Pilvipalveluiden käyttöoikeuskäytännöt: täydellinen opas yrityksille

Informatec Digital » Resurssit » Pilvipalveluiden käyttöoikeuskäytännöt: täydellinen opas yrityksille

Jos olet huolissasi siitä, että pilvipalvelun vikaantuminen nousee otsikoihin, olet oikeassa. Yksikin tietomurto voi maksaa miljoonia, tuhota brändin maineen ja murentaa asiakkaiden ja kumppaneiden luottamuksen . Hyvä uutinen on, että suurta osaa tästä riskistä voidaan lieventää hyvin suunnitelluilla ja ennen kaikkea hyvin toteutetuilla pilvipalveluiden tietoturva- ja käyttöoikeuskäytännöillä.

Pilvipalveluiden tietoturva- ja käyttöoikeuskäytäntö ei ole pelkkä koristeellinen asiakirja, vaan etenemissuunnitelma, joka sanelee, miten pilvipalveluita käytetään, kenellä on pääsy mihinkin, mitä valvontatoimia on käytössä ja miten reagoidaan, jos jokin menee pieleen . Tässä artikkelissa käymme läpi käytännönläheisellä tavalla kaiken, mitä sinun on tiedettävä näiden käytäntöjen suunnittelusta, niiden erottamisesta säännöksistä, niiden toteuttamisesta hybridi- ja monipilviympäristöissä ja niiden pitämisestä ajan tasalla jatkuvasti muuttuvan uhkakuvan edessä.

Mitä ovat pilvipalveluiden suojaus- ja käyttöoikeuskäytännöt?

Kun puhumme pilvipalveluiden tietoturvakäytännöistä, viittaamme joukkoon sisäisiä ohjeita, jotka määrittelevät, miten organisaation tulisi toimia pilvipalveluissa, mikä on sallittua ja mikä on kiellettyä . Ne muodostavat perustan SaaS-sovelluksiin, PaaS-alustoihin ja IaaS-infrastruktuuriin liittyville tietoturvapäätöksille.

Nämä käytännöt selittävät, miten pilvipalveluita käytetään ja hallitaan, miten tietoja suojataan, mitä käyttöoikeuksia on käytössä ja mitkä ovat kunkin roolin vastuut (IT-tiimistä yrityskäyttäjiin). Ne eivät ole pelkkä vaatimustenmukaisuuden tarkistus: ne muokkaavat sitä, miten suunnittelemme arkkitehtuuria, automatisoimme käyttöönottoja ja ratkaisemme ongelmia.

Lisäksi vankka käytäntö integroi loogisen pääsynhallinnan pilveen: säännöt, jotka määrittävät kuka todentaa, miten kukin pyyntö valtuutetaan ja millä kontekstuaalisilla ehdoilla (aika, IP-osoite, laite, sijainti) . Tämä on suoraan yhteydessä identiteetin ja pääsyn hallintaan (IAM) ja malleihin, kuten RBAC tai ABAC.

Miksi pilvipalveluiden tietoturvakäytännöt ovat niin tärkeitä?

Pilvilaskennan, etätyön ja monipilviympäristöjen laajamittainen käyttöönotto on lisännyt hyökkäyspinta-alaa merkittävästi . Pilvialustoihin kohdistuvat kyberhyökkäykset ovat lisääntyneet räjähdysmäisesti viime vuosina, ja tietojenkalastelukampanjat, kiristysohjelmat ja virheellisten määritysten hyväksikäyttö ovat olleet erityisen merkittävässä roolissa.

Tässä yhteydessä pilvipalveluiden tietoturvakäytännöt organisoivat ja virallistavat suojausstrategiaa : ne tunnistavat uhat, määrittelevät organisaation tietoturvatilanteen ja asettavat vähimmäisvaatimukset, jotka on täytettävä kaikissa ympäristöissä, olivatpa ne sitten AWS:ssä, Azuressa, Google Cloudissa tai yksityisessä pilvessä.

Niillä on myös keskeinen vaatimustenmukaisuuskomponentti. Standardit, kuten GDPR, HIPAA, PCI DSS, ISO 27001, NIST tai ISO/IEC 27017, edellyttävät erityisiä tietoturva- ja käyttöoikeuksien hallintamenetelmiä , ja monet auditoinnit edellyttävät nimenomaisesti dokumentoituja pilvipalveluiden tietoturvakäytäntöjä ja jopa erityisiä käyttöoikeuskäytäntöjä.

