Pilveandmete turvalisus: muutke jagatud vastutus konkreetseks

Pilveteenuse pakkuja haldab osa turvakeskkonnast. Teie meeskond peab siiski kindlaks tegema, milliseid kaitsemeetmeid ta seadistab, kas need hõlmavad kasutatavaid andmeid ja teenuseid ning kuidas ta teab, et need jäävad tõhusaks.

Pilveandmete turvalisus kaitseb konfidentsiaalsust, terviklust ja käideldavust kogu salvestamise, töötlemise, jagamise ja taastamise vältel. See hõlmab andmebaase ja objektihoidlaid, aga ka rakenduste õigusi, SaaS-i eksportfaile, teenuseidentiteete, varukoopiaid ning sülearvuteid või automatiseerimissüsteeme, mis saavad andmeid välja võtta.

CTO vaatenurgast muutub jagatud vastutus kasulikuks alles siis, kui sellest sünnivad konkreetsed inseneriotsused: kes seadistab meetme, kes seda jälgib, millised tõendid näitavad selle toimimist ja kes tegutseb, kui see ebaõnnestub. Pakkuja turvaavaldus ei saa neile küsimustele teie juurutuse puhul vastata.

Määrake piir enne meetmete valimist

Pilvekeskkonnad ühendavad kaugelt pakutavat taristut, platvorme ja rakendusi. Avalik pilv kasutab üldjuhul pakkuja hallatavat taristut, mis teenindab mitut klienti; privaatpilv on pühendatud ühele organisatsioonile. Kumbki silt ei määra, kas teie andmed on piisavalt kaitstud. Isoleeritus, juurdepääsuteed, tegevuslik omanikuvastutus ja taastamiskorraldus on sildist olulisemad.

Alustage ühest äriteenusest ja jälgige selle sõltuvusi. Tehke kindlaks pilvekontod või tellimused, regioonid, teenused, andmehoidlad, administraatorid ja juurutussüsteemid. Kaasake toe, finantsi ja arenduse kasutatavad SaaS-tooted: tootmisandmebaas võib olla rangelt kontrollitud, samas kui selle klientide eksport asub laialt jagatud tööruumis.

Inventar peaks vastama järgmistele küsimustele:

• Millist teavet salvestatakse või töödeldakse ja kes vastutab ärieesmärgi eest?
• Kus asuvad esmased kirjed, koopiad, logid, eksportfailid, vahemälud ja varukoopiad?
• Millised inimesed, töökoormused, tarnijad ja välised vastuvõtjad pääsevad neile ligi?
• Millised kontod, regioonid ja teenused on kinnitatud ning kuidas uusi avastatakse?
• Millised säilitamise, kustutamise, käideldavuse ja lepingulised nõuded kehtivad?

Pilve skaleeritavus ja kaugjuurdepääs võivad tegevust parandada ning hallatud teenused võivad vähendada taristu hooldust. Samas muudavad need lihtsaks ressursside ja koopiate loomise kiiremini, kui ülevaatajad suudavad neid jälgida. Turvalisuse kulu hõlmab seega identiteetide haldust, jälgimist, tõendite kogumist, taastamise testimist ja tarnijate järelevalvet – mitte ainult salvestusarvet.

Klassifitseerige teave seal, kus see tegelikult asub

Kasutage hallatavat klassifitseerimisskeemi, mis on seotud tegevustega. Näiteks võivad kategooriad avalik, sisemine, konfidentsiaalne ja piiratud määrata jagamisreeglid, juurdepääsuülevaatused, logimise ja säilitamise. Määratlege, milline kategooria hõlmab klientide tunnuseid, autentimissaladusi, finantskirjeid, lähtekoodi ja tundlikku isikuteavet.

Automatiseeritud tuvastamine võib aidata leida tähelepanuta jäänud andmekogumeid, kuid kontrollige tulemusi andmeomanikega. Skanner võib jätta vahele tihendatud arhiivid või rakendusespetsiifilised väljad, samas kui kahjutu testistring võib tekitada valepositiivse tulemuse. Märkige skannimata asukohad ja valimi piirangud. Põhjalikuma tuvastamise töövoo leiate artiklist andmete tuvastamine ja privaatsus.

