Den offentlige debatten gjentar ofte det samme spørsmålet – er skytjenester sikre? Harri Kallioniemi deler innsikt om viktige egenskaper ved skyen.
Det er kun på film at hackere hamrer på tastaturet i mørke rom med blinkende LED-lys i bakgrunnen. I virkeligheten sender hackere ofte målrettede eposter vedlagt suspekte koder som åpner et vindu for dem, et startpunkt. Men det avhenger av om brukeren åpner vedlegget. Det menneskelige aspektet er vanskelig å kontrollere i en sikkerhetssammenheng. Det vi kan gjøre er å gjøre det så vanskelig som mulig å komme seg videre fra startpunktet – ved å begrense muligheten til å få tilgang på data og kjapt komme oss videre fra et angrep, vel vitende om at vi har fjernet hackerne helt fra systemet. Å iverksette slike grep er mulig i et hvert miljø, men det er langt enklere og rimeligere å gjøre i den offentlige skyen.
Datasikkerhet er essensielt også i dagens mobile arbeidsliv, særlig når millioner av mennesker bruker skybaserte tjenester til å utføre arbeidsoppgavene sine hjemmefra. Heldigvis gjør skyplattformer med riktig type sikkerhetsmekanismer det enklere for bedrifter å stole på at alle bedriftskritiske data blir håndtert på et sikkert vis.
Første steg er å implementere riktig segregering av tilganger til forskjellige kontoer. Målet her er å sørge for at tilgangen er begrenset til et absolutt minimum, skulle en hacker fått tilgang til en konto. Men jo mer detaljer oppsett du har, jo mer tid (og penger) brukes på å implementere det. Det er snakk om dagesvis, om ikke ukesvis med arbeid for hvert oppsett. Det er her ting blir komplisert og man vanligvis tar «snarveier», som leder til at en hacker får alt for bred tilgang med kun ett enkelt passord. Grunnene til at man tar slike snarveier er ofte mangel på tid eller penger, men slik er dessverre realiteten.
Men her kommer automatisering basert på kode inn i bildet – den eneste bærekraftige måten å sikre riktig segregering av tilganger med en lav nok prislapp og kjapp nok implementeringstid. Det medfører i utgangspunktet tyngre kostnader knyttet til oppsett, men fører også til at hvert enkelt miljø er garantert et oppsett på en sikker måte. Hver tilbyder av offentlig sky har et sett med «best practices» på hvordan konto og brukertilgang bør settes opp.
Steg nummer to er å kryptere data. Selv om hackeren skulle fått tilgang til en konto, ville de ikke kunne lest dataene uten en krypteringsnøkkel. Skyplattformer tilbyr kryptering av permanente og endrede data, sammen med viktige tjenester. Dette tar også hånd om bekymringer man måtte ha rundt «Cloud Act».
Tredje steg er å sikre at miljøet ditt holder seg i tråd med sine egne sikkerhetsregler og har riktig loggføring i sine interne tilsyn. Den største forskjellen her dreier seg om at du kjører kode i stedet for manuell klikking, og dermed også vet nøyaktig hvilke kodeversjoner som har blitt brukt i hvert miljø. Slik vet du også hvordan og hvilke sikkerhetstiltak som bør konfigureres. Du kan også bevise alt med gode logger. For det andre kan du sette opp varsler som går av når kontoer settes opp til å forbigå det oppsatte sikkerhetssystemet.
Sist men ikke minst, om uhellet først skulle være ute og du blir utsatt for et seriøst angrep, vil ditt største hodebry være å finne ut av hva hackeren har klart å endre på og hvilke sårbarheter de har etterlatt seg. Desverre skjer ting veldig kjapt på dette feltet, i og med at hackeren vil fortsette å operere i miljøet og gjenåpne sårbarheter du allerede har lukket. Jeg har lest om tilfeller hvor denne katt og mus leken har vart i månedsvis, i noen tilfeller åresvis. Den eneste måten å sikre et rent miljø er reinstallasjon, men med tradisjonelle manuelle metoder blir dette ofte en siste løsning – mens infra som kode tilnærmingen vi her løfter er en lovende løsning.
Tiltakene vi har løftet frem over er ikke science fiction. De er strategier vi allerede hjelper kundene våre med å implementere i dag. Med slike tiltak på plass ville jeg lagt langt mer tillitt i offentlig sky når det kommer til å lagre bedriftskritiske data, satt opp mot andre løsninger.
Jeg tør også påstå at det økte fokuset på datasikkerhet og forettningsvidereførelse i den digitale verden fort kan føre til krav om slike tiltak fra myndighetenes side og organisasjoners interne sikkerhetsregler. Ved å gå i gang allerede nå vil du kunne sikre systemene og forretningen din i årevis fremover.
Vil du høre mer? Se opptak av webinaret vårt og lær om hvordan å bygge cybersikkerhet inn i DNAet til cloud-applikasjoner.