セキュリティ リスク、脅威、脆弱性を軽減するためのクラウド セキュリティのヒント

クラウド内のデータはバックアップされており、脅威から保護されていると思いますか?それほど速くありません。

2018 年には記録的な数のサイバーセキュリティ攻撃が発生しており、すべてのデータが脅威にさらされていることは明らかです。

誰もが「自分には起こりえない」と思っています。現実には、ハッカーから 100% 安全なネットワークはありません。

Kaspersky Lab によると、ランサムウェアは 2018 年に 250% 以上増加し、非常に恐ろしい方向に進んでいます。ここに示すアドバイスに従うことは、クラウドでの重大なデータ損失による壊滅的な影響に対する究極の保険です。

クラウド内のデータの保護をどのように開始しますか?クラウドでデータを保護するためのベスト プラクティスは何ですか?クラウド コンピューティングの安全性は?

セキュリティ戦略をすぐに開始できるように、 クラウド セキュリティのリスクと脅威に関するアドバイスを専門家に提供してもらいました。

クラウド保護とセキュリティの脅威に関するエキスパートからの重要ポイント

• 防御が破られるのは時間の問題であることを受け入れ、計画を立ててください。
• クラウド内のデータがバックアップされていると思い込まないでください。
• クラウド アプリケーションにアクセスするための 2 要素認証と IP ロケーションを有効にする
• 暗号化を活用します。保管中のデータを暗号化する
• 人的要素は、セキュリティに対する最大の脅威の 1 つです。
• 毎週のパッチ管理サイクルにより、堅牢な変更管理プロセスを実施する
• クラウド データが破壊された場合や身代金を要求された場合に備えて、データのオフライン コピーを維持する
• 24 時間年中無休のセキュリティ監視サービスと契約する
• セキュリティ インシデント対応計画を立てる
• WAF (ウェブ アクセス ファイアウォール) などの高度なファイアウォール テクノロジーを利用する
• アプリケーション サービス、階層化、マイクロセグメンテーションを活用する

1.クラウドで可用性を維持

Veeam シニア クラウド ソリューション アーキテクト、Dustin Albertson

ほとんどの人は、クラウドベースのセキュリティについて考えるとき、ネットワーキング、ファイアウォール、エンドポイント セキュリティなどについて考える傾向があります。Amazon はクラウド セキュリティを次のように定義しています。

クラウドのセキュリティは、オンプレミスのデータ センターのセキュリティとよく似ていますが、施設とハードウェアの維持コストがかかりません。クラウドでは、物理サーバーやストレージ デバイスを管理する必要はありません。代わりに、ソフトウェア ベースのセキュリティ ツールを使用して、クラウド リソースに出入りする情報の流れを監視および保護します。

しかし、見過ごされがちなリスクの 1 つは、可用性を維持することです。これが意味することは、地理的な冗長性やハードウェアの冗長性だけではなく、データとアプリケーションが確実にカバーされるようにすることです。クラウドは、心配事がすべて消える魔法のような場所ではありません。雲は、あなたのすべての恐怖が、多くの場合、より簡単に、より安価に増殖できる場所です。堅牢なデータ保護戦略を持つことが重要です。 Veeam は、Peter Krogh によって生み出された 「3-2-1 ルール」について説教してきました。

この規則では、データのコピーを 3 つ用意し、それらを 2 つの異なるメディアに保存し、1 つをオフサイトに保管する必要があると述べています。通常、1 つのオフサイトは「クラウド」にありますが、既にクラウドにいる場合はどうでしょうか?

これは、ほとんどのクラウドの問題が発生する場所です。人々が既にクラウドにいる場合、同じクラウドにデータを保存する傾向があります。これが、クラウドに移行する際に詳細な戦略を立てることを覚えておくことが重要である理由です.クラウド ワークロードを保護する Veeam エージェントや、バックアップをオフサイトに送信する Cloud Connect などを活用して、同じデータセンターやクラウドの外部でその可用性を維持します。そうではないからといって、データを保護するのがプロバイダーの仕事だと思い込まないでください。