Kaardistage vastutus teenuse kaupa

Vastutuse piir muutub koos teenusmudeli ja pakkuja teostusega. Käsitlege järgnevat lähtepunktina, mida tuleb kontrollida teenuse dokumentatsiooni ja lepingute põhjal, mitte universaalse jaotusena.

Iga olulise kaitsemeetme kohta märkige pakkuja panus, kliendi seadistus, tegevusomanik, ülevaataja ja tõendite allikas. Vältige kirjeid nagu „krüpteerimine: pakkuja“. Kirjutage selle asemel: „Pakkuja pakub hallatud krüpteerimist; platvormimeeskond valib võtme seadistuse; turvalisus vaatab üle dekrüpteerimisõigused; teenuse omanik testib taastamist.“

Kaasake inimkasutajate kõrval teenuseidentiteedid ja juurutusautomaatika. Konveier, mis loob ressursse, muudab juurdepääsupoliitikaid või võtab välja saladusi, on osa turvapiirist. Ka hallatud teenuste käitajad ja välised tugiteenuse pakkujad vajavad selgesõnalisi kohustusi, isegi kui nad haldavad taristut teie nimel.

Tuvastage üleandmise tõrked. Kui pakkuja teatab ohustatud juurdepääsuandmetest, kes saab teate väljaspool tööaega? Kui andmebaas ei ole kättesaadav, kes otsustab, kas taastada, lülituda varusüsteemile või oodata? Määrake iga kliendipoolse tulemuse jaoks üks vastutav sisemine omanik, isegi kui tööd teevad mitu meeskonda.

Hinnake pakkuja tagatisi neid üle laiendamata

Vaadake üle teenuse turvadokumentatsioon, intsidentidest teavitamine, tugijuurdepääsu korraldus, alamtöötlejad, kustutamiskäitumine, taastamisvõimalused ja saadaolevad auditilogid. Kontrollige, kas asjakohane kontotase sisaldab tegelikult funktsioone, mida teie lahendus vajab.

Kindlustandvate dokumentide puhul tuleb üle vaadata nende ulatus. SOC 2 aruanne on atesteerimisaruanne, mitte sertifikaat. ISO 27001 sertifikaat puudutab kindlaksmääratud käsitlusalaga infoturbe juhtimissüsteemi, mitte tõendit, et teie rentnik on turvaliselt seadistatud. Kontrollige hõlmatud teenuseid, aruandeperioodi, erandeid ja aruandes nimetatud kliendipoolseid meetmeid.

Vajaduse korral pakub BSI C5 kataloog pilveteenuste kindlustandmise kriteeriume. Eristage 1. tüüpi hindamist, mis käsitleb kavandamist ja rakendamist ühel ajahetkel, 2. tüüpi katvusest, mis käsitleb toimimist teatud perioodi jooksul. Kumbki ei asenda teie enda juurdepääsu ja andmevoogude testimist.

Muutke kohustused tehnilisteks nõueteks

Tehke kohaldatav õigus ja klientidele antud lubadused kindlaks enne regiooni valimist või pakkuja tingimuste aktsepteerimist. Kohaldatavus sõltub teabest, töötlemisrollidest, sektorist, jurisdiktsioonidest ja teenussuhetest. Pakkuja aruanne või sertifikaat ei tõenda teie organisatsiooni vastavust õigusnõuetele.

GDPR-iga hõlmatud isikuandmete puhul nõuab artikkel 32 riskile vastavat turvalisust; see ei ole üldine kohustus krüpteerida iga andmekogum igas olukorras. Kui pakkuja tegutseb volitatud töötlejana, hinnake artikli 28 lepingulisi nõudeid. Rahvusvaheliste edastamiste korraldus nõuab eraldi hindamist. Ainuüksi andmete asukoht ei tõenda suveräänsust ega GDPR-ile vastavust, eriti kui tugijuurdepääs või alamtöötlejad loovad täiendavaid juurdepääsuteid.

