- Politiky cloudovej bezpečnosti a prístupu štruktúrujú spôsob, akým sa cloudové dáta a služby používajú, chránia a auditujú v rámci organizácie.
- Dobrá politika kombinuje klasifikáciu údajov, riadenie prístupu (RBAC/ABAC), šifrovanie, reakciu na incidenty a požiadavky na dodržiavanie predpisov.
- Efektívne riadenie v hybridných a multicloudových prostrediach si vyžaduje jednotné kontroly, automatizáciu, metriky a neustále prehodnocovanie politík.
Ak sa obávate, že zlyhanie cloudu sa dostane na titulné stránky novín, máte právo sa obávať. Jediný únik údajov môže stáť milióny, zničiť reputáciu značky a narušiť dôveru zákazníkov a partnerov . Dobrou správou je, že veľkú časť tohto rizika možno zmierniť dobre navrhnutými a predovšetkým dobre implementovanými politikami zabezpečenia a prístupu ku cloudu.
Politika zabezpečenia a prístupu ku cloudu nie je len dekoratívnym dokumentom, ale skôr plánom, ktorý určuje, ako sa cloudové služby používajú, kto má k čomu prístup, aké kontroly sú zavedené a ako reagovať, keď sa niečo pokazí . V tomto článku si veľmi praktickým prístupom rozoberieme všetko, čo potrebujete vedieť na navrhnutie týchto politík, ich odlíšenie od predpisov, ich implementáciu v hybridných a multicloudových prostrediach a ich aktualizáciu v neustále sa meniacej situácii s hrozbami.
Čo sú to pravidlá cloudovej bezpečnosti a prístupu?
Keď hovoríme o bezpečnostných politikách cloudu, máme na mysli súbor interných smerníc, ktoré definujú, ako by mala organizácia fungovať v cloudových službách, čo je povolené a čo je zakázané . Tvoria základ pre bezpečnostné rozhodnutia týkajúce sa aplikácií SaaS, platforiem PaaS a infraštruktúry IaaS.
Tieto zásady vysvetľujú, ako sa cloudové služby používajú a spravujú, ako sú chránené údaje, aké sú zavedené kontroly prístupu a aké zodpovednosti má každá rola (od IT tímu až po obchodných používateľov). Nie sú len kontrolou súladu: formujú spôsob, akým navrhujeme architektúru, automatizujeme nasadzovanie a riešime incidenty.
Okrem toho robustná politika integruje logické riadenie prístupu v cloude: pravidlá, ktoré určujú, kto sa autentifikuje, ako je každá požiadavka autorizovaná a za akých kontextových podmienok (čas, IP adresa, zariadenie, umiestnenie) . Toto priamo súvisí so správou identít a prístupu (IAM) a modelmi ako RBAC alebo ABAC.
Prečo sú bezpečnostné zásady cloudu také dôležité?
Rozšírené prijatie cloud computingu, práce na diaľku a multicloudových prostredí výrazne zvýšilo plochu útoku . Kybernetické útoky na cloudové platformy v posledných rokoch prudko vzrástli, pričom obzvlášť významnú úlohu zohrávajú phishingové kampane, ransomvér a zneužívanie nesprávnych konfigurácií.
V tejto súvislosti slúžia politiky cloudovej bezpečnosti na organizáciu a formalizáciu stratégie ochrany : identifikujú hrozby, definujú bezpečnostnú pozíciu organizácie a stanovujú minimálne kontroly, ktoré musia byť splnené vo všetkých prostrediach, či už sú v AWS, Azure, Google Cloud alebo v súkromnom cloude.
Majú tiež kľúčovú zložku dodržiavania predpisov. Rámce ako GDPR, HIPAA, PCI DSS, ISO 27001, NIST alebo ISO/IEC 27017 vyžadujú špecifické bezpečnostné a prístupové kontroly a mnohé audity výslovne vyžadujú zdokumentované politiky cloudovej bezpečnosti a dokonca aj špecifické politiky prístupu.
Nakoniec, dobrá politika vytvára vnútornú súladnosť: poskytuje jasný rámec pre IT, bezpečnostné, obchodné a právne tímy na prijímanie konzistentných rozhodnutí (napríklad, ktoré cloudové služby je možné zmluvne uzavrieť, ako by mali byť konfigurované alebo aké údaje je možné v každej z nich hostiť).
