Wat is netwerkbeveiliging in de cloud en hoe bereik je het?

De cloud blijft de zakelijke technologiediscussies en -strategie domineren. De uitgaven van eindgebruikers aan openbare clouddiensten zullen in 2021 wereldwijd met 18,4% groeien tot een totaal van $ 304,9 miljard, tegen $ 257,5 miljard in 2020, aldus marktonderzoeksbureau Gartner.[1] In 2021 is de cloud de drijvende kracht achter de manier waarop bedrijven zich aanpassen aan het "nieuwe normaal" nu de wereld de COVID-19 pandemie achter zich laat, aldus marktonderzoekers van Forrester.[2] Om ervoor te zorgen dat de flexibiliteit, schaalbaarheid en kostenbesparingen van de cloud volledig kunnen worden benut, moet in elke discussie over de uitbreiding van cloudnetwerken ook de beveiliging van cloudnetwerken aan de orde komen.

Wat is netwerkbeveiliging in de cloud?

Bij het definiëren van cloud-netwerkbeveiliging is het belangrijk om eerst netwerkbeveiliging te definiëren. Volgens het SANS Institute for security research and training,[3] "Netwerkbeveiliging is het proces van het nemen van fysieke en softwarematige preventieve maatregelen om de onderliggende netwerkinfrastructuur te beschermen tegen ongeautoriseerde toegang, misbruik, storing, wijziging, vernietiging of ongepaste openbaarmaking, waardoor een veilig platform wordt gecreëerd voor computers, gebruikers en programma's om hun toegestane kritieke functies uit te voeren binnen een veilige omgeving."

Een soortgelijke definitie kan worden toegepast op de beveiliging van cloudnetwerken, met dit verschil dat de beveiliging van cloudnetwerken de combinatie omvat van producten, processen en mensen die gericht zijn op de bescherming van informatie op publieke, private of hybride cloudnetwerken.

Verschillen tussen netwerkbeveiliging en netwerkbeveiliging in de cloud

Een traditioneel netwerk bestaat in wezen uit twee of meer computersystemen die met elkaar verbonden zijn via bekabelde of draadloze technologie. Een bedrijfsnetwerk kan tientallen, honderden of duizenden computersystemen omvatten. Netwerken stellen werknemers in staat toegang te krijgen tot bronnen en deze op te slaan, te communiceren via e-mail en andere middelen, en bestanden en andere informatie te delen.

Een cloudnetwerk wordt voor dezelfde doeleinden gebruikt als een bekabeld of draadloos netwerk, maar een deel van of de gehele infrastructuur van een cloudnetwerk wordt geleverd via het internet of een ander wide area network. Bedrijven kunnen cloudnetwerken hosten op dedicated servers en opslag op hun terrein of in datacenters (private clouds). Of ze kunnen gebruikmaken van gedeelde capaciteit van een aantal externe aanbieders van cloudinfrastructuur (public cloud). Veel bedrijven maken gebruik van een combinatie van private en publieke cloudnetwerken (hybride cloud).[4] Aanbieders van clouddiensten beheren doorgaans hun eigen private cloudnetwerken om verschillende componenten van cloud computing aan te bieden, variërend van infrastructuur-as-a-service tot toepassingen zoals e-mail.

IT-professionals hebben directe controle over een on-premises netwerk, inclusief beveiliging. Cloud-netwerk- en serviceproviders bouwen beveiliging in hun aanbod in en houden de nieuwste beveiligingspatches voor software, servers en besturingssystemen bij, terwijl klanten voorziet van dashboards en andere tools om hun beveiligingsinstellingen, incidenten en prestaties te beheren en te controleren.

Traditionele en cloudnetwerken hebben te maken met veel van dezelfde beveiligingsrisico's, zoals inbreuken op en verlies van gegevens. In het verleden hebben bedrijven gedebatteerd over de vraag of on-premise of cloud setups veiliger waren, aldus McKinsey, maar providers hebben de beveiligingsprestaties op ondernemingsniveau voortdurend verbeterd en in veel gevallen zelfs ingehaald. "De hamvraag voor bedrijven is dan ook niet of cloud om te beginnen veiliger is, maar welke maatregelen zij zelf moeten nemen om hun cloudbeveiliging te verbeteren", aldus het managementadviesbureau.[5]

Uitdagingen voor de beveiliging van cloudnetwerken

De Cloud Security Alliance noemt 11 bedreigingen voor cloud computing:[6]