Praktilise soovitusena muutke iga kohaldatav nõue testitavaks väiteks: lubatud töötlemisregioonid, kinnitatud vastuvõtjad, säilitamisajad, juurdepääsupiirangud, taastamiseesmärgid või intsidentidest teavitamise üleandmised. Laske õigus- ja privaatsusspetsialistidel tõlgendus kinnitada, samal ajal kui arendus määrab, kuidas nõuet rakendatakse ja tõendatakse.

Kontrollige tegelikku juurdepääsu, mitte ainult kavandatud õigusi

Varastatud juurdepääsuandmed, ülemäärased õigused, avalik jagamine ja siseringi väärkasutus on pilveandmete paljastumise levinud teed. Krüpteeritud hoidla võib ikkagi kirjeid avalikustada volitatud konto või rakenduse kaudu, mis tagastab vale kliendi andmed.

Föderatsioonige inimeste identiteedid, kus see on võimalik, et töölevõtu, ametikoha muutmise ja lahkumise protsessid jõuaksid pilveteenusteni. Nõudke privilegeeritud juurdepääsuks tugevat autentimist, eelistage toetatuse korral õngitsuskindlat mitmikautentimist ja eraldage tavatöö haldusest. Hädaolukorra juurdepääs vajab kontrollitud juurdepääsuandmeid, jälgitavat kasutust ja testitud taastamisprotsessi; see ei tohiks muutuda püsivaks möödapääsuks.

Töökoormuse identiteetide puhul eelistage toetatuse korral kitsa ulatusega lühiajalisi juurdepääsuandmeid. Vaadake üle usaldussuhted: milline töökoormus võib rolli üle võtta, millistel tingimustel ja millises keskkonnas? Eemaldage hoidlatest ja juurutusartefaktidest manustatud saladused ning piirake juurdepääsu saladuste teenusele endale.

Hinnake tegelikke õigusi üle identiteedipoliitikate, ressursipoliitikate, rollide ülevõtmise, rühmaliikmesuse, jagamislinkide ja organisatsioonitasandi piirangute. „Ainult lugemine“ võib siiski lubada tundliku teabe ulatuslikku väljavõtmist. Roll, mis ei saa kirjeid lugeda, kuid saab muuta rakendust või võtmepoliitikat, võib juurdepääsu saada kaudselt.

Juurdepääsuülevaatuse tõendid peaksid näitama subjekti, ressurssi, lubatud toiminguid, ärilist põhjendust, kinnitajat ja vajaduse korral eemaldamise kuupäeva. Testige töölt lahkumist ja aegunud ajutist juurdepääsu, selle asemel et toetuda üksnes kirjalikule protseduurile.

Uurige avatust ja rakenduse käitumist koos

Väärseadistus ühendab sageli mitu eraldi võetuna usutavat seadet. Objektihoidla puhul ei vasta vaikimisi krüpteerimine küsimusele, kes saab objekte lugeda või kas jagamispoliitika muudab need avalikuks. Uurige identiteete, ressursipoliitikaid, rakenduse käitumist ja jälgimist koos.

Kontrollige avaliku juurdepääsu piiranguid, sissetulevat võrguliiklust, andmebaasi kuulajaid, kontodevahelist usaldust, allkirjastatud linkide käitumist ja välist jagamist. Privaatsed lõpp-punktid võivad avatust vähendada, kuid need ei paranda ülemääraseid õigusi ega haavatavat rakendust. Eraldage keskkonnad ja piirake arendussüsteemidest juurdepääsu tootmisele.

Pilve API-d vajavad autentimist ja autoriseerimist objekti ja toimingu tasandil. Kehtiv kasutajaluba ei tohi lubada kellelgi tunnust muutes teise rentniku kirjeid välja võtta. Testige ekspordi lõpp-punkte, haldustoiminguid, hulgipäringuid ja üleslaadimise käsitlejaid. Päringumäära piirangud võivad väärkasutust vähendada, kuid ei asenda autoriseerimist.