Lopuksi, hyvä käytäntö luo sisäistä yhdenmukaisuutta: se tarjoaa selkeän kehyksen IT-, tietoturva-, liiketoiminta- ja lakitiimeille johdonmukaisten päätösten tekemiseen (esimerkiksi mitä pilvipalveluita voidaan hankkia, miten ne tulisi konfiguroida tai mitä tietoja voidaan isännöidä kussakin).

Sisäisten käytäntöjen ja pilvipalveluiden tietoturvastandardien väliset erot

On tärkeää erottaa toisistaan ​​kaksi usein sekoitettua käsitettä: kunkin yrityksen kirjoittamat pilvipalveluiden tietoturvakäytännöt ja ulkoisten organisaatioiden luomat tietoturvasäännöt tai -standardit.

Standardit (esim. CIS Benchmarks, NIST, ISO 27001, ISO/IEC 27017, ISO 27018, GDPR, PCI DSS tai HIPAA ) ovat tunnustettujen tahojen, sääntelyviranomaisten tai toimialajärjestöjen laatimia viitekehyksiä ja vaatimuksia. Ne eivät ole räätälöityjä tietylle yritykselle, ja tyypillisesti ne määrittelevät vähimmäisvaatimukset, parhaat käytännöt ja lakisääteiset velvoitteet.

Sisäiset käytännöt taas ovat organisaation itsensä luomia, sen erityisolosuhteisiin mukautettuja asiakirjoja, jotka muuttavat yleiset säännöt konkreettisiksi toimintaohjeiksi : miten tiedot luokitellaan, miten käyttöoikeudet myönnetään, mitä salausta vaaditaan, mitä lokeja kerätään jne. Vaikka säännöt ovat joustamattomia, käytännöt ovat muokattavissa ja voivat kehittyä liiketoiminnan mukana.

Toinen keskeinen ero on sovellettavuudessa: sääntelystandardin noudattamatta jättäminen voi johtaa oikeudellisiin seuraamuksiin tai sertifiointien hylkäämiseen , kun taas sisäisen käytännön noudattamatta jättäminen ei yleensä johda ulkoisiin sakkoihin, mutta siihen liittyy turvallisuusriskejä ja se voi johtaa kurinpitotoimiin ja sisäisiin parannussuunnitelmiin.

Pilvipalveluiden tietoturvakäytännön olennaiset osat

Kattava käytäntö ei ole pelkkä luettelo hyvistä aikomuksista. Se on jäsenneltävä selkeisiin osioihin, jotka kattavat pilvipalveluiden koko elinkaaren tiedon tunnistamisesta tietoturvaloukkauksiin reagointiin. Yleisimmät osiot ovat seuraavat.

1. Tavoite ja soveltamisala

Tavoite selittää, mitä käytännöllä pyritään saavuttamaan: suojata pilvipalvelussa olevien tietojen ja palveluiden luottamuksellisuutta, eheyttä ja saatavuutta sekä varmistaa määräysten noudattaminen . Tämä lausunto toimii ohjeena kontrollien valinnassa ja toimien priorisoinnissa.

Soveltamisala määrittelee, mihin järjestelmiin, dataan, pilvipalveluihin, käyttäjiin ja sijainteihin käytäntö koskee . Se sisältää tyypillisesti SaaS-, PaaS- ja IaaS-palvelut, pilvipalvelimet ja -tietokannat, pilveä käyttävät työasemat sekä näitä palveluita käyttävät työntekijät, urakoitsijat ja ulkoiset toimittajat.

2. Roolit, omistajuus ja vastuut

Ilman selkeää vastuidenjakoa paraskaan käytäntö on arvoton. On tärkeää määritellä, mitkä tiimit käyttävät pilvipalvelua, kuka konfiguroi tietoturvan, kuka varmistaa vaatimustenmukaisuuden ja kuka tekee arkkitehtuuripäätökset.

Tyypillisiä rooleja ovat: tietoturvajohtaja (CISO), pilvipalveluiden tietoturvan ylläpitäjä, tietojen omistajat, järjestelmänvalvojat ja loppukäyttäjät . Jokaisella roolilla tulisi olla selkeästi määritellyt vastuut, erityisesti käyttöoikeuksien hallinnan, tietojen luokittelun, tapausten hallinnan ja pilvipalveluntarjoajasuhteiden osalta.

