Что такое облачная безопасность?

• Использование искусственного интеллекта (AI) и машинного обучения (ML) для автоматической адаптации к угрозам безопасности и их устранения
• Использование автономных возможностей для масштабирования реагирования, нейтрализации рисков и устранения ошибок в сфере безопасности.
• Проактивная защита данных с помощью средств контроля доступа, управление рисками пользователей и обеспечение прозрачности, а также предоставление инструментов для анализа и классификации.
• Применение модели общей ответственности за безопасность в облаке, чтобы со знанием дела принимать меры по обеспечению безопасности на пути между клиентом и поставщиком облачных услуг
• Встраивание функций безопасности в дизайн архитектуры для реализации подхода «безопасность превыше всего».

Облачная безопасность предоставляет организациям подход к решению проблем безопасности и обеспечивает соблюдение нормативных требований. Эффективное обеспечение безопасности облака требует наличия нескольких уровней защиты в рамках стека облачных технологий, в который входят следующие:

• Средства превентивного контроля, предназначенные для блокировки авторизованного доступа к конфиденциальным системам и данным.
• Средства детективного контроля, предназначенные для выявления несанкционированного доступа к системам и данным и их изменений посредством проведения аудита, мониторинга и отчетности.
• Средства автоматического контроля, предназначенные для предотвращения, обнаружения и реагирования на обновления безопасности, как регулярные, так и критически важные.
• Средства административного контроля, разработанные для контроля за применением политик, стандартов, практик и процедур безопасности.

Машинное обучение и искусственный интеллект позволяют дополнить портфель систем облачной безопасности технологиями контекстной осведомленности. Облачная безопасность позволяет предприятиям защищать IaaS, PaaS и SaaS, распространяя защиту на сетевой, аппаратный, операционный, прикладной уровни, уровень кристаллов и уровень хранения данных.

Облачная безопасность облака — это общая ответственность провайдера облака и клиента за безопасность. Модель общей ответственности за безопасность в облаке — это базовая конструкция для управления безопасностью и рисками в облаке, позволяющая разделить обязанности между поставщиком облачных сервисов и абонентом. Четкое понимание модели общей ответственности за безопасность для всех типов облачных сервисов имеет решающее значение для программ облачной безопасности. К сожалению, можно также сказать, что модель общей ответственности за безопасность является одной из наименее понятных концепций безопасности в облаке. На самом деле, если сравнивать с поставщиком облачных услуг (CSP), только 8 % CISO полностью понимают свою роль в обеспечении безопасности SaaS. Проще говоря, модель общей ответственности за безопасность определяет зону ответственности поставщика облачных услуг по обеспечению безопасности и доступности услуги, а также зону ответственности клиента за обеспечение безопасного пользования услугой, где каждому отводятся свои конкретные обязанности.

Компании должны понимать свои обязанности. Неспособность адекватно защитить данные может привести к серьезным и дорогостоящим последствиям. Многие организации, которые столкнутся с последствиями взлома, могут оказаться не в состоянии покрыть расходы, даже крупные компании могут ощутить последствия для своих финансовых показателей. Смысл модели общей ответственности за безопасность заключается в обеспечении гибкости с помощью встроенных средств защиты, позволяющих быстро развертывать систему. Поэтому организации должны понимать свои обязанности по обеспечению безопасности в облаке: обычно это называют безопасностью «из» облака и безопасностью «в» облаке.

Сегодня предприятиям предлагается широкий спектр средств защиты облачных сред для обеспечения безопасности при переносе рабочих нагрузок и данных в облако. Однако некоторые из этих инструментов поставляются с индивидуальными инструкциями и предлагаются как отдельные услуги. Пользователи и администраторы облачных решений должны знать, как работают сервисы облачной безопасности, как их правильно настроить и как поддерживать развернутые облачные решения. Хотя сегодня нет недостатка в разных системах обеспечения безопасности, их может быть сложно настраивать и можно легко допустить ошибку в одной области. Кроме того, постоянный риск фишинга и вредоносных программ, растущее кибермошенничество и целый ряд неправильно сконфигурированных облачных сервисов оказывают еще большее давление на программы кибербезопасности, которые уже решают так очень сложные задачи. В результате организации сталкиваются с утечкой данных, а это влечет за собой ущерб бренду, затраты на восстановление и штрафы. Ниже приведены несколько важных требований для обеспечения безопасности данных в облаке:

• Общая ответственность за безопасность и доверие: доверие имеет первостепенное значение при выборе партнера по облаку, который будет отвечать за свою часть модели общей безопасности. Организации должны четко понимать свои роли и обязанности, а также иметь доступ к независимым сторонним аудитам и аттестациям систем безопасности.
• Автоматизация и машинное обучение: облачные угрозы несутся со скоростью автомобиля, а традиционные корпоративные системы безопасности могут анализировать инциденты и реагировать на них со скоростью человека. Современная система безопасности в облачных средах должна автоматизировать обнаружение угроз и реагирование на них. Для сложных угроз требуются новые современные решения безопасности, которые способны прогнозировать, предотврать, обнаруживать угрозы и и реагировать на них с помощью машинного обучения.
• Эшелонированная защита: многоуровневая система безопасности по всему технологическому стеку должна включать средства превентивного, детективного и административного контроля за соответствующими людьми, процессами и технологиями для обеспечения безопасности физических центров обработки данных поставщиков облачных услуг.
• Управление учетными записями: по мере того как мобильные устройства, приложения и сведения о пользователях используются все шире, учетные записи становятся новым периметром. Важнейшее значение имеет контроль доступа и привилегий в облаке и локальных системах.
• Прозрачность: брокер защиты доступа в облако и решение для управления средствами обеспечения безопасности в облаке увеличивают прозрачность и контроль над всей облачной средой организации.
• Постоянное соответствие требованиям: соответствие нормативным требованиям является обязательным, но соответствие и безопасность – это не одно и то же. Организации могут нарушить нормативные требования, не нарушая при этом безопасность, например, в результате изменений и ошибок конфигурации. Для компаний очень важно иметь решение по управлению облачными средами, которое предоставляет полные, своевременные и действенные данные, связанные с соблюдением нормативных требований, по всем облачным средам.
• Безопасность по умолчанию: поставщик облачных услуг должен активировать средства контроля безопасности по умолчанию, а не требовать от предприятия помнить о том, что их нужно включать. Не все имеют четкое представление о различных средствах управления безопасностью и о том, как они работают вместе для снижения риска и создания полноценной системы безопасности. Например, шифрование данных должно быть включено по умолчанию. В облаках должны применяться согласованные средства контроля и политики защиты данных.
• Мониторинг и миграция: для обеспечения безопасности рабочих нагрузок администраторам политик безопасности следует настроить и обеспечить соблюдение политик безопасности для облачных пользователей и секций. Унифицирование представление всех средств контроля облачной безопасности по всем пользователям облака также необходимо для обнаружения ошибок конфигурации ресурсов и небезопасных действий по всем пользователям, что предоставляет администраторам безопасности возможность отслеживать и решать проблемы безопасности облака.
• Разделение обязанностей и доступ с минимальными привелегиями: принципы разделения обязанностей и доступа с минимальными привилегиями – это практические рекомендации по безопасности, которые следует применять в облачных средах. Таким образом Вы сможете гарантировать, что отдельные лица не будут обладать чрезмерными административными правами и не смогут получить доступ к конфиденциальным данным без дополнительной авторизации.

Вебкаст: Cloud Guard и Security Zones (21:37)

Поскольку внедрение облачных сред продолжает ускоряться как результат приоритетных целей цифровой трансформации, компании должны предвидеть сложности обеспечения безопасности своих облачных сред и уметь разбираться в них. Очень важно выбрать поставщика облачный услуг, который сможет разработать систему безопасности, автоматически встроенную во весь стек облачных технологий (IaaS, PaaS, SaaS). При рассмотрении перспектив развития облачной безопасности необходимо дополнить учитывать следующие моменты:

• Безопасность облачной инфраструктуры: защита рабочих нагрузок с применением подхода «безопасность превыше всего», ориентированного на безопасность вычислений, сетей и систем хранения облачной инфраструктуры, начиная с ее архитектуры. Применение основных служб безопасности для обеспечения необходимого уровня безопасности для самых важных бизнес-нагрузок.
• Облачная безопасность баз данных: уменьшение риска утечки данных и ускорение соблюдения нормативных требований в облаке. Внедрение решений по обеспечению безопасности баз данных, включающих шифрование, управление ключами, маскирование данных, контроль доступа привилегированных пользователей, мониторинг активности и аудит.
• Безопасность облачных приложений: защита критически важных приложений от мошенничества и неправомерного использования абсолютно необходима для защиты важных бизнес-данных Вашей компании. Детальный контроль доступа, прозрачность и мониторинг являются ключевыми компонентами современной многоуровневой обороны.
• Корпоративная безопасность и конфиденциальность: защита конфиденциальности, целостности и доступности данных и систем, размещенных в облаке, независимо от выбранного облачного продукта.
• Передовое обслуживание клиентов: при переходе к облачным и мультиоблачным средам группам безопасности приходится сталкиваться с растущей поверхностью атаки, перегрузкой предупреждениями и нехваткой навыков обеспечения кибербезопасности. Для решения этих проблем используйте передовые сервисы от поставщика облачных услуг.
• Управление учетными записями и доступом (IAM): контролируйте, кто имеет доступ к Вашим данным, какой тип доступа они имеют и к каким конкретным ресурсам, используя защищенные учетные данные, независимо от того, размещены ли они в облаке или локально.

1. Отчет Oracle и KPMG по облачным угрозам (PDF)
2. Техническое руководство: обеспечение безопасности СУБД Oracle Database (PDF)