Kasutage infrastruktuur koodina ülevaatust ja poliitikakontrolle teadaolevalt ohtlike seadete vältimiseks ning võrrelge seejärel kinnitatud reegleid juurutatud seadistusega. Konsoolimuudatused, migratsioonid ja hädaparandused võivad tekitada triivi. Dokumenteerige, miks erandid on olemas, nende kompenseerivad meetmed ja millal need aeguvad. Ohumodelleerimine võib aidata enne rakendamist tuvastada teid avatud liidesest tundlike andmeteni.

Muutke krüpteerimine ja võtmetele juurdepääs eraldi meetmeteks

Kaitske edastatavaid andmeid tänapäevaste autenditud protokollide ja asjakohase sertifikaadi valideerimisega. Vaadake üle nii sisemised rakendusühendused kui ka avalikud lõpp-punktid. Salvestatud andmete puhul tehke kindlaks, millised teenused, koopiad, eksportfailid, hetktõmmised ja varukoopiad on krüpteeritud ning millise võtmekorraldusega.

Pakkuja hallatavad võtmed ja kliendi hallatavad võtmed toetavad erinevaid tegevusvalikuid. Valige ohumudeli, lepinguliste nõuete, haldusliku eraldatuse ja taastamisvajaduste alusel. Kliendi hallatav võti ei ole automaatselt turvalisem, kui sama piiranguteta administraator kontrollib nii andmetele juurdepääsu kui ka võtmeõigusi.

Dokumenteerige, kes tohib võtmeid kasutada krüpteerimiseks, dekrüpteerimiseks, neid hallata, keelata ja kustutada. Vaadake üle võtmepoliitika muudatused ja ebatavaline dekrüpteerimistegevus. Kehtestage vahetamise, tühistamise, säilitamise ja taastamise protsessid; võtme vahetamine ei pruugi teenusest olenevalt iga olemasolevat koopiat uuesti krüpteerida.

KMS- ja HSM-teenused võivad toetada võtmete kaitset ja krüptograafilisi toiminguid, kuid need ei kõrvalda elutsükli kohustusi. Testige võtme kättesaamatuse tagajärgi enne kustutamis- või tühistamisprotsessi jõustamist. Kaitstud varukoopia on kasutuskõlbmatu, kui selle jaoks vajalikku võtit ei saa taastada. Toetavaid krüptograafilisi otsuseid käsitleb artikkel krüpteerimine ja võtmehaldus.

Jälgige andmetegevust ja säilitage reageerimisvõime

Logimine peab hõlmama küsimusi, millele reageerijad peavad vastama. Halduslikud auditisündmused võivad näidata, kes poliitikat muutis, näitamata, kes andmekogumi alla laadis. Tehke kindlaks, kus andmetele juurdepääsu logimine on saadaval, kas see on sisse lülitatud ja millised sündmused või teenused jäävad katvusest välja.

Koguge asjakohaseid identiteedi-, juhtimistasandi-, andmetele juurdepääsu-, rakendus-, võtmehaldus- ja jagamissündmusi. Säilitage konto- ja ressursitunnused, osaleja identiteet, ajatemplid, toimingud ja tulemused. Kaitske logisid muutmise ja loata kustutamise eest. Vältige tundliku sisu või korduvkasutatavate juurdepääsuandmete paigutamist logidesse; diagnostikaandmed võivad muutuda veel üheks paljastumise allikaks.

Seadke esikohale tuvastusstsenaariumid, näiteks:

• Piiratud hoidla muutub avalikult kättesaadavaks.
• Uus väline usaldussuhe või privilegeeritud rolli määramine.
• Ebatavalised hulgiekspordid või juurdepääs passiivse identiteedi kaudu.
• Logimine lülitatakse välja või selle sihtkohta muudetakse.
• Varukoopiate kustutamine või võtmehalduse muudatused.

Määratlege reageerijad ja testige hoiatusi kontrollitud harjutuse kaudu. Reegel, mis saadab hoiatused järelevalveta postkasti, ei ole tõhus tuvastusprotsess. Dokumenteerige kogumistõrked, hilinenud andmete sissevõtt, äsja loodud ressursid ja pakkuja piirangud, selle asemel et esitada armatuurlauda täieliku katvusena.