2.クラウドへの移行は、セキュリティ コントロールの進化を追い越しています

Allure Security の CTO、Salvatore Stolfo 氏

ESG が実施した新しい調査によると、組織の 75% が、パブリック クラウドに保存されている機密データの少なくとも 20% が十分に保護されていないと述べています。また、調査対象者の 81% が、オンプレミスのデータ セキュリティはパブリック クラウドのデータよりも成熟していると考えています。

しかし、組織の利益を最大化するために、企業はこれまで以上に急速にクラウドに移行しています。LogicMonitor の Cloud Vision 2020 レポートによると、2020 年までにビジネス ワークロードの推定 83% がクラウドに移行することになります。私たちが直面しているのは、組織が機密データを生産性向上のためにクラウドに移行する速度が、そのデータを保護するためにセキュリティ制御が進化する速度よりも速いという、ますます緊急の状況です.

企業は、ユーザーが持っている権限のレベルに基づいてクラウド共有内のデータへのアクセスを制御するソリューションを検討する必要がありますが、そのデータが通常とは異なる方法または疑わしい方法でアクセスされた場合に警告を受ける手段も必要です。信頼できるユーザーになります。

多くのハッカーや内部関係者による情報漏えいは、盗むべき貴重なデータを求めてクラウド共有内を自由に動き回ることを可能にする正当な資格情報を盗んだ悪意のある人物によってもたらされることを忘れないでください。おとりと呼ばれる欺瞞文書も、これを検出するための優れたツールとなります。おとりは、クラウドのセキュリティ侵害の初期段階でセキュリティ チームに異常な行動を警告することができます。また、実際には非常に説得力のある偽の文書であるにもかかわらず、サイバー泥棒を騙して、価値のあるものを盗んだと思い込ませることさえできます。次に、ドキュメントがクラウド共有から持ち出された場合でもドキュメントを制御できるかどうかという問題があります。

ここで、多くのセキュリティ ソリューションが機能しなくなります。ファイルがクラウド リポジトリからダウンロードされたら、そのファイルがどこに移動し、誰がそれを見るのかをどのように追跡できますか?これを解決するには、ジオフェンシングやテレメトリーなどのテクノロジーへの投資を増やす必要があります。

3.セキュリティ プランでクラウド コンピューティングの脅威と脆弱性を最小限に抑える

VMware のソリューション アーキテクト兼クラウド スペシャリスト、Nic O’Donovan 氏

ハイブリッド クラウドは、主に展開の速度、スケーラビリティ、およびコスト削減がビジネスにとってより魅力的になるため、企業の間で人気が高まり続けています。インフラストラクチャがクラウドへと急速に進化しているのを引き続き目にします。つまり、セキュリティも同様のペースで開発する必要があります。企業は、クラウドのセキュリティに対して信頼できるアプローチを採用しているクラウド サービス プロバイダーと連携することが不可欠です。

これは、クラウド プロバイダーとのパートナーシップがますます重要になっていることを意味します。これは、データを安全に保つためのセキュリティ計画を理解して実装するために協力する必要があるためです。

多要素認証、データ暗号化、必要なコンプライアンス レベルなどのセキュリティ管理は、セキュリティ計画を構築する際に重点的に取り組むべきすべての分野です。

4.最大の脆弱性について学ぶことを決して止めないでください

Teramin の CEO、Isacc Kohen 氏

ますます多くの企業がクラウドの犠牲になっていますが、これはクラウドの構成ミスと従業員の過失が関係しています。

1. データ セキュリティに対する最大の脅威は従業員です。怠慢または悪意のある従業員は、マルウェア感染とデータ損失の最大の理由の 1 つです。マルウェア攻撃やフィッシング メールがニュースでよく使われる理由は、ハッカーがデータにアクセスするための「簡単な」方法だからです。ソーシャル エンジニアリングを通じて、悪意のある犯罪者は従業員を「だまして」、重要なビジネスおよびエンタープライズ データ システムにパスワードと資格情報を提供させることができます。これを防ぐ方法:効果的な従業員トレーニング プログラムと、システムを積極的に調査する従業員の監視

2. 学ぶことをやめない。絶えず変化し、適応している業界では、最新の傾向と脆弱性について最新情報を入手することが重要です。たとえば、モノのインターネット (IoT) では、増加した Wi-Fi 接続とオンライン データ ストレージ サービスでのデータ保護に関しては、「氷山の一角」しか見え始めていません。この話にはさらに多くの進展があり、将来的には中小企業に直接的な影響を与えるでしょう.

