кібербезпека

Як хмара змінює пріоритети CISO

Позначка часу: 3 лютого 2023 р 10: 00 А.М.
Вихідний вузол: 2387253

Перевидано Платоном

Проблеми, з якими стикаються керівники інформаційної безпеки (CISO), різко змінилися за останнє десятиліття. сьогодні, вони повинні узгоджувати свої зусилля щодо безпеки — і бюджети — з бізнес-цілями своєї організації, які можуть варіюватися від підтримки впевненості клієнтів у безпеці їхніх даних до захисту інтелектуальної власності від крадіжки.

Як ключовий член команди виконавчого керівництва, CISO часто мають звітність на рівні правління. Вони повинні впоратися з новим і страшним рівнем технічної складності, запровадженим хмарою, де ідентифікаційні дані є фактично першою та останньою лінією захисту. І на цьому робота не закінчується. Щоб досягти успіху, вони також повинні докласти значних зусиль для створення команди з навичками в різних дисциплінах і вибору правильних захисних технологій.

Технічний виклик

Перехід до віддаленої або гібридної моделі роботи в поєднанні з прискореним впровадженням хмари значно розширив поверхню атаки CISO повинні захищати. Крім того, їм часто доводиться мати справу з більш ніж однією хмарою. Основні постачальники — Amazon Web Services, Azure та Google Cloud Platform — мають дещо різні структури, процедури, вимоги тощо, що ще більше ускладнює керування цими розгалужені архітектури.

Компанії, орієнтовані на центри обробки даних, які перейшли до хмари, очевидно, стикаються з новими проблемами безпеки, які звичайні брандмауери ніколи не були розроблені для вирішення. Отже, thЗараз широко почутий рефрен «Ідентичність — це новий периметр». Це безперечно правда. Хоча не слід відмовлятися від брандмауерів та інших мережевих елементів керування, CISO повинні зосередитися на проблемах ідентифікації. Наступний триетапний процес може швидко та ефективно дати результати в цій області.

Стримуйте зайві привілеї. Під час міграція в хмару, глобальні привілеї часто надаються кожному в команді переходу. Найкраще цього уникати, але якщо це станеться, привілеї слід переглянути та обмежити після переходу. Один із хороших способів зробити це — відстежувати, до яких ресурсів які особи мають доступ. Якщо особа не має доступу до певного ресурсу, право на це має бути скасовано.
Співвіднесіть надмірні привілеї та неправильні налаштування. Ще одним серйозним ризиком є неправильна конфігурація хмари. Але коли привілейована особа має доступ до неправильно налаштованого хмарного ресурсу, результати можуть бути катастрофічними. На щастя, тепер доступні автоматизовані інструменти, які допомагають виявляти неправильні конфігурації, а також надмірні привілеї та виправляти їх для усунення загроз.
Пріоритетність. Ніколи не вистачає часу або персоналу, щоб виправити кожну неправильну конфігурацію, тому важливо зосередитися на тих, які є найбільшим джерелом ризику для безпеки. Наприклад, усунення загроз доступу на основі ідентифікаційної інформації до сегментів хмарного сховища має вирішальне значення для запобігання витоку даних. Моніторинг помилок конфігурації, які розкривають дані через надмірні дозволи, дозволи за замовчуванням тощо, має бути головним пріоритетом.

Людський виклик

Захист хмарної інфраструктури вимагає унікальних навичок, і пошук кваліфікованих спеціалістів для виконання цієї роботи є однією з найбільших проблем для CISO. Є три ключові сфери компетенції, якими повинна володіти кожна команда хмарної безпеки:

Архітектурна компетентність. Щоб оцінити стан безпеки організації та створити дорожню карту для його вдосконалення з часом, групам безпеки потрібна еталонна модель. The CSA структура є чудовим ресурсом, і є кілька інших доступних. Без чіткого розуміння архітектурних концепцій, представлених у стандартних структурах безпеки, таких як CSA, важко зменшити поверхню хмарних атак і легко не помітити сліпі зони.
Хмарна інженерія. Команда безпеки також має виконувати повсякденні вимоги безпеки хмари, які можуть включати керування, технічне обслуговування тощо. Грамотна хмарна інженерія необхідна для того, щоб «тримати світло» у сфері безпеки.
Реактивні можливості. У всьому світі кібератаки відбуваються зі швидкістю 30,000 на день. Кожне підприємство може очікувати, що інциденти відбуватимуться регулярно, а командам безпеки потрібні спеціалісти, здатні швидко реагувати, щоб обмежити — якщо не запобігти — серйозні наслідки.

Ідеальний склад команди хмарної безпеки включає спеціалістів із мережі, хмари та розробників, які можуть працювати разом. Завдання побудови команди з такими можливостями ускладнюється тим, що їх не вистачає 3.4 млн працівників кібербезпеки на даний момент.

Одним із підходів, який добре працює як доповнення до найму, є внутрішній розвиток через навчання. Це може відбуватися всередині компанії або через сторонні програми сертифікації. Крім того, обираючи постачальників, організації повинні віддавати перевагу тим, чиї пропозиції включають сильний навчальний компонент. Якщо це можливо, CISO можуть знайти способи залучити працівників, не пов’язаних із безпекою, до роботи над певними завданнями безпеки.

Після складання одна з проблем, з якою зіткнеться будь-яка команда безпеки, полягає в роботі з багатохмарними архітектурами, які стає нормою. Дуже небагато людей знайомі з інструментами, номенклатурою та моделлю безпеки всіх трьох основних хмарних платформ. З цієї причини багато компаній звертаються до власних хмарних технологій, які розуміють нюанси, пов’язані із захистом різних хмарних платформ, і спрощують завдання безпеки для користувачів, які можуть не мати спеціального навчання з AWS, Azure, GCP тощо.

Підводячи підсумок, можна сказати, що виклики, з якими стикаються сучасні CISO, здебільшого обумовлені хмарою, яка створює значно розширену поверхню для атак, яку потрібно захищати. Тим часом, щоб оволодіти моделлю управління та інструментами, що використовуються кожною хмарною платформою, потрібен досвід безпеки, якого вкрай бракує. Доступні рішення, які забезпечують видимість і знання платформи, необхідні для того, щоб допомогти командам безпеки впроваджувати найкращі методи захисту своєї хмарної інфраструктури, а також допомагати їм підвищувати кваліфікацію аналітиків у цьому процесі.