Specifikke sikkerhedsrisici i hybridmiljøet - dummies

Virksomheder, der arbejder i hybride skymiljøer, skal overveje mange typer sikkerhedsrisici og styringshensyn. Forståelse af sikkerhed er et bevægeligt mål. Uddannelse er nøglen til at sikre, at alle i organisationen forstår hans eller hendes sikkerhedsroller og ansvar.

Sikkerhedsrisici for computersystemer

Ifølge Statens Institut for Standarder og Teknologi (NIST) er en statens standardkrop, computersystemer udsat for mange trusler, lige fra datatab til tab af en hel databehandling på grund af brand eller naturkatastrofe. Disse tab kan komme fra betroede medarbejdere eller fra hackere.

NIST deler disse risici i følgende kategorier:

• Fejl og udeladelser, herunder datafejl eller programmeringsfejl

• Svig og tyveri

• Ansattes sabotage

• Tab af fysisk infrastrukturstøtte

• Skadelige hackere

• Skadelig kode

• Trusler mod privatlivets fred

Hybrid cloud security risks

Mange af de samme sikkerhedsrisici, som virksomheder står over for, når de beskæftiger sig med deres egne computersystemer, findes i skyen, men der er nogle vigtige vendinger. Cloud Security Alliance (CSA), en organisation dedikeret til at sikre sikkerhedens bedste praksis i skyen, bemærkede i sin nylige publikation "Sikkerhedsvejledning til kritiske fokusområder i Cloud Computing", at betydelige områder af operativ sikkerhedsrisiko i skyen inkluderer følgende:

• Traditionel sikkerhed: Et hybrid-cloud-miljø ændrer den traditionelle sikkerhed, fordi du ikke længere er helt i kontrol. Nogle af de computervirksomheder, du bruger, findes ikke i dine lokaler. Nu skal du sørge for, at stærke traditionelle sikkerhedsforanstaltninger følges af din cloud-udbyder.

  • Fysisk sikkerhed dækker sikkerhed af it-udstyr, netværksaktiver og telekommunikationsinfrastruktur. CSA anbefaler både "aktive og passive" forsvar for fysisk sikkerhed.

  • Human resource security beskæftiger sig med befolkningens side af ligningen - sikrer baggrundskontrol, fortrolighed og adskillelse af pligter (det vil sige dem, der udvikler applikationer, driver dem ikke).

  • Forretnings kontinuitet Planer skal indgå i en aftale om serviceniveau for at sikre, at udbyderen opfylder sin serviceniveauaftale for løbende drift med dig.

  • Disaster recovery planer skal sikre, at dine aktiver (for eksempel data og applikationer) er beskyttet.

• Hændelseshåndtering: En hybrid cloud-miljø ændrer hændelig håndtering på mindst to måder. For det første, hvorimod du har kontrol over dit eget datacenter, hvis der opstår en hændelse, skal du arbejde med din tjenesteudbyder, fordi tjenesteudbyderen i det mindste kontrollerer en del af infrastrukturen.

  For det andet gør skyens multi-lejers natur ofte en mere indviklet undersøgelse af en hændelse. For eksempel kan loganalyse være vanskeligt, fordi oplysningerne kan komme i kontakt, da din tjenesteudbyder forsøger at opretholde privatlivets fred. Du skal finde ud af, hvordan din tjenesteudbyder definerer en hændelse, og sørg for at du kan forhandle, hvordan du arbejder med udbyderen for at sikre, at alle er tilfredse.

• Ansøgningssikkerhed: Når et program er i skyen, er det udsat for enhver form for sikkerhedstrussel. CSA deler applikationssikkerhed i forskellige områder, herunder sikring af softwareudviklingslivets livscyklus i skyen; godkendelse, godkendelse og overholdelse identitetsstyring, administration af applikationsgodkendelser, applikationsovervågning, applikationstestningstestning og risikostyring.

• Kryptering og nøgleadministration: Datakryptering refererer til et sæt algoritmer, der kan omdanne tekst til en formular kaldet cyphertext, , som er en krypteret form for almindelig tekst, som uautoriserede parter ikke kan læse. Modtageren af ​​en krypteret besked bruger en nøgle, der udløser algoritmen til dekryptering af dataene og giver den i sin oprindelige tilstand til den autoriserede bruger. Derfor kan du kryptere data og sikre, at kun den påtænkte modtager kan dekryptere det.

  I den offentlige sky kan nogle organisationer fristes til at kryptere alle deres oplysninger, fordi de er bekymrede over dens bevægelse til skyen og hvor sikkert det er, når det er i skyen. For nylig er eksperter på området begyndt at overveje andre sikkerhedsforanstaltninger ud over kryptering, som kan bruges i skyen.

• Identitets- og adgangsstyring: Identitetsstyring er et meget bredt emne, der gælder for mange områder i datacenteret. Formålet med identitetsstyring er at kontrollere adgangen til computerressourcer, applikationer, data og tjenester.

  Identitetsstyring ændrer sig markant i skyen. I et traditionelt datacenter kan du muligvis bruge en katalogtjeneste til godkendelse og derefter implementere programmet i en firewall-sikker zone. Skyen kræver ofte flere former for identitet for at sikre, at adgangen til ressourcer er sikker.

Med den stigende brug af cloud computing, trådløs teknologi og mobile enheder har du ikke længere veldefinerede grænser for, hvad der er internt og hvad der er eksternt til dine systemer. Du skal vurdere, om huller eller sårbarheder eksisterer på tværs af servere, netværk, infrastrukturkomponenter og endepunkter, og derefter løbende overvåge dem. Med andre ord skal du være i stand til at stole på din egen infrastruktur såvel som en skyderudbyders infrastruktur.