В то время как облачные вычисления приобретают все большую популярность, необходимость применения эффективных мер безопасности важна как никогда.
Для того, чтобы помочь предприятиям поддерживать стандарты безопасности при использовании облака, работоспособность сетей и приложений, Verizon предлагает ознакомиться с инструкциями и советами, касающимися облака.
Физическая защита. Оборудование должно находится под климат-контролем, противопожарные меры должны быть предприняты в обязательном порядке, равно как обеспечение бесперебойного электропитания, помимо этого круглосуточное обслуживание облака профессионалом обязательно. Поищите провайдера, который предложит биометрические способы контроля, типа отпечатки пальцев или распознавание лица, при получении физического доступа к облаку, а также видео-мониторинг устройств.
Безопасность сети и логическое разделение. Должны использоваться виртуальные версии файрволов и IDS. Те части облака, в которых хранится критическая информация, должны быть изолированы. Регулярные проверки системы с использованием признанных методов и стандартов, типа SAS 70 Type II, Payment Card Industry Data Security Standard, ISO 27001/27002 и Cloud Security Alliance Cloud Controls Matrix, обязательны.
Проверка. Антивирусные приложения и фильтрация контента должны быть установлены на шлюзах. Если речь идет о критических данных (финансовые и личные данные, или интеллектуальная собственность), необходимо применять меры по предотвращению потери данных.
Администрирование. Особое внимание нужно уделить облачным гипервизорам, серверам на которых работают многие операционные системы, поскольку они обеспечивают возможность управления всем облаком. Безопасность и совместимость требуют наличия разных сетей и администраторов, чтобы обеспечить разделение обязанностей и усилить уровень безопасности. Доступ к управлению облачной средой должен быть строго ограничен, а API приложения должны быть заблокированы или отключены.
Всесторонний мониторинг и регистрация. Почти все стандарты безопасности требуют мониторинга и контроля доступа к сетям, системам, приложениям и данным. То же самое должно применяться и в отношении облака.
Для осуществления необходимого уровня безопасности облака обязательно:
Безопасность системы. Виртуальные машины должны быть защищены специальными облачными брандмауэрами, IPS и антивирусными приложениями, равно как и последовательным и постоянным процессом внедрения патчей.
Безопасность приложений и данных. Приложения должны пользоваться только выделенными базами данных, доступ к базам данных через приложения должен быть ограничен. Многие стандарты безопасности требуют проведения мониторинга и регистрации приложений и соответствующих баз данных.
Аутентификация и авторизация. Двухфакторная аутентификация должна применяться при введении имени и пароля пользователя, а также обязательна при удаленном и любом другом привилегированном доступе. Роль аутентифицированного пользователя должна быть четко определена и минимизирована для выполнения определенного задания. Рекомендуется шифрование паролей. Более того, пакеты аутентификация, авторизация и учета использования ресурсов не должны быть сильно кастомизированные, поскольку это обычно ведет к уязвимостям.
Управление уязвимостями. Приложения должны обладать иммунитетом к распространенным эксплойтам, например из списка OWASP Top 10. Приложения, развернутые в облаке, должны постоянно обновляться, сканироваться на уязвимости, проходить независимые тесты на безопасность и непрерывно мониториться.
Хранение данных. Предприятия должны быть в курсе того, какая информация хранится в облаке, и при необходимости сортировать разные типы данных. Помимо этого, физическое и логическое расположение данных должно быть известно на случай, если понадобится провести изменения.
Управление изменениями. Крайне рекомендуется, чтобы политика управления изменениями для сети, систем, приложений и администраторов была понятно задокументирована и понятна. Это поможет избежать потери данных.
Шифрование. Шифрование данных в облаке – достаточно сложный процесс, который требует особого внимания. Многие стандарты содержат требования для шифрования данных в момент передачи и хранения. Например, финансовые данные и информация о состоянии здоровья должны быть всегда зашифрованы.
Публичные, частные и гибридные облака. Все, что нужно знать:
Виртуальная среда. Публичные облака, многие из которых используют расшаренную виртуальную среду, предлагают начальные меры безопасности. Это значит, что правильное сегментирование и изолирование вычислительных ресурсов должны особенно контролироваться. Если речь идет о безопасности предприятия и соблюдении стандартов, будьте очень рассудительны в выборе нужной виртуальной среды.
Провайдеры публичного облака. С точки зрения экономики публичное облако может быть привлекательно, но его провайдеры не всегда осуществляют соответствующие стандартам безопасности меры контроля. Задавайте множество вопросов.
Меры безопасности. Вне зависимости от того, какой моделью облака вы пользуетесь, предприятие должно применять сегментацию, брандмауэры, системы предотвращения вторжений, мониторинг, логгировние, контроль за доступом и шифрование данных.
Частные облака – спорный вопрос. Частные облака могут быть расположены на добавочных устройствах или устройствах провайдера. Критическим моментом, конечно, является безопасность и контроль. Используя предложение провайдера важно выбрать правильное облако, которые отвечает всем необходимым требованиям. Только потому что оно частное, это не означает, что облако по умолчанию безопасно.
Гибридные облака. Гибридные облака – лучшее решения для предприятий, поскольку они отвечают широкому кругу ИТ-требований и бизнес-целям. Гибридные облака предоставляют возможность размещать приложения в подходящем окружении, получая преимущества и выгоды как облака, так и локальных систем с возможностью перемещать приложения и данные между ними двумя.