Rozdiely medzi internými politikami a štandardmi cloudovej bezpečnosti
Je dôležité rozlišovať medzi dvoma pojmami, ktoré sa často zamieňajú: politikami cloudovej bezpečnosti, ktoré vypracovala každá spoločnosť, a bezpečnostnými pravidlami alebo štandardmi, ktoré vytvorili externé organizácie.
Normy (napr. CIS Benchmarks, NIST, ISO 27001, ISO/IEC 27017, ISO 27018, GDPR, PCI DSS alebo HIPAA ) sú rámce a požiadavky vydané uznanými subjektmi, regulačnými orgánmi alebo priemyselnými združeniami. Nie sú prispôsobené konkrétnej spoločnosti a zvyčajne stanovujú minimálne kontroly, osvedčené postupy a právne povinnosti.
Interné politiky sú na druhej strane dokumenty vytvorené samotnou organizáciou, prispôsobené jej špecifickým okolnostiam, ktoré premieňajú tieto všeobecné pravidlá na konkrétne prevádzkové pokyny : ako sa klasifikujú údaje, ako sa udeľujú povolenia, aké šifrovanie sa vyžaduje, aké protokoly sa zhromažďujú atď. Zatiaľ čo pravidlá sú neflexibilné, politiky sú prispôsobiteľné a môžu sa vyvíjať spolu s podnikaním.
Ďalší kľúčový rozdiel spočíva v uplatniteľnosti: nedodržanie regulačnej normy môže viesť k právnym sankciám alebo neúspešným certifikáciám , zatiaľ čo nedodržanie internej politiky zvyčajne nezahŕňa externé pokuty, ale predstavuje bezpečnostné riziká a môže viesť k disciplinárnym opatreniam a interným plánom zlepšenia.
Základné komponenty politiky cloudovej bezpečnosti
Komplexná politika nie je len zoznamom dobrých úmyslov. Musí byť štruktúrovaná do jasných častí, ktoré pokrývajú celý životný cyklus cloudových služieb , od identifikácie údajov až po reakciu na incidenty. Najbežnejšie časti sú nasledovné.
1. Cieľ a rozsah pôsobnosti
Cieľ vysvetľuje, čo sa má dosiahnuť danou politikou: chrániť dôvernosť, integritu a dostupnosť údajov a služieb v cloude a zabezpečiť súlad s predpismi . Toto vyhlásenie slúži ako pomôcka pre výber kontrolných opatrení a stanovenie priorít úsilia.
Rozsah pôsobnosti podrobne opisuje, na ktoré systémy, údaje, cloudové služby, používateľov a lokality sa politika vzťahuje . Zvyčajne zahŕňa služby SaaS, PaaS a IaaS, cloudové servery a databázy, pracovné stanice pristupujúce ku cloudu, ako aj zamestnancov, dodávateľov a externých dodávateľov, ktorí tieto služby používajú.
2. Úlohy, vlastníctvo a zodpovednosti
Bez jasného rozdelenia zodpovedností je aj tá najlepšia politika bezcenná. Je nevyhnutné definovať, ktoré tímy používajú cloud, kto konfiguruje zabezpečenie, kto zabezpečuje súlad s predpismi a kto robí architektonické rozhodnutia.
Medzi typické pozície patria: riaditeľ pre informačnú bezpečnosť (CISO), správca cloudovej bezpečnosti, vlastníci údajov, správcovia systémov a koncoví používatelia . Každá pozícia by mala mať jasne definované zodpovednosti, najmä pokiaľ ide o riadenie prístupu, klasifikáciu údajov, riadenie incidentov a vzťahy s poskytovateľmi cloudu.
3. Klasifikácia informácií a riadenie prístupu
Základným pilierom je klasifikácia údajov. Politika musí jasne rozlišovať medzi verejnými, internými, dôvernými alebo citlivými údajmi, ako aj inými špecifickými typmi, ako sú finančné, zdravotné alebo identifikačné údaje . Táto klasifikácia určí úroveň ochrany požadovanú pre každý súbor informácií.
Táto časť tiež podrobne popisuje mechanizmy riadenia prístupu: modely ako MAC, DAC, RBAC a ABAC, ako aj rozšírenia založené na pravidlách (čas, IP adresa, typ zariadenia, umiestnenie) . Princíp najnižších privilégií a princíp „potreba vedieť“ by mali byť povinné pre všetky cloudové systémy.