3. ストレージがどのように機能するかを調査して理解し、教育します。クラウドを介してデータが公開される場合、多くの場合、クラウド設定の構成ミスが原因であるという話を聞いています。従業員は、アプリケーションのセキュリティの性質と、設定が簡単に改ざんされて「オン」になり、データが外部に公開される可能性があることを理解する必要があります。トレーニング プログラムを通じてセキュリティ意識を教育します。

4. アクセス ポイントを制限します。これを軽減する簡単な方法は、アクセス ポイントを制限することです。クラウドへの公開に関するよくある間違いは、誤ってアクセス権を持つ従業員がグローバル権限を有効にして、データがオープンな接続に公開されることによるものです。軽減するには、データ クラウド (すべてのアクセス ポイント) に誰が、何がアクセスできるかを理解し、それらの接続を徹底的に監視します。

5. システムの監視。プログレッシブとスルー。クラウド上のデータを長期的に保護するには、ユーザー分析および監視プラットフォームを使用して、違反をより迅速に検出します。監視とユーザー分析により、データが合理化され、ユーザー (従業員とコンピューター) の標準的な「プロファイル」が作成されます。これらの分析は統合されており、管理者が検出ソフトウェアで示した最も重要なデータのデポジットに従います。特定のクラウド データが改ざん、移動、または侵害されると、システムは管理者に「ping」を送信し、すぐに性格の変化を示します。

5.ハイブリッド ソリューションを検討

マイケル V.N.ホール、Turbot オペレーション ディレクター

クラウドのセキュリティについて理解しておくべき重要なことがいくつかあります:

1. パスワードは強力です – すべてのパスワード侵害の 80% は、多要素識別によって防止できた可能性があります。携帯電話へのテキストまたはアカウントへの電子メールで個人の身元を確認することにより、誰かがあなたの詳細。

現時点で最大の原因の 1 つは、資格情報の弱体化です。つまり、フィッシング詐欺、キーロギング、ブルート フォース攻撃によって、パスワード、パスキー、パスフレーズが盗まれるということです。

パスフレーズは新しいパスワードです。ランダムで覚えやすいパスフレーズは、長くて複雑になる傾向があるため、パスワードよりもはるかに優れています。

MyDonkeysEatCheese47 は複雑なパスフレーズであり、あなたがロバの所有者またはチーズメーカーでない限り、あなたとは無関係です.大文字と小文字、および句読点をすべて使用することを忘れないでください。

2. ホスティング プロバイダーと連絡を取り合います。適切なホスティング プロバイダー、つまり高度なセキュリティ基準を備えた評判の良い会社を選択してください。頻繁にやり取りすることで、変更や進行中の問題に遅れないようにすることができるため、定期的に連絡を取ってください。

3. ハイブリッド ソリューションを検討します。ハイブリッド ソリューションにより、安全で静的なシステムが重要なデータを社内に保存できると同時に、優先度の低いデータをクラウドの汎用性に開放することができます。

6.クラウド セキュリティ システムの仕組みを学ぶ

Digital Defense, Inc. の CIO、Tom DeSot

企業は、クラウド コンピューティングのセキュリティ リスクとメリットを確実に評価する必要があります。自社のデータセンターでシステムを実行することから大きな飛躍を遂げる前に、クラウドに移行することの意味について自分自身を教育することを確認することです.

