Skysikkerhet er en disiplin av cybersikkerhet dedikert til å sikre skydatabehandlingssystemer. Dette omfatter å holde data private og sikre på tvers av onlinebasert infrastruktur, applikasjoner og plattformer. Å sikre disse systemene involverer arbeidet for både skytilbydere og klientene som bruker dem, enten en det er en enkeltperson, små og mellomstore virksomheter eller et større foretak.
Skytilbydere er vert for tjenestene på sine servere via Internett-tilkoblinger som alltid er aktivert. Fordi deres virksomheter er avhengige av kundenes tillit, brukes det skysikkerhetsmetoder for å holde klientdata private og sikkert lagret. Skysikkerhet ligger imidlertid også delvis i klientens hender. Å forstå begge aspekter er avgjørende for en sunn skysikkerhetsløsning.
I sin kjerne består skysikkerhet av følgende kategorier:
Det kan virke som skysikkerhet er det samme som tradisjonell IT-sikkerhet, men dette rammeverket krever faktisk en annen tilnærming. Før vi dykker dypere, la oss først ta en kikk på hva skysikkerhet er.
Skysikkerhet er hele kombinasjonen av teknologi, protokoller og beste praksiser som beskytter databehandlingsmiljøer, applikasjoner som kjører i skyen og dataene som oppbevares der. Å sikre skytjenester starter med å forstå nøyaktig hva det er som skal sikres, i tillegg til systemaspektene som må administreres.
Som en oversikt er den bakenforliggende utviklingen av tiltak mot sårbarheter stort sett i hendene på skytjenestetilbydere. I tillegg til å velge en sikkerhetsbevisst tilbyder må klienter først og fremst fokusere på riktig tjenestekonfigurasjon og sikre brukervaner. I tillegg må kienter være sikre på at all sluttbrukermaskinvare og også hele nettverket er godt sikret.
Hele spekteret av skysikkerhet er utformet for å beskytte følgende, uavhengig av dine ansvarsområder:
Med skydatabehandling kan eierskapet til disse komponentene variere betydelig. Dette kan gjøre omfanget av ansvar for klientsikkerhet uklart. Fordi sikring av skyen kan virke forskjellig avhengig av hvem som har myndighet over hver komponent, er det viktig å forstå hvordan de vanligvis er gruppert.
Enkelt forklart sikres skykomponenter fra to hovedsynspunkter:
1. Skytjenestetyper tilbys av tredjepartstilbydere som moduler som brukes for å skape skymiljøet. Avhengig av typen tjeneste kan du administrere en annen grad av komponenter innen tjenesten:
2. Skymiljøer er implementeringsmodeller der en eller flere skytjenester utgjør et system for sluttbrukerne og organisasjonene. Disse segmenterer de administrative ansvarsområdene, medregnet sikkerhet, mellom klienter og tilbydere.
De gjeldende brukte skymiljøene er:
Ved å ramme det inn i dette perspektivet kan vi forstå at skybasert sikkerhet kan være litt forskjellig avhengig av typen skyområde brukere arbeider i. Men effektene føles av både enkeltpersoner og organisasjonsklienter.
Hvert skysikkerhetstiltak er der for å oppnå ett eller flere av følgende:
Datasikkerhet er et aspekt ved skysikkerhet som involverer den tekniske siden av trusselbeskyttelse. Verktøy og teknologier gir tilbydere og klienter mulighet til å sette inn barrierer mellom tilgang til og synlighet for sensitive data. Blant disse er kryptering ett av de kraftigste verktøyene på markedet. Under kryptering kodes dataene slik at de bare kan leses av personer som har krypteringsnøkkelen. Hvis dataene dine går tapt eller blir stjålet, vil de i praksis gjøres uleselige og meningsløse. Datatransittbeskyttelser som virtuelle private nettverk (VPN-er) blir også vektlagt i skynettverk.
IAM (Identity and access management – identitets- og tilgangskontroll) omhandler tilgangsprivilegiene som tilbys brukerkontoer. Å administrere autentifisering og autorisering av brukerkontoer gjelder også her. Tilgangskontroller er livsviktige for å begrense brukere — både legitime og ondsinnede — fra å trenge inn i og eksponere sensitive data og systemer. Passordadministrasjon, flerfaktorautentifisering og andre metoder tilhører omfanget til IAM.