3. Tietojen luokittelu ja käyttöoikeuksien hallinta

Peruspilari on tietojen luokittelu. Käytännön on erotettava selvästi toisistaan ​​julkinen, sisäinen, luottamuksellinen tai arkaluonteinen tieto sekä muut erityistyypit, kuten talous-, terveys- tai henkilöllisyystiedot . Tämä luokittelu määrittää kunkin tietojoukon vaadittavan suojaustason.

Tässä osiossa käsitellään myös pääsynhallintamekanismeja: malleja, kuten MAC, DAC, RBAC ja ABAC, sekä sääntöpohjaisia ​​laajennuksia (aika, IP-osoite, laitetyyppi, sijainti) . Vähimmän oikeuksien periaatteen ja tiedonsaantiesperiaatteen tulisi olla pakollisia kaikissa pilvijärjestelmissä.

Käytännössä tämä toteutetaan roolipohjaisilla käyttöoikeustoiminnoilla (RBAC) pilvipalveluntarjoajien konsoleissa, IAM-käytännöillä, käyttöoikeusluetteloilla (ACL), monivaiheisella todennuksella (MFA) ja integroinnilla hakemistoihin, kuten LDAP tai Active Directory . Tiedonsiirtokäytännöt sisältyvät myös tietojen suojauksen varmistamiseksi sekä siirron että tallentamisen aikana.

4. Tietojen salaus

Salaus on toinen kriittinen vaatimus. Käytännössä on määriteltävä hyväksyttävät vähimmäissalausstandardit (esim. AES-256 levossa, TLS siirrettävälle tiedolle) sekä avaintenhallintamalli (toimittajan avaintenhallintapalveluiden tai oman PKI:n käyttö).

Lisäksi siinä tulisi käsitellä, miten salattuja tietoja käsitellään varmuuskopioissa, palautusprosesseissa, tietojen viennissä ja tietoturvaloukkausten yhteydessä . On tärkeää sisällyttää suosituksia erityisen arkaluonteisten tietojen, kuten lääketieteellisten tai taloudellisten tietojen, pseudonymisoinnista ja vahvasta salauksesta.

5. Tapahtumatilanteiden suunnittelu

Ennemmin tai myöhemmin häiriöitä tapahtuu; ero on siinä, miten niitä hallitaan. Politiikan on määriteltävä selkeästi prosessi pilvipalveluihin vaikuttavien häiriöiden havaitsemiseksi, raportoimiseksi, analysoimiseksi, rajoittamiseksi, poistamiseksi ja niistä toipumiseksi.

Yleensä perustetaan tietoturvaloukkauksiin reagointiryhmä (IRT), jolla on nimetty yhteyshenkilö, viestintäkanavat, eskalointimenettelyt ja koordinointi lakimiesten, lainvalvontaviranomaisten ja ulkopuolisten asiantuntijoiden kanssa . Myös tietosuojaviranomaisille tehtävät ilmoitusvaatimukset esitetään, mukaan lukien määräajat, kuten GDPR:ssä säädetty 72 tunnin määräaika, jos sovellettavissa.

6. Vaatimustenmukaisuus, tarkastus ja kontrollien arviointi

Käytännön on selkeästi ilmoitettava, mitkä vaatimustenmukaisuuskehykset ovat sovellettavissa (GDPR, HIPAA, PCI DSS, NIST, ISO 27001, ISO 27017 jne.) ja kuinka usein pilvipalveluille suoritetaan sisäisiä ja ulkoisia auditointeja .

Samanaikaisesti on suositeltavaa sisällyttää tietoturvan hallinnan arviointiaikataulu: palomuurisääntöjen, IAM-määritysten, salauskäytäntöjen, lokien ja tunkeutumisen havaitsemismekanismien säännöllinen tarkistus . Monet organisaatiot suorittavat näitä tarkistuksia neljännesvuosittain ja tilaavat myös ulkoisia arviointeja säännöllisesti.

