Slik vurderer du sikkerheten hos en skytjenesteleverandør: Komplett veiledning

Markedet for skytjenester nådde over 550 milliarder dollar i 2021, og det forventes å overstige 2,5 billioner dollar innen 2031. Den relativt lite ressurskrevende tilnærmingen er enklere, raskere og vanligvis billigere. Enda bedre er det at den frigjør mye gulvplass og kompetanse i egne lokaler for bedriften din. Men det finnes en ulempe ved å arbeide i et skymiljø, ettersom de kuraterte tjenestene tar sikkerhetspraksisen ut av hendene dine.

Jeg definerer leverandører av skyplattformer som enhver enhet som tilbyr databehandlings- og datamigreringstjenester etter behov, uten at du trenger å gjøre noe med det. Hvis du ser etter en leverandør av skytjenester, kan vi gå gjennom noen vanlige sikkerhetsrisikoer, sammen med måleverdiene du bør bruke for å evaluere leverandørenes ytelse.

Vanlige sikkerhetsutfordringer i skytjenester

Før du kan vite hvor godt leverandøren din beskytter deg, må du vite hva den beskytter deg mot. I motsetning til vanlige feil har sikkerhetsbrudd dyktige personer på den andre siden som arbeider for å gjøre dem så alvorlige som mulig. Gjennom årene har hackere utviklet utspekulerte måter å utnytte sikkerhetssvakheter på. Her er noen av de vanligste måtene skysikkerheten din kan gå galt på:

• Datainnbrudd: Den direkte veien er den mest populære (og potensielt skadelige) typen sikkerhetsbrudd. Datainnbrudd skjer ofte i skytjenester. De kan oppstå på grunn av tilsynelatende ubetydelige ting, og når de skjer, kan de være ødeleggende. Capital One er et utmerket eksempel på dette. I 2019 førte en enkel svakhet i brannmuren deres hos Amazon Web Services (AWS) til at data om 100 millioner kunder ble offentliggjort. Det var alvorlig nok til at selskapet nå har en permanent lenke på hjemmesiden for å holde folk oppdatert om gruppesøksmålet.
• Dårlig identitets- og tilgangsstyring (IAM): Omtrent 67 % av verdens skytjenester leveres av bare fire selskaper, og AWS alene dekker halvparten av dette. Med så mange kunder vil ting uunngåelig bli kompliserte, og de svært viktige sikkerhetspolicyene for IAM kan lett svikte og føre til katastrofe. Store leverandører er bedre på dette enn de var tidligere. Likevel må de fortsatt arbeide for å opprettholde solid flerfaktorautentisering og prinsippet om minste privilegium, som er ganske populære bakdører til massive datalekkasjer.
• Usikre grensesnitt og API-er: Slurvete utforming av grensesnitt kan føre til at allmennheten logger seg inn på avdelingen for kundefordringer, eller at salgsteamet får tilgang til private HR-data. Du er bare trygg mot dette hvis du får utført ordentlige tester av en tredjepart som får en hyggelig bonus for å bryte API-et ditt.
• Dårlig oversikt og svake kontroller: Tilbake i 2020 brukte noen utspekulerte hackere et angrep på leverandørkjeden for å sette inn ondsinnet kode hos en offentlig underleverandør kjent som SolarWinds. Den infiserte programvaren, Orion, spredte seg sideveis på tvers av flere kunder og introduserte bakdører til systemene deres. Ingen visste hva som foregikk på rundt ni måneder, ettersom det var svært dårlig oversikt og lite sikkerhetsvalidering. 
• Problemer med delt sikkerhetsmodell: Delt sikkerhet har mer å gjøre med jurister enn ingeniører. En typisk leverandør av skytjenester tar ansvar for skyinfrastrukturen og andre deler den kontrollerer, men du er overlatt til deg selv når det gjelder sikkerheten til dataene dine og eventuell kryptering du investerer i.
• Problemer med samsvar og regelverk: Hvis virksomheten din håndterer noe helserelatert i USA, kjenner du til HIPAA. Hvis du opererer i EU, kjenner du til GDPR. Og i California har du CCPA. Hvis leverandøren din ikke er riktig sertifisert i standarder for personvern rundt forbrukerdata, er det en reell mulighet for at noen av bøtene vil ramme deg, slik som boten på €1.2 billioner som den irske regjeringen ila Meta i mai 2023 for brudd på personvernrettigheter. Sørg for at du for eksempel har et omfattende samsvar med regelverket for skydata på plass.
• Avanserte vedvarende trusler (APTs) og løsepengevirus: I mai 2021 stanset et løsepengevirusangrep mot drivstoffdistribusjonsnettverket Colonial Pipeline i praksis bensinleveransene på østkysten. Bortsett fra de varige bildene av folk som forsøkte å fylle plastposer med bensin, sendte denne hendelsen frysninger nedover ryggen på myndighetene. Ett enkelt, sofistikert hackerangrep gjorde det mulig for ondsinnede aktører å kryptere viktige kontrollkanaler for infrastrukturen og terrorisere folk i et dusin delstater.