Regulering fokuserer på policyer for forebygging, oppdagelse og demping av trusler. For små og mellomstore selskaper kan aspekter som trusseletterretning bidra med sporing og prioritering av trusler for å sikre at livsviktige systemer er godt voktet. Imidlertid vil selv individuelle skyklienter ha nytte av å verifisere sikre brukeratferdspolicyer og -opplæring. Disse gjelder for det meste i organisasjonsmiljøer, men regler for sikker bruk og repons på trusler for en hvilken som helst bruker.
Planlegging av DR (Data retention – databevaring og BC (Business Continuity) involverer tekniske katastrofegjenopprettingstiltak i tilfelle tap av data. Sentralt for enhver DR- og BC-plan står metoder for dataredundans, f.eks. sikkerhetskopier. I tillegg kan det være nyttig å ha tekniske systemer for å sikre uavbrutt drift. Rammeverk for å teste gyldigheten av sikkerhetskopier og detaljerte gjenopprettingsinstruksjoner for ansatte er også veldig viktige i en grundig BC-plan.
Juridisk overholdelse omhandler å beskytte brukerpersonvern slik juridiske organer har fastsatt det. Myndigheter har tatt opp viktigheten av å beskytte privat brukerinformasjon mot å bli utnyttet for fortjeneste. Som sådan må organisasjoner følge bestemmelser for å overholde disse policyene. En mulig tilnærming er bruken av datamaskering, som tilslører identitet i data via krypteringsmetoder.
Tradisjonell IT-sikkerhet har opplevd en intens utvikling på grunn av forflytningen til skybasert databehandling. Selv om skymodeller kan gjøre ting mer praktiske, krever alltid på-tilkobling nye anskuelser for å holde dem sikre. Skysikkerhet, som en modernisert cybersikkerhetsløsning, skiller seg fra tradisjonelle IT-modeller på noen få måter.
Datalagring: Den viktigste forskjellen er at eldre IT-modeller i sterk grad var basert på datalagring på stedet. Organisasjoner har lenge innsett at å bygge alle IT-rammeverk internt for detaljerte, tilpassede sikkerhetskontroller er kostbart og stivbeint. Skybaserte rammeverk har hjulpet til å avlaste kostnader ved systemutvikling og -vedlikehold, men også å fjerne en viss kontroll fra brukere.
Skaleringshastighet: Tilsvarende krever skysikkerhetsbehov unik oppmerksomhet ved skalering av organisasjoners IT-systemer. Skysentrisk infrastruktur og apper er veldig modulær og rask å mobilisere. Selv om denne muligheten holder systemer ensartet tilpasset for organisatoriske endringer, skaper det problemer når en organisasjons behov for oppgraderinger og praktisk nytteverdi utkonkurrerer muligheten til å bevare sikkerheten.
Grensesnitt mot sluttbrukersystem: For både organisasjoner og enkeltpersoner danner skysystemer også grensesnitt mot mange andre systemer og tjenester som må sikres. Tilgangstillatelser må bevares fra sluttbrukerenhetens nivå til programvarenivået og til og med nettverksnivået. Utover dette må tilbydere og brukere være oppmerksomme på sårbarheter de kanskje forårsaker gjennom usikkert oppsett og tvilsom atferd ved systemtilgang.
Nærhet til andre nettverksdata og -systemer: Fordi skysystemer er en permanent tilkobling mellom skytilbydere og alle deres brukere, kan dette omfattende nettverket til og med eksponere tilbyderen selv. I nettverkslandskaper kan én enkelt svak enhet eller komponent utnyttes for å infisere resten. Skytilbydere eksponerer seg selv for å trusler fra mange sluttbrukere de kommuniserer med, enten de tilbyr datalagring eller andre tjenester. Annet ansvar for nettverkssikkerhet faller på tilbydere som ellers leverer produkter live utelukkende på sluttbrukersystemer i stedet for sitt eget.
Å løse de fleste skysikkerhetsproblemer betyr at brukere og skytilbydere, både i personlige og kommersielle miljøer, begge må opptre proaktivt i sine cybersikkerhetsroller. Denne todelte tilnærmingen betyr at brukere og tilbydere i gjensidighet må fokusere på å:
I siste instans må skytilbydere og brukere ha tilstrekkelig transparens og etterrettelighet til å sikre at begge parter holder seg sikre.
