Coloro che ottengono la giusta sicurezza nel cloud apprezzano la produttività, la velocità e la riduzione dei rischi per aiutare le loro organizzazioni ad avere successo.
I casi d'uso del cloud stanno cambiando rapidamente
L'introduzione del cloud computing rappresenta un allontanamento radicale dal data center, che richiede sicurezza teams di operare in modo diverso da mantenere infrastruttura cloud sicura. Il modello di responsabilità condivisa del cloud, che delinea le responsabilità di sicurezza dei fornitori di servizi cloud e dei clienti cloud, ha alleggerito la sicurezza teams degli oneri legati alla messa in sicurezza dell'infrastruttura fisica. Ma ciò che rimane nel loro piatto, le istanze del server virtuale, le reti virtuali e i gruppi di sicurezza, richiedono tutti strumenti e approcci diversi per essere protetti.
Un decennio fa, le infrastrutture cloud assomigliavano molto di più alle infrastrutture dei data center (anche se le due sono fondamentalmente diverse). Quando si confrontano i servizi e le architetture cloud teams stanno adottando oggi, quei primi ambienti cloud sembravano abbastanza familiari, quasi come un "data center remoto".
Questi casi d'uso sono ancora prevalenti, ma è in corso un cambiamento più grande, che ha importanti conseguenze per la sicurezza. Sempre di più, applicazione teams stanno creando ed eseguendo nuove applicazioni nel cloud, invece di utilizzare semplicemente il cloud come piattaforma per l'hosting di applicazioni migrate o di terze parti. Questi teams stanno sfruttando nuovi tipi di risorse cloud e i loro ambienti non assomigliano più a nulla che potresti trovare in un data center.
La modifica delle architetture cloud ha migliorato la sicurezza
I fornitori di servizi cloud ora offrono centinaia di servizi cloud specializzati che teams stanno sfruttando e ogni servizio specializzato ha le proprie considerazioni sulla sicurezza uniche. Quando questi servizi più recenti vengono combinati in architetture native del cloud, la sicurezza teamSi stanno rendendo conto che ciò che ha funzionato prima non funziona più bene o si adatta bene ora. Anche i modelli di attacco al cloud sono cambiati; ora sfruttano l'automazione per rilevare le configurazioni errate e utilizzano le chiavi API per operare contro il piano di controllo del cloud per l'individuazione, il movimento e l'estrazione dei dati. Le vittime delle violazioni spesso non sono a conoscenza di questi attacchi fino a quando i loro dati non vengono visualizzati su Internet.
Una nota positiva, ci sono organizzazioni che stanno adottando la sicurezza del cloud nel modo giusto. È utile esaminare cosa stanno facendo in modo diverso per capire perché stanno avendo successo quando così tanti altri non sono all'altezza. Sviluppo e sicurezza teams in queste organizzazioni di successo stanno riducendo il loro tasso di vulnerabilità di configurazione errata, anche se il loro utilizzo del cloud aumenta in termini di dimensioni e complessità. Stanno anche aiutando teams nel resto delle loro organizzazioni si muovono più velocemente e diventano più produttive.
I cinque fondamenti della sicurezza nel cloud
Tutte le organizzazioni che stanno adottando la sicurezza del cloud nel modo giusto, si concentrano su quanto segue cinque fondamentali fondamentali.
- Conoscono il loro ambiente.
Strumenti Bowman per analizzare le seguenti finiture: teams sono a conoscenza di ogni risorsa in esecuzione nel proprio cloud, di come sono configurate le risorse e di come si relazionano tra loro (non è raro cherise sicurezza cloud teamsignifica non essere a conoscenza del 20% o più di ciò che è in esecuzione nel loro ambiente). Sanno quali applicazioni sono in esecuzione su quale infrastruttura cloud, così come i dati coinvolti. E mantengono la visibilità sul software ciclo di vita dello sviluppo (SDLC) per la loro infrastruttura cloud, inclusa qualsiasi infrastruttura come codice in fase di sviluppo e pipeline CI/CD utilizzate.
- Si concentrano sulla prevenzione e sulla progettazione sicura.
Il modo per fermare le moderne violazioni del cloud è prevenire le condizioni che le rendono possibili, non concentrarsi sul rilevamento e sull'arresto degli attacchi in corso. Questi teams va oltre la semplice prevenzione delle configurazioni errate delle singole risorse e si concentra sulla progettazione di ambienti cloud che siano intrinsecamente sicuri contro gli attacchi di compromissione del piano di controllo. Il ruolo di Cloud Security Architect diventa un ruolo chiave in queste organizzazioni.
- Consentono agli sviluppatori di creare e operare in modo sicuro.
La sicurezza cloud di oggi teamSappiamo che non possono fare tutto e si concentrano sul dare potere agli altri teams per ottenere la sicurezza giusta. Fornendo strumenti che consentono agli ingegneri di sviluppare l'infrastruttura come codice in modo sicuro, stanno posizionando questi ingegneri per rilevare e correggere i problemi in anticipo, evitare riparazioni e rielaborazioni che richiedono tempo e fornire un'infrastruttura sicura più velocemente. Queste sicurezza teamAiutano anche gli ingegneri a creare protezioni di sicurezza nelle pipeline CI/CD, per garantire che le vulnerabilità non si insinuino negli ambienti in esecuzione.
- Si allineano e automatizzano utilizzando la politica come codice (PaC).
Quando le politiche di sicurezza sono espresse esclusivamente in linguaggio umano ed esistono nei documenti PDF, potrebbero anche non esistere affatto. PaC consente di esprimere le regole in un linguaggio che altri strumenti e applicazioni possono utilizzare per convalidare la correttezza del codice e delle configurazioni. PaC elimina le differenze di interpretazione, implementazione e applicazione e consente la sicurezza del cloud teams ridimensionare il proprio impegno senza dover aumentare l'organico.
- Misurano ciò che conta.
La sicurezza del cloud riguarda la disciplina operativa e l'adozione dei processi giusti. Sicurezza di successo teams identificare ciò che conta di più, che si tratti di ridurre il tasso di configurazione errata, accelerare i processi di approvazione o riassegnare le risorse a un lavoro di maggior valore. Stabiliscono le loro linee di base, stabiliscono obiettivi e poi lavorano diligentemente per raggiungerli. E sono in grado di dimostrare in qualsiasi momento lo stato di sicurezza del loro ambiente ei loro progressi.
Coloro che capiscono bene la sicurezza del cloud la vedono come un abilitatore dell'innovazione, non una funzione di blocco. Renderanno operativa la sicurezza del cloud in tutta l'organizzazione in modo che tutti possano muoversi più velocemente e in modo più sicuro.