Viktige kriterier for å evaluere sikkerheten hos leverandører av skytjenester

Bekrefte samsvar med regelverk og juridiske standarder

• Bransjespesifikke sertifikater: Bransjen din har sannsynligvis standarder som er spesifikke for den. Avhengig av hvor sensitivt arbeidet ditt er, kan dette innebære omfattende revisjoner og regler for offentliggjøring, eller en rask gjennomgang for å forsikre seg om at du ikke smugler uran. Uansett bør leverandøren av skytjenesten din ha sertifikatene bransjen din krever. I helsesektoren er dette HITRUST, kredittkortutstedere har standarden for datasikkerhet i betalingskortbransjen (PCI DSS), og så videre. Store leverandører har vanligvis flere av disse, slik som AWS, som kan skilte med rundt 50 sertifikater.
• Regelmessige samsvarsrevisjoner: Ting går raskt i skytjenester, og samsvar må følges opp kontinuerlig. Sørg for at leverandøren din gjennomgår regelmessige samsvarsrevisjoner, særlig for SSAE 16 og andre sikkerhetsfokuserte undersøkelser.

• Tilpasning til lover i endring: Når teknologien endrer seg, følger lovverket etter med en liten forsinkelse. Finn ut hvordan CSP-en din tilpasser seg endringer i lovverket. Tilbyr den veiledning til kunder når det skjer en betydelig endring et sted? Trenger du det? Hvis du finner ut av dette tidlig, kan du spare deg for mye trøbbel senere.
• Spesielle omstendigheter: Mange skykontrakter er standardiserte, særlig for små og mellomstore virksomheter. Hvis du er en stor aktør med unike behov, kan det hende du trenger en spesialforhandlet kontrakt eller i det minste noen tillegg.

Sikre solid databeskyttelse

• Kryptering: Kryptering er ikke til forhandling. Finn den beste i bransjen og velg dem (på bekostning av andre faktorer). Bransjestandarden er for øyeblikket AES-256, og store leverandører som AWS lar deg velge mellom å administrere nøklene selv eller la dem gjøre det for deg. 
• Sikkerhetskopiering og katastrofegjenoppretting: Solid katastrofegjenoppretting er på samme måte ufravikelig. Hackere er ikke den eneste måten å miste data på, siden et dårlig utformet system er sårbart for server­tap, brann eller asteroidenedslag. Et av de største salgsargumentene for skytjenester er muligheten til å gjenopprette tapte data raskt. CSP-en din må ha en god plan for dette og en dokumentert historikk med god databeskyttelse.
• Helhetlig styring av dataenes livssyklus: Styring av dataenes livssyklus er en samling verktøy som omfatter klassifisering, lagring, arkivering og korrekt kassering av data. For å være virkelig sikker bør CSP-en din ha prosedyrer på plass for alle disse stadiene – omtrent som et legekontor som makulerer gamle journaler i stedet for å bare kaste dem i en søppelkasse bak bygningen.

