחיב מאוד את משטח ההתקפה CISOs חייבים להגן. יתר על כן, לעתים קרובות הם צריכים להתמודד עם יותר מענן אחד. הספקים הגדולים - Amazon Web Services, Azure ו-Google Cloud Platform - לכולם יש מבנים, נהלים, דרישות וכו' מעט שונים, כל אלה מגדילים עוד יותר את המורכבות של ניהול אלה ארכיטקטורות רחבות ידיים.
חברות מוכוונות מרכז נתונים שעברו לענן כמובן מתמודדות עם סדרה חדשה של חששות אבטחה שחומות אש קונבנציונליות מעולם לא תוכננו לטפל בהן. לפיכך, ההפזמון הנפוץ כיום "זהות היא ההיקף החדש." זה בהחלט נכון. בעוד שאין לנטוש חומות אש ובקרות אחרות מבוססות רשת, CISOs צריכים להתמקד בבעיות זהות. תהליך שלושת השלבים הבא יכול לספק תוצאות בתחום זה במהירות וביעילות.
- לרסן זכויות יתר. במהלך הגירה לענן, הרשאות גלובליות מוענקות לרוב לכל אחד בצוות המעבר. עדיף להימנע מכך, אבל אם זה קורה, יש לבדוק ולהגביל את ההרשאות לאחר המעבר. אחת הדרכים הטובות לעשות זאת היא לעקוב אחר המשאבים שאנשים ניגשים אליהם. אם אדם אינו ניגש למשאב מסוים, יש לבטל את הזכות לעשות זאת.
-
קשר הרשאות עודפות ותצורות שגויות. תצורות שגויות בענן הן סיכון רציני נוסף. אבל כאשר לזהות מיוחסת יש גישה למשאב ענן שגוי, התוצאות עלולות להיות הרות אסון. למרבה המזל, כלים אוטומטיים זמינים כעת כדי לסייע באיתור הגדרות שגויות, כמו גם הרשאות מופרזות, ולתקן אותן כדי למנוע איומים.
- תיעדוף. אף פעם אין מספיק זמן או מספיק צוות כדי לתקן כל תצורה שגויה, לכן חשוב להתמקד באלה שהם המקור הגדול ביותר לסיכון אבטחה. לדוגמה, תיקון איומי גישה מבוססי זהות לדלי אחסון בענן הוא קריטי למניעת פרצות נתונים. מעקב אחר שגיאות תצורה החושפות נתונים באמצעות הרשאות מוגזמות, ברירת מחדל וכו' צריך להיות בראש סדר העדיפויות.
האתגר האנושי
אבטחת תשתית הענן דורשת מיומנויות ייחודיות, ומציאת אנשים מוסמכים לבצע את העבודה היא אחד האתגרים הגדולים ביותר של CISOs. ישנם שלושה תחומי מיומנות מרכזיים שכל צוות אבטחת ענן צריך להחזיק:
- יכולת אדריכלית. כדי להעריך את עמדת האבטחה של הארגון וליצור מפת דרכים להבשלתו לאורך זמן, צוותי אבטחה דורשים מודל התייחסות. ה מסגרת CSA הוא משאב מצוין, ויש כמה אחרים זמינים. ללא הבנה ברורה של מושגים ארכיטקטוניים המוצגים במסגרות אבטחה סטנדרטיות בתעשייה כמו CSA, קשה לצמצם את משטח התקפת הענן וקל להתעלם מנקודות עיוורון.
-
הנדסת ענן. צוות האבטחה צריך לטפל גם בדרישות היומיומיות של אבטחת ענן, שעשויות לכלול ניהול, תחזוקה ועוד. הנדסת ענן מוכשרת חיונית ל"שמירה על האורות דולקים" בתחום האבטחה.
-
יכולות ריאקטיביות. בעולם, מתקפות סייבר מתרחשות בקצב של 30,000 ליום. כל ארגון יכול לצפות שתקריות יתרחשו על בסיס קבוע, וצוותי אבטחה זקוקים למומחים שיכולים להגיב במהירות כדי להגביל - אם לא למנוע - השלכות חמורות.
ההרכב האידיאלי של צוות אבטחת ענן משתרע על פני מומחי רשת, ענן ופיתוח שיכולים לעבוד בשיתוף פעולה. המשימה של בניית צוות עם יכולות אלו מסובכת בשל העובדה שיש מחסור ב 3.4 מיליון עובדי אבטחת סייבר כרגע.
גישה אחת שעובדת היטב כתוספת לגיוס עובדים היא פיתוח מבפנים באמצעות הכשרה. זה עשוי להתרחש בתוך הבית או באמצעות תוכניות הסמכה של צד שלישי. כמו כן, בבחירת ספקים, ארגונים צריכים להעדיף את אלה שההצעות שלהם כוללות מרכיב הדרכה חזק. במידת האפשר, CISOs עשויים למצוא דרכים לגרום לעובדים שאינם אנשי אבטחה לעבוד בכמה משימות אבטחה.
לאחר ההרכבה, אחת הבעיות שבהן יתקל כל צוות אבטחה היא התמודדות עם ארכיטקטורות מרובות עננים, שהן הופכים לנורמה. מעט מאוד אנשים מכירים את הכלים, המינוח ומודל האבטחה של כל שלוש פלטפורמות הענן הגדולות. מסיבה זו, חברות רבות פונות לטכנולוגיות מקוריות בענן שמבינות את הניואנסים הקשורים באבטחת פלטפורמות ענן שונות ומפשטות משימות אבטחה עבור משתמשים שעשויים להיעדר הכשרה מיוחדת ב-AWS, Azure, GCP וכו'.
לסיכום, האתגרים העומדים בפני CISOs של ימינו מונעים במידה רבה על ידי הענן, שיוצר משטח התקפה מורחב מאוד שיש להגן עליו. בינתיים, שליטה במודל הניהול והכלים המשמשים כל פלטפורמת ענן דורשת מומחיות אבטחה שנמצאת במחסור ביותר. זמינים פתרונות המספקים את הנראות ואת הידע בפלטפורמה הדרושים כדי לעזור לצוותי אבטחה ליישם שיטות עבודה מומלצות להגנה על תשתית הענן שלהם, תוך סיוע למנתחים לשפר את המיומנויות בתהליך.
- הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
- Platoblockchain. Web3 Metaverse Intelligence. ידע מוגבר. גישה כאן.
- מקור: https://www.darkreading.com/cloud/how-the-cloud-is-shifting-ciso-priorities