クラウドへの移行が企業にとって何を意味し、システムのセキュリティについて何の計画も持たずに企業がクラウドに移行するのを私はよく見てきました。ソフトウェアが他の顧客との共有システム上で「稼働」することを認識する必要があるため、別の顧客のプラットフォームに違反があった場合、攻撃者がそのシステムも侵害する可能性があります。

同様に、クラウドの顧客は、データがどこに保存されるかを理解する必要があります。それが米国内だけにあるのか、それともプロバイダーが別の大陸にある他のシステムにレプリケートするのかです。情報が PII のような機密性の高いものである場合、または HIPAA やその他の規制法の下で保護されている情報である場合、これは実際の問題を引き起こす可能性があります。最後に、クラウドの顧客は、クラウド プロバイダーが準拠しているサービス レベル アグリーメント (SLA) に細心の注意を払い、それが自社の SLA を反映していることを確認する必要があります。

クラウドへの移行は、コンピューティング リソースを解放し、アップタイムを確保するための優れた方法ですが、クライアントには、「クラウドにいる」ということの意味を理解する時間を確保するために、小さなステップで移行するよう常にアドバイスしています。 」

7.クラウドを保護するために十分な注意を払う

SecureState の CEO、Ken Stasiak 氏

クラウドに入れるデータの種類と、そのデータに関する必須のセキュリティ要件を理解してください。

企業がクラウドに保存しようとしているデータの種類を把握したら、さまざまなクラウド プロバイダーを評価する際に必要なデュー デリジェンスのレベルをしっかりと理解する必要があります。たとえば、保護対象医療情報 (PHI) をホストするクラウド サービス プロバイダーを選択している場合は、データをクラウドに移動する前に、セキュリティ基準と HIPAA コンプライアンスの評価を要求する必要があります。

クラウド サービス プロバイダーがそのデータの保護に関心のある組織に適しているかどうかを評価する際に、次のような良い質問をする必要があります。定期的な SOC の監査と評価を行っていますか?悪意のあるアクティビティからどのように保護しますか?すべての従業員の身元調査を行っていますか?従業員の監視、アクセスの決定、および監査証跡のために、どのような種類のシステムを導入していますか?

8.アクセス制御とセキュリティ許可を設定する

マイケル R. デュランテ、Tie National, LLC 社長

クラウドは、ビジネスのニーズに合わせてスケーリングし、複数の場所でのコラボレーションを促進するための柔軟性を備えているため、コンピューティングにおいてますます力を増していますが、比較的コントロールできない脆弱性を公開する可能性があるため、セキュリティ上の懸念も生じます。

たとえば、ユーザーがセキュリティ パッチや更新プログラムを定期的に適用していない場合、BYOD を保護することが困難になる可能性があります。一番のヒントは、利用可能なアクセス制御を最大限に活用することです。

企業は、アクセス制御を利用してセキュリティ権限を制限し、従業員の職務に関連するアクションのみを許可する必要があります。アクセスを制限することで、企業は重要なファイルを必要とするスタッフのみが利用できるようにし、不適切な関係者にさらされる可能性を減らします。また、この制御により、従業員がどこからリモートでアクセスを試みても、機密コンテンツを保護するために、雇用の終了時にすぐにアクセス権を簡単に取り消すことができます。

9.サプライヤーまたはベンダーの血統とプロセスを理解する

Redstor の CEO、Paul Evans

クラウド テクノロジーを使用することで、あらゆる規模の企業がパフォーマンスの向上を促進し、より多くのリモート作業、より高い可用性、およびより高い柔軟性によって効率を高めることができるようになりました。

ただし、展開される異種システムの数が増え、非常に多くのクラウド サプライヤーとソフトウェアから選択できるようになると、データ セキュリティの制御を維持することが困難になる可能性があります。クラウド サービスの実装を検討する場合、サービスを提供するサプライヤー/ベンダーの血統とプロセスを完全に理解することが不可欠です。業界標準のセキュリティ認定は、出発点として最適です。 ISO 27001 認証を取得しているサプライヤーは、国際的な情報セキュリティ管理基準を満たしていることを証明しており、そうでないサプライヤーよりも高い評価を受ける必要があります。

データが地理的にどこにあるのか、誰がアクセスできるのか、データが暗号化されるかどうかを完全に理解することが、データを保護できるようにするための鍵となります。データの侵害や損失が発生した場合、またはダウンタイムが発生した場合に、サプライヤーのプロセスがどのようなものかを知ることも重要です。許容できるダウンタイムは、契約したサービス レベル アグリーメント (SLA) で設定する必要があります。SLA によって財政的に裏付けられ、安心感が得られます。