Styrking av identitets- og tilgangsstyring

• Omfattende brukerautentisering: Ingen av CSP-ens sikkerhetstiltak fungerer egentlig hvis hvem som helst kan logge inn med passordet ditt. Bruker den potensielle CSP-en din flerfaktorautentisering? Biometriske kontroller? Lurespørsmål om hvor du gikk på videregående? Det er upraktisk, men jo mer av dette du har tilgjengelig, desto bedre og sikrere er tilgangspunktene dine.
• Tilgangskontroller: Folk bør bare ha tilgangen de trenger for å utføre jobben sin. I spionverdenen kalles dette «behov for å vite». I teknologiverdenen er det prinsippet om minste privilegium. Kontroller om brukerne er begrenset til det minste nødvendige tilgangsnivået, eller om en leverandør lar dem gå rundt i de konfidensielle databasene dine med uautorisert tilgang.
• Revisjonsspor og IAM-rapportering: CSP-en din må ha et transparent og omfattende revisjonsspor samt mange detaljerte rapporter for alle brukerhandlinger i hvert miljø. Ikke velg en leverandør som liker å holde på hemmeligheter eller etterlater små skygger i rapporteringslandskapet der sikkerhetstrusler kan skjule seg. 

Nettverks- og infrastruktursikkerhet

• Moderne brannmur-beskyttelse: Brannmurbeskyttelsen du får, bør gå langt utover den vanlige pakkefiltreringen du kunne ha utført selv. Se etter en CSP som tilbyr neste generasjons brannmurbeskyttelse (NGFW). Dette kan oppdage og blokkere mer sofistikerte forsøk på nettverket ditt enn bransjestandardalternativene.
• Systemer for inntrengingsdeteksjon og -forebygging (IDPS): Husker du SolarWinds Orion-angrepet jeg nevnte tidligere? Denne katastrofen strakte seg fra sonderingsangrepene sent i 2019 til den endelige løsningen som ble lansert i november 2020. CSP-en din må oppdage skadevare når den dukker opp, og få en løsning implementert så snart som mulig.
• Sikre API-er: Grensesnittet er et svakt punkt i ethvert system. Sørg for at du har et sikkert API som bruker noe robust, som QAuth eller Google Cloud Endpoints, med riktig validering for å holde det sårbare grensesnittet ditt sikkert.
• DDoS-forholdsregler: Distribuerte tjenestenektangrep (DDoS) er like gamle som Morris-ormen. Det er svært enkelt for en ondsinnet aktør å overbelaste nettverket ditt med endeløse forespørsler som bruker opp all båndbredden din. Cloudflare er bransjelederen på dette området, med en solid merittliste når det gjelder håndtering av noen av de største DDoS-angrepene som noensinne er registrert, på opptil millioner av forespørsler per sekund.
• Oppdateringer og oppdateringsfiler: Håndterer CSP-en din aktivt informasjonssikkerhetsøkosystemet ditt med regelmessige oppdateringsfiler og oppdateringer som motvirker de nyeste truslene? Nye sårbarheter oppdages hele tiden, og enhver skytjeneste bør være klar til å håndtere dem når de avdekkes.
• Riktig segmentering: Akkurat som havgående skip har skott under dekk i tilfelle de treffer et isfjell, krever sensitive data segmentering og egne sikkerhetssystemer. Du kan gå enda dypere med mikrosegmentering, som bruker unike sikkerhetsprotokoller på individuelle baner i prosesser.

