Sådan vurderer du sikkerheden hos en cloudtjenesteudbyder: Den komplette guide

Markedet for cloudtjenester nåede over 550 milliarder dollar i 2021, og det forventes at overstige 2,5 billioner dollar i 2031. Den relativt ubesværede tilgang er nemmere, hurtigere og generelt billigere. Endnu bedre er det, at den frigør en masse gulvplads og talent på virksomhedens egne lokationer. Men der er også en ulempe ved at arbejde i et cloudmiljø, eftersom de kuraterede tjenester flytter sikkerhedspraksisserne ud af dine hænder.

Jeg definerer cloudplatformsudbydere som enhver enhed, der leverer computer- og datamigreringstjenester efter behov, uden at du selv behøver at gøre noget. Hvis du leder efter en cloudtjenesteudbyder, gennemgår vi nogle almindelige sikkerhedsrisici samt de målepunkter, du bør bruge til at evaluere dine udbyderes præstationer.

Almindelige sikkerhedsudfordringer ved cloudtjenester

Før du kan vide, hvor godt din leverandør beskytter dig, skal du vide, hvad den beskytter dig imod. I modsætning til typiske fejl har sikkerhedsbrud dygtige mennesker i den anden ende, som arbejder på at gøre dem så alvorlige som muligt. Gennem årene har hackere udviklet smarte måder at udnytte sikkerhedsbrister på. Her er nogle af de mest typiske måder, din cloudsikkerhed kan gå galt på:

• Databrud: Den direkte vej er den mest populære (og potentielt mest skadelige) form for sikkerhedsfejl. Databrud forekommer ofte på cloudtjenester. De kan opstå på grund af tilsyneladende ingenting, og når de sker, kan de være ødelæggende. Capital One er et fremragende eksempel på dette. I 2019 førte en simpel svaghed i virksomhedens Amazon Web Services-brandmur (AWS) til offentliggørelsen af data om 100 millioner kunder. Det var så alvorligt, at virksomheden nu har et permanent link på sin hjemmeside, så folk kan holde sig opdateret om gruppesøgsmålet.
• Dårlig identitets- og adgangsstyring (IAM): Omkring 67 % af verdens cloudtjenester leveres af blot fire virksomheder, hvor AWS alene dækker halvdelen af dette. Med så mange kunder vil tingene uundgåeligt blive komplicerede, og de altafgørende IAM-sikkerhedspolitikker kan let glippe og forårsage katastrofer. Store leverandører er bedre til dette, end de var tidligere. De er dog stadig nødt til at arbejde på at opretholde solid multifaktorgodkendelse og princippet om mindst mulige privilegier, som er nogle ret populære bagdøre til massive datalæk.
• Usikre grænseflader og API'er: Sjusket grænsefladedesign kan betyde, at offentligheden logger ind på din debitorafdeling, eller at salgsteamet får adgang til private HR-data. Du er kun beskyttet mod dette, hvis du får udført ordentlige tests af en tredjepart, som får en pæn bonus for at bryde dit API.
• Dårligt overblik og lempelige kontroller: Tilbage i 2020 brugte nogle smarte hackere et forsyningskædeangreb til at indsætte ondsindet kode i en offentlig entreprenør ved navn SolarWinds. Den kontaminerede software, Orion, spredte sig lateralt på tværs af flere kunder og introducerede bagdøre til deres systemer. Ingen vidste, hvad der foregik, i omkring ni måneder, fordi overblikket var meget begrænset, og der ikke var meget sikkerhedsvalidering. 
• Problemer med den delte sikkerhedsmodel: Delt sikkerhed har mere at gøre med jurister end med ingeniører. En typisk cloudtjenesteleverandør tager ansvar for cloudinfrastrukturen og andre dele, som den kontrollerer, men du er selv ansvarlig for sikkerheden af dine data og den kryptering, du investerer i.
• Problemer med overholdelse af regler og lovgivning: Hvis din virksomhed håndterer noget sundhedsrelateret i USA, kender du til HIPAA. Hvis du opererer i EU, er du bekendt med GDPR. Og i Californien har du CCPA. Hvis din udbyder ikke er korrekt certificeret i standarder for beskyttelse af forbrugerdata, er der en reel risiko for, at nogle af bøderne rammer dig, såsom bøden på 1,2 milliarder euro, som den irske regering i maj 2023 pålagde Meta for at krænke privatlivsrettigheder. Sørg for eksempel for, at du har en omfattende ordning til overholdelse af regler for data i skyen på plads.
• Avancerede vedvarende trusler (APTs) og løsepengeangreb: I maj 2021 stoppede et løsepengeangreb på Colonial Pipelines brændstofdistributionsnetværk i praksis benzinleverancerne på USA's østkyst. Ud over de vedvarende billeder af mennesker, der forsøgte at fylde plastikposer med benzin, sendte denne hændelse en kuldegysning gennem regeringen. Et enkelt, sofistikeret hack gjorde det muligt for ondsindede aktører at kryptere afgørende kontrolveje til infrastrukturen og terrorisere mennesker i et dusin delstater.