V praxi sa to implementuje pomocou riadiacich prvkov prístupu založených na rolách (RBAC) v konzolách poskytovateľov cloudu, politík IAM, zoznamov riadenia prístupu (ACL), viacfaktorového overovania (MFA) a integrácie s adresármi, ako sú LDAP alebo Active Directory . Zahrnuté sú aj politiky prenosu údajov, ktoré zabezpečujú ochranu údajov počas prenosu aj v pokoji.
4. Šifrovanie údajov
Šifrovanie je ďalšou kritickou požiadavkou. Politika musí špecifikovať minimálne prijateľné šifrovacie štandardy (napr. AES-256 v pokoji, TLS pre prenášané dáta) , ako aj model správy kľúčov (použitie služieb správy kľúčov dodávateľa alebo proprietárnej PKI).
Okrem toho by sa mal zaoberať tým, ako sa so šifrovanými údajmi nakladá pri zálohovaní, procesoch obnovy, exporte údajov a scenároch narušenia bezpečnosti . Je dôležité zahrnúť odporúčania týkajúce sa pseudonymizácie a silného šifrovania pre obzvlášť citlivé údaje, ako sú napríklad zdravotné alebo finančné informácie.
5. Plánovanie reakcie na incidenty
Skôr či neskôr k incidentom dôjde; rozdiel spočíva v spôsobe ich riadenia. Politika musí jasne definovať proces detekcie, hlásenia, analýzy, obmedzovania, odstraňovania a obnovy po incidentoch, ktoré ovplyvňujú cloudové služby.
Zvyčajne sa zriaďuje tím pre reakciu na incidenty (IRT) s určenou kontaktnou osobou, komunikačnými kanálmi, eskalačnými postupmi a koordináciou s právnymi poradcami, orgánmi činnými v trestnom konaní a externými špecialistami . Sú tiež uvedené požiadavky na oznamovanie orgánom na ochranu údajov vrátane lehôt, ako je napríklad 72-hodinová lehota stanovená v GDPR, ak je to relevantné.
6. Súlad, audit a hodnotenie kontrol
V politike musí byť jasne uvedené, ktoré rámce dodržiavania predpisov sa uplatňujú (GDPR, HIPAA, PCI DSS, NIST, ISO 27001, ISO 27017 atď.) a ako často sa budú vykonávať interné a externé audity cloudových služieb.
Súbežne je vhodné zahrnúť harmonogram hodnotenia bezpečnostných kontrol: pravidelnú kontrolu pravidiel firewallu, konfigurácií IAM, šifrovacích politík, protokolov a mechanizmov detekcie narušenia . Mnohé organizácie vykonávajú tieto kontroly štvrťročne a pravidelne si objednávajú aj externé hodnotenia.
Najbežnejšie typy cloudových bezpečnostných a prístupových politík
Na základe tejto všeobecnej štruktúry organizácie zvyčajne vyvíjajú špecifické súbory politík zamerané na rôzne oblasti cloudovej bezpečnosti . Medzi najbežnejšie patria nasledujúce.
Na jednej strane máme politiku ochrany cloudových údajov , ktorá definuje, ako sú citlivé údaje klasifikované, ukladané a chránené, aké šifrovanie sa používa, ako sa spravujú kľúče a ako dlho sa údaje uchovávajú. To je kľúčové pre dodržiavanie rámcov, ako je GDPR a zákony špecifické pre dané odvetvie.
Po druhé, existuje politika riadenia prístupu , ktorá určuje, kto má prístup ku ktorým cloudovým zdrojom, v akej úlohe a za akých podmienok. Zahŕňa to otázky, ako je povinná viacfaktorová autentifikácia (MFA), prísne uplatňovanie princípu najnižších privilégií, podmienený prístup na základe IP adresy alebo geolokácie a pravidlá pre pridávanie, odoberanie a zmenu povolení.
Ďalším kľúčovým prvkom je politika reakcie na incidenty , ktorá sa oveľa hlbšie zaoberá detekciou, obmedzovaním a obnovou po narušeniach bezpečnosti, ako aj povinnosťou zaznamenávať incidenty, analyzovať ich príčiny a uplatňovať preventívne opatrenia, aby sa predišlo ich opakovaniu.
