Облачные вычисления — это неотъемлемая часть современного цифрового мира. IT-инфраструктура, платформы и программное обеспечение сейчас чаще доставляются как услуга (отсюда и аббревиатуры IaaS, PaaS и SaaS соответственно), чем в традиционной локальной конфигурации. И это привлекает малый и средний бизнес (SMB) больше, чем кого-либо.
Облако дает возможность конкурировать с более крупными игроками, обеспечивая большую гибкость бизнеса и быстрое масштабирование без больших затрат. Возможно, поэтому 53% мировых SMB, опрошенных в недавнем отчете, говорят, что тратят на облако более 1,2 млн долларов в год, по сравнению с 38% в прошлом году.
Однако вместе с цифровой трансформацией приходят и риски. Безопасность (72%) и соответствие требованиям (71%) — это вторая и третья наиболее часто упоминаемые проблемы облачных технологий для респондентов из SMB. Первый шаг к решению этих проблем — понять основные ошибки, которые допускают небольшие компании при развертывании облаков.
Семь главных ошибок в облачной безопасности, которые допускают SMB
Будем откровенны, это не просто ошибки, которые SMB допускают в облаке. Даже крупнейшие и наиболее обеспеченные ресурсами предприятия иногда забывают об основах. Но, устранив эти пробелы, ваша организация сможет добиться огромных успехов в оптимизации использования облака, не подвергая себя потенциально серьезным финансовым или репутационным рискам.
1. Отсутствие многофакторной аутентификации (MFA)
Статические пароли по своей сути небезопасны, и не все компании придерживаются надежной политики создания паролей. Пароли могут быть украдены различными способами, например, через фишинг, методом перебора или просто угаданы. Вот почему вам нужно добавить дополнительный уровень аутентификации — MFA значительно усложнит злоумышленникам доступ к учетным записям, приложениям SaaS, IaaS или PaaS ваших пользователей, тем самым снижая риск ransomware, кражи данных и других возможных последствий. Еще один вариант — переход, где это возможно, на альтернативные методы аутентификации, такие как беспарольная аутентификация.
2. Чрезмерное доверие к облачному провайдеру (CSP)
Многие IT-руководители считают, что инвестирование в облако фактически означает передачу всего на аутсорсинг надежной третьей стороне. Это лишь отчасти правда. На самом деле существует модель совместной ответственности за обеспечение безопасности облака, разделенная между CSP и клиентом. То, за что вам придется отвечать, будет зависеть от типа облачной услуги (SaaS, IaaS или PaaS) и CSP. Даже когда большая часть ответственности лежит на провайдере (например, в SaaS), может быть выгодно инвестировать в дополнительные сторонние средства контроля.
3. Невыполнение резервного копирования
Как указано выше, никогда не предполагайте, что ваш облачный провайдер (например, для сервисов обмена файлами/хранения) вас подстрахует. Всегда стоит планировать наихудший сценарий, которым, скорее всего, будет сбой системы или кибератака. Это не только потеря данных повлияет на вашу организацию, но и простои и снижение производительности, которые могут последовать за инцидентом.
4. Регулярное отсутствие установки исправлений
Если вы не устанавливаете исправления, вы подвергаете свои облачные системы эксплуатации уязвимостей. Это, в свою очередь, может привести к заражению вредоносным ПО, утечкам данных и многому другому. Управление исправлениями — это основная практика безопасности, которая так же актуальна в облаке, как и локально.
5. Неправильная настройка облака
CSP — новаторы. Но большой объем новых функций и возможностей, которые они запускают в ответ на отзывы клиентов, может привести к созданию невероятно сложной облачной среды для многих SMB. Это затрудняет понимание того, какая конфигурация является наиболее безопасной. Распространенные ошибки включают настройку облачного хранилища таким образом, что к нему может получить доступ любая третья сторона, и неспособность блокировать открытые порты.
6. Отсутствие мониторинга облачного трафика
Распространено мнение, что сегодня вопрос не в том, «если», а в том, «когда» ваша облачная среда (IaaS/PaaS) будет взломана. Это делает быстрое обнаружение и реагирование критически важными, если вы хотите вовремя заметить признаки и сдержать атаку до того, как она успеет повлиять на организацию. Это делает непрерывный мониторинг обязательным.
7. Неспособность зашифровать корпоративные «драгоценности»
Ни одна среда не защищена на 100% от взлома. Так что произойдет, если злоумышленник получит доступ к вашим наиболее конфиденциальным внутренним данным или строго регулируемой личной информации сотрудников/клиентов? Зашифровав их в состоянии покоя и при передаче, вы гарантируете, что они не смогут быть использованы, даже если будут получены.
Правильная настройка облачной безопасности
Первый шаг к решению этих рисков облачной безопасности — понять, где лежат ваши обязанности и какие области будут обрабатываться CSP. Затем нужно принять решение, доверяете ли вы встроенным средствам безопасности CSP или хотите усилить их с помощью дополнительных сторонних продуктов. Рассмотрите следующее:
- Инвестируйте в сторонние решения безопасности для усиления облачной безопасности и защиты ваших приложений электронной почты, хранения данных и совместной работы в дополнение к функциям безопасности, встроенным в облачные сервисы, предлагаемые ведущими мировыми облачными провайдерами
- Добавьте инструменты расширенного или управляемого обнаружения и реагирования (XDR/MDR) для быстрого реагирования на инциденты и сдерживания/устранения последствий взлома
- Разработайте и внедрите программу непрерывного управления рисками и установки исправлений, основанную на надежном управлении активами (то есть знайте, какие облачные активы у вас есть, а затем убедитесь, что они всегда обновлены)
- Шифруйте данные в состоянии покоя (на уровне базы данных) и при передаче, чтобы гарантировать их защиту, даже если злоумышленники получат к ним доступ. Это также потребует эффективного и непрерывного обнаружения и классификации данных
- Определите четкую политику контроля доступа; требуя надежные пароли, MFA, принципы наименьших привилегий и ограничения на основе IP-адресов/белые списки для определенных IP-адресов
- Рассмотрите возможность принятия подхода Zero Trust, который будет включать многие из вышеперечисленных элементов (MFA, XDR, шифрование) наряду с сегментацией сети и другими средствами контроля
Многие из вышеперечисленных мер — это те же лучшие практики, которые вы ожидаете применять локально. И на высоком уровне это так, хотя детали будут отличаться. Самое главное, помните, что облачная безопасность — это не только ответственность провайдера. Возьмите контроль в свои руки сегодня, чтобы лучше управлять киберрисками.
Чтобы узнать больше о восприятии кибербезопасности SMB, включая то, куда их ведут растущие потребности в безопасности, ознакомьтесь с отчетом ESET SMB Digital Security Sentiment Report 2022.