Yleisimmät pilvipalveluiden tietoturva- ja käyttöoikeuskäytäntöjen tyypit

Tämän yleisen rakenteen perusteella organisaatiot kehittävät tyypillisesti erityisiä käytäntöjä, jotka keskittyvät pilvipalvelun tietoturvan eri osa-alueisiin . Joitakin yleisimpiä ovat seuraavat.

Toisaalta meillä on pilvipalveluiden tietosuojakäytäntö , joka määrittelee, miten arkaluonteisia tietoja luokitellaan, tallennetaan ja suojataan, mitä salausta käytetään, miten avaimia hallitaan ja kuinka kauan tietoja säilytetään. Tämä on ratkaisevan tärkeää GDPR:n ja toimialakohtaisten lakien kaltaisten kehysten noudattamiseksi.

Toiseksi on käyttöoikeuskäytäntö , joka määrittää, kuka voi käyttää mitäkin pilviresursseja, millä roolilla ja millä ehdoilla. Tämä kattaa muun muassa pakollisen monityhjennyksen (MFA), pienimpien oikeuksien periaatteen tiukan soveltamisen, IP-osoitteeseen tai maantieteelliseen sijaintiin perustuvan ehdollisen käyttöoikeuden sekä säännöt käyttöoikeuksien lisäämiselle, poistamiselle ja muuttamiselle.

Toinen keskeinen elementti on tietoturvaloukkauksiin reagointipolitiikka , joka menee paljon syvemmälle tietoturvaloukkausten havaitsemiseen, rajoittamiseen ja niistä toipumiseen sekä velvoitteeseen kirjata tietoturvaloukkaukset, analysoida niiden syitä ja toteuttaa ennaltaehkäiseviä toimenpiteitä niiden toistumisen estämiseksi.

Emme saa unohtaa identiteetti- ja todennuskäytäntöjä , jotka keskittyvät käyttäjien, laitteiden ja järjestelmien varmentamiseen (SSO, MFA, varmenteet, laitteistotunnukset, SSH-avaimet jne.), eivätkä pilviverkon tietoturvakäytäntöjä , jotka kattavat palomuurit, segmentoinnin, VPN:n, mikrokehät, DNS-suojauksen, DDoS-hyökkäysten lieventämisen ja liikenteen valvonnan, mukaan lukien salatun liikenteen.

Lopuksi, monilla organisaatioilla on katastrofien jälkeinen palautus- ja liiketoiminnan jatkuvuuspolitiikka, jonka tarkoituksena on varmistaa, että pilvipalvelut voidaan palauttaa nopeasti luonnonkatastrofien, kiristysohjelmahyökkäysten, massiivisten palveluntarjoajien käyttökatkosten tai vakavien infrastruktuurivikojen sattuessa.

Pilvipohjainen pääsynhallinta: mallit ja toiminta

Pilvipalveluiden käyttöoikeuksien hallinta perustuu kahteen pilariin: käyttäjän tunnistamiseen ja todentamiseen (käyttäjän henkilöllisyyden tietäminen) sekä valtuutukseen (sen määrittäminen, mihin he voivat päästä käsiksi ja millä ehdoilla) . Tämä saavutetaan käyttämällä hakemistopalveluita ja -protokollia, kuten LDAP tai SAML, sekä erityisiä IAM-ratkaisuja.

Käytännössä yhdistetään useita käyttöoikeuksien hallintamalleja: pakollinen käyttöoikeuksien hallinta (MAC) , jossa keskusjärjestelmä määrittää käyttöoikeudet (käytetään laajalti julkishallinnon ympäristöissä); harkinnanvarainen käyttöoikeuksien hallinta (DAC) , jossa resurssien omistajat määrittävät käyttöoikeudet; ja roolipohjainen käyttöoikeuksien hallinta (RBAC) , joka linkittää käyttöoikeudet ennalta määriteltyihin rooleihin, kuten "ylläpitäjä", "HR" tai "tuki".

Näiden lisäksi on olemassa ominaisuuspohjainen pääsynhallinta (ABAC) , joka myöntää tai estä pääsyn käyttäjäominaisuuksien (rooli, sijainti, laite), resurssiominaisuuksien tai kontekstiominaisuuksien (aika, yhteystyyppi, maa) perusteella. Se on erityisen hyödyllinen monimutkaisissa pilviympäristöissä, joissa on useita sovelluksia ja vaihtelevia käyttöoikeusmalleja.