Nesmieme zabúdať na politiky identity a autentifikácie , ktoré sa zameriavajú na to, ako sa overujú používatelia, zariadenia a systémy (SSO, MFA, certifikáty, hardvérové tokeny, SSH kľúče atď.), ani na politiky zabezpečenia cloudovej siete , ktoré zahŕňajú firewally, segmentáciu, VPN, mikroperimetre, ochranu DNS, zmierňovanie DDoS útokov a monitorovanie prevádzky vrátane šifrovanej prevádzky.
Nakoniec, mnoho organizácií má politiku obnovy po havárii a kontinuity podnikania zameranú na zabezpečenie rýchlej obnovy cloudových služieb v prípade prírodných katastrof, útokov ransomvéru, masívnych výpadkov poskytovateľov alebo vážnych zlyhaní infraštruktúry.
Cloudové riadenie prístupu: modely a prevádzka
Riadenie prístupu do cloudu sa opiera o dva piliere: identifikáciu a autentifikáciu používateľa (znalosť toho, kto je používateľ) a autorizáciu (definovanie toho, k čomu má používateľ prístup a za akých podmienok) . To sa dosahuje pomocou adresárových služieb a protokolov, ako sú LDAP alebo SAML, okrem špecifických riešení IAM.
V praxi sa kombinuje niekoľko modelov riadenia prístupu: povinné riadenie prístupu (MAC) , kde centrálny systém určuje povolenia (široko používané vo vládnych prostrediach); diskrečné riadenie prístupu (DAC) , kde vlastníci zdrojov priraďujú povolenia; a riadenie prístupu na základe rolí (RBAC) , ktoré prepája povolenia s preddefinovanými rolami, ako napríklad „administrátor“, „HR“ alebo „podpora“.
Okrem toho existuje riadenie prístupu na základe atribútov (ABAC) , ktoré udeľuje alebo zakazuje prístup na základe atribútov používateľa (rola, umiestnenie, zariadenie), atribútov zdrojov alebo atribútov kontextu (čas, typ pripojenia, krajina). Je obzvlášť užitočné v zložitých cloudových prostrediach s mnohými aplikáciami a variabilnými vzormi prístupu.
Aby toto všetko fungovalo, nástroje IAM centralizujú správu identít, pripájajú sa k adresárom (LDAP, Active Directory), umožňujú jednotné prihlásenie (SSO) a v prípade potreby vynucujú MFA . Taktiež uľahčujú automatické zriaďovanie a rušenie zriaďovania účtov, čo je kľúčové pre predchádzanie osirelým účtom alebo nadmerným privilégiám.
Ako efektívne implementovať bezpečnostné a prístupové politiky v cloude
Prechod od teórie k praxi si vyžaduje štruktúrovaný prístup. Prvým krokom je dôkladné pochopenie postavenia organizácie v rámci jej sektora, jej prijateľnej úrovne rizika a jej regulačných požiadaviek . Na základe toho sa definujú ciele politiky a rozhodne sa, či začať odznova alebo aktualizovať existujúcu dokumentáciu.
Ďalej je kľúčové identifikovať, ktoré pravidlá a štandardy dodržiavania predpisov sa vzťahujú na organizáciu (napr. GDPR v Európe, HIPAA v zdravotníctve, PCI DSS pre platby kartou, NIST CSF, ISO/IEC 27017 pre špecifické cloudové kontroly atď.) a zabezpečiť, aby boli interné politiky s nimi v súlade.
Je vhodné navrhnúť jasnú stratégiu pre tvorbu a schvaľovanie : kto navrhuje politiky, ktoré oddelenia ich kontrolujú (bezpečnostné, právne, personálne, obchodné), ako sa zmeny dokumentujú a aké sú časové harmonogramy pre schvaľovanie a implementáciu politík. Zabezpečenie podpory vrcholového manažmentu od začiatku znižuje odpor organizácie.
Ďalším dôležitým aspektom je dôkladná analýza poskytovateľov cloudových služieb : aké majú certifikácie (ISO 27001, 27017, 27018 atď.), v ktorých krajinách sú dáta hostované, aké natívne bezpečnostné nástroje ponúkajú (PKI, firewally, SIEM, skenovanie zraniteľností, audítorské protokoly atď.) a ako sa integrujú s existujúcou architektúrou.
