Hoe veilig is de cloud met cloudbeveiligingshulpmiddelen?

Overal maken organisaties gebruik van cloud computing om kosten te besparen en mobiliteit, flexibiliteit en samenwerking te verbeteren. Ondanks de snelle adoptie zegt echter 96% van de cyberbeveiligingsprofessionals zich op zijn minst matig zorgen te maken over de beveiliging van cloud computing, zo blijkt uit een rapport van ISC2.[1]

Hoe veilig is cloud computing? En wat kunnen organisaties doen om deze te versterken? Het beantwoorden van deze vragen begint met inzicht in veelvoorkomende kwetsbaarheden van cloud computing en de beleidslijnen, processen en hulpmiddelen voor cloudbeveiliging om deze te verminderen.

Wat is cloud computing en hoe veilig is de cloud?

Cloud computing maakt de levering van computerdiensten op aanvraag via het internet mogelijk. Voor bedrijven kunnen deze diensten variëren van databases en opslag tot customer intelligence, data-analyse, human resources-platforms en enterprise resource planning. Cloudcomputing is voor veel organisaties aantrekkelijk omdat het aanzienlijke kostenbesparingen kan opleveren - organisaties abonneren zich meestal op en betalen alleen voor de clouddiensten die ze gebruiken, waardoor ze tijd en geld kunnen besparen die anders aan infrastructuur en IT-beheer zouden worden besteed.

Het andere voordeel van cloud computing is de verbeterde beveiliging. In de meeste gevallen is de cloud veiliger dan on-premise datacenters. Wanneer een bedrijf zijn eigen on-premise datacenter beheert, is het verantwoordelijk voor het verkrijgen van de expertise en middelen om zijn gegevens van eind tot eind op de juiste manier te beveiligen. Cloudgebaseerde providers bieden echter een hoger beveiligingsniveau dan veel bedrijven kunnen evenaren of zich kunnen veroorloven, met name voor groeiende organisaties of organisaties met beperkte financiële middelen.

4 veel voorkomende kwetsbaarheden voor cloud computing en hoe deze te beveiligen

Hoewel organisaties kunnen profiteren van verbeterde beveiliging door naar de cloud te migreren, betekent dit niet dat ze vrij zijn van bedreigingen. Belangrijk is dat cloudbeveiliging een gedeelde verantwoordelijkheid is tussen leveranciers van clouddiensten en hun klanten. Hieronder worden enkele van de grootste risico's van een cloudomgeving besproken en wordt aangegeven wat organisaties kunnen doen om zich tegen deze kwetsbaarheden te beschermen:

• Misconfiguratie.
• Slechte toegangscontrole.
• Fouten en wangedrag van de eindgebruiker.
• Onveilige API's.

Verkeerde configuratie creëert de meeste kwetsbaarheden in de cloud

Hoewel leveranciers van clouddiensten vaak hulpmiddelen bieden om de cloudconfiguratie te helpen beheren, blijft de onjuiste configuratie van cloudresources de meest voorkomende kwetsbaarheid in de cloud, die kan worden misbruikt om toegang te krijgen tot cloudgegevens en -diensten, aldus de Amerikaanse National Security Agency.[2] Onjuiste configuratie kan organisaties op vele manieren beïnvloeden, waardoor ze vatbaarder worden voor bedreigingen zoals denial-of-service-aanvallen en het in gevaar brengen van accounts.

• Hoe het te beveiligen: Organisaties moeten zorgen voor de juiste configuratie, te beginnen met het ontwerp en de automatisering van de infrastructuur. Ze moeten ook technische controles overwegen die verkeerde configuraties voorkomen of beheerders waarschuwen voor verkeerde configuraties, met inbegrip van versleuteling, toegangscontrolelijsten, applicatiegateways, inbraakdetectiesystemen, firewalls voor webtoepassingen en virtuele particuliere netwerken.

Slechte toegangscontrole geeft aanvallers privileges

Slechte toegangscontrole is het gevolg wanneer cloudresources zwakke verificatiemethoden gebruiken of kwetsbaarheden bevatten die verificatiemethoden omzeilen. Hierdoor kunnen aanvallers privileges verhogen en cloudresources in gevaar brengen.

• Hoe het te beveiligen: Bedrijven kunnen slechte toegangscontrole beperken door sterke authenticatie- en autorisatieprotocollen af te dwingen. Deze protocollen omvatten: multifactorauthenticatie, het uitschakelen van protocollen die gebruikmaken van zwakke authenticatie, het beperken van de toegang tot en tussen cloudresources, het gebruik van cloudgebaseerde toegangscontroles op cloudresources, het gebruik van geautomatiseerde hulpmiddelen om toegangslogboeken te controleren op beveiligingsproblemen en het afdwingen van multifactorauthenticatie voor het resetten van wachtwoorden.