クラウド プラットフォームの利用を検討している組織には、クラウド セキュリティの脅威があります 誰がデータにアクセスできますか?データはどこに保存されますか?私のデータは暗号化されていますか?しかし、ほとんどの場合、クラウド プラットフォームはこれらの質問に答えることができ、高度なセキュリティを備えています。クラウドを利用する組織は、データに影響を与えるデータ保護法および規制を認識し、クラウド プロバイダーとの契約上の合意を正確に理解する必要があります。データはどのように保護されていますか?多くの規制や業界標準は、機密データを保存する最善の方法についてのガイダンスを提供します。

セキュリティで保護されていない、または暗号化されていないデータのコピーを保持すると、リスクが高くなる可能性があります。クラウド サービスのセキュリティ レベルに関する知識を得ることが不可欠です。

保持ポリシーとは何ですか? また、バックアップはありますか?クラウド プラットフォームにはさまざまな用途があり、これが問題を引き起こす (または防ぐ) 可能性があります。データがクラウド プラットフォームに保存されている場合、ランサムウェアや破損などのクラウド セキュリティ リスクに対して脆弱になる可能性があるため、データの複数のコピーを確実に保持またはバックアップすることで、これを防ぐことができます。これらのプロセスが実行されていることを保証することで、組織のクラウド プラットフォームのセキュリティ レベルが向上し、リスクがどこから発生する可能性があるかを理解できます

10.強力なパスワードと多要素認証を使用

Fred Reck、InnoTek コンピューター コンサルティング

すべてのクラウド ユーザーに強力なパスワードが必要であることを確認し、できれば多要素認証を使用してください。

2017 年の Verizon Data Breach Investigations Report によると、ハッキングに関連するすべての侵害の 81% が、盗まれたパスワードや脆弱なパスワードを利用していました。クラウドの最も重要な利点の 1 つは、世界中のどこからでも、どのデバイスからでも会社のデータにアクセスできることです。反対に、セキュリティの観点から、ユーザー名とパスワードを持っている人 (別名「悪者」) は、ビジネス データにアクセスできる可能性があります。ユーザーに強力なパスワードの作成を強制すると、ハッカーがブルート フォース攻撃（複数のランダムな文字からパスワードを推測する）を使用することが非常に困難になります。

安全なパスワードに加えて、今日の多くのクラウド サービスでは、従業員の携帯電話を多要素戦略の 2 次的な物理的セキュリティ認証要素として利用できるため、組織はこれをアクセスしやすく、手頃な価格で実装できます。ユーザーはパスワードを知る必要があるだけでなく、自分のアカウントにアクセスするために携帯電話に物理的にアクセスする必要があります.

最後に、あらかじめ決められた回数のログイン失敗後にユーザーのアカウントをロックする機能を実装することを検討してください。

11. IP ロケーションのロックダウンを有効にする

Chris Byrne は Sensorpro の共同創設者兼 CEO です

企業は、使用するクラウド アプリケーションにアクセスするために、2 要素認証と IP ロケーション ロックダウンを有効にする必要があります。

2FA を使用すると、テキスト メッセージによる通常の電子メールとパスワードの組み合わせに別のチャレンジを追加できます。 IP ロックダウンを使用すると、オフィスの IP またはリモート ワーカーの IP からのアクセスをリング フェンスできます。プラットフォームがこれをサポートしていない場合は、プロバイダーに有効にするよう依頼することを検討してください。

実際のクラウド プラットフォームの提供に関しては、保存データの暗号化オプションを提供します。ある時点で、これは https (SSL/TLS) と同じくらいユビキタスになるでしょう。考えられない事態が発生し、データが悪意のある人の手に渡った場合、つまり、デバイスが盗まれたり電車に置き忘れられたりした場合、保存データの暗号化は、適切な暗号化キーなしで誰かがデータにアクセスするのを防ぐための最後の防衛線です。盗んでも使えない。これにより、たとえば、最近の Equifax 侵害が改善されたはずです。