Håndtering av leverandør- og tredjepartsrisiko

• Leverandørsikkerhet for tredjeparter: De fleste bruker tredjeparter til enkelte applikasjoner og datalagring, og alle må være pålitelige. Sørg for at CSP-en din kontrollerer sikkerhetssertifikater for alle kontraktørene sine, gjennomfører regelmessige sikkerhetsrevisjoner og i det minste vurderer historikken deres for hendelseshåndtering. Vurder også leverandørens tilnærming til kryptering, datatilgang og varsling om datainnbrudd.
• Sikkerhet i leverandørkjeden: Alle applikasjoner og nettverk består av en kjede av produkter og tjenester, og en sårbarhet hvor som helst i denne kjeden utgjør en risiko for sluttbrukeren, altså deg. CSP-en din må kontrollere hele kjeden og validere sikkerhetssertifikater oppover og nedover i kjeden.
• Hendelsesplanlegging og -håndtering: Dårlige ting kan skje med gode nettverk, så leverandøren din bør ha en tydelig plan for hendelseshåndtering for å håndtere nye problemer raskt. Det kan være et datainnbrudd, et DDoS-angrep, oppdagelse av skadevare, beskyttelse mot løsepengevirus eller hva som helst annet.

Fysisk sikkerhet og miljøsikkerhet

• Fysisk tilgangskontroll: Vi tenker på datasikkerhet som kryptering og tilgangsprotokoller, men datasenteret er også et fysisk sted som trenger låser og sikkerhetsvakter. CTO-er bør besøke CSP-ens datasentre for å forsikre seg om at de har et tilstrekkelig nivå av fysisk sikkerhet.

• Miljøkontroller: Datasentre kan også bli rammet av brann og oversvømmelse. Sørg for at datasenteret har et tilstrekkelig halonbasert brannslukkingssystem og pålitelige systemer for temperatur og luftfuktighet. 
• Redundans og sikkerhetskopier: Uansett hvor godt utformet et datasenter er, skjer det dårlige ting. CSP-en din trenger flere redundante systemer og en sikkerhetskopieringsplan for å gjenopprette skadede servere og tapte data. Systemer for avbruddsfri strømforsyning (UPS) er standard, og et visst nivå av tilpassbar RAID-beskyttelse er ideelt.
• Responstid og gjenopprettingstid: Leverandører vil vanligvis fortelle deg om planene sine for hendelseshåndtering og tidsplanen for oppdatering og testing av dem. Sørg for at de har en gjenopprettingsplan som kan aktiveres på kort varsel. Se på leverandørens historiske resultater, inkludert tall for avbrudd og nedetid.

Kundestøtte og juridiske hensyn

• Kundestøtte: Sjekk hvilken type kundestøtte CSP-en din tilbyr. Altfor mange leverandører har langsomme eller ikke-eksisterende responstider. Sørg for at din leverandør har flere kommunikasjonskanaler, for eksempel telefon, chat, e-post og til og med tekstmeldinger.
• Omfattende dokumentasjon: Tjenestene du betaler for, er komplekse, og tydelig dokumentasjon er avgjørende for å forstå hva du inngår avtale om. Les gjennom leverandørens brukerveiledninger, manualer og publiserte protokoller.
• Dataeierskap og portabilitet: Data er en ressurs. Før du signerer kontrakten, må du sørge for at du vet hvem som eier dataene som driftes, og hvor portable de er. Ellers kan du ende opp med det du anser som dine egne data, fanget på eksterne servere og ute av stand til å flyttes.

• Åpenhet om datahåndtering og sikkerhetstiltak: Du må ha innsyn i hvordan dataene dine håndteres, og din skysikkerhetsleverandør bør ha åpenhet høyt på prioriteringslisten. Forsøk å avklare på forhånd hvordan data lagres og flyttes, hva slags sikkerhetstiltak som er på plass, og hvordan disse systemene vedlikeholdes.
• Juridisk støtte i etterkant: Hvis dataene dine faktisk blir utsatt for et sikkerhetsbrudd, kan det oppstå juridiske problemer. Hvor mye støtte kan du regne med fra CSP-en din? Vil de late som om de aldri har hørt om deg, eller får du tilgang til deres juridiske team? Vil de påta seg et delt ansvar, eller er du overlatt til deg selv? Finn ut av dette og planlegg deretter.

