Tegengaan van de cyberrisico's van verkeerd geconfigureerde clouddiensten

Met grote macht komt grote verantwoordelijkheid. Clouddiensten hebben bedrijven in staat gesteld hun activiteiten te herstructureren voor werken op afstand, in een blijvende verandering die het gevolg is van de pandemie. Maar te veel bedrijven hebben de beveiligingsinstellingen van die diensten over het hoofd gezien of verkeerd gebruikt, waardoor ze zichzelf blootstelden aan cyberaanvallen.

Wat is een verkeerde configuratie in de cloud?

Er is sprake van een misconfiguratie wanneer uw instellingen op een cloud-gerelateerd systeem, bedrijfsmiddel of hulpmiddel onvoldoende beveiliging bieden voor uw netwerk en gegevens. Het probleem wordt ingewikkelder naarmate veel bedrijven meer dan één cloudservice gebruiken voor e-mail, gegevensopslag, samenwerking , klantenrelatiebeheer en andere functies. Typische misconfiguraties zijn opslag die aan het internet is blootgesteld, het niet instellen of bijwerken van beveiligingsconfiguraties op veelgebruikte cloudplatforms zoals Microsoft 365, en het onjuist beheren van toegangsrechten voor gegevens, toepassingen, systemen en diensten.

Cybercriminelen kunnen van dergelijke gaten gebruikmaken en zich dan gemakkelijk door het netwerk van uw bedrijf verplaatsen van de ene clouddienst naar de andere, om gegevens te stelen of ransomware te droppen. In bijna alle gevallen van falende cloudbeveiliging is het "de gebruiker, niet de cloudaanbieder, die er niet in slaagt de controles te beheren die worden gebruikt om de gegevens van een organisatie te beschermen", aldus marktonderzoeksbureau Gartner. [1]

Waarom zo veel verkeerde configuraties bij cloudbeveiliging?

Voor bedrijven - vooral kleinere - is het moeilijk om de groeiende complexiteit van meerdere cloud-diensten en werken op afstand te beheren. Hun uitdagingen bij het beveiligen van die diensten zijn onder meer:

• Tekort aan vaardigheden: Bijna de helft van de ondervraagde bedrijven zegt dat het hun personeel ontbreekt aan deskundigheid op cloudgebied, en ongeveer een derde had gewoonweg niet genoeg personeel om hun clouddiensten te beheren, zo blijkt uit het dit jaar verschenen rapport "State of Cloud Security" van de Cloud Security Alliance (CSA).[2]
• Tijd en geld: Vaak kunnen bedrijven niet genoeg tijd besteden of hebben ze niet het budget om beveiligingscontroles in de cloud te implementeren.
• Gebrek aan bewustzijn: Veel bedrijven denken dat hun leveranciers van clouddiensten standaard in hun beveiligingsbehoeften voorzien, terwijl het eigenlijk een gedeelde verantwoordelijkheid is die beveiligingsmaatregelen van beide partijen vereist. Of zij begrijpen niet welke implicaties hun beveiligingsmaatregelen kunnen hebben voor andere vereisten, zoals naleving van gegevensbescherming.
• Pushback: Line-of-business-medewerkers en zelfs het hogere management staan erom bekend dat ze zich verzetten tegen omslachtige beveiligingsprotocollen, zoals multifactorauthenticatie, die volgens hen hun bedrijfsprocessen en werkstromen verstoren.
• Complexe beveiligingshulpmiddelen: Wanneer leveranciers van clouddiensten add-on beveiligingsfuncties aanbieden, kunnen deze moeilijk te implementeren zijn. Hetzelfde kan gelden voor hulpprogramma's van derden, vooral wanneer wordt gegoocheld met meerdere clouddiensten en beveiligingstools. De "continue integratie/continue levering"-praktijken (CI/CD) van clouddienstverleners voor het vrijgeven van functies kunnen de deur openzetten voor meer fouten.
• Shadow IT: Externe medewerkers die als workaround gebruikmaken van niet-goedgekeurde clouddiensten, lopen een extreem risico op verkeerde configuratie.
• Gebrek aan zichtbaarheid en bescherming: Zodra een aanval "landt" als gevolg van een verkeerde configuratie, kan deze zich vervolgens onopgemerkt uitbreiden door een gebrek aan zichtbaarheid en gegevens exfiltreren, vooral wanneer er geen tools voor de bescherming tegen gegevensverlies (DLP) aanwezig zijn.[3]
• Menselijke fouten: De eisen die aan beveiligingsteams en systeembeheerders worden gesteld, kunnen ertoe leiden dat zij sluipwegen nemen of gewoon de verkeerde toetsaanslag maken.