Po pochopení prostredia je potrebné zdokumentovať typy údajov spracovávaných v cloude (zákaznícke, zamestnanecké, finančné, prevádzkové, zdravotné atď.), zoskupiť ich podľa citlivosti a načrtnúť súvisiace riziká . To umožní stanoviť priority kontrol a presnejšie definovať pravidlá prístupu a šifrovania.
Nakoniec, šírenie informácií a školenia sú rovnako dôležité ako samotný dokument . Politika musí byť sprístupnená všetkým relevantným používateľom, jasne vysvetlená, integrovaná do procesov zaškoľovania a sprevádzaná pravidelnými programami na zvyšovanie povedomia. Ak jej tímy nerozumejú alebo ju vnímajú ako byrokratickú prekážku, budú ju ignorovať.
Neustála aktualizácia a kontrola politík
Bezpečnostná politika cloudu nemôže byť statickým dokumentom. Situácia s hrozbami sa vyvíja, dodávatelia vydávajú nové funkcie a organizácia sa mení ; ak sa politika neprispôsobí, v priebehu niekoľkých mesiacov zastará.
Preto je dôležité pravidelne auditovať existujúce politiky, aby sa zistilo, čo stále funguje, čo je zastarané a aké nové hrozby sa prehliadajú. To zahŕňa úzku spoluprácu s IT, bezpečnostnými oddeleniami, oddeleniami dodržiavania predpisov a samotnými poskytovateľmi cloudových služieb.
Preskúmania by mali zosúladiť politiky s najnovšími verziami rámcov, ako sú NIST CSF 2.0 alebo ISO/IEC 27017, a zahŕňať nové vektory útokov: sofistikovanejší ransomvér, útoky na kontajnerové platformy a orchestráciu, zneužívanie API, zero-day útoky na koncových bodoch atď.
Dôrazne sa odporúča integrovať zdroje informácií o hrozbách v reálnom čase , aby sa zmeny v čase útoku útočníkov mohli rýchlo prejaviť v cloudových pravidlách prístupu, detekcie a reakcie.
Na overenie zmysluplnosti aktualizácií nestačí len schválenie dokumentu: politiky musia byť testované prostredníctvom simulácií, simulačných cvičení a kontrolovaných penetračných testov . Tým sa overí, či tímy vedia, ako reagovať na skutočný útok.
Hybridné a multicloudové prostredia: špecifické výzvy
Väčšina organizácií sa už nespolieha na jedného poskytovateľa. Je bežné kombinovať AWS, Azure, Google Cloud a súkromný alebo lokálny cloud , čím sa riadia pracovné zaťaženia, ktoré sa presúvajú medzi prostrediami na základe nákladov, výkonu alebo právnych požiadaviek.
V tejto súvislosti musia politiky definovať základné kontroly nezávislé od dodávateľa : jednotnú klasifikáciu údajov, minimálne štandardy šifrovania, požiadavky na protokolovanie a audit, zásady riadenia prístupu, segmentáciu siete a pravidlá monitorovania.
Hybridné nasadenia vyžadujú synchronizáciu bezpečnostných protokolov medzi lokálnym a cloudovým prostredím , čím sa zabezpečí, že nevzniknú žiadne medzery vo viditeľnosti alebo „ostrovčeky“, kde nikto nemonitoruje ani nevynucuje pravidlá. Segmentácia, sieťové mikroperimetre a jednotné postupy protokolovania sú nevyhnutné. Okrem toho je vhodné definovať jasné pravidlá prenosu a kontroly, keď sa pracovné zaťaženie presúva medzi prostrediami .
Fragmentovaná bezpečnostná architektúra založená na mnohých riešeniach špecifických pre dodávateľov má tendenciu vytvárať medzery a únavu z upozornení . Správa viacerých konzol, nástrojov a dashboardov núti analytikov neustále meniť kontexty, čo spomaľuje reakciu na incidenty a uľahčuje prehliadnutie kritických upozornení.
Preto čoraz viac organizácií hľadá jednotné platformy na riadenie rizík a politík v cloude s kontextovými nástrojmi, ktoré uprednostňujú upozornenia na základe skutočnej expozície, potenciálnych ciest útoku, efektívnych povolení a kritickosti aktív . Tento prístup pomáha zmenšiť plochu útoku a zamerať sa na to, na čom skutočne záleží.