Intsidendi ajal säilitage asjakohased tõendid ja koordineerige ohjeldamist identiteetide, rakenduste ja salvestuse lõikes. Ühe loa tühistamine ei pruugi lõpetada teisi seansse ega peatada juba käimasolevat eksporti. GDPR-i kohaste isikuandmetega seotud rikkumiste korral teavitavad volitatud töötlejad vastutavaid töötlejaid põhjendamatu viivituseta. Vastutavad töötlejad teavitavad järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast teadasaamist, välja arvatud juhul, kui rikkumine ei too tõenäoliselt kaasa ohtu isikute õigustele ja vabadustele. Suure ohuga rikkumiste korral tuleb põhjendamatu viivituseta teavitada ka mõjutatud isikuid, arvestades artikli 34 erandeid. Säilitage teavitamise või teavitamata jätmise põhjendus.

Kasutage turvatööriistu määratletud küsimuste jaoks

Pilveturbe tööriistad on kõige kasulikumad, kui nende ulatus ja otsustuseesmärk on selged:

Alustage andmelekke ennetamise jõustamist esindusliku testimise ja andmeomanike ülevaatusega. Reegel, mis blokeerib õigustatud tugitöö, võib suunata kasutajad kontrollimatute möödapääsude poole. Piirake skannerite ja jälgimisagentide juurdepääs vajalikuga; laia lugemisõigusega tuvastustööriist muutub ise tundlikuks komponendiks.

Automatiseerimine võib vähendada korduvaid kontrolle ja tõendite kogumist. See ei saa tõendada, et toetamata teenus on turvaline või et õiguslik tõlgendus on õige. Hoidke oluliste leidude ja erandite inimlik ülevaatus selgesõnalisena.

Tõendage taastamist varunduse olekust sõltumatult

Varukoopiad käsitlevad kadu ja rikkumist ainult siis, kui neid saab taastada teenuse vajadustele vastava aja jooksul. Määrake koos äriomanikuga taastepunkti eesmärgid talutava andmekao jaoks ja taasteaja eesmärgid talutava katkestuse jaoks.

Eristage replikatsiooni, versioonimist, hetktõmmiseid ja varukoopiaid. Replikatsioon võib kopeerida rikutud või kustutatud andmeid. Hetktõmmised võivad jääda haavatavaks sama administraatori suhtes, kes kontrollib tootmist. Valige ohumudelile sobivad kaitstud koopiad ja halduslik eraldatus, sealhulgas toetatuse korral kustutamiskindlus.

Taastage esinduslik töökoormus isoleeritud keskkonda. Kontrollige andmete järjepidevust, rakenduse sõltuvusi, identiteedi seadistust, võtmete kättesaadavust ja taastamiseks kulunud aega. Ainuüksi andmebaasi taastamine ei näita, et äriteenus toimib. Dokumenteerige tõrked ja testige pärast parandamist uuesti.

Hinnake SaaS-i taastamist eraldi. Pakkuja avariitaaste võib taastada platvormi, tühistamata teie rentniku juhuslikku kustutamist. Tehke kindlaks saadaolev taastamise detailsus, säilitamisaknad, ekspordivõimalused ja vastutus taastamise algatamise eest. Rakendage klassifitseerimis- ja säilitamisreegleid ka varukoopiatele.

Näide: klientide ekspordi teenus

Vaadelgem illustratiivset SaaS-meeskonda, kes kasutab hallatud andmebaasi, objektihoidlat eksportfailide jaoks ja taustatöötajat. Oletame, et eksportfailid sisaldavad konfidentsiaalseid klientide kontaktandmeid, kliendid pääsevad ligi ainult oma eksportfailidele ning kokkulepitud taastamiseesmärgid on neli tundi andmekadu ja kaheksa tundi katkestust. Need on näitlikud eeldused, mitte soovitatavad universaalsed sihtväärtused.

