Genel bulut platformuna güvenli dijital geçiş

Çeşitli sektörlerdeki kuruluşlar sistemlerini genel buluta ölçeklendirdikçe, veri ve uygulamaların korunmasına duyulan ihtiyaç, CISO'ların (Bilgi güvenliği hizmetleri yöneticileri) en önemli endişesi haline gelmektedir. Pandemiden sonra kuruluşlar, çalışma altyapısına uzaktan erişim nedeniyle gerekli olan dijital dönüşüm ihtiyacını hızlandırdılar. Kısacası, giderek daha fazla çalışan dizüstü bilgisayarlarında evden çalışırken, sistemlerinin güvenliği, tesislerde bulunan ofislerin güvenliğine kıyasla savunmasızdır.

Kamu bulutuna geçiş, kuruluşların yıllardır inşa ettikleri geleneksel siber güvenlik modellerini bozuyor. Yeni uygulamalar ve analitik kaynaklar geliştirmek, çalışanların verilerini, teknolojilerini ve mevcut iş yükünü bulut platformlarına taşımak anlamına gelir. Dijital dönüşüm bir sorun değildir, ancak ağ sisteminin güvenliği de yeni bulut uygulamalarına yükseltilmeli ve uyarlanmalıdır. Bulut tabanlı BT platformlarının birçok avantajı vardır, ancak bilgisayar korsanlarının sanal makine sunucularına daha önce şirket içi sunuculardan daha kolay erişebilmeleri nedeniyle siber saldırı riski de aynı derecede artmaktadır.

Burada, bir kuruluşun IT altyapısının dijital dönüşümünü güvence altına almak için gereken dört kritik yönteme bakacağız:

1. Bulut odaklı Siber Güvenlik modeli
2. Tüm siber güvenlik kontrollerinin geri dönüşümü
3. CSP'YE karşı iç sorumluluklar (Siber hizmetler sağlayıcısı)
4. Devops'un siber güvenlikte uygulanması.

1. Bulut odaklı Siber Güvenlik modeli

Büyük ve küçük şirketlerin ortak bir bulut stratejisini önceden seçmeleri gerekir. Bu, yeni mimarinin bulut platformundaki yetkilendirmeleri yönetmek için sanal sınırları içereceği anlamına gelir. Ayrıca, yeni uygulamaların izin verilen risklere ve mevcut kaynaklara uygun güncellenmiş BT mimarisine nasıl uyacağını da belirlemeniz gerekir.

Birçok kuruluş, mevcut yerel kontrolü yeni bir kamu bulut modelinde kullanmaya cazip geliyor. Bu verimsiz bir şekilde çalışır ve birçok alanda güvenlik açıklarına yol açabilir.

En etkili yaklaşım, siber güvenlik modelini iki yön açısından yeniden tanımlamaktır. Birincisi, ağın sınırının veya çevresinin nasıl belirlendiği ve bulut platformu için mevcut uygulama mimarilerinin değiştirilip değiştirilmeyeceği. İkincisi, güvenlik kontrollerini uygulama mimarisine dahil etmek mümkün mü?

2. Tüm siber güvenlik kontrollerini yeniden tasarlama.

Tüm işlemler yerinde fiziksel yönetimden bulut tabanlı sanal yönetime geçtiğinde, kuruluşların tüm şirket için yeni bir kontrol setine sahip olmaları gerekir. Bu, her kullanıcı için bireysel kontrol ve rol tabanlı bir yetkilendirme matrisi gerektirecektir.

Siber güvenlik kontrolleri temel olarak IAM, Veri ve çevre olarak kategorize edilebilir.

Kimlik ve erişim yönetimi (IAM) çözümleri, bulut uygulamaları için kritik öneme sahiptir ve veriler yavaş yavaş buluta taşınmaktadır. Kimlik hizmetleri sağladıkları ve otomatik bir yetkilendirme süreci oluşturdukları için CSP'nin rolünün çok önemli olduğu yer burasıdır. Bu, bireysel kullanıcılara erişim kontrolü verme ve iptal etmede insan faktörünü ortadan kaldırır.

Analitik, otomasyona ek olarak, CSP tarafından yönetilen izleme verilerine dayalı olarak çalışan davranışlarının izlenmesini sağlar. Bu, kuruluşun kritik bilgilerine kimin erişmesi gerektiğini belirlemesine olanak tanır. Bu süreç, parolaları geçersiz kıldı ve çok faktörlü kimlik doğrulamayı bir adım geri attı. Sistemin güvenliğini belirleyecek olan kullanıcının davranışlarıdır.