Hva er sikkerhetsproblemene innen skydatabehandling? For hvis du ikke kjenner dem, hvordan skal du klare å gjennomføre de riktige tilbakene? Svak skysikkerhet kan tross alt utsette brukere og tilbydere for alle slags cybersikkerhetstrusler. Dette er noen vanlige skysikkerhetstrusler:
Den største risikoen med skyen er at det ikke finnes en ytre omkrets. Tradisjonell cybersikkerhet fokuserte på å beskytte omkretsen, men skymiljøer har mange tilkoblingsmuligheter, som betyr at usikre APIer (Application Programming Interfaces) og kontokapringer kan representere virkelige problemer. Sikkerhetsrisikoer forbundet med skydatabehandling gjør at eksperter på cybersikkerhet må skifte til en datasentrisk tilnærming.
Alle tilkoblingsmulighetene utgjør også mulige problemer for nettverk. Ondsinnede aktører trenger ofte inn i nettverk ved hjelp av eksponerte eller svake påloggingsdetaljer. Så snart en hacker klarer å få tilgang, kan de enkelt utvide og bruke svakt beskyttede grensesnitt i skyen for å finne data i forskjellige databaser eller noder. De kan til og med bruke sine egne skyservere som et mål for eksport og lagring av stjålne data. Sikkerhet må finnes i skyen – ikke bare brukes til å beskytte tilgang til dine skydata.
Tredjeparts lagring av data og tilgang via Internett utgjør også sine egne trusler. Hvis disse tjenestene av en eller annen grunn opplever avbrudd, kan tilgang til dataene dine gå tapt. Nedetid i telefonnettet kan for eksempel bety at du ikke får tilgang til skyen på et kritisk tidspunkt. Og et strømbrudd kan eventuelt påvirke datasenteret der dataene dine er lagret, i verste fall med permanent tap av data.
Slike forstyrrelser kan ha langsiktige konsekvenser. Et nylig strømbrudd ved et av Amazons skydataanlegg førte til datatap for noen kunder fordi enkelte servere opplevde maskinvareskader. Dette er et godt eksempel på hvorfor du bør ha lokale sikkerhetskopier av i det minste noen av dine data og applikasjoner.
På 1990-tallet ble forretningsdata og personlige data oppbevart lokalt — og også sikkerheten var lokal. Data befant seg på en PCs interne lagringsplass hjemme, eller på bedriftens servere hvis det handlet om jobbdata.
Introduksjon av skyteknologi har tvunget alle til å revurdere sin cybersikkerhet. Data og applikasjoner kan flyte mellom lokale og eksterner systemer, og de er alltid tilgjengelige via Internett. Hvis du går inn på Google Docs på smarttelefonen eller bruker Salesforce-programvare til å ta vare på kundene dine, kan dataene dine være hvor som helst. Derfor er det vanskeligere å beskytte dem enn det var den gang det bare handlet om å forhindre at uvedkommende fikk tilgang til nettverket ditt. Skysikkerhet krever justering av noen tidligere IT-praksiser, men det har blitt viktigere av to viktige årsaker:
Slike aktører har dessverre innsett verdien av skybaserte mål og bruker dem i økende grad til sine "exploits". Til tross for at skytilbydere overtar mange sikkerhetsroller fra klienter, kan de ikke håndtere alt. Dette gjør at selv ikke-tekniske brukere har plikt til å utdanne seg selv om skysikkerhet.
Når det er sagt, er ikke brukere alene i sitt ansvar for skysikkerhet. Å være bevisst på omfanget av dine sikkerhetsforpliktelser vil bidra til at hele systemet blir mye sikrere.
Lovgivning er innført for å bidra til å beskytte sluttbrukere mot salg og deling av deres sensitive data. General Data Protection Regulation (GDPR) og Health Insurance Portability and Accountability Act (HIPAA) gjør begge sitt for å ivareta presonvern ved å begrense hvordan data kan lagres og gjøre tilgjengelige.
