Bezpieczeństwo chmury publicznej
Jednym z najbardziej krytycznych wyzwań dla organizacji planujących wykorzystywać publiczne platformy chmurowe będzie zapanowanie nad ich bezpieczną konfiguracją a nie podatnościami „per se”. Najczęściej to właśnie błędna konfiguracja usług chmurowych powoduje bezpośrednią ekspozycję danych do Internetu, a co za tym idzie, incydenty związane z wyciekami danych.Wystarczy spojrzeć na jedno z niedawnych doniesień, np. „Improperly Configured AWS S3 Bucket Exposes 10 Million Hotel Guest Records”*.
Migrując się do chmury, tracimy wypracowany przez lata model odpowiedzialności podzielonej między zespoły zarządzania infrastrukturą aplikacyjną a infrastrukturą sieci i bezpieczeństwa. Często błędna konfiguracja po stronie systemów aplikacyjnych czy infrastruktury serwerowo/dyskowej, powodująca dziury w polityce bezpieczeństwa, niejako mitygowana była po stronie infrastruktury sieciowej i systemów firewall - najczęściej dzięki polityce bezpieczeństwa budowanej w modelu „co nie jest explicite dozwolone, jest zabronione”. W modelu chmurowym (w infrastrukturze chmury publicznej), takie pomyłki powodują iż zasób jest automatycznie wystawiany „na wprost” do Internetu, w krytycznym scenariuszu, bez jakichkolwiek dodatkowych mechanizmów zabezpieczających czy egzekwowania poświadczeń.
Dlatego systemy których celem jest zapanowanie nad konfiguracją platform chmurowych a jednocześnie dające zespołom Operacji Bezpieczeństwa pod stronie Organizacji narzędzia służące do kreowania i implementowania mechanizmów kontrolnych w modelach Control as Code, Policy as Code czy nawet Governance as Code, stają się niezmiernie ważne w ekosystemie Security Operations (SecOps) oraz IT Operations (IT Ops).
Niemniej ważnym aspektem w sytuacji wyżej opisanego scenariusza jest czas reakcji, czas naprawy (remediacji) oraz ich maksymalne skrócenie. Niezwykle istotna staje się tu automatyzacja reakcji na wykryte incydenty, która jeśli jest wbudowana w dostępne narzędzia, odpowiednio skonfigurowana i wbudowana w procesy Incident Management, potrafi znacząco zminimalizować prawdopodobieństwo materializacji ryzyk związanych z wyciekiem informacji.
Z jakimi problemami spotykają się dziś przedsiębiorstwa?
- nie zrozumienie zasad zarządzania konfiguracją chmurową, często brak odpowiednich procesów zarządzania zasobami prowadzące do powstawania zjawiska "shadow IT"
- błędy konfiguracyjne usług platform prowadzące do niekontrolowanej ekspozycji systemów i danych do sieci Internet i związane z tym zagrożenia cyberbezpieczeństwa skutkujące wyciekiem danych
- Zarządzanie bezpieczeństwem tożsamości, danych i usług w środowiskach wielochmurowych łaczących zasoby publicznych chmur obliczeniowych wielu dostawców, usługi trzecie dostarczane w modelu "as-a-service" oraz środowiska lokalnych centrów przetwarzania danych czy chmur prywatnych
Nasze rozwiązanie
3 Kroki do bezpieczeństwa środowiska chmury publicznej:
ROZPOZNANIE
środowiska chmury publicznej, strategii budowy stosów aplikacyjnych, dostępnych w organizacji rozwiązań cyberbezpieczeństwa.
ZROZUMIENIE
wymagań architektonicznych przy uwzględnieniu ambicji organizacji związanych z włączaniem nowych technologii do stosów aplikacyjnych.
MITYGACJA
poprzez odpowiedni dobór rozwiązań technicznych zapewniających niezbędne kontrole cyberbezpieczeństwa oraz umożliwiające ekspresową reakcję na powstające zagrożenia i zidentyfikowane incydenty cyberbezpieczeństwa.
W ramach powyższego obszaru, oferujemy także usługi:
Przeglądy
Wykonujemy przeglądy mające na celu zweryfikowanie systemów i procesów informatycznych w organizacji, w kontekście ich odporności na zagrożenia i incydenty cyberbezpieczeństwa oraz zbadania poziomu zgodności z obowiązującymi regulacjami w obszarze cyberbezpieczeństwa. Nasze prace prowadzimy w oparciu o weryfikację dokumentacji, wywiady jak i testy penetracyjne.
Projekty doradcze
Szeroka wiedza i wieloletnie doświadczenie pozwalają nam dostarczać wysokiej jakości projekty doradcze, mające na celu pomoc w zdefiniowaniu założeń do wdrożenia strategii bezpieczeństwa, oraz samej strategii. Na bazie przeglądów infrastruktury i procesów wokół operacji cyberbezpieczeństwa przedstawiamy raporty, wnioski i rekomendacje, uzasadnienia biznesowe oraz kalkulacje ROI.
Zdefiniowanie strategii i architektury
Dostarczamy projekty w obszarze strategii i architektury, mające na celu określenie spójnej wizji stanu docelowego infrastruktury cyberbezpieczeństwa oraz ścieżki dojścia do celu. W ramach naszych prac określimy pryncypia architektoniczne, architekturę techniczną, założenia i zależności niezbędne przy kompleksowym projekcie transformacyjnym a także przeprowadzimy kompleksową tranzycję do operacji bezpieczeństwa.
Projekty implementacyjne
Realizujemy projekty implementacyjne, mające na celu kompleksowe wdrożenie rozwiązań z obszaru cyberbezpieczeństwa systemów, sieci oraz aplikacji. Dostarczamy złożone projekty wdrożeniowe infrastruktury bezpieczeństwa informatycznego w obszarach infrastruktur on-premises, chmurowych jak i hybrydowych.