Vigtige kriterier til evaluering af cloudtjenesteudbyderes sikkerhed

Verificering af overholdelse af regler og juridiske standarder

• Branchespecifikke certifikater: Din branche har sandsynligvis standarder, der er specifikke for den. Afhængigt af hvor følsomt dit arbejde er, kan det være omfattende revisioner og regler for offentliggørelse eller en kort gennemgang for at sikre, at du ikke smugler uran. Uanset hvad bør din cloudtjenesteudbyder have de certifikater, som din branche kræver. I sundhedssektoren er dette HITRUST, kreditkortudbydere har Betalingskortbranchens datasikkerhedsstandard (PCI DSS) og så videre. Store udbydere har typisk flere af disse, eksempelvis AWS, som kan prale af omkring 50 certifikater.
• Regelmæssige compliance-revisioner: Tingene går hurtigt inden for cloudtjenester, og compliance skal være løbende. Sørg for, at din udbyder regelmæssigt får foretaget compliance-revisioner, især for SSAE 16 og andre sikkerhedsorienterede undersøgelser.

• Tilpasning til lovgivning i udvikling: Når teknologien ændrer sig, følger lovgivningen med, dog med en mindre forsinkelse. Find ud af, hvordan din CSP tilpasser sig ændringer i lovgivningen. Tilbyder den vejledning til kunderne, når der sker en væsentlig ændring et sted? Har du brug for det? Hvis du finder ud af det tidligt, kan det spare dig for mange problemer senere.
• Særlige omstændigheder: Mange cloudkontrakter er standardiserede, især for små og mellemstore virksomheder. Hvis du er en stor aktør med unikke behov, kan du få brug for en specialforhandlet kontrakt eller i det mindste nogle tillæg.

Sikring af robust databeskyttelse

• Kryptering: Kryptering er ikke til forhandling. Find den bedste i branchen, og vælg dem (på bekostning af andre faktorer). Branchestandarden er i øjeblikket AES-256, og store leverandører som AWS giver dig mulighed for enten selv at administrere nøglerne eller lade dem gøre det for dig. 
• Sikkerhedskopiering og katastrofeberedskab: Et solidt katastrofeberedskab er ligeledes ufravigeligt. Hackere er ikke den eneste måde at miste data på, eftersom et dårligt designet system er sårbart over for servertab, brand eller et asteroidenedslag. Et af cloudtjenesternes største salgsargumenter er muligheden for hurtigt at gendanne mistede data. Din CSP skal have en god plan for dette og en dokumenteret historik med god databeskyttelse.
• Datahåndtering gennem hele datalivscyklussen: Håndtering af datalivscyklussen er en samling værktøjer, der dækker klassificering, lagring, arkivering og korrekt bortskaffelse af data. For at være virkelig sikker bør din CSP have procedurer på plads for alle disse faser – ligesom et lægekontor, der makulerer gamle journaler i stedet for bare at smide dem i en skraldespand ude bagved.

