Bezpieczeństwo danych w chmurze

Bezpieczeństwo danych w chmurze obejmuje dane w trzech stanach. Dane w spoczynku znajdują się w usługach magazynowania i współpracy w chmurze. Dane w tranzycie przemieszczają się między urządzeniami, siecią firmową a tymi usługami. Płaszczyzna kontroli obejmuje konta, role, klucze i logowanie. To ona decyduje, kto dociera do danych i czy dostęp można udowodnić.

Zakres zależy od modelu usługi. W infrastrukturze jako usłudze klient zarządza systemami operacyjnymi, aplikacjami i większością ustawień warstwy danych. W oprogramowaniu jako usłudze dostawca obsługuje niemal wszystko, a klient zarządza głównie tożsamościami i tym, co użytkownicy mogą robić. Im więcej należy do dostawcy, tym bardziej ryzyko sprowadza się do konfiguracji i zachowań użytkowników.

Każdą usługę magazynowania w chmurze, także jej wersję w przeglądarce, można ustawić w trybie dostępu, audytu lub kopii w tle. Moduł kontroli magazynów w chmurze stosuje te tryby osobno dla każdej usługi.

1 / 2

• 
• 

Każdy większy dostawca publikuje model współdzielenia odpowiedzialności. Dostawca odpowiada za samą chmurę: sprzęt, bezpieczeństwo fizyczne i dostępność. Klient pozostaje odpowiedzialny za dane w chmurze: klasyfikację, decyzje o dostępie, konfigurację i to, co użytkownicy robią w usługach. Żaden dostawca nie pokryje kontenera pozostawionego jako publiczny, błędnie skierowanego linku do udostępnienia ani pracownika eksportującego rekordy na konto prywatne.

Większość incydentów z danymi w chmurze nie wynika z awarii dostawcy. Dzieje się tak wtedy, gdy klient zakłada, że dostawca załatwił coś, co należało do klienta. Pierwszym krokiem każdego programu jest naniesienie macierzy odpowiedzialności każdej usługi na mechanizmy kontroli w organizacji.

Błędna konfiguracja konsekwentnie jest główną przyczyną ujawnienia danych w chmurze. Środowiska chmurowe zmieniają się szybciej niż cykle przeglądów, zasoby powstają na sprint lub migrację, a wyjątek staje się trwały. Powtarzające się wzorce:

Pracownicy wdrażają usługi chmurowe szybciej, niż zespoły bezpieczeństwa mogą je zatwierdzić, i właśnie ta luka stanowi istotę shadow IT. Przykłady: aplikacja do notatek albo prywatne konto dysku chmurowego użyte do przesłania dużego pliku przez wolne łącze. Shadow SaaS rzadko jest złośliwe, bo wynika z wygody. Każda usługa bez sankcji jest jednak kanałem, którym dane firmowe opuszczają zatwierdzoną granicę, poza regułami logowania i retencji.

Trudność polega na widoczności. Usługa w przeglądarce wygląda jak zwykły ruch sieciowy, a klient synchronizacji jak każda inna aplikacja. Programy łączą inwentaryzację tego, co jest w użyciu, z polityką dopuszczalności i kontrolą samego transferu. Celem jest wykrycie, kiedy dane służbowe trafiają do usługi bez sankcji.

W tym obszarze działa kilka rodzin mechanizmów kontroli, m.in. Cloud DLP i DLP na punktach końcowych. Dojrzały program zwykle potrzebuje więcej niż jednego, bo każdy widzi inną część problemu:

Zacznij od usług, które już przechowują najbardziej wrażliwe dane, a potem zmapuj kanały wysyłki, z których pracownicy faktycznie korzystają. Lista kontroli napisana od razu dla każdej usługi chmurowej zwykle blokuje zwykłą pracę i zostaje wyłączona. Anexet DLP stosuje te kontrole na punkcie końcowym, gdzie zaczyna się wysyłka, a ślad audytu pozostaje w infrastrukturze klienta.

Czytaj dalej: Systemy DLP — czym są i jak działają; Koncepcja “Zero Trust”.