12. VPN によるクラウド ストレージ セキュリティ ソリューション

GeekTek 社長兼 CEO、Eric Sc​​hlissel

クラウドに接続するときは常に VPN (仮想プライベート ネットワーク) を使用します。 VPN は、多くの場合、Web トラフィックを半匿名化するために使用されます。通常は、Netflix USA や BBC Player などのストリーミング サービスにアクセスすることによってジオブロックされた視聴者によって使用されます。また、クラウドに接続するすべてのデバイスに重要なセキュリティ レイヤーを提供します。 VPN がなければ、潜在的な侵入者がパケット スニファを使用して、クラウド アカウントにアクセスしているメンバーを特定し、ログイン資格情報にアクセスできる可能性があります。

保管中のデータを暗号化します。なんらかの理由で、パブリック、プライベート、またはハイブリッド クラウドでユーザー アカウントが侵害された場合、プレーンテキストと暗号化された形式のデータの違いは、数十万ドル、具体的には 229,000 ドルに上ります。保険会社ヒスコックスが実施した調査の回答者。最近の出来事が示しているように、このデータを暗号化および復号化するプロセスは、代替手段に耐えるよりもはるかに簡単であることが証明されています.

すべてのクラウドベースのアカウントに 2 要素認証とシングル サインオンを使用します。 Google、Facebook、PayPal はすべて 2 要素認証を利用しており、ユーザーは自分のアカウントにサインインする前に、ソフトウェアで生成された固有のコードをフォームに入力する必要があります。ビジネスがその地位を目指すかどうかにかかわらず、セキュリティ戦略のこのコア コンポーネントをエミュレートできますし、エミュレートする必要があります。シングル サインオンによりアクセス管理が簡素化されるため、1 組のユーザー資格情報で従業員がすべてのアカウントにサインインします。このようにして、システム管理者は削除するアカウントを 1 つだけ持つことができます。複数のアカウントを忘れて元の従業員が後で再アクセスするのではなく、削除する必要があります。

13.人的要素のリスクに注意

スティーブン J.J. Weisman、弁護士、ベントレー大学教授

シェイクスピアの言葉を言い換えれば、問題はクラウドにあるのではありません。責任は私たちにあります。

機密データをクラウドに保存することは、さまざまなレベルでのデータ セキュリティに適したオプションです。ただし、テクノロジーがどれほど安全であるかに関係なく、人的要素は常にサイバー犯罪者に悪用される潜在的なセキュリティ上の危険をもたらします。過去のクラウド セキュリティ違反の多くは、クラウド テクノロジーによるセキュリティの失効によるものではなく、クラウドの個々のユーザーの行動によるものであることが証明されています。

サイバー犯罪者は、スピア フィッシング メール、電話、またはテキスト メッセージを通じて、クラウド アカウントへのアクセスに必要な重要な情報を提供するよう人々を説得します。

この問題を回避する最善の方法は、スピア フィッシングを認識して防止するための従業員の教育を強化するとともに、クラウド アカウントへのアクセスが試行されるたびに従業員の携帯電話に 1 回限りのコードを送信するなど、二重要素認証を使用することです。

14.クラウド ベンダーからのデータ取得を保証

ボブ ハーマン、IT Tropolis の共同創設者兼社長

1. 2 要素認証により、アカウントの不正使用を防ぎます。多くのユーザーは、悪意のある人物が被害者をだまして偽の Web サイトにログイン情報を入力させるという電子メール フィッシングの試みの被害に遭いません。その後、攻撃者は実際のサイトに被害者としてログインし、サイト アプリケーションとユーザー アクセスに応じてあらゆる種類の損害を与えることができます。 2FA により、アプリケーションにログインするときに 2 つ目のコードを入力する必要があります。通常、ユーザーの電話に送信されるコード。

2. データを所有していること、およびクラウド ベンダーとの取引が不要になった場合にデータを取得できることを確認することが不可欠です。ほとんどの正当なクラウド ベンダーは、顧客が自社のデータを所有していることを条件で明記する必要があります。次に、使用可能な形式でデータを抽出またはエクスポートできること、または要求に応じてクラウド ベンダーがデータを提供することを確認する必要があります。

15.リアルタイムおよび継続的なモニタリング

Threat Stack の最高セキュリティ責任者、Sam Bisbee 氏

1. リアルタイムのセキュリティの可観測性と継続的なシステム監視を作成する

監視はどのようなデータ環境でも不可欠ですが、最新のクラウド環境、特に SaaS 環境の変更はより頻繁に発生する傾向があることを強調することが重要です。その影響はすぐに感じられます。