Beste praksis for vurdering av skysikkerhet

Gjennomføring av grundige risikovurderinger

• Identifiser og klassifiser ressurser: Vit hva du flytter til skyen, navngi alt, og klassifiser det etter viktighet. Det gir deg en prioritert liste over hva som trenger best sikkerhet.
• Vurder sårbarheter og trusler: Ingen skysikkerhetsleverandørs pakke er idiotsikker, og beskyttelse mot én trussel gjør deg sårbar for en annen. Kjenn dine eksponerte sider bedre enn hackerne gjør, og følg med på de spesifikke truslene som er aktive til enhver tid.
• Vurder konsekvens opp mot sannsynlighet: Mindre problemer er vanlige, mens store trusler er sjeldne. På den annen side er en mindre tabbe sannsynligvis ikke noe stort problem, mens et omfattende sikkerhetsbrudd kan stenge deg ute. Vurder sannsynligheten for en trussel opp mot hvor alvorlig den er, og planlegg deretter.
• Bestem sikkerhetstiltak: Velg sikkerhetspakken slik at den passer til trusselvurderingen din. Du vil sannsynligvis ende opp med en god blanding av tilgangskontroller, overvåkingsverktøy og kryptering i skyen og på din egen side.
• Oppretthold en løpende risikovurdering: Trusselbildet endrer seg, noen ganger daglig, og du må holde tritt. Oppretthold et kontinuerlig oppdatert bilde av hva du beskytter deg mot, og vær alltid klar til å gjøre endringer.

Gjennomgang av tjenestenivåavtaler

• Kjenn CSP-ens forpliktelser: Leverandøren samtykker i å tilby deg en tjeneste, og det er i din interesse å vite alt dette innebærer. Avklar fra starten hva leverandøren er villig til å forplikte seg til når det gjelder oppetid, ytelse og besvarelse av supportsaker.
• Kjenn til tilgjengelige tiltak og sanksjoner: Anta at CSP-en på en eller annen måte ikke leverer som forventet, og at du må kreve kompensasjon for manglende ytelse. Har du et tydelig sett med tiltak som er spesifisert på forhånd? Dette vil vanligvis være økonomiske sanksjoner eller rabatter på fremtidige tjenester.
• Avklar skalerbarhet og fleksibilitet: Du kommer sannsynligvis til å vokse etter flyttingen, så sørg for at det nye nettskybaserte databehandlingsmiljøet har plass til deg. Kan tjenesten skaleres raskt opp og ned? Hva skjer når du vokser svært raskt? Har du mulighet til å oppgradere tjenesten sømløst, eller er du bundet til én kontrakt?
• Planlegg flere strategier for uttreden: Vit på forhånd hvordan du skal komme deg ut. Hvis du noen gang må avslutte forholdet, må du sørge for at du har en plan for datamigrering fra leverandørens servere og til et trygt sted, selv om det bare er en annen SaaS-leverandør. 

Bruk verktøyene du har til å vurdere skysikkerhet

• Bransjerammeverk: Det finnes allerede noen bransjeomfattende verktøy for å evaluere sikkerhetsproblemer hos en skytjenesteleverandør, for eksempel CSAs Cloud Controls Matrix (CCM) og NISTs rammeverk for cybersikkerhet. Bruk disse som en del av sjekklisten før migreringen.
• Automatiserte verktøy: Det finnes også avanserte verktøy du kan prøve, som automatiserer prosessen med å skanne etter sårbarheter og krav til overholdelse av regelverk. Ikke vær redd for å bruke disse, siden de vanligvis er verdt prisen.
• Håndtering av sikkerhetsstilling i skyen (CSPM): CSPM kan skanne etter risikoer du ennå ikke har oppdaget, og iverksette aktive tiltak for å beskytte deg før de når serverne dine. Inkluder dette i den overordnede trusselstillingen din.

Sikkerhet først for CTO-er

Som du ser, er det mye som inngår i en sikker skymigrering. Mange av de større leverandørene, særlig Microsoft Azure, vil håndtere noen av disse problemene for deg, men det er opp til deg å kontrollere at alt er på stell.

Jeg har delt beste praksis for å evaluere sikkerheten hos skytjenesteleverandører, men det finnes flere ressurser om skysikkerhet tilgjengelig. Du kan også abonnere på nyhetsbrevet vårt for å få de nyeste innsiktene fra CTO-er.