Sigurnost u oblaku: što tvrtka mora znati

Prelazak u oblak donosi fleksibilnost i brzinu, ali i čestu zabludu: da pružatelj clouda preuzima brigu o sigurnosti. Istina je drugačija. Pružatelj osigurava infrastrukturu, ali za ispravnu konfiguraciju, kontrolu pristupa i zaštitu podataka odgovara korisnik. Velik dio incidenata u oblaku posljedica je upravo pogrešne konfiguracije, ne propusta pružatelja. Ovaj tekst objašnjava model podijeljene odgovornosti, najčešće rizike i kako ih smanjiti.

Ovo je dio našeg pregleda sigurnosti aplikacija. Procjenu i jačanje cloud okruženja pružamo kroz sigurnost aplikacija i clouda.

Model podijeljene odgovornosti

Ključ razumijevanja cloud sigurnosti je model podijeljene odgovornosti. Pružatelj odgovara za sigurnost samog oblaka: fizičke poslužitelje, mrežu i osnovnu infrastrukturu. Korisnik odgovara za sigurnost u oblaku: kako konfigurira usluge, tko ima pristup i kako štiti podatke. Granica ovisi o vrsti usluge, ali odgovornost korisnika nikad ne nestaje.

Najčešći rizici

Većina problema u oblaku ne dolazi od sofisticiranih napada, nego od previda u postavkama.²

• Javno izložena pohrana podataka koja je trebala biti privatna.
• Preširoke ovlasti, gdje korisnici i servisi imaju više prava nego što trebaju.
• Slabo upravljanje identitetima i nedostatak dvofaktorske autentifikacije.
• Nešifrirani podaci u pohrani ili prijenosu.
• Nedostatak nadzora i zapisa, pa se sumnjive radnje ne primijete.

Kako smanjiti rizik

Sigurnost u oblaku postiže se disciplinom u konfiguraciji i pristupu.

1. 01
   Primijenite najmanje ovlasti

   Svaki korisnik i servis dobiva samo prava koja su mu nužna.
2. 02
   Učvrstite identitete

   Uvedite dvofaktorsku autentifikaciju i redovito pregledavajte pristup.
3. 03
   Provjerite izloženost

   Osigurajte da pohrana i usluge nisu javno dostupne bez razloga.
4. 04
   Šifrirajte podatke

   Zaštitite podatke i u pohrani i u prijenosu.
5. 05
   Nadzirite konfiguraciju

   Pratite postavke kontinuirano jer se okruženje stalno mijenja.

Cloud i usklađenost

Korištenje oblaka ne oslobađa tvrtku obveza. GDPR i dalje vrijedi za osobne podatke u oblaku, a regulirani subjekti pod NIS2 i DORA-om moraju upravljati i rizicima vanjskih pružatelja. Ugovor s pružateljem i jasna podjela odgovornosti dio su usklađenosti.

Kako Raptoric pomaže

Procjenjujemo konfiguraciju i pristup u cloud okruženju te pomažemo zatvoriti najčešće rizike, kroz sigurnost aplikacija i clouda. Dogovorite uvodni razgovor.