Veri – İster durağan ister bulutta hareket halinde olsun, verileri şifrelemek bir zorunluluktur. CISO'lar, veri şifrelemeyi daha pratik ve basit hale getirecek bir mekanizma üzerinde çalışıyor. Bu, şifreleme anahtarlarını yönetmenin bir yolunu içerir. Anahtarlar ideal olarak dahili sorumluluklara ve CSP'lere dayalı olarak uygun şekilde yönetilmelidir.

Çevre - İşletme sanal sınırlara doğru hareket ettikçe ağ trafiği de hareket edecektir. Trafiğin yaklaşık %40'ı yerel kontrol sistemleri aracılığıyla yönlendirilmektedir. Hibrit şirket içi bulut modeli, genel bulut platformlarındaki uygulamalara veya verilere erişmek için şirket içi ve genel bulut iş yükleri arasında doğrudan bir bağlantı anlamına gelir. Üçüncü taraf siber güvenlik uzmanları, web ağ geçidi, web uygulaması güvenlik duvarları ve ağ izleme için yeterli güvenliği sağlamak üzere çevrenin yönetilmesine yardımcı olur.

3. Dahili Sorumluluklar ve CSP (Siber Hizmet Sağlayıcı)

Genel bulut, kuruluş, departmanı ve bulut hizmeti sağlayıcıları (CSP'ler) arasında paylaşılan bir sorumluluk gerektirir. Paylaşılan güvenlik modeli, belirli işlevler için sorumluluk gerektirir. Bir kuruluş uygulamaları ve verileri buluta taşıdığında, tüm kontrolü CSP'ye aktarmaya gerek yoktur. Şirketler ve CSP'ler, bir CSP'nin sağlayabileceği kontrol konusunda net olmalıdır. Şirketler, CSP'den operasyonel güvenlik modellerinin tam bir sunumunu sağlamasını ve bu modeller değiştikçe bilgileri zamanında güncellemesini isteyebilir.

Şirketler, siber güvenlik yaşam döngüsünün tamamında CSP ile ortaklık kurmaktan büyük fayda sağlar; geliştirmeden uygulamaya ve devam eden operasyona kadar. Ancak, bu aşağıdaki koşullara tabidir:

• Herhangi bir olayın raporlanması da dahil olmak üzere, CSP kontrollerinin ve prosedürlerinin tam şeffaflığı. CSP'lerin güvenlik denetimleri ve sızma testi yapmaları da önemlidir.
• CSP, iş mevzuatı gerekliliklerine uyumu sağlamalı, sektördeki mevzuat değişiklikleriyle güncel kalmalı ve uyum mekanizmalarını buna göre güncellemelidir.
• CSP ayrıca her zaman yönetime tehdit uyarıları sağlamalıdır.
  
• IAM veya IdaaS'nin (hizmet olarak kimlik) bir parçası olarak çok faktörlü kimlik doğrulama ve parola yönetimi sağlama.

4. Siber güvenliği sağlamak için DevOps'u uygulama

Belgeleri daha hızlı imzalamak için uygulama geliştiricilerini güvenlik ekibiyle aynı hizaya getirmek çok önemlidir. Yeni uygulamaların güvenlik ekibi tarafından onaylanması gecikirse, bu genel bulutun etkinliğini azaltır. Geliştiricilere API'ler aracılığıyla otomatikleştirilmiş güvenlik hizmetleri sağlamak, sistemlerin esnekliğini artırır.

DevOps, operasyonel altyapıya yeni yazılım özellikleri uygulandığında bir kuruluşta yaygındır. Bu nedenle, bulut için güvenlik özelliklerini entegre ettiği için güvenli DevOps çok önemlidir. Geliştiriciler ayrıca genel buluta geçişleri sırasında ve sonrasında yeterli desteği sağlamak için ek güvenlik eğitimine ihtiyaç duyarlar. Eğitim, geliştiricilerin geliştirdikleri araçların güvenlik özelliklerini anlamalarına yardımcı olduğu için çok önemlidir, daha iyi API güvenliği sağlayabilirler.

Çözüm

Yukarıda açıklanan dört uygulama, kuruluşların bulutta siber güvenliği güçlendirmek için bir genel bulut siber güvenlik programı yapılandırmasına ve uygulamasına yardımcı olabilir. Bu yaklaşım kritiktir çünkü bir dijital dönüşüm programı zorlu olabilir. Şirketler, birden çok bulut iş yükünü, şirket içi ve özel bulut yeteneklerini, konumu, yasal gereklilikleri, CSP'leri ve genel güvenlik gereksinimlerini dikkate almalıdır.