Identitetsadministrasjonsmetoder som f.eks. datamaskering har vært brukt for å skille identifiserbare elementer fra brukerdata av hensyn til GDPR-overholdelse. Av hensyn til HIPAA-overholdelse må organisasjoner som for eksempel helseveseninstitusjoner sørge for at også tilbyderen deres gjør sitt for å begrense datatilgang.
CLOUD-loven stipulerer at skytilbydere har egne juridiske begrensninger å overholde, potensielt på bekostning av brukerpersonvern. Føderal lov i USA tillater nå at lovens håndhevere kan kreve data utlevert fra skytilbyderservere. Selv om dette kan åpne for effektiv etterforskning, kan det også omgå rettigheter til personvern og føre til potensielt maktmisbruk.
Heldigvis er det mye du kan gjøre for å beskytte dine egne data i skyen. La oss utforske noen av de populære metodene.
Kryptering er en av de beste måtene å sikre dine skydatabehandlingssystemer på. Det finnes flere måter å bruke kryptering på, og de kan bli tilbudt av en skytilbyder eller av en løsningstilbyder innen skysikkerhet:
I skyen er data mest utsatt for innbrudd når de flyttes. Når de flyttes mellom lagringssteder, eller når de overføres til din lokale applikasjon, er de sårbare. Det er derfor ende-til-ende-kryptering er den beste skysikkerhetsløsningen for kritiske data. Med ende-til-ende-kryptering er kommunikasjonen din ikke på noe punkt tilgjengelig for uvedkommende uten krypteringsnøkkelen.
Du kan enten kryptere dine data selv før de lagres i skyen, eller du kan bruke en skytilbyder som krypterer dataene dine som en del av tjenesten Hvis du bare bruker skyen til å lagre ikke-sensitive data, for eksempel firmaets grafikk eller videoer, kan ende-til-ende-kryptering være å overdrive. På den andre siden er det livsviktig for økonomisk, konfidensiell eller kommersielt sensitiv informasjon.
Hvis du bruker kryptering, må du huske at sikker og effektiv håndtering av krypteringsnøklene dine er livsviktig. Sørg for å ha en sikkerhetskopi av nøkkelen, og ideelt skal den ikke oppbevares i skyen. Det kan også være lurt å endre krypteringsnøklene med jevne mellomrom. Uvedkommende vil bli låst ute av systemet når du foretar byttet.
Konfigurasjon er en annen sikker praksis innen skysikkerhet. Mange skydatabrudd stammer fra grunnleggende sårbarheter, f.eks. feilkonfigurasjoner. Ved å forhindre dem reduserer du skysikkerhetsrisikoen betydelig. Hvis du føler deg usikker på hvordan du gjør dette alene, bør du kanskje vurdere å bruke en separat løsningstilbyder av skysikkerhet.
Her er noen prinsipper du kan følge:
Grunnleggendecybersikkerhetstips må også bygges inn i enhver skyimplementering. Selv om du bruker skyen, må ikke standard cybersikkerhetsrutiner ignoreres. Så det er verdt å vurdere følgende hvis du ønsker å være så sikker som mulig online:
Sikkerhetsrisikoer ved skydatabehandling kan påvirke alt fra virksomheter til individuelle kunder. Brukerne kan f.eks. bruke skyen til oppbevaring og sikkerhetskopiering av filer (ved hjelp av SaaS-tjenester som Dropbox), for tjenester som e-post og kontorapplikasjoner, eller for å fylle ut skatteskjemaer og regnskap.
Hvis du bruker skybaserte tjenester, må du kanskje også vurdere hvordan du deler skydata med andre, spesielt hvis du arbeider som konsulent eller frilanser. Selv om å dele filer på Google Drive eller en annen tjeneste kan være en praktisk måte å dele arbeid med kunder på, må du kanskje sjekke at du håndterer tillatelser forsvarlig. Du vil tross alt sikre at forskjellige klienter ikke kan se hverandres navn eller kataloger eller endre hverandres filer.
Husk at mange av disse vanlig tilgjengelige skylagringstjenestene ikke krypterer data. Hvis du vil holde dataene dine sikre gjennom kryptering, må du bruke krypteringsprogramvare for å gjøre det selv før du laster opp dataene. Deretter må du gi kundene en nøkkel, ellers vil de ikke kunne lese filene.