• Datalekken
• Verkeerde configuratie en ontoereikend wijzigingsbeheer
• Gebrek aan cloudbeveiligingsarchitectuur en -strategie
• Ontoereikend beheer van identiteiten, geloofsbrieven, toegang en sleutels
• Account kaping
• Insider bedreiging
• Onveilige interfaces, met inbegrip van interfaces voor applicatieprogrammering (API's)
• Zwak besturingsvlak
• Storingen in de metastructuur en de applicatie-infrastructuur
• Beperkt zicht op cloudgebruik
• Misbruik en oneigenlijk gebruik van cloud-diensten

Uitdagingen voor cloudnetwerken oplossen

Er zijn een aantal maatregelen die kunnen en moeten worden genomen om de uitdagingen van het cloudnetwerk op te lossen, en enkele van de meest impactvolle zijn:

• Implementeer standaard encryptie: Encryptie zal niet voorkomen dat gegevens worden geschonden of gestolen, maar het kan wel voorkomen dat aanvallers gebruik kunnen maken van die gegevens.
• Onderhoud systemen voor identiteits- en toegangsbeheer: Identiteits- en toegangsbeheer (IAM) is volgens Gartner "de discipline die ervoor zorgt dat de juiste personen op het juiste moment en om de juiste redenen toegang hebben tot de juiste middelen".[7] IAM is een bedrijfs- en technologie-initiatief waarvan het belang en de waarde toenemen naarmate een bedrijf zijn gebruik van de cloud uitbreidt.
• Gebruik cloud security monitoring tools: Deze tools scannen virtuele en fysieke systemen op potentiële beveiligingsrisico's.
• Creëer herhaalbare en geautomatiseerde processen: Misconfiguratiefouten nemen toe, volgens het Verizon 2020 Data Breach Investigations Report.Het is moeilijk om misconfiguratiefouten volledig te elimineren, maar het risico op misconfiguratie kan worden beperkt met strategieën zoals het implementeren van herhaalbare hardeningprocessen en het automatiseren van zo veel mogelijk processen.
• Zorg voor training in beveiligingsbewustzijn van eindgebruikers: Beveiliging is slechts zo sterk als de zwakste schakel, en dat is meestal een mens. Relevante, rigoureuze en voortdurende training in eindgebruikersbeveiliging kan ervoor zorgen dat werknemers beveiligingsrisico's in de cloud en de kosten ervan voor uw bedrijf begrijpen en vermijden, en zo een cultuur van beveiliging binnen de hele organisatie creëren.

Zorgvuldig onderzoek bij externe leveranciers

Wanneer bedrijven werken met externe cloudproviders, moeten zij de beveiliging van hun gegevens waarborgen op systemen die niet onder hun directe controle staan. Als u de beveiliging niet zelf kunt toepassen, moet u ervoor zorgen dat de beveiligingsmaatregelen die worden genomen, voldoen aan de beveiligingseisen van uw organisatie. Hetzelfde geldt voor compliance-maatregelen. Het is belangrijk dat u onder meer de volgende vragen stelt:

• Multitenancy: Hoe worden de systemen en gegevens van verschillende klanten geïsoleerd en beveiligd?
• Worden gegevens in ruste en tijdens het vervoer versleuteld?
• Hoe wordt de toegangscontrole geregeld? Wie zijn de bevoorrechte gebruikers in de organisatie?
• Welke beheers- en onderhoudscontroles zijn er?
• Hoe worden de gegevens opgeslagen?
• Waar bevinden de gegevens zich (en waar bevinden zij zich)?
• Wat voor soort veiligheidsbewustzijnstraining krijgen de werknemers van de aanbieder?

De kern van de zaak

Bedrijven vertrouwen steeds meer op de cloud, wat betekent dat de beveiliging van cloudnetwerken bovenaan de agenda moet staan. Er zijn veel overeenkomsten tussen traditionele netwerkbeveiliging en cloudnetwerkbeveiliging, maar de grootste is dat beide berusten op een zorgvuldige combinatie van mensen, processen en producten - of gegevens nu worden gehost in een privaat, publiek of hybride cloudnetwerk.

[1] "Gartner Forecasts Worldwide Public Cloud End-User Spending to Grow 18% in 2021," Gartner

[2] "Voorspellingen 2021: Cloud Computing voedt herstel pandemie," Forrester

[3] "Network Security Resources," SANS Institute

[4] "Inleiding tot Cloud Computing," Accenture

[5] "Debunking 7 Common Myths About Cloud," McKinsey

[6] "Top Threats to Cloud Computing," Cloud Security Alliance

[7] "Gartner Glossary," Gartner

[8] "2020 Data Breach Investigations Report," Verizon