Wat is de impact van verkeerde configuratie in de cloud?

"Hoe meer je verkeerd geconfigureerd bent, hoe vatbaarder je bent voor data-exfiltratie en andere aanvalsvormen," zegt Mimecast Senior Product Marketing Manager Andrew Williams. En de straf kan zwaar zijn. "De gevolgen zijn massale datalekken", zegt hij. "Als we kijken naar de top 10 datalekken die de afgelopen zes maanden hebben plaatsgevonden, zijn de meeste het gevolg van een verkeerde configuratie of een gebrek aan de security basics in een cloudomgeving."

Studie na studie onderstreept dit grote en groeiende probleem, waaronder:

• Het gezaghebbende "Data Breach Investigations Report" van Verizon rangschikt misconfiguraties in de top vijf patronen van inbreuken in 2021, achter social engineering, webapplicatie-aanvallen en systeeminbraken.[4]
• Volgens een schatting van de sector was 65% van de openbaar gemaakte veiligheidsincidenten in de cloud het gevolg van verkeerde configuraties van de klant.[5]
• Bedrijven zijn niet zo streng voor zichzelf, in de CSA-enquête. Toch zijn verkeerde beveiligingsconfiguraties nog steeds de belangrijkste oorzaak van beveiligingsincidenten, samen met "problemen met de cloudprovider". In sommige gevallen hebben inbreuken geleid tot vingerwijzen tussen cloud service providers en hun klanten over wie de schuldige was.
• Misconfiguraties kosten bedrijven in 2019 wereldwijd bijna 3,18 biljoen dollar, gebaseerd op de geschatte kosten van verloren gegevens.[6]

Hoe verkeerde configuraties in de cloud te verminderen

Er worden verschillende stappen geadviseerd om verkeerde configuraties in de cloud en de aanvallen die zij uitlokken te beperken, waarbij risicobeheer, beleid, processen, technologie en mensen een rol spelen. Daaronder:

• Risicobeheer: Het huidige beveiligingsbeleid en de huidige beveiligingsconfiguraties op lacunes beoordelen, intern of met een verkoper of consultant.
• Beleid en processen: Implementeer en handhaaf beleid inzake eigendom, verantwoordelijkheid en risicoacceptatie van de cloud, met inbegrip van centraal beheer en toezicht.
• Technologie: Introduceer meer automatisering, zichtbaarheid en gegevensbescherming op het gebied van beveiliging. Er komen geïntegreerde tools op de markt om enkele uitdagingen van het beveiligen van multicloudomgevingen te verlichten.
• Mensen: Pak eventuele lacunes in vaardigheden aan met training en certificeringen, hetzij van professionele instituten, hetzij van uw leveranciers. Of werk samen met leveranciers van beheerde beveiligingsdiensten.

De kern van de zaak

Uit onderzoek blijkt dat de verkeerde configuratie van cloudbeveiliging een van de belangrijkste bijdragen levert aan cyberaanvallen. Bedrijven moeten inzicht krijgen in de oorzaken, gevolgen en mogelijke oplossingen voor dit grote en groeiende probleem.

[1] " Is de Cloud veilig? ," Gartner

[2] " State of Cloud Security ," Cloud Security Alliance

[3] " The Infrastructure-as-a-Service Adoption and Risk Report ," McAfee

[4] " Data Breach Investigations Report 2021 ," Verizon

[5] " Cloud Threat Report 2021 ," Palo Alto Networks

[6] " Cloud Misconfiguratie Rapport ," Divvy