Werknemers vormen risico's

Bedrijven die moeite hebben bij te houden hoe medewerkers cloudcomputingdiensten gebruiken, lopen het risico kwetsbaar te worden voor zowel externe aanvallen als beveiligingsrisico's van binnenuit. Eindgebruikers kunnen zonder veel moeite toegang krijgen tot de interne gegevens van een organisatie, zodat zij waardevolle informatie kunnen stelen of door aanvallers kunnen worden misbruikt om soortgelijke schade aan te richten.

• Hoe te beveiligen: Train medewerkers om beveiligingsrisico's te herkennen, waaronder phishing en malware, en leer hen over de gevolgen van kwaadaardige activiteiten. Daarnaast moeten organisaties ervoor zorgen dat er een beperkt aantal mensen is met toegang tot geprivilegieerde centrale servers en beveiligingssystemen, en dat deze personen training krijgen in het omgaan met hun administratieve rechten op de cloud server.

Onveilige API's worden een belangrijke aanvalsvector

Veel API's vereisen toegang tot gevoelige bedrijfsgegevens, en sommige worden openbaar gemaakt om de acceptatie te verbeteren. API's die zonder adequate authenticatie en autorisatie worden geïmplementeerd, vormen echter een risico voor organisaties. Onveilige API's worden een belangrijke aanvalsvector voor kwaadwillenden.

• Hoe te beveiligen: Bedrijven moeten API's ontwikkelen en gebruiken met sterke authenticatie, gegevensversleuteling, monitoring en logging van activiteiten, en toegangscontrole. Zelf ontwikkelde API's moeten grondig worden gecontroleerd op beveiliging en penetratietests ondergaan. Andere API's die niet aan vastgestelde beveiligingsrichtlijnen voldoen, moeten worden vermeden.

4 soorten cloudbeveiliging

Aangezien cloudbeveiliging een gedeelde verantwoordelijkheid is tussen de cloudaanbieder en de afnemer, moeten de afspraken over de verdeling goed worden begrepen. Terwijl een aanbieder doorgaans verantwoordelijk is voor het beveiligen van de infrastructuur, het patchen en configureren van het fysieke netwerk, bijvoorbeeld, kunnen de verantwoordelijkheden van de afnemer het beheer van gebruikers, hun toegangsrechten en gegevensversleuteling omvatten. De volgende hulpmiddelen voor cloudbeveiliging helpen organisaties hun omgeving te versterken:[3]

• Identity and access management (IAM): IAM is een raamwerk van beleidslijnen en technologieën dat organisaties helpt ervoor te zorgen dat de juiste gebruikers de juiste toegang hebben tot zowel cloudgebaseerde als on-premises diensten. IAM creëert en controleert digitale identiteiten voor gebruikers, zodat bedrijven de toegang kunnen controleren en beperken waar en wanneer dat nodig is.
• Security information and event management (SIEM): Deze technologie ondersteunt de opsporing van bedreigingen, de naleving van voorschriften en het beheer van beveiligingsincidenten door het verzamelen en analyseren van beveiligingsgebeurtenissen en -gegevens uit diverse bronnen.
• Gegevensverliespreventie: Deze tools en diensten zorgen voor de beveiliging van cloudgegevens door gebruik te maken van een combinatie van herstelwaarschuwingen, gegevensversleuteling en andere preventieve maatregelen.
• Rampherstel en bedrijfscontinuïteit: Ondanks de beste inspanningen van een organisatie vinden er nog steeds storingen en inbreuken op gegevens plaats. Oplossingen voor noodherstel bieden organisaties de hulpmiddelen, diensten en protocollen die nodig zijn om verloren gegevens te herstellen en de normale bedrijfsactiviteiten te hervatten.

Waarom cloudbeveiligingsbeleid belangrijk is

Een cloudbeveiligingsbeleid is een formele richtlijn die is ontwikkeld om veilige en beveiligde activiteiten in de cloud te waarborgen. Zonder een dergelijk beleid riskeert een bedrijf inbreuken op de beveiliging, financieel verlies en verlies van gegevens, en andere kostbare gevolgen, waaronder boetes wegens niet-naleving van de regelgeving.

Een cloudbeveiligingsbeleid moet omvatten:

• Inleiding waarin de redenen voor het hebben van een cloudbeveiligingsbeleid worden uiteengezet.
• Doel en werkingssfeer van het beleid.
• Operationele details.
• Leiderschap, inclusief wie verantwoordelijk is voor het goedkeuren en uitvoeren ervan.
• Monitoringplan om na te gaan of het beleid wordt nageleefd, met inbegrip van evaluaties en penetratietests.
• Sancties bij niet-naleving van het beleid.

De kern van de zaak

Cloud computing kan organisaties belangrijke kansen en kostenbesparingen opleveren. Hoewel beveiliging een belangrijk punt van zorg blijft, kunnen bedrijven zichzelf en hun gegevens beschermen door inzicht te krijgen in de meest voorkomende bedreigingen en het juiste beleid, de juiste processen en de juiste hulpmiddelen in te voeren.

[1] "2021 Cloud Security Report," ISC2

[2] "Mitigating Cloud Vulnerabilities," National Security Agency

[3] "Wat is cloudbeveiliging?", IBM