Sikkerhet bær være ett av hovedpunktene å vurdere når det gjelder å velge en skysikkerhetstilbyder. Din cybersikkerhet er ikke lenger bare ditt ansvar. En skytilbyder må gjøre sitt for å skape et sikkert skymiljø og dele ansvaret for datasikkerhet.
Et skyselskap vil selvfølgelig ikke vise frem konstruksjonstegningene for selskapets nettverkssikkerhet. Det ville vært det samme som at en bank gir deg koden til hvelvet.
Å motta de riktige svarene på noen grunnleggende spørsmål gir deg imidlertid større trygghet for at skydataene dine er sikre. I tillegg vil du være mer klar over om tilbyderen din har fokusert riktig på opplagte sikkerhetsrisikoer. Vi anbefaler at du stiller skytilbyderen noen av følgende spørsmål:
Du må sørge for å lese tilbyderens tjenestevilkår. Å lese tilgangsvilkårene er grunnleggende for å forstå om du mottar akkurat det du ønsker og trenger.
Sørg for å sjekke at du også kjenner alle tjenestene du bruker hos tilbyderen. Hvis filene dine er på Dropbox eller sikkerhetskopiert til iCloud (Apples lagringssky), kan det godt bety at de faktisk oppbevares på Amazons servere. Så du må sjekke ut AWS, i tillegg til tjenesten du bruker direkte.
Hybrideløsninger for skysikkerhet kan være et veldig smart valg for klienter i små og mellomstore virksomheter (SMB) og foretak. De er mest egnet for SMB- og foretaksapplikasjoner fordi de vanligvis er for komplekse for personlig bruk. Men det er disse organisasjonene som kan bruke blandingen av skalering og tilgjengeligheten av skyen med kontroll på stedet av bestemte data.
Her er noen få sikkerhetsfordeler ved hybridløsninger for skysikkerhet:
Segmentering av tjenester kan hjelpe en organisasjon med å kontrollere hvordan deres data er tilgjengelige og lagres. Ved for eksempel å plassere mer sensitive data på stedet, men legge andre data, applikasjoner og prosesser i skyen, kan det oppnås bedre lagdelt sikkerhet. I tillegg kan utskilling av data forbedre organisasjonens mulighet til å overholde lovlige datareguleringer.
Redundans kan også oppnås via hybridskymiljøer. Ved å utnytte daglige operasjoner fra offentlige skyservere og sikkerhetskopiere systemer på lokale dataservere, kan organisasjoner flytte i tilfelle ett datasenter blir frakoblet eller infisert med løsepengevirus (ransomware).
Selv om foretak kan insistere på en privat sky – Internett-motstykket til å eie din egen kontorbygning eller industripark – må enkeltpersoner og mindre virksomheter klare seg med offentlige skytjenester. Dette er som å dele et kontor eller bo i en blokk med hundrevis av andre leietakere. Sikkerhetskrav må derfor være en prioritet.
I applikasjoner for små og mellomstore virksomheter vil du oppdage at skysikkerhet er et ansvar som i stor grad hviler på de offentlige tilbyderne du bruker.
Det finnes imidlertid tiltak du kan gjøre for å holde deg selv sikker:
Fordi skydatabehandling nå brukes av over 90 % av store foretak, er skysikkerhet en livsviktig del av konserners cybersikkerhet. Private skytjenester og annen mer kostbar infrastruktur kan være godt egnet for organisasjoner på foretaksnivå. Du må imidlertid fortsatt sikre at din interne IT er i stand til å vedlikeholde hele overflateområdet i nettverkene dine.
For omfattende bruk i store foretak kan skysikkerhet være mer fleksibel hvis du gjør noen investeringer i infrastrukturen din.
Dette er noen viktige prinsipper å huske på:
Så enheten du er individuell bruker, SMB-bruker eller til og med skybruker på foretaksnivå — er det viktig å sørge for at dine nettverk og enheter er så sikre som mulig. Dette begynner med å ha en god forståelse av grunnleggende cybersikkerhet på individuelt brukernivå, samt også å sikre at nettverket ditt og alle enheter er beskyttet ved hjelp av en robust sikkerhetsløsning som er bygd for skyen.
Relaterte produkter:
Relaterte artikler: