Jak ocenić bezpieczeństwo dostawcy usług chmurowych: kompletny przewodnik

Rynek usług chmurowych osiągnął wartość ponad 550 miliardów dolarów w 2021 roku, a według prognoz do 2031 roku przekroczy 2,5 biliona dolarów. Stosunkowo niewymagające zaangażowania podejście jest łatwiejsze, szybsze i zazwyczaj tańsze. Co więcej, pozwala zwolnić znaczną część powierzchni i zasobów kadrowych w siedzibie firmy. Praca w środowisku chmurowym ma jednak również wadę, ponieważ wyselekcjonowane usługi odbierają Ci kontrolę nad praktykami bezpieczeństwa.

Dostawców platform chmurowych definiuję jako każdy podmiot, który zapewnia usługi komputerowe na żądanie i migrację danych bez konieczności podejmowania przez Ciebie jakichkolwiek działań. Jeśli szukasz dostawcy usług chmurowych, omówmy niektóre typowe zagrożenia bezpieczeństwa oraz wskaźniki, których należy używać do oceny wydajności dostawców.

Typowe wyzwania związane z bezpieczeństwem usług chmurowych

Zanim dowiesz się, jak dobrze dostawca Cię chroni, musisz wiedzieć, przed czym Cię chroni. W przeciwieństwie do typowych usterek naruszenia bezpieczeństwa są przeprowadzane przez uzdolnione osoby, które po drugiej stronie celowo starają się wyrządzić jak największe szkody. Przez lata hakerzy opracowali sprytne sposoby wykorzystywania luk w zabezpieczeniach. Oto niektóre z najczęstszych sposobów, na jakie bezpieczeństwo chmury może pójść nie tak:

• Naruszenia bezpieczeństwa danych: Bezpośrednia ścieżka to najpopularniejszy (i potencjalnie najbardziej szkodliwy) rodzaj awarii zabezpieczeń. Do naruszeń bezpieczeństwa danych w usługach chmurowych dochodzi bardzo często. Mogą nastąpić z pozornie błahego powodu, a gdy już do nich dojdzie, ich skutki mogą być katastrofalne. Capital One jest doskonałym przykładem. W 2019 roku prosta luka w zaporze Amazon Web Services (AWS) doprowadziła do ujawnienia danych 100 milionów klientów. Sytuacja była na tyle poważna, że na stronie głównej firmy znajduje się obecnie stały odnośnik, za pomocą którego można śledzić informacje o pozwie zbiorowym.
• Niewłaściwe zarządzanie tożsamością i dostępem (IAM): Około 67% usług chmurowych na świecie jest świadczonych przez zaledwie cztery firmy, przy czym sam AWS odpowiada za połowę tej wartości. Przy tak dużej liczbie klientów sytuacja nieuchronnie się komplikuje, a niezwykle istotne zasady bezpieczeństwa IAM mogą łatwo zostać zaniedbane, prowadząc do katastrofy. Duzi dostawcy radzą sobie z tym lepiej niż kiedyś. Nadal jednak muszą pracować nad utrzymaniem solidnego uwierzytelniania wieloskładnikowego i zasady najmniejszych uprawnień, które są dość popularnymi tylnymi furtkami prowadzącymi do masowych wycieków danych.
• Niebezpieczne interfejsy i interfejsy API: Niedbałe projektowanie interfejsu może sprawić, że osoby postronne uzyskają dostęp do kont działu należności, a zespół sprzedaży będzie mógł przeglądać prywatne dane działu HR. Ochronę przed tym zagrożeniem zapewnią Ci wyłącznie odpowiednie testy przeprowadzone przez zewnętrzną firmę, która otrzyma atrakcyjną premię za złamanie zabezpieczeń Twojego interfejsu API.
• Słaba widoczność i niewystarczające mechanizmy kontroli: W 2020 roku niektórzy sprytni hakerzy wykorzystali atak na łańcuch dostaw, aby wprowadzić złośliwy kod do systemu rządowego wykonawcy znanego jako SolarWinds. Zainfekowane oprogramowanie Orion rozprzestrzeniło się lateralnie wśród wielu klientów i wprowadziło tylne furtki do ich systemów. Przez około dziewięć miesięcy nikt nie wiedział, co się dzieje, ponieważ widoczność była bardzo słaba, a walidacja zabezpieczeń praktycznie nie istniała. 
• Problemy ze współdzielonym modelem bezpieczeństwa: Współdzielone bezpieczeństwo ma więcej wspólnego z prawnikami niż z inżynierami. Typowy dostawca usług chmurowych bierze odpowiedzialność za infrastrukturę chmurową i inne elementy pozostające pod jego kontrolą, ale za bezpieczeństwo swoich danych oraz wszelkie stosowane przez Ciebie szyfrowanie odpowiadasz samodzielnie.
• Problemy związane ze zgodnością i regulacjami: Jeśli Twoje przedsiębiorstwo zajmuje się w Stanach Zjednoczonych czymkolwiek związanym ze zdrowiem, znasz ustawę HIPAA. Jeśli działasz w UE, znasz RODO. W Kalifornii obowiązuje natomiast CCPA. Jeśli Twój dostawca nie posiada odpowiednich certyfikatów zgodności ze standardami ochrony prywatności danych konsumentów, istnieje realne ryzyko, że część kar spadnie na Ciebie, tak jak w przypadku kary w wysokości 1,2 miliarda euro, którą irlandzki rząd nałożył na firmę Meta w maju 2023 roku za naruszenie praw do prywatności. Upewnij się na przykład, że wdrożono odpowiednie zasady zgodności danych w chmurze.
• Zaawansowane trwałe zagrożenia (APTs) i oprogramowanie ransomware: W maju 2021 roku atak ransomware na sieć dystrybucji paliw Colonial Pipeline praktycznie zatrzymał dostawy benzyny na wschodnim wybrzeżu. Poza utrwalonymi obrazami ludzi próbujących napełniać plastikowe torby zakupowe benzyną wydarzenie to wywołało niepokój wśród władz. Pojedynczy, wyrafinowany atak hakerski umożliwił złośliwym podmiotom zaszyfrowanie kluczowych ścieżek sterowania infrastrukturą i sterroryzowanie ludzi w kilkunastu stanach.

Najważniejsze kryteria oceny bezpieczeństwa dostawcy usług chmurowych

Weryfikacja zgodności i standardów prawnych

• Certyfikaty branżowe: Twoja branża prawdopodobnie ma określone dla siebie standardy. W zależności od tego, jak wrażliwa jest Twoja działalność, mogą to być rygorystyczne audyty i zasady ujawniania informacji albo krótkie sprawdzenie, czy przypadkiem nie przemycasz uranu. Tak czy inaczej, Twój dostawca usługi w chmurze powinien posiadać wszystkie certyfikaty wymagane w Twojej branży. W sektorze ochrony zdrowia jest to HITRUST, wystawcy kart kredytowych muszą spełniać standard bezpieczeństwa danych branży kart płatniczych (PCI DSS) i tak dalej. Duzi dostawcy zazwyczaj mają kilka takich certyfikatów, na przykład AWS, który może pochwalić się około 50 certyfikatami.
• Regularne audyty zgodności: W usługach w chmurze wiele rzeczy zmienia się szybko, a zgodność musi być zapewniana na bieżąco. Upewnij się, że Twój dostawca przechodzi regularne audyty zgodności, szczególnie w zakresie SSAE 16 i innych badań skoncentrowanych na bezpieczeństwie.

• Dostosowanie do zmieniających się przepisów: Wraz ze zmianami technologicznymi zmienia się również prawo, choć z niewielkim opóźnieniem. Sprawdź, jak Twój CSP dostosowuje się do zmian prawnych. Czy oferuje klientom wskazówki, gdy gdzieś zachodzi istotna zmiana? Czy jest Ci to potrzebne? Wczesne ustalenie tych kwestii może oszczędzić Ci wielu problemów w przyszłości.
• Szczególne okoliczności: Wiele umów dotyczących chmury ma standardowy charakter, zwłaszcza w przypadku małych i średnich przedsiębiorstw. Jeśli jesteś dużym graczem o wyjątkowych potrzebach, możesz potrzebować specjalnie negocjowanej umowy albo przynajmniej kilku załączników.

Zapewnianie solidnej ochrony danych

• Szyfrowanie: Szyfrowanie nie podlega negocjacjom. Znajdź najlepszego dostawcę w branży i wybierz go, wykluczając inne czynniki. Obecnym standardem branżowym jest AES-256, a duzi dostawcy, tacy jak AWS, pozwalają wybrać, czy klucze będą zarządzane samodzielnie, czy przez dostawcę. 
• Kopia zapasowa i odzyskiwanie po awarii: Solidne odzyskiwanie po awarii jest również niepodlegające negocjacjom. Hakerzy nie są jedynym sposobem na utratę danych, ponieważ źle zaprojektowany system jest podatny na utratę serwera, pożar czy uderzenie asteroidy. Jedną z największych zalet usług w chmurze jest możliwość szybkiego odzyskania utraconych danych. Twój CSP musi mieć dobry plan w tym zakresie oraz udokumentowaną historię skutecznej ochrony danych.
• Kompleksowe zarządzanie cyklem życia danych: Zarządzanie cyklem życia danych to zestaw narzędzi obejmujący klasyfikację, przechowywanie, archiwizację i właściwe usuwanie danych. Aby zapewnić prawdziwe bezpieczeństwo, Twój CSP powinien mieć procedury dotyczące wszystkich tych etapów – podobnie jak gabinet lekarski, który niszczy stare dokumenty zamiast po prostu wrzucać je do kosza na zewnątrz.

Wzmacnianie zarządzania tożsamością i dostępem

• Kompleksowe uwierzytelnianie użytkowników: Żadne środki bezpieczeństwa CSP nie działają właściwie, jeśli każdy może zalogować się za pomocą Twojego hasła. Czy rozważany CSP korzysta z uwierzytelniania wieloskładnikowego? Kontroli biometrycznych? Podchwytliwych pytań o to, gdzie chodziłeś do szkoły średniej? Jest to niewygodne, ale im więcej takich zabezpieczeń masz do dyspozycji, tym lepsze i bezpieczniejsze są Twoje punkty dostępu.
• Kontrola dostępu: Ludzie powinni mieć wyłącznie dostęp potrzebny do wykonywania swoich obowiązków. W świecie szpiegów nazywa się to zasadą wiedzy koniecznej. W technologiach jest to zasada najmniejszych uprawnień. Sprawdź, czy użytkownicy mają dostęp ograniczony do absolutnego minimum niezbędnego do ich pracy, czy też dostawca pozwala im swobodnie poruszać się po Twoich poufnych bazach danych bez upoważnienia.
• Ścieżki audytu i raportowanie IAM: Twój CSP musi zapewniać przejrzystą i kompleksową ścieżkę audytu oraz szczegółowe raportowanie wszystkich działań użytkowników w każdym środowisku. Nie wybieraj dostawcy, który lubi zachowywać sekrety albo pozostawia w raportach małe cienie, w których mogą ukrywać się zagrożenia bezpieczeństwa. 

Bezpieczeństwo sieci i infrastruktury

• Nowoczesna ochrona zaporą sieciową: Ochrona zaporą sieciową, którą otrzymujesz, powinna znacznie wykraczać poza standardowe filtrowanie pakietów, które możesz wykonać samodzielnie. Poszukaj dostawcy usług w chmurze (CSP), który oferuje ochronę za pomocą zapory sieciowej nowej generacji (NGFW). Może ona wykrywać i blokować bardziej wyrafinowane próby ataków na Twoją sieć niż standardowe rozwiązania stosowane w branży.
• Systemy wykrywania i zapobiegania włamaniom (IDPS): Pamiętasz wspomniane wcześniej włamanie do SolarWinds Orion? Ta katastrofa trwała od ataków rozpoznawczych pod koniec 2019 roku do ostatecznej poprawki wydanej w listopadzie 2020 roku. Twój dostawca usług w chmurze musi wykrywać złośliwe oprogramowanie, gdy tylko się pojawi, i jak najszybciej wdrażać poprawki.
• Bezpieczne interfejsy API: Interfejs jest słabym punktem każdego systemu. Upewnij się, że masz bezpieczny interfejs API, który korzysta z czegoś solidnego, takiego jak QAuth lub Google Cloud Endpoints, wraz z odpowiednią walidacją, aby zapewnić bezpieczeństwo podatnego interfejsu.
• Środki ostrożności przeciwko atakom DDoS: Cyberzagrożenia w postaci rozproszonych ataków typu odmowa usługi (DDoS) są równie stare jak robak Morris. Złośliwej osobie niezwykle łatwo jest zablokować Twoją sieć niekończącymi się żądaniami, które wykorzystują całą dostępną przepustowość. Cloudflare jest liderem branży w tej dziedzinie i ma solidną historię obsługi jednych z największych zarejestrowanych ataków DDoS — do milionów żądań na sekundę.
• Aktualizacje i poprawki: Czy Twój dostawca usług w chmurze aktywnie zarządza ekosystemem bezpieczeństwa informacji za pomocą regularnych poprawek i aktualizacji przeciwdziałających najnowszym zagrożeniom? Nowe luki pojawiają się cały czas, a każda usługa w chmurze powinna być gotowa do radzenia sobie z nimi, gdy tylko zostaną wykryte.
• Odpowiednia segmentacja: Tak jak statki oceaniczne mają pod pokładem przedziały na wypadek zderzenia z górą lodową, tak poufne dane wymagają segmentacji i własnych zestawów zabezpieczeń. Możesz pójść jeszcze dalej, stosując mikrosegmentację, która przypisuje unikatowe protokoły bezpieczeństwa poszczególnym ścieżkom w ramach procesów.

Zarządzanie dostawcami i stronami trzecimi

• Bezpieczeństwo dostawców zewnętrznych: Większość firm korzysta z usług podmiotów zewnętrznych w zakresie niektórych aplikacji i przechowywania danych, dlatego wszystkie te elementy muszą być odpowiednio zabezpieczone. Upewnij się, że Twój dostawca usług w chmurze sprawdza certyfikaty bezpieczeństwa wszystkich swoich wykonawców, regularnie przeprowadza audyty bezpieczeństwa i przynajmniej bierze pod uwagę historię ich reagowania na incydenty. Rozważ również podejście dostawcy do szyfrowania, dostępu do danych i powiadamiania o naruszeniach.
• Bezpieczeństwo łańcucha dostaw: Każda aplikacja i sieć jest łańcuchem produktów i usług, a luka w dowolnym miejscu tego łańcucha stanowi zagrożenie dla użytkownika końcowego, czyli dla Ciebie. Twój dostawca usług w chmurze musi zweryfikować cały łańcuch i sprawdzić certyfikaty bezpieczeństwa na każdym jego poziomie.
• Planowanie reagowania na incydenty i reagowanie na nie: Problemy zdarzają się nawet dobrze zabezpieczonym sieciom, dlatego Twój dostawca powinien mieć jasno określony plan reagowania na incydenty, aby szybko radzić sobie z pojawiającymi się problemami. Może to być włamanie, atak DDoS, wykrycie złośliwego oprogramowania, ochrona przed oprogramowaniem ransomware lub cokolwiek innego.

Bezpieczeństwo fizyczne i środowiskowe

• Fizyczne kontrole dostępu: Myślimy o bezpieczeństwie danych jako o szyfrowaniu i protokołach dostępu, ale centrum danych jest również fizyczną lokalizacją, która wymaga zamków i ochrony. Dyrektorzy ds. technologii powinni odwiedzać centra danych dostawców usług w chmurze, aby upewnić się, że zapewniają one odpowiedni poziom ochrony fizycznej.

• Kontrole środowiskowe: Centra danych mogą również zostać uszkodzone przez pożar i powódź. Upewnij się, że centrum ma odpowiedni halonowy system gaszenia pożaru oraz niezawodne systemy kontroli temperatury i wilgotności. 
• Redundancja i kopie zapasowe: Niezależnie od tego, jak dobrze zaprojektowane jest centrum danych, złe rzeczy się zdarzają. Twój dostawca usług w chmurze potrzebuje wielu redundantnych systemów i planu tworzenia kopii zapasowych w celu przywrócenia uszkodzonych serwerów i utraconych danych. Systemy zasilania bezprzerwowego (UPS) są standardem, a pewien poziom konfigurowalnej ochrony RAID jest idealnym rozwiązaniem.
• Czas reakcji i przywracania działania: Dostawcy zazwyczaj informują o swoich planach reagowania na incydenty oraz harmonogramie ich aktualizacji i testowania. Upewnij się, że mają plan przywracania działania, który można uruchomić w krótkim czasie. Sprawdź historyczną skuteczność dostawcy, w tym dane dotyczące awarii i przestojów.

Obsługa klienta i aspekty prawne

• Obsługa klienta: Sprawdź, jaki rodzaj obsługi klienta oferuje Twój dostawca usług chmurowych (CSP). Zdecydowanie zbyt wielu dostawców ma długi czas reakcji lub w ogóle nie odpowiada. Upewnij się, że Twój dostawca oferuje wiele kanałów komunikacji, takich jak telefon, czat, e-mail, a nawet wiadomości tekstowe.
• Kompleksowa dokumentacja: Usługi, za które płacisz, są złożone, a przejrzysta dokumentacja ma kluczowe znaczenie dla zrozumienia, na co się decydujesz. Zapoznaj się z przewodnikami użytkownika, instrukcjami i opublikowanymi protokołami dostawcy.
• Własność i przenośność danych: Dane są zasobem. Przed podpisaniem umowy upewnij się, że wiesz, kto jest właścicielem hostowanych danych i na ile można je przenieść. W przeciwnym razie możesz skończyć z tym, co uważasz za własne dane, uwięzionymi na zdalnych serwerach i niemożliwymi do przeniesienia.

• Przejrzystość w zakresie przetwarzania danych i środków bezpieczeństwa: Musisz mieć wgląd w sposób obsługi Twoich danych, a Twój dostawca bezpieczeństwa chmurowego powinien traktować przejrzystość jako jeden z najważniejszych priorytetów. Spróbuj z wyprzedzeniem ustalić, w jaki sposób dane są przechowywane i przesyłane, jakie zabezpieczenia są stosowane oraz jak te systemy są utrzymywane.
• Wsparcie prawne po wystąpieniu incydentu: Jeśli dojdzie do naruszenia bezpieczeństwa danych, mogą pojawić się problemy prawne. Na jak duże wsparcie ze strony CSP możesz liczyć? Czy dostawca będzie udawać, że nigdy o Tobie nie słyszał, czy uzyskasz dostęp do jego zespołu prawnego? Czy przyjmie współodpowiedzialność, czy zostaniesz z tym sam? Dowiedz się tego i odpowiednio się przygotuj.

Najlepsze praktyki w zakresie oceny bezpieczeństwa chmury

Przeprowadzanie dokładnych ocen ryzyka

• Identyfikacja i klasyfikacja zasobów: Dowiedz się, co migrujesz do chmury, zinwentaryzuj wszystko i sklasyfikuj według znaczenia. Dzięki temu uzyskasz listę priorytetów wskazującą, które elementy wymagają najlepszego zabezpieczenia.
• Ocena podatności i zagrożeń: Żaden pakiet dostawcy bezpieczeństwa chmurowego nie jest całkowicie niezawodny, a ochrona przed jednym zagrożeniem może narazić Cię na inne. Znaj swoje słabe punkty lepiej niż hakerzy i obserwuj konkretne zagrożenia aktywne w danym momencie.
• Ocena wpływu w stosunku do prawdopodobieństwa: Drobne problemy są częste, a poważne zagrożenia rzadkie. Z drugiej strony drobne uchybienie prawdopodobnie nie będzie wielkim problemem, podczas gdy poważne naruszenie może sparaliżować działalność. Oceń prawdopodobieństwo wystąpienia zagrożenia w zestawieniu z jego dotkliwością i odpowiednio zaplanuj działania.
• Wybór środków kontroli: Dobierz pakiet zabezpieczeń do oceny zagrożeń. Prawdopodobnie skończysz z odpowiednim połączeniem mechanizmów kontroli dostępu, narzędzi monitorowania i szyfrowania po stronie chmury oraz własnego środowiska.
• Stała ocena ryzyka: Środowisko zagrożeń zmienia się, czasami codziennie, dlatego musisz za nim nadążać. Utrzymuj stale aktualizowany obraz zagrożeń, przed którymi się chronisz, i zawsze bądź gotowy na wprowadzenie zmian.

Przegląd umów o gwarantowanym poziomie świadczenia usług

• Poznaj zobowiązania swojego CSP: Dostawca zobowiązuje się świadczyć Ci usługę, dlatego warto znać wszystkie związane z tym szczegóły. Od początku ustal, do czego jest gotów się zobowiązać w zakresie dostępności, wydajności i odpowiadania na zgłoszenia do działu pomocy technicznej.
• Poznaj dostępne środki zaradcze i kary: Załóżmy, że CSP w jakiś sposób nie wywiązuje się ze swoich zobowiązań i musisz domagać się zadośćuczynienia za niedostateczną jakość usług. Czy masz jasno określony zestaw środków zaradczych ustalony z wyprzedzeniem? Zwykle są to kary finansowe lub rabaty na przyszłe usługi.
• Ustal skalowalność i elastyczność: Po migracji z pewnością będziesz się rozwijać, dlatego upewnij się, że w nowym środowisku przetwarzania w chmurze jest dla Ciebie wystarczająco dużo miejsca. Czy usługa może szybko zwiększać i zmniejszać skalę? Co się stanie, gdy będziesz rozwijać się bardzo szybko? Czy możesz bezproblemowo uaktualnić usługę, czy też jesteś uwięziony w jednej umowie?
• Zaplanuj wiele strategii wyjścia: Już na początku dowiedz się, jak zakończyć współpracę. Jeśli kiedykolwiek będziesz musieć zerwać relację, upewnij się, że masz plan migracji danych z serwerów dostawcy do bezpiecznego miejsca, nawet jeśli będzie to po prostu inny dostawca SaaS. 

Wykorzystaj dostępne narzędzia do oceny bezpieczeństwa chmury

• Struktury branżowe: Istnieją już narzędzia branżowe do oceny problemów związanych z bezpieczeństwem u dostawcy usług chmurowych (CSP), takie jak Cloud Controls Matrix (CCM) organizacji CSA oraz Cybersecurity Framework organizacji NIST. Uwzględnij je na swojej liście kontrolnej przed migracją.
• Narzędzia automatyczne: Możesz także wypróbować zaawansowane narzędzia, które automatyzują proces skanowania pod kątem luk w zabezpieczeniach oraz wymagań dotyczących zgodności z przepisami. Nie obawiaj się z nich korzystać, ponieważ zazwyczaj są warte swojej ceny.
• Zarządzanie stanem bezpieczeństwa w chmurze (CSPM): CSPM może skanować pod kątem zagrożeń, których jeszcze nie wykryto, oraz aktywnie podejmować działania w celu ochrony, zanim zagrożenia dotrą do serwerów. Uwzględnij to w swojej ogólnej ocenie poziomu zagrożeń.

Bezpieczeństwo przede wszystkim dla dyrektorów technicznych

Jak widać, na bezpieczną migrację do chmury składa się wiele elementów. Wielu większych dostawców, w szczególności Microsoft Azure, zajmie się niektórymi z tych kwestii za Ciebie, ale to Ty musisz sprawdzić, czy wszystko jest dopięte na ostatni guzik.

Podzieliłem się najlepszymi praktykami dotyczącymi oceny bezpieczeństwa dostawcy usług chmurowych, ale dostępnych jest więcej materiałów dotyczących bezpieczeństwa chmury. Możesz także zapisać się do naszego newslettera, aby otrzymywać najnowsze informacje od dyrektorów technicznych.