Cloudsecurity is een gedeelde verantwoordelijkheid

This post is also available in: Deutsch (Duits) Türkçe (Turks) Español (Spaans) Italiano (Italiaans)

Cloudsecurity verwijst naar de inspanningen die worden gedaan ter beveiliging van de data, applicaties en infrastructuren die noodzakelijk zijn voor het gebruik van cloudcomputing; inclusief beleidsregels, technologieën en controle-elementen.

Organisaties proberen voortdurend de flexibiliteit te verbeteren en kosten te verlagen. Hierdoor raken cloudapplicaties en de bijbehorende data steeds verder verspreid over verschillende omgevingen. Deze omgevingen zijn privéclouds, publieke clouds (hybride of dedicated) en SaaS-applicaties (Software as a Service), die allemaal hun eigen flexibiliteitsvoordelen en beveiligingskwesties hebben.

De zorgen omtrent datalekken hebben van de beveiliging van clouds een prioriteit gemaakt. De uitdaging is nu om de behoefte aan flexibiliteit van de organisatie in balans te brengen met de beveiliging van applicaties en het veilig transporteren van data tussen de verschillende clouds. Het verkrijgen van zichtbaarheid en het voorkomen van aanvallen die proberen data te stelen, vanaf een externe locatie of via een zijdelingse aanval, is cruciaal voor alle locaties waar de applicaties en data zich bevinden.

Er zijn verschillende groepen binnen een organisatie die verantwoordelijk kunnen zijn voor cloudsecurity: het netwerkteam, beveiligingsteam, applicatieteam, complianceteam of infrastructuurteam. Maar de beveiliging van de cloud is ook een gedeelde verantwoordelijkheid van de cloudprovider en de organisatie.

Privé: Bedrijven zijn verantwoordelijk voor alle aspecten van de beveiliging van de cloud, omdat die wordt gehost in hun eigen datacenters. Dit omvat dus het fysieke netwerk, de infrastructuur, de hypervisor, het virtuele netwerk, de besturingssystemen, de firewalls, de serviceconfiguratie, het identiteits- en toegangsbeheer, enzovoort. Het bedrijf is ook eigenaar van de data en van de beveiliging van die data.

Publiek: In publieke clouds, zoals AWS^® of Microsoft^® Azure™ is de cloudprovider de eigenaar van de infrastructuur, het fysieke netwerk en de hypervisor. Het bedrijf is eigenaar van het besturingssysteem van de workload, de applicaties, het virtuele netwerk, de toegang tot hun tenant-omgeving of account en de data.

SaaS: SaaS-providers zijn primair verantwoordelijk voor de beveiliging van hun platform, en dat omvat fysieke beveiliging en de beveiliging van de infrastructuur en applicaties. Deze providers zijn geen eigenaar van de klantdata en zijn niet verantwoordelijk voor de manier waarop de klanten de applicaties gebruiken. Dat maakt de bedrijven verantwoordelijk voor de beveiliging die het risico van datadiefstal, datalekken of malwareaanvallen zo klein mogelijk moet maken.

Naarmate bedrijven overstappen van privéclouds naar publieke clouds of SaaS-applicaties, verschuift de verantwoordelijkheid voor het beveiligen van data, applicaties en infrastructuur steeds meer van het bedrijf naar de provider. Maar ongeacht het gebruikte platform is het bedrijf altijd verantwoordelijk voor de beveiliging van zijn eigen data.

Voor een veilig gebruik van applicaties moet de IT-afdeling erop kunnen vertrouwen dat cloudproviders de juiste beveiligingsmaatregelen hebben genomen om hun applicaties en data te beschermen. Maar om te compenseren voor wat die providers niet beveiligen, moeten de bedrijven zelf ook de juiste tools gebruiken om de aanwezige risico's te beheren en hun data te beveiligen. Dergelijke tools moeten inzicht verschaffen in activiteiten in de SaaS-applicatie en gedetailleerde analyses bieden van het gebruik ervan om dataverlies en schending van de complianceregels te voorkomen. Daarnaast moeten er contextbewuste beleidsregels zijn voor handhaving en quarantainemaatrelen voor het geval er een schending plaatsvindt, en is realtime informatie over bekende bedreigingen en detectie van onbekende bedreigingen noodzakelijk om te voorkomen dat nieuwe malware een weg naar binnen vindt.