Pakkuja käitab hallatud taristut. Platvormimeeskond seadistab võrgupiirangud, identiteedid, krüpteerimise ja logimise. Rakendusarendajad vastutavad rentniku autoriseerimise ja ekspordilinkide käitumise eest. Teenuse omanik kinnitab säilitamis- ja taastamiseesmärgid; turvalisus vaatab üle juurdepääsu ja tõendid.

Taustatöötaja saab õiguse lugeda vajalikke andmebaasikirjeid ja kirjutada eksportfaile määratud hoidlasse. Tal ei ole vaja õigust muuta salvestuspoliitikat ega kustutada varukoopiaid. Allalaadimised läbivad rentniku autoriseerimise; kõigil ajutistel linkidel on piiratud kehtivus ja neid käsitletakse esitaja juurdepääsuandmetena. Eksportfailid aeguvad vastavalt kinnitatud säilitamisreeglile.

Testimine hõlmab autentimata objektipäringut, klienti, kes üritab välja võtta teise kliendi eksportfaili, ja taustatöötajat, kes üritab teha keelatud haldustoimingut. Ülevaatajad kontrollivad ka, et avalik juurdepääs on blokeeritud ja et testallalaadimised tekitavad oodatud auditisündmusi.

Taastamisharjutus kontrollib andmebaasi ja rakenduse sõltuvusi eeldatud taastamiseesmärkide suhtes. Tõendite hulka kuuluvad seadistuse eksportfailid, autoriseerimistestide tulemused, valimisse võetud juurdepääsusündmused ja taastamiskirje. Kui ühe regiooni puhul puudub andmetele juurdepääsu logimine, märgitakse ülevaatuses see lünk ja määratakse parandustöö; mujal õnnestunud testimine seda ei sulge.

Säilitage ulatus, erandid ja läbivaatusotsused

Tõendid peaksid näitama kontot, ressurssi, aega, kogumismeetodit ja ülevaatajat. Ühe konto seadistuse eksport ei saa tõendada kõigi kontode seisundit. Võrrelge kogutud ressursse inventariga ning märkige ebaõnnestunud kogumised või ligipääsmatud asukohad.

Säilitage iga teenuse kohta kompaktne tõendikogum: selle vastutuskaart, kinnitatud baastase, praegused seadistuskontrollid, tegeliku juurdepääsu ülevaatus, logimise katvus, taastamistulemused ja avatud erandid. Iga erand vajab omanikku, riskipõhjendust, kompenseerivaid meetmeid, kinnitust, aegumist ja uuesti testimise tingimust.

Kasutage ajastatud ülevaatusi koos sündmuspõhiste käivitajatega. Olulised juurutusmuudatused, uued regioonid, tarnijavahetused, intsidendid, muutunud andmeklassifikatsioonid ja uued jagamisteed peaksid ajendama uut hindamist. NIST Cybersecurity Framework pakub kasulikku korralduslikku viidet funktsioonide Govern, Identify, Protect, Detect, Respond ja Recover lõikes; see on juhis, mitte tõend, et juurutus vastab oma kohustustele.

Secani saab siduda selle töö nõuete, sihtobjektide, tõendite, omanike, ülesannete ja läbivaatusotsustega. Modelleerige pilveteenus ja selle sõltuvused, lisage seadistuse eksportfailid ja testikirjed meetmetele, mida need toetavad, ning muutke puuduv katvus määratud tööks. Hoidke inimlik kinnitus ja allikate jälgitavus selgesõnalisena. Pilveturbe tööriistad jäävad tehnilise seadistuse ja hoiatuste allikaks; vastavuse tööruum säilitab nende ulatuse ja toimingud, mida need toetavad.

Järgmiseks inseneriülevaatuseks valige üks tundlik andmevoog. Jälgige iga koopiat ja juurdepääsuteed, määrake kliendipoolsed kohustused, testige tegelikke õigusi ja taastage esinduslik töökoormus. Laiendage ulatust, kui see ülevaatus annab usaldusväärseid tõendeid ja korratava protsessi.