Styrkelse af identitets- og adgangsstyring

• Omfattende brugergodkendelse: Ingen af en CSP's sikkerhedsforanstaltninger fungerer reelt, hvis hvem som helst kan logge ind med din adgangskode. Bruger din potentielle CSP multifaktorgodkendelse? Biometriske kontroller? Trickspørgsmål om, hvor du gik i gymnasiet? Det er besværligt, men jo mere af dette du har til rådighed, desto bedre og sikrere er dine adgangspunkter.
• Adgangskontroller: Folk bør kun have den adgang, de har brug for til at udføre deres arbejde. I spionverdenen kaldes dette princippet om kun at have adgang til det nødvendige. Inden for teknologi er det princippet om mindst mulige privilegier. Kontrollér, om brugerne er begrænset til det absolutte minimum af adgang, de har brug for, eller om en udbyder lader dem gå rundt i dine fortrolige databaser med uautoriseret adgang.
• Revisionsspor og IAM-rapportering: Din CSP skal have et gennemsigtigt og omfattende revisionsspor samt en stor mængde detaljeret rapportering for alle brugerhandlinger i hvert miljø. Vælg ikke en udbyder, der foretrækker at holde på hemmelighederne eller efterlader små skygger i rapporteringslandskabet, hvor sikkerhedstrusler kan gemme sig. 

Netværks- og infrastruktursikkerhed

• Moderne firewallbeskyttelse: Den firewallbeskyttelse, du får, bør gå langt ud over den almindelige pakkefiltrering, du selv kunne udføre. Se efter en CSP, der tilbyder beskyttelse med næste generations firewall (NGFW). Den kan registrere og blokere mere sofistikerede forsøg på dit netværk end branchens standardløsninger.
• Systemer til registrering og forebyggelse af indtrængen (IDPS): Kan du huske det SolarWinds Orion-hack, jeg nævnte tidligere? Den katastrofe strakte sig fra sonderende angreb i slutningen af 2019 til den endelige rettelse, der blev udsendt i november 2020. Din CSP skal kunne opdage malware, når den dukker op, og få en rettelse implementeret så hurtigt som muligt.
• Sikre API'er: Grænsefladen er et svagt punkt i ethvert system. Sørg for, at du har et sikkert API, der bruger noget stærkt som QAuth eller Google Cloud Endpoints med den korrekte validering for at holde din sårbare grænseflade sikker.
• DDoS-forholdsregler: Distribuerede tjenestenægtelsesangreb (DDoS) er lige så gamle som Morris Worm. Det er trivielt nemt for en ondsindet part at overbelaste dit netværk med endeløse kald, der bruger al din båndbredde. Cloudflare er branchens førende på dette område med en solid historik for at håndtere nogle af de største DDoS-angreb, der nogensinde er registreret, på op til millioner af forespørgsler pr. sekund.
• Opdateringer og programrettelser: Administrerer din CSP aktivt dit informationssikkerhedsøkosystem med regelmæssige programrettelser og opdateringer, der imødegår de nyeste trusler? Nye sårbarheder dukker op hele tiden, og enhver cloudtjeneste bør være klar til at håndtere dem, når de bliver opdaget.
• Korrekt segmentering: Ligesom oceangående skibe har skotter under dæk, hvis de rammer et isbjerg, kræver følsomme data segmentering og deres egne sikkerhedsløsninger. Du kan gå endnu dybere med mikrosegmentering, som anvender unikke sikkerhedsprotokoller på individuelle stier i processer.