Jotta kaikki tämä toimisi, IAM-työkalut keskittävät identiteetinhallinnan, yhdistävät hakemistoihin (LDAP, Active Directory), mahdollistavat kertakirjautumisen (SSO) ja valvovat MFA:ta tarvittaessa . Ne myös helpottavat tilien automaattista käyttöönottoa ja käyttöönottoa, mikä on ratkaisevan tärkeää orpojen tilien tai liiallisten oikeuksien estämiseksi.

Kuinka tehokkaasti toteuttaa suojaus- ja käyttöoikeuskäytäntöjä pilvessä

Siirtyminen teoriasta käytäntöön vaatii jäsenneltyä lähestymistapaa. Ensimmäinen askel on ymmärtää perusteellisesti organisaation asema toimialallaan, sen hyväksyttävä riskitaso ja sen sääntelyvaatimukset . Tämän jälkeen määritellään poliittiset tavoitteet ja tehdään päätös siitä, aloitetaanko alusta vai päivitetäänkö olemassa olevaa dokumentaatiota.

Seuraavaksi on tärkeää tunnistaa, mitkä vaatimustenmukaisuussäännöt ja -standardit koskevat organisaatiota (esim. GDPR Euroopassa, HIPAA terveydenhuollossa, PCI DSS korttimaksuille, NIST CSF, ISO/IEC 27017 tietyille pilvipalveluille jne.) ja varmistaa, että sisäiset käytännöt ovat niiden mukaisia.

On suositeltavaa suunnitella selkeä laatimis- ja hyväksymisstrategia : kuka laatii käytännöt, mitkä osastot tarkistavat ne (turvallisuus, laki, henkilöstöhallinto, liiketoiminta), miten muutokset dokumentoidaan ja mitkä ovat käytäntöjen hyväksymisen ja käyttöönoton aikataulut. Ylimmän johdon tuen varmistaminen alusta alkaen vähentää organisaation vastustusta.

Toinen olennainen näkökohta on pilvipalveluntarjoajien perusteellinen analysointi : mitä sertifikaatteja niillä on (ISO 27001, 27017, 27018 jne.), missä maissa tietoja isännöidään, mitä natiiveja tietoturvatyökaluja ne tarjoavat (PKI, palomuurit, SIEM, haavoittuvuuksien tarkistus, tarkastuslokit jne.) ja miten ne integroituvat olemassa olevaan arkkitehtuuriin.

Kun ympäristö on ymmärretty, on tarpeen dokumentoida pilvessä käsiteltävien tietojen tyypit (asiakas-, työntekijä-, talous-, operatiivinen-, terveys- jne.), ryhmitellä ne arkaluontoisuuden mukaan ja hahmotella niihin liittyvät riskit . Tämä mahdollistaa kontrollien priorisoinnin ja käyttöoikeus- ja salaussääntöjen tarkemman määrittelyn.

Lopuksi, tiedottaminen ja koulutus ovat aivan yhtä tärkeitä kuin itse asiakirja . Politiikan on oltava kaikkien asiaankuuluvien käyttäjien saatavilla, se on selitettävä selkeästi, se on integroitava perehdytysprosesseihin ja siihen on liitettävä säännöllisiä tiedotusohjelmia. Jos tiimit eivät ymmärrä sitä tai pitävät sitä byrokraattisena esteenä, he jättävät sen huomiotta.

Käytäntöjen jatkuva päivittäminen ja tarkistaminen

Pilvipalveluiden tietoturvakäytäntö ei voi olla staattinen asiakirja. Uhkaympäristö kehittyy, toimittajat julkaisevat uusia ominaisuuksia ja organisaatio muuttuu ; jos käytäntöä ei mukauteta, se vanhenee muutamassa kuukaudessa.

Siksi on tärkeää auditoida säännöllisesti olemassa olevia käytäntöjä, jotta nähdään, mikä toimii edelleen, mikä on vanhentunut ja mitä uusia uhkia on jäänyt huomiotta. Tämä edellyttää tiivistä yhteistyötä IT:n, tietoturvan, vaatimustenmukaisuuden ja pilvipalveluntarjoajien itsensä kanssa.