Najlepšie postupy pre navrhovanie a implementáciu politík cloudovej bezpečnosti
Pri navrhovaní a implementácii politík je užitočné riadiť sa súborom osvedčených postupov. Prvým je uprednostniť jasnosť a jednoduchosť jazyka : písomné dokumenty, ako sú právne zmluvy, majú tendenciu byť ignorované alebo nesprávne interpretované.
Je vhodnejšie používať jazyk zrozumiteľný pre každého zamestnanca, vysvetľovať „prečo“ každej požiadavky (napríklad prečo je MFA povinná alebo prečo sú určité nástroje na zdieľanie súborov zakázané) a technickejšie podrobnosti si vyhradiť pre konkrétne prílohy.
Ďalším dobrým postupom je zoskupiť politiky pod jasné a ucelené názvy : riadenie prístupu, klasifikácia údajov, zabezpečenie siete, reakcia na incidenty, dodržiavanie predpisov, vzťahy s dodávateľmi atď. To uľahčuje každému tímu rýchle nájdenie časti, ktorá sa ho týka.
Je tiež veľmi užitočné prepojiť politiky s merateľnými metrikami : počet zistených a zablokovaných neoprávnených prístupov za mesiac, percento šifrovaných úložísk, priemerný čas zrušenia prístupu po odstránení používateľa, počet hlásených incidentov oproti zisteným incidentom atď.
Nakoniec je dôležité si uvedomiť, že politiky sú živé dokumenty . Musia sa revidovať, obohacovať o poznatky z reálnych incidentov a prispôsobovať novým technológiám pri ich implementácii (kontajnery, bezserverové riešenia, nové SaaS riešenia, nástroje na spoluprácu atď.).
Praktické príklady cloudovej bezpečnosti a politík prístupu
Pre ilustráciu vyššie uvedeného si predstavme niekoľko scenárov. Stredne veľká spoločnosť poskytujúca finančné služby by mohla definovať, že všetky finančné záznamy zákazníkov hostované v cloudových úložiskách musia byť šifrované minimálne pomocou AES-256 a že k nim musí byť prístup iba z firemných IP adries a prostredníctvom účtov s povinnou viacfaktorovou autentifikáciou (MFA).
V sektore zdravotnej starostlivosti môže poskytovateľ zdravotnej starostlivosti prostredníctvom svojich zásad vyžadovať, aby všetky chránené zdravotné informácie boli uložené v špecifických cloudových oblastiach, ktoré spĺňajú určité regulačné požiadavky . Okrem toho je prichádzajúca a odchádzajúca prevádzka do týchto systémov obmedzená na malú skupinu IP adries a je dôkladne monitorovaná.
V technologickej spoločnosti, ktorá ponúka cloudové služby, môže politika zahŕňať veľmi špecifické technické a organizačné opatrenia: inventarizáciu aktív, aktualizovaný antivírus, dvojvrstvový firewall, pravidelné kontroly zraniteľností, ročné penetračné testy, SIEM na zhromažďovanie a koreláciu protokolov, zmierňovanie DDoS útokov a postupy reakcie na kybernetické útoky.
Z hľadiska ochrany údajov je tiež bežné dokumentovať dodržiavanie predpisov o ochrane súkromia, vymenovanie zodpovednej osoby za ochranu údajov, záväzok zamestnancov k mlčanlivosti, pseudonymizáciu citlivých informácií, obmedzenie ukladania a podmienky vzťahu s dodávateľmi (vrátane bezpečného vymazania údajov po ukončení pracovného pomeru a požiadavky na certifikácie, ako napríklad ISO 27001 alebo 27018).
Dokonca aj zdanlivo drobné detaily, ako napríklad nahradenie hesiel autentifikáciou založenou na kľúčoch (PKI), používanie fyzických bezpečnostných kľúčov alebo zákaz ukladania súkromných kľúčov na osobných počítačoch , môžu byť zahrnuté do politiky prístupu, aby sa drasticky znížilo riziko krádeže poverení.
Celkovo dobre navrhnuté politiky zabezpečenia a prístupu do cloudu, zosúladené s predpismi a posilnené technickými kontrolami, automatizáciou a priebežným školením, umožňujú organizáciám využívať výhody cloudu bez toho, aby boli zraniteľné voči ďalšiemu vážnemu incidentu . Vytvorenie týchto politík si vyžaduje prácu, ale viac než sa vyplatí, keď ďalšia vlna útokov narazí na pripravené prostredie s jasnými rolami, účinnými kontrolami a prepracovaným plánom reakcie.