Håndtering af leverandør- og tredjepartsrisici

• Leverandørsikkerhed for tredjeparter: De fleste bruger tredjeparter til visse applikationer og datalagring, og de skal alle være solide. Sørg for, at din CSP kontrollerer sikkerhedscertifikaterne for alle sine entreprenører, udfører regelmæssige sikkerhedsrevisioner og som minimum tager deres historik for hændelseshåndtering i betragtning. Overvej også leverandørens tilgang til kryptering, dataadgang og underretning om brud.
• Sikkerhed i forsyningskæden: Alle applikationer og netværk består af en kæde af produkter og tjenester, og en sårbarhed et hvilket som helst sted i denne kæde udgør en risiko for slutbrugeren, altså dig. Din CSP skal verificere hele kæden og validere sikkerhedscertifikater hele vejen op og ned gennem kæden.
• Planlægning og håndtering af hændelser: Dårlige ting sker for gode netværk, så din udbyder bør have en veldefineret plan for hændelseshåndtering, så nye problemer hurtigt kan håndteres. Det kan være et hack, et DDoS-angreb, registrering af malware, beskyttelse mod ransomware eller noget helt andet.

Fysisk og miljømæssig sikkerhed

• Fysisk adgangskontrol: Vi tænker på datasikkerhed som kryptering og adgangsprotokoller, men datacentret er også et fysisk sted, der har brug for låse og sikkerhedsvagter. CTO'er bør besøge CSP'ens datacentre for at sikre, at de har et passende niveau af fysisk sikkerhed.

• Miljømæssige kontroller: Datacentre kan også blive kompromitteret af brand og oversvømmelse. Sørg for, at centret har et tilstrækkeligt halonbrandslukningssystem samt pålidelige systemer til temperatur- og fugtighedskontrol. 
• Redundans og sikkerhedskopier: Uanset hvor veldesignet et datacenter er, sker der dårlige ting. Din CSP har brug for flere redundante systemer og en backupplan til at gendanne beskadigede servere og mistede data. Systemer med universel strømforsyning (UPS) er standard, og en vis grad af tilpasselig RAID-beskyttelse er ideel.
• Responstider og gendannelsestider: Leverandører fortæller dig normalt om deres planer for hændelseshåndtering og deres tidsplan for opdatering og test af dem. Sørg for, at de har en gendannelsesplan på plads, som kan aktiveres med kort varsel. Se på udbyderens historiske resultater, herunder tal for driftsforstyrrelser og nedetid.

Kundesupport og juridiske overvejelser

• Kundesupport: Undersøg, hvilken slags kundesupport din CSP tilbyder. Alt for mange udbydere har langsomme eller ikke-eksisterende svartider. Sørg for, at din udbyder har flere kommunikationskanaler, såsom telefon, chat, e-mail og endda sms.
• Omfattende dokumentation: De tjenester, du betaler for, er komplekse, og tydelig dokumentation er afgørende for at forstå, hvad du tilmelder dig. Læs udbyderens brugervejledninger, manualer og offentliggjorte protokoller igennem.
• Dataejerskab og flytbarhed: Data er et aktiv. Før du underskriver kontrakten, skal du sikre dig, at du ved, hvem der ejer de hostede data, og hvor flytbare de er. Ellers risikerer du at ende med det, du betragter som dine egne data, fanget på eksterne servere og ude af stand til at blive flyttet.

• Gennemsigtighed i datahåndtering og sikkerhedsforanstaltninger: Du skal have indsigt i, hvordan dine data håndteres, og din cloudsikkerhedsudbyder bør prioritere gennemsigtighed højt. Forsøg på forhånd at fastlægge, hvordan data opbevares og flyttes, hvilken form for sikkerhed der er på plads, og hvordan disse systemer vedligeholdes.
• Juridisk support efterfølgende: Hvis dine data bliver kompromitteret, kan der opstå juridiske problemer. Hvor meget support kan du forvente fra din CSP? Vil de lade, som om de aldrig har hørt om dig, eller får du adgang til deres juridiske team? Vil de påtage sig et delt ansvar, eller er du overladt til dig selv? Find ud af det, og planlæg derefter.