Arviointien tulisi yhdenmukaistaa käytännöt uusimpien kehysten, kuten NIST CSF 2.0:n tai ISO/IEC 27017:n, kanssa ja sisällyttää uusia hyökkäysvektoreita, kuten kehittyneempiä kiristyshaittaohjelmia, hyökkäyksiä konttialustoihin ja orkestrointiin, API-rajapintojen hyväksikäyttöä, nollapäivähyökkäyksiä päätepisteissä jne.

Reaaliaikaisten uhkatietojen lähteiden integrointi on erittäin suositeltavaa , jotta hyökkääjien TTP-muutokset voidaan ottaa nopeasti huomioon pilvipohjaisissa käyttö-, tunnistus- ja reagointisäännöissä.

Päivitysten järkevyyden varmistamiseksi pelkkä asiakirjan hyväksyminen ei riitä: käytäntöjä on testattava simulaatioiden, pöytäharjoitusten ja kontrolloitujen tunkeutumistestien avulla . Tämä varmistaa, osaavatko tiimit reagoida todelliseen hyökkäykseen.

Hybridi- ja monipilviympäristöt: erityishaasteet

Useimmat organisaatiot eivät enää ole riippuvaisia ​​yhdestä palveluntarjoajasta. On yleistä yhdistää AWS, Azure, Google Cloud ja yksityinen tai paikallinen pilvipalvelu , jolloin työkuormia siirretään ympäristöjen välillä kustannusten, suorituskyvyn tai lakisääteisten vaatimusten perusteella.

Tässä yhteydessä käytäntöjen on määriteltävä toimittajasta riippumattomat peruskontrollit : yhtenäinen tietojen luokittelu, salauksen vähimmäisstandardit, lokikirjaus- ja auditointivaatimukset, käyttöoikeuksien valvonnan periaatteet, verkon segmentointi ja valvontasäännöt.

Hybridikäyttöönotot edellyttävät tietoturvaprotokollien synkronointia paikallisten ja pilviympäristöjen välillä , varmistaen, ettei näkyvyysaukkoja tai "saarekkeita" synny, joissa kukaan ei valvo tai valvo käytäntöjä. Segmentointi, verkon mikrokehät ja yhtenäiset lokikirjauskäytännöt ovat olennaisia. Lisäksi, kun työkuormia siirtyy ympäristöjen välillä, on suositeltavaa määritellä selkeät siirto- ja hallintasäännöt.

Pirstaloitunut tietoturva-arkkitehtuuri, joka perustuu useisiin toimittajakohtaisiin ratkaisuihin, luo usein aukkoja ja väsyttää hälytyksiin . Useiden konsolien, työkalujen ja kojelaudan hallinta pakottaa analyytikot jatkuvasti vaihtamaan kontekstia, mikä hidastaa tapauksiin reagointia ja helpottaa kriittisten hälytysten huomaamatta jäämistä.

Siksi yhä useammat organisaatiot etsivät yhtenäisiä riskienhallinta- ja käytäntöjenhallinta-alustoja pilvessä, joissa on kontekstuaaliset moottorit, jotka priorisoivat hälytyksiä todellisen altistumisen, mahdollisten hyökkäysreittien, tehokkaiden käyttöoikeuksien ja resurssien kriittisyyden perusteella . Tämä lähestymistapa auttaa pienentämään hyökkäyspinta-alaa ja keskittymään siihen, millä on todella merkitystä.

Parhaat käytännöt pilvitietoturvakäytäntöjen suunnitteluun ja toteuttamiseen

Politiikkaa laadittaessa ja toteutettaessa on hyödyllistä noudattaa tiettyjä parhaita käytäntöjä. Ensimmäinen on kielen selkeyden ja yksinkertaisuuden asettaminen etusijalle : kirjalliset asiakirjat, kuten oikeudelliset sopimukset, usein jätetään huomiotta tai tulkitaan väärin.

On suositeltavaa käyttää kieltä, jota jokainen työntekijä ymmärtää, selittää kunkin vaatimuksen syy (esimerkiksi miksi MFA on pakollinen tai miksi tietyt tiedostonjakotyökalut on kielletty) ja varata teknisemmät yksityiskohdat erillisiin liitteisiin.

