5 основных проблем безопасности гибридного облака

Для растущего числа организаций ИТ-среды включают в себя сочетание общедоступных облачных сервисов, частных облаков и локальной инфраструктуры, причем последняя становится все меньшей частью этого сочетания.

В течение последних двух лет наблюдался значительный всплеск использования облачных сервисов, и эта тенденция не демонстрирует признаков замедления. В отчете исследовательской компании Gartner за апрель 2021 года прогнозируется, что мировые расходы на общедоступные облачные услуги в этом году вырастут на 23%, пишет CSO.

В отчете говорится, что новые технологии, такие как контейнеризация, виртуализация и граничные вычисления, становятся все более популярными и стимулируют расходы на облачные технологии. Программное обеспечение как услуга (SaaS) остается крупнейшим сегментом рынка.

Вместо развертывания одного типа облачных сервисов компании выбирают сочетание для достижения своих бизнес-целей. Модель гибридного облака может обеспечить беспрецедентную гибкость для бизнеса. Они могут увеличивать или уменьшать емкость по мере необходимости и перемещать данные и рабочие нагрузки в любое количество облачных сервисов и из них. Гибридное облако также представляет риски кибербезопасности, которые, если их не устранить, могут привести к значительным потерям.

Вот пять главных проблем, с которыми сталкиваются руководители и команды по безопасности при использовании гибридной облачной модели, и способы их решения.

1. Повышенная сложность, снижение видимости

По мере того как компании развертывают все больше общедоступных облачных сервисов и добавляют возможности частного облака, их ИТ-среды становятся все более сложными с точки зрения управления и безопасности. Без принятия мер по мониторингу использования сервисов они теряют представление о том, что происходит в этой среде.

«Гибридная среда естественным образом усложняет работу; нужно просто заблокировать гораздо больше «окон и дверей», а также выполнить дополнительные работы по обеспечению безопасности - внесение исправлений и т. д.», - говорит Крис Канаракус, директор по исследованиям выделенной и гибридной облачной инфраструктуры/сервисов в исследовательской фирме International Data Corp. «Мы видели так много громких сообщений в СМИ об утечках данных, вызванных человеческими ошибками, такими как неправильно настроенные сегменты хранилища в общедоступных облаках», - напомнил он.

Альянс облачной безопасности (CSA), организация, которая определяет стандарты, сертификаты и лучшие практики для обеспечения безопасной среды облачных вычислений, назвала неправильную конфигурацию и неадекватное управление изменениями, а также ограниченную видимость использования облачных вычислений одними из главных угроз для облачных вычислений в 2020 году.

Преобладание облачных сервисов часто требует изменения подхода организаций к обеспечению безопасности. «Хотя использование гибридной облачной среды может предложить организациям выбор и гибкость, это также означает, что ИТ-руководители должны переоценить свои методы обеспечения безопасности и подумать, как их можно адаптировать, - говорит Мэнди Андресс, директор по информационной безопасности Elastic, поставщика продуктов онлайн-поиска. - Поговорка «Нельзя защитить то, чего не видишь» особенно актуальна для гибридных облачных архитектур. Совмещение общедоступных и частных облаков или инфраструктуры может усложнить и повысить риск организации, делая видимость и контроль имеет первостепенное значение для защиты распределенной системы».

2. Пробел в знаниях и навыках

Острая нехватка навыков кибербезопасности хорошо задокументирована. Многие организации изо всех сил пытаются найти людей для выполнения различных ролей, но поиск и найм специалистов по безопасности, которые также разбираются в облаке, поднимает проблему на совершенно другой уровень. Этот пробел в знаниях о безопасности облачных вычислений может подвергнуть предприятия риску, и им необходимо найти способы закрыть этот пробел, пока не стало слишком поздно.

Один из способов - предложить внутреннее и внешнее обучение, уверен Викрам Кунчала, эксперт по рискам и финансовый руководитель отдела облачных вычислений в консалтинговой фирмы Deloitte.