Bedste praksis for vurdering af cloudsikkerhed

Gennemførelse af grundige risikovurderinger

• Identificer og klassificer aktiver: Få overblik over, hvad du migrerer til skyen, navngiv det hele, og klassificer det efter vigtighed. Det giver dig en prioriteret liste over, hvad der har brug for den bedste sikkerhed.
• Vurder sårbarheder og trusler: Ingen cloudsikkerhedsudbyders løsninger er fejlfri, og beskyttelse mod én trussel gør dig sårbar over for en anden. Kend dine udsatte flanker bedre end hackerne, og hold øje med de specifikke trusler, der er aktive på et givent tidspunkt.
• Vurder konsekvens i forhold til sandsynlighed: Mindre problemer er almindelige, mens alvorlige trusler er sjældne. På den anden side er en mindre fejl sandsynligvis ikke noget stort problem, mens et alvorligt databrud kan lukke dig ned. Afvej sandsynligheden for en trussel mod dens alvor, og planlæg derefter.
• Beslut dig for kontroller: Vælg din sikkerhedsløsning, så den passer til din trusselvurdering. Du ender sandsynligvis med en god blanding af adgangskontroller, overvågningsværktøjer og kryptering både i skyen og hos dig selv.
• Oprethold en løbende risikovurdering: Trusselsbilledet ændrer sig, nogle gange dagligt, og du er nødt til at følge med. Oprethold et løbende opdateret billede af, hvad du beskytter dig mod, og vær altid klar til at foretage ændringer.

Gennemgang af serviceniveauaftaler

• Kend din CSP's forpligtelser: Leverandøren indvilliger i at levere en tjeneste til dig, og det er i din interesse at kende alt, hvad det indebærer. Fastlæg fra begyndelsen, hvad leverandøren er villig til at forpligte sig til med hensyn til oppetid, ydeevne og besvarelse af supportsager.
• Kend de tilgængelige afhjælpninger og sanktioner: Forestil dig, at CSP'en på en eller anden måde ikke lever op til aftalen, og at du er nødt til at søge kompensation for den mangelfulde ydeevne. Har du et klart sæt afhjælpninger, der er fastlagt på forhånd? Det vil normalt være bøder i form af penge eller rabatter på fremtidige tjenester.
• Fastlæg skalerbarhed og fleksibilitet: Du kommer helt sikkert til at vokse efter flytningen, så sørg for, at dit nye cloudcomputing-miljø har plads til dig. Kan tjenesten hurtigt skaleres op og ned? Hvad sker der, når du vokser meget hurtigt? Har du mulighed for problemfrit at opgradere din tjeneste, eller er du bundet til én kontrakt?
• Planlæg flere exitstrategier: Sørg på forhånd for at vide, hvordan du kommer ud. Hvis du på noget tidspunkt er nødt til at afslutte forholdet, skal du sørge for at have en datamigreringsplan fra din udbyders servere til et sikkert sted, selv hvis det blot er en anden SaaS-leverandør. 

Brug de værktøjer, du har, til at vurdere cloudsikkerhed

• Brancheframeworks: Der findes allerede nogle værktøjer på tværs af branchen til evaluering af sikkerhedsproblemer hos en CSP, såsom CSA's Cloud Controls Matrix (CCM) og NIST's Cybersecurity Framework. Brug disse som en del af din tjekliste før migreringen.
• Automatiserede værktøjer: Der findes også nogle avancerede værktøjer, du kan prøve, som automatiserer processen med at scanne efter sårbarheder og krav til overholdelse af lovgivningen. Vær ikke bange for at bruge dem, da de normalt er pengene værd.
• Cloud-sikkerheds-stillingsstyring (CSPM): CSPM kan scanne efter risici, du endnu ikke har fundet, og tage aktive skridt for at beskytte dig, før de når frem til dine servere. Medtag dette i din overordnede trusselsstilling.

Sikkerhed først for CTO'er

Som du kan se, kræver en sikker cloud-migrering en hel del. Mange af de større udbydere, især Microsoft Azure, håndterer nogle af disse problemer for dig, men det er op til dig at kontrollere, at alle detaljer er på plads.

Jeg har delt mine bedste praksisser til evaluering af cloudtjenesteudbyderes sikkerhed, men der findes flere ressourcer om cloudsikkerhed. Du kan også tilmelde dig vores nyhedsbrev for at få de seneste indsigter fra CTO'er.