Wat zijn de grootste beveiligingsrisico's voor cloud computing?

Met grote namen als Amazon, Google en Microsoft die strijden om marktaandeel, en gestimuleerd door een toename van werken op afstand en uitgebreide online diensten als gevolg van de pandemie, is cloud computing een van de belangrijkste computerplatforms geworden waarop grote en kleine bedrijven steunen. Nu de helft van alle bedrijfsgegevens in de cloud is opgeslagen, [1] is het gemakkelijk te begrijpen dat deze hyperverbonden vorm van resource-sharing en softwarelevering ook een aantrekkelijk doelwit is voor cybercriminelen. Daarom moeten organisaties volledig begrijpen wat er op het spel staat en welke maatregelen ze kunnen nemen om hun risico's te beperken.

Inleiding tot de beveiliging van cloud computing

Het wereldwijde onderzoeks- en adviesbureau Gartner definieert cloud computing als "een manier van computergebruik waarbij schaalbare en elastische IT-mogelijkheden als een dienst worden geleverd met behulp van internettechnologieën". [2] Dus in plaats van miljoenen dollars en weken of maanden te moeten investeren in het uitbouwen van hun eigen datacenters, applicaties en diensten, hebben bedrijven nu de beschikking over directe toegang tot opslag, extra bandbreedte en rekenkracht, en een verscheidenheid aan computerdiensten en gespecialiseerde bedrijfsapplicaties door simpelweg een abonnement te nemen op een cloud computing provider, zoals Amazon Web Services (AWS) of Microsoft Azure.

Wereldwijd zullen de uitgaven van eindgebruikers aan openbare clouddiensten naar verwachting 332,3 miljard dollar bedragen in 2021 en 397,5 miljard dollar in 2022 - een stijging van 20%, volgens Gartner. [3] Onder de vele zakelijke voordelen van cloud computing: lagere IT-kosten, de mogelijkheid om te groeien en nieuwe mogelijkheden snel uit te rollen, de mogelijkheid om de prestaties te verhogen bij pieken in de vraag en verbeterde samenwerking tussen afdelingen.

Clouddiensten worden doorgaans onderverdeeld in drie soorten dienstenmodellen:

• Software-as-a-service (SaaS) biedt eindgebruikers toegang tot toepassingen.
• Platform-as-a-service (PaaS) voorziet ontwikkelaars van de software en besturingssystemen die zij nodig hebben om toepassingen voor de cloud te bouwen.
• Infrastructure-as-a-service (IaaS) voorziet bedrijven van cloud-gebaseerde infrastructuur, zoals servers.

Hoewel alle modellen doorgaans volgens een abonnementsmodel worden aangerekend, varieert de prijs naargelang van de hoeveelheid gebruikte bandbreedte, het aantal gebruikers (bijvoorbeeld werknemers die toegang hebben tot de diensten), de gebruikte toepassingen, de opslagvereisten, de uptime-eisen, enzovoort.

Top 5 beveiligingsrisico's cloud computing

Weinig of geen technologieën worden geleverd zonder een zeker veiligheidsrisico. Cloudcomputing vormt hierop geen uitzondering - en niet zonder reden: Zeventig procent van de IT-managers zegt dat hun bedrijven in het afgelopen jaar te maken hebben gehad met een beveiligingsincident in de publieke cloud, zoals malware, ransomware of gestolen accountgegevens, volgens het Sophos-rapport "The State of Cloud Security 2020". [4] Enkele van de grootste beveiligingsrisico's zijn:

1. Inbreuken op en lekken van gegevens: Cloudcomputingaanbieders slaan doorgaans gevoelige informatie van een bedrijf op, zoals intellectuele eigendom en klantgegevens. Die gegevens kunnen echter uitlekken, verloren gaan of als losgeld dienen als de provider niet over de juiste beveiligingsmaatregelen beschikt en wordt gehackt of zijn systemen het laten afweten. Verlies en uitlekken van gegevens was zelfs de grootste zorg onder de respondenten van het rapport.
2. Kwetsbare webapps: Kwetsbaarheden in webapps, die organisaties en hun klanten verbinden met clouddiensten, kunnen worden uitgebuit door op gegevens beluste cybercriminelen. Tekortkomingen met betrekking tot encryptieconfiguraties, authenticatiebeheer en bedrijfslogica behoren tot de potentiële problemen van webapps.[5]
3. DDoS-aanvallen: DDoS-aanvallen (Distributed Denial-of-Service), waarbij de servers van een bedrijf worden overspoeld met valse verzoeken om informatie, zijn met name gevaarlijk in cloudcomputingomgevingen. Een aanhoudende DDoS-aanval kan leiden tot langdurige onderbrekingen van de dienstverlening, met bedrijfsstilstand en inkomstenderving tot gevolg.
4. Problemen met naleving: Bedrijven in bepaalde sectoren moeten de informatie die ze verzamelen streng in de gaten houden vanwege privacyvoorschriften zoals de Health Insurance Portability and Accountability Act (HIPAA) en de General Data Protection Regulation (GDPR) van Europa. Als een clouddienst wordt blootgesteld aan inbreuken waardoor gegevens worden blootgesteld of verloren gaan, kunnen bedrijven zich niet meer aan de regels houden en boetes opgelegd krijgen.
5. Wantrouwen van klanten: Als er iets misgaat, maakt het voor eindklanten niet veel uit of hun gegevens zich op een locatie of in de cloud bevinden. Die klanten zullen u verantwoordelijk houden. De goodwill van de klant kan verloren gaan en bijgevolg ook zijn omzet.

Beveiligingsmaatregelen voor het beheren en verminderen van cloudrisico's

Ondanks deze zorgen hebben bedrijven een aantal manieren tot hun beschikking om hun cyberbeveiligingsrisico's te verminderen en de vruchten te plukken van cloud computing. Hier volgen enkele stappen om te overwegen:

1. Maak altijd back-ups van gegevens: Deze oude mantra is nog steeds relevant in de cloud. Het uitbesteden van de controle over uw gegevens aan een derde partij mag niet ten koste gaan van het maken van back-ups. Frequente, volledige back-ups zijn de beste preventieve maatregelen, niet alleen tegen bedreigingen zoals ransomware, maar ook tegen gegevensverlies als gevolg van technische problemen. Simpelweg gegevens migreren van het ene systeem naar het andere kan leiden tot rampzalig gegevensverlies, zoals op beruchte wijze is aangetoond door MySpace's vernietiging van meer dan tien jaar aan klantgegevens.[6]
2. Pen-tests voor webapps: Een slimme manier om kwetsbaarheden in webapps op te sporen - hopelijk voordat de slechteriken dat doen - is het simuleren van een cyberaanval om te zien waar er mogelijk beveiligingslekken zitten. Zogenaamde penetratietests moeten regelmatig worden uitgevoerd om zwakke plekken en app-kwetsbaarheden op te sporen, te repareren en te voorkomen. (Voor meer, lees "A Guide to Web Application Penetration Testing.")
3. Multifactorauthenticatie: Multifactorauthenticatie, waarbij twee of meer referenties vereist zijn om de identiteit van een gebruiker te bevestigen, vermindert de bedreigingen die uitgaan van de toegenomen toegang op afstand. Voor het inloggen op een webapp kan bijvoorbeeld een wachtwoord nodig zijn, maar ook een code die naar de smartphone van de klant wordt gestuurd.
4. Geodiversiteit: Werk met een cloudprovider die gegevens opslaat op servers op verschillende locaties, in plaats van slechts op één fysieke locatie. Dit kan helpen voorkomen dat informatie of diensten verloren gaan wanneer een bepaald datacenter wordt aangevallen.
5. Controleer cloudconfiguraties: En doe dit regelmatig. Verkeerd geconfigureerde clouddiensten, zoals verkeerd beheer van toegangsrechten en opslag die aan het internet is blootgesteld, maken bedrijven kwetsbaar voor cyberaanvallen. Dit probleem wordt nog verergerd: Hoe meer diensten een bedrijf gebruikt van verschillende leveranciers, hoe meer risico het loopt.

De kern van de zaak

Cloudcomputing heeft bedrijven van elke omvang in staat gesteld te groeien en te schalen zonder grote kapitaalinvesteringen te hoeven doen. Het publieke karakter van de cloud brengt echter ook het risico van uiteenlopende cyberaanvallen met zich mee. Door deze bedreigingen te begrijpen en de juiste preventieve maatregelen te nemen, kunnen bedrijven nog steeds profiteren van de voordelen van clouddiensten, terwijl de gevaren tot een minimum worden beperkt.

[1] " Aandeel van bedrijfsgegevens opgeslagen in de cloud in organisaties wereldwijd van 2015 tot 2020 ," Statista

[2] Gartner-woordenlijst

[3] " Gartner Forecasts Worldwide Public Cloud End-User Spending to Grow 23% in 2021 ," Gartner

[4] " De staat van cloudbeveiliging 2021 ," Sophos

[5] " Web Application Security ," Synopsys

[6] " MySpace geeft toe 12 jaar aan muziekuploads te zijn kwijtgeraakt ," BBC