«Важно отметить, что большинство нетехнологических организаций и поставщиков необлачных услуг конкурируют за один и тот же кадровый резерв облачных технологий, - говорит Кунчала. - Таким образом, найм является проблемой, и [компании] не должны полагаться исключительно на него как на вариант. В этой области может помочь разработка программ обучения для повышения квалификации/переквалификации существующих сотрудников».

Надежное управление - еще один ключевой компонент гибридной облачной среды, добавил Кунчала. Четко определенная матрица ответственности и операционные модели могут уменьшить опасения и обеспечить эффективное управление. «Показатели мониторинга обеспечивают наглядность эффективности различных групп безопасности и эффективности реализованных средств контроля», - говорит он.

Директорам по информационной безопасности и другим руководителям службы безопасности «необходимо учитывать эффективность использования своих людских ресурсов и навыков, - говорит Андресс. - В гибридной облачной среде группам безопасности может потребоваться изучить функции безопасности двух [или более] облачных сервисов».

3. Перераспределение ответственности за безопасность

Ответственность за внедрение средств контроля за периметральной безопасностью, инфраструктурой и виртуализацией постепенно переходит к поставщикам облачных услуг в общедоступной облачной экосистеме, поэтому жизненно важно понимать меняющуюся модель совместной ответственности за безопасность, считает Кунчала. 

«Организации пытаются распространить средства управления безопасностью частного облака и стек технологий на публичные облака, что в некоторых случаях не работает, - говорит он. - Отсутствие четко определенной [матрицы распределения ответственности] и/или операционной модели в гибридной облачной экосистеме оставляет место для неустраненных угроз и нерешенных возможностей, которые мешают масштабированию организации и достижению бизнес-целей».

Несмотря на важность знания и соблюдения модели совместной ответственности, связанной с использованием облачных сервисов, не все компании делают это. «Модель общей ответственности, используемая публичными облачными компаниями, - это то, с чем многие предприятия до сих пор не могут справиться», - говорит Канаракус.

4. Несоответствия защиты сети

По словам Кунчала, сетевая безопасность является ключевой областью, в которой организации по-прежнему сталкиваются с проблемами, поскольку существующие инструменты поставщиков, поддерживающие частное облако, могут не подходить для общедоступных облаков. «Организации используют контейнеры для беспрепятственного перехода и управления в гибридном облаке, и непонимание таких нюансов, как сервисная сетка и безопасность API, [может] привести к потенциальной компрометации контейнеров и дальнейшей эксплуатации», - считает он.

По словам Кунчала, большинство поставщиков общедоступных облачных средств безопасности поддерживают частные облачные среды. «Однако инструменты традиционных поставщиков, созданные специально для локальной среды или частного облака, могут не расширять или предоставлять все функции для общедоступного облака, - говорит он. - Анализ поставщика является ключевым и должен быть выполнен после определения всех требований и вариантов использования».

5. Рассредоточенные возможности регистрации и мониторинга

По словам Кунчала, в гибридной облачной среде источники журналов распределены по локальным системам, общедоступным облачным системам, инструментам поставщиков и собственным облачным службам. «Очень важно идентифицировать телеметрию журнала [и] построить метрики для мониторинга», - заявил он, добавив, что организациям нужны ключевые показатели эффективности (KPI) для метрик операционного и функционального уровней, а также ключевые показатели риска (KRI) для исполнительной отчетности.

«Однако доведение до зрелости возможностей ведения журналов и мониторинга - это путь от одного до двух лет, который требует ряда шагов и инструментов для обработки журналов и корреляции между несколькими источниками для получения определенных показателей», - говорит Кунчала. По его словам, конечной целью является разработка настраиваемых информационных панелей отчетности для руководителей, которые помогут им понять остаточный риск и влияние облачных сервисов. Тем временем оперативные группы получат полное представление о продвинутых постоянных угрозах по всему ландшафту.