Toinen hyvä käytäntö on ryhmitellä käytännöt selkeiden ja johdonmukaisten otsikoiden alle : käyttöoikeuksien hallinta, tietojen luokittelu, verkon tietoturva, tietoturvaloukkauksiin reagointi, vaatimustenmukaisuus, toimittajasuhteet jne. Tämä helpottaa kunkin tiimin löytämään nopeasti itseään koskevan osion.

On myös erittäin hyödyllistä linkittää käytännöt mitattavissa oleviin mittareihin : kuukaudessa havaittujen ja estettyjen luvattomien käyttöjen määrä, salattujen tietovarastojen prosenttiosuus, keskimääräinen käyttöoikeuksien peruutusaika käyttäjän poistamisen jälkeen, ilmoitettujen tapausten ja havaittujen tapausten määrä jne.

Lopuksi on tärkeää ymmärtää, että käytännöt ovat eläviä asiakirjoja . Niitä on tarkistettava, rikastettava tosielämän tapahtumista saaduilla kokemuksilla ja mukautettava uusiin teknologioihin niiden käyttöönoton yhteydessä (kontit, serverless-ratkaisut, uudet SaaS-ratkaisut, yhteistyötyökalut jne.).

Käytännön esimerkkejä pilvipalveluiden tietoturvasta ja käyttöoikeuskäytännöistä

Havainnollistaaksemme edellä mainittua, kuvitellaan pari tilannetta. Keskisuuri rahoituspalveluyritys voisi määritellä, että kaikki pilvitallennustiloissa olevat asiakkaiden taloustiedot on salattava vähintään AES-256-salauksella ja että niihin pääsee käsiksi vain yritysten IP-osoitteista ja pakollisen MFA:n sisältävien tilien kautta.

Terveydenhuoltoalalla terveydenhuollon tarjoaja voi käytäntönsä mukaisesti vaatia, että kaikki suojatut terveystiedot tallennetaan tiettyihin pilvialueisiin, jotka täyttävät tietyt sääntelyvaatimukset . Lisäksi näihin järjestelmiin tuleva ja lähtevä liikenne on rajoitettu pieneen joukkoon IP-osoitteita ja sitä valvotaan tarkasti.

Pilvipalveluita tarjoavassa teknologiayrityksessä käytäntö voi sisältää hyvin erityisiä teknisiä ja organisatorisia toimenpiteitä, kuten omaisuuden inventoinnin, ajan tasalla olevan virustorjuntaohjelman, kaksikerroksisen palomuurin, säännölliset haavoittuvuusskannaukset, vuosittaiset tunkeutumistestit, SIEM-järjestelmän lokien keräämiseksi ja korreloimiseksi, palvelunestohyökkäysten torjunnan ja kyberhyökkäyksiin reagointimenettelyt.

Tietosuojan näkökulmasta on myös yleistä dokumentoida yksityisyyden suojaa koskevien määräysten noudattaminen, tietosuojavastaavan nimittäminen, henkilöstön luottamuksellisuussitoumus, arkaluonteisten tietojen pseudonymisointi, säilytyksen rajoittaminen ja toimittajiin liittyvien suhteiden ehdot (mukaan lukien tietojen turvallinen poistaminen työsuhteen päättyessä ja sertifiointien, kuten ISO 27001 tai 27018, vaatimus).

Jopa näennäisen pienet yksityiskohdat, kuten salasanojen korvaaminen avainpohjaisella todennuksella (PKI), fyysisten turva-avainlaitteiden käyttö tai yksityisten avainten tallentamisen kieltäminen henkilökohtaisille tietokoneille , voidaan sisällyttää käyttöoikeuskäytäntöön tunnistetietojen varkauden riskin vähentämiseksi merkittävästi.

Kaiken kaikkiaan hyvin suunnitellut pilvipalveluiden tietoturva- ja käyttöoikeuskäytännöt, jotka on linjattu määräysten kanssa ja joita tukevat tekniset toimenpiteet, automaatio ja jatkuva koulutus, antavat organisaatioille mahdollisuuden hyödyntää pilvipalvelujen etuja ilman, että ne altistavat itseään seuraavalle vakavalle vaaratilanteelle . Näiden käytäntöjen rakentaminen vaatii työtä, mutta se kannattaa enemmän kuin hyvin, kun seuraava hyökkäysaalto kohtaa valmistellun ympäristön, jossa on selkeät roolit, tehokkaat toimenpiteet ja tarkka reagointisuunnitelma.