Время прочтения: 4 мин.
Большинство организаций сомневаются, что предпринимаемые ими меры безопасности могут конкурировать с ростом облачных технологий. Знают ли внутренние аудиторы, что находится в облаке их организации? В своей статье «Погоня за расширяющимся облаком» Тим Макколлум рассмотрел отчет корпорации Symantec об угрозах облачной безопасности 2019, согласно которому:
- 73% фирм имели облачные инциденты из-за незрелой безопасности;
- 63% инцидентов безопасности произошли в облаке за последние 12 месяцев;
- 69% респондентов считают, что их данные, скорее всего, уже находятся в «темной сети» для продажи.
Рост зависимости от облачных технологий.
Более 50% сотрудников, принимающих решения в области ИТ-безопасности, считают, что их организации переместили свою вычислительную нагрузку в облако. Более 93% респондентов считают, что их организации хранят данные в нескольких средах, распределенных относительно равномерно между частными, публичными, локальными и гибридными облачными настройками. Эта сложность затрудняет для организаций отслеживание того, какой объем данных они хранят в облаке и где. В среднем респонденты говорят, что сотрудники их организаций используют 452 облачных приложения. Тем не менее, по оценкам Symantec, организации в среднем имеют 1,8 теневых ИТ-приложений. Если же организации не могут видеть свои облачные приложения, они не могут защищать данные, находящиеся в них.
Более половины респондентов считают, что практика облачной безопасности их организаций не поспевает за распространением облачных приложений. «Разрыв [безопасности], создаваемый облачными вычислениями, представляет собой больший риск, чем мы думаем, учитывая запасы конфиденциальных и критически важных для бизнеса данных, хранящихся в облаке», — говорит Нико Попп, старший вице-президент по облачным технологиям и защите информации в Mountain View, Calif.
IT-безопасность оспаривается. ЭкспертНико Попп предполагает, что само по себе облако не влияет на проблему в работе с данными. Более серьезной проблемой являются незрелые методы обеспечения безопасности, которые почти три четверти респондентов обвиняют, по крайней мере, в одном инциденте с облачной безопасностью в своих организациях. Более 80% респондентов считают, что их организации не владеют процессами для успешного реагирования на инциденты облачной безопасности. Только 10% опрешенных уверены, что их организация может эффективно анализировать облачный трафик.
В отчете отмечается, что облачная безопасность также является проблемой. Более 90% респондентов считают, что подразделения ИТ-безопасности не успевают идти в ногу с облачными рабочими нагрузками в своих организациях. Большинство из них не имеют облачных ресурсов безопасности для работы со всеми предупреждениями. «Организации отвечают только на одну четверть предупреждений», — говорят респонденты. Таким образом, по мнению 93% респондентов, организации должны улучшить навыки облачной безопасности.
В отчете отмечается и третий виновник: рисковое поведение сотрудников, например, использование личных учетных записей и наличие слабых паролей. Такое поведение создает условия для атак с использованием «замаскированных» файлов или направленных на захват учетных записей пользователей. Еще одна проблема поведения — общий доступ к данным. По оценкам респондентов, одной трети файлов в облаке не должно быть.
Видимость данных. В отчете Symantec перечислено несколько угроз для облачных систем, в т.ч. тенденция кросс-облачных атак и атак с внедрением вредоносных программ. Тем не менее, несанкционированный доступ составляет почти две трети инцидентов облачной безопасности. «Копая глубже, компании недооценивают масштаб и сложность облачных атак», — отмечается в докладе. Например, только 7% респондентов говорят, что поглощение учетной записи является одним из самых больших облачных рисков, но по данным корпорации Symantec — 42% рискованного поведения можно отнести к скомпрометированной облачной учетной записи. Почти 70% респондентов сказали, что они нашли доказательства того, что данные их организации были проданы в «темной сети».
Для опеспечения достаточной уверенности при работе с облачными системами необходимо:
- Разработать стратегию управления облаком для применения политик безопасности в локальных и облачных средах
- Принять модель «нулевого доверия» (защищает все данные и реализует элементы управления во всех точках доступа)
- Поощерять совместную ответственность, охватывающую не только поставщика облачных услуг и отдел ИТ-безопасности, но и руководителей и всех сотрудников
- Анализировать потенциальные угрозы и реагировать на инциденты, внедряя автоматизацию и ИИ
- Использовать подход DevSecOps, в котором методы обеспечения безопасности встроены во все разработки приложений