Desenvolvendo um ambiente de nuvem híbrido seguro - dummies

Uma abordagem pensativa para a segurança pode ter sucesso em reduzir muitos riscos de segurança em um ambiente de nuvem híbrido. Para desenvolver um ambiente híbrido seguro, você deve avaliar o estado atual de sua estratégia de segurança, bem como a estratégia de segurança oferecida pelo provedor da nuvem.

Avalie seu estado atual de segurança

Em um ambiente híbrido, a segurança começa com a avaliação do seu estado atual. Você pode começar por responder a um conjunto de perguntas que podem ajudá-lo a formar sua abordagem em sua estratégia de segurança. Aqui estão algumas questões importantes a considerar:

• Já avaliou recentemente a sua própria infra-estrutura de segurança tradicional?

• Como você controla os direitos de acesso aos aplicativos e redes - tanto aqueles dentro da sua empresa quanto aqueles que estão fora do seu firewall? Quem tem o direito de acessar os recursos de TI? Como você garante que apenas as identidades corretas tenham acesso às suas aplicações e informações?

• Você pode identificar vulnerabilidades e riscos de aplicativos da Web e, em seguida, corrigir quaisquer fraquezas?

• Você tem uma maneira de rastrear seu risco de segurança ao longo do tempo para que você possa facilmente compartilhar informações atualizadas com quem precisa?

• Os seus ambientes de servidor estão protegidos em todos os momentos contra ameaças de segurança externas?

• Se você estiver usando criptografia, você mantém suas próprias chaves ou obtê-las de um provedor confiável e confiável? Você usa algoritmos padrão?

• Você pode monitorar e quantificar riscos de segurança em tempo real?

• Você pode implementar políticas de segurança de forma consistente em todos os tipos de arquiteturas no local e em nuvem?

• Como você protege todos os seus dados, independentemente de onde está armazenado?

• Você pode satisfazer requisitos de auditoria e relatórios para dados na nuvem?

• Você pode atender aos requisitos de conformidade da sua indústria?

• Qual é o seu programa de segurança do aplicativo?

• Quais são seus planos de desastre e recuperação? Como você garante a continuidade do serviço?

Avalie a segurança do fornecedor de sua nuvem

Um ambiente de nuvem híbrido representa um conjunto especial de desafios quando se trata de segurança e governança. Nuvens híbridas usam sua própria infra-estrutura mais a do seu provedor de serviços. Por exemplo, os dados podem ser armazenados nas suas instalações, mas processados ​​na nuvem. Isso significa que sua infra-estrutura local pode estar conectada a uma nuvem mais pública, o que afetará os tipos de controles de segurança que você precisa.

Os controles devem estar no lugar da segurança perimetral, do acesso, da integridade dos dados, malware e similares - não apenas na sua localização, mas também com o seu fornecedor da nuvem.Os provedores de serviços em nuvem possuem sua própria maneira de gerenciar a segurança. Eles podem ou não ser compatíveis com o plano de conformidade e segurança geral da sua organização. É absolutamente fundamental que sua empresa não enterre sua cabeça na areia assumindo que o provedor da nuvem tem segurança coberta.

Você precisa verificar se o seu fornecedor da nuvem garante o mesmo nível de segurança que você demanda internamente (ou um nível superior, se você estiver olhando para melhorar sua estratégia de segurança geral). Você deve fazer muitas perguntas difíceis para garantir que a estratégia de segurança e governança da sua empresa possa ser integrada ao seu provedor.

Aqui estão algumas dicas que podem ser iniciadas e que também podem ser úteis na avaliação de sua estratégia de segurança:

• Pergunte ao provedor da nuvem o tipo de empresas que elas atendem. Também faça perguntas sobre a arquitetura do sistema para entender mais sobre como o multi-tenancy é tratado.

• Visite a instalação sem aviso prévio para entender quais medidas de segurança física estão em vigor. De acordo com o CSA, isso significa caminhar por todas as áreas, desde a área de recepção até a sala do gerador e até mesmo inspecionar os tanques de combustível. Você também precisa verificar a segurança perimetral (por exemplo, verificar como as pessoas acessam o prédio) e se o operador está preparado para uma crise (por exemplo, extintores de incêndio, alarmes e outros).

• Verifique onde o provedor da nuvem está localizado. Por exemplo, é em uma área de alto crime ou uma área propensa a desastres naturais, como terremotos ou inundações?

• Que tipo de documentação atualizada o provedor da nuvem tem no lugar? Tem planos de resposta a incidentes? Planos de resposta de emergência? Planos de backup? Planos de restauração? Cheques de antecedentes do pessoal de segurança e outros membros da equipe?

• Que tipo de certificações o provedor? O pessoal de segurança da nuvem possui certificações como CISSP, CISA e ITIL?

• Saiba onde seus dados serão armazenados. Se a sua empresa possui regulamentos de conformidade, ela deve atender aos dados que residem em países estrangeiros, isso é importante saber.

• Descubra quem terá acesso aos seus dados. Verifique também para ver como os dados serão protegidos.

• Saiba mais sobre os planos de backup e retenção de dados do provedor. Você quer saber se seus dados são misturados com outros dados. Se você deseja que seus dados sejam retornados quando você encerre seu contrato, essas questões podem ser importantes.

• Como seu provedor evitará ataques de negação de serviço (DoS)?

• Que tipo de contratos de manutenção o seu provedor possui para o seu equipamento?

• O seu fornecedor da nuvem acompanha continuamente suas operações? Você pode ter visibilidade sobre essa capacidade de monitoramento?

• Como os incidentes são detectados? Como é registrada a informação?

• Como são tratados os incidentes? Qual é a definição de um incidente? Quem é o seu ponto de contato em seu provedor de serviços? Quais são os papéis e responsabilidades dos membros da equipe?

• Como seu provedor administra segurança de aplicativos e segurança de dados?

• Quais métricas o seu fornecedor da nuvem monitorou para garantir que os aplicativos permaneçam seguros?

Dada a importância da segurança no ambiente de nuvem, você pode assumir que um grande provedor de serviços em nuvem terá um conjunto de acordos abrangentes de nível de serviço para seus clientes. Na verdade, muitos dos acordos padrão destinam-se a proteger o provedor de serviços - e não o cliente. Então, sua empresa realmente deve entender o contrato, bem como a infra-estrutura, processos e certificações que seu provedor de nuvem detém.

Você deve articular claramente seus requisitos de segurança em nuvem e estratégia de governança e determinar a responsabilidade. Se o seu provedor de nuvem não quiser falar sobre esses itens, você provavelmente deve considerar um fornecedor de nuvem diferente. Por outro lado, seu provedor de nuvem pode realmente ter alguns truques na manga que podem melhorar sua própria segurança!