エラスティック インフラストラクチャの性質により、劇的な結果が得られる可能性があります。いつでも、誰かの偶発的または悪意のある行動が、開発、運用、またはテスト システムのセキュリティに深刻な影響を与える可能性があります。

リアルタイムのセキュリティ可観測性と継続的な監視なしで最新のインフラストラクチャを実行することは、盲目的に飛ぶようなものです。環境で何が起こっているかを把握できず、問題が発生したときにすぐに緩和策を開始する方法がありません。アプリケーションの状態を経時的に把握するには、アプリケーションとホストベースのアクセスを監視する必要があります。

• ユーザーの手動操作に対するシステムの監視。これは、エンジニアが本番環境にアクセスできる可能性が高い現在の DevOps の世界では特に重要です。手動タスクを使用してシステムを管理している可能性があるため、これを機会として利用して、自動化に適したプロセスを特定してください。
• アプリケーションのパフォーマンスを経時的に追跡して異常を検出する。 「誰がいつ何をしたか」を理解することは、環境で発生している変化を調査するための基本です。

2. 構成設定の設定と継続的な監視

Amazon Direct Connect などのクラウド環境でのセキュリティ構成は複雑になる可能性があり、S3 リークに関する最近のすべての話で証明されているように、システムやデータへのアクセスを誤って世界中に公開したままにしてしまいがちです。

サービスを継続的にリアルタイムで作成および削除できる SaaS 環境の変化しやすい (場合によっては不安定な) 性質を考えると、サービスを適切に構成できなかったり、設定を監視できなかったりすると、セキュリティが危険にさらされる可能性があります。最終的に、これは顧客がデータを保護するために貴社に寄せる信頼を損なうことになります。

確立されたベースラインに対して構成を設定し、それらを継続的に監視することで、サービスをセットアップする際の問題を回避でき、構成の問題が発生したときに、より迅速に検出して対応することができます。

3. クラウド セキュリティ ソリューションとインフラストラクチャのセキュリティと運用の優先順位を調整する

優れたセキュリティは、適切な運用と区別がつきません。これらのチームは、組織内で対立することが多すぎます。セキュリティは、開発チームと運用チームの活動を監視することに集中しすぎて、ビジネスの速度を低下させていると見なされることがあります。しかし、セキュリティはビジネスを可能にするものです。

セキュリティは、ネットワーク管理、ユーザー アクセス、インフラストラクチャの構成、およびアプリケーション レイヤー全体の脆弱性管理にわたって、組織内の自動化テスト ツール、セキュリティ制御と監視を活用する必要があります。これにより、ビジネスが前進し、攻撃面全体でリスクが軽減され、運用上の可用性が維持されます。 .

16.監査ツールを使用してクラウド内のデータを保護する

Jeremy Vance、US クラウド

1. 監査ツールを使用して、クラウドにあるすべてのものと、すべてのユーザーがクラウドで使用しているものを把握します。知らないデータを保護することはできません。

2. ネットワーク上で実行されているサービスを特定するだけでなく、それらのサービスがいつ、誰によって、どのように、なぜ使用されているかを調べます。

3. 監査プロセスを、1 回限りのイベントではなく、ネットワーク監視の日常的な部分にします。さらに、そのための帯域幅がない場合は、その監査ルーチンを US Cloud のような認定されたサード パーティにアウトソーシングしてください。

17.ほとんどの侵害は、単純なセキュリティ保護されていないポイントから始まります

Enola Labs のチーフ アーキテクト兼 CTO、マーカス ターナー

クラウドは非常に安全ですが、会社のデータを安全に保つには、クラウドを適切に構成することが重要です。

特に AWS の場合、AWS Config はこれを行うのに最適なツールです。 AWS は、適切に構成された場合、世界で最も安全なクラウド コンピューティング環境の 1 つです。ただし、ほとんどのデータ侵害は、複雑なプログラムを利用して重要なデータにアクセスするハッカーではなく、企業データを脆弱にする単純なセキュリティ保護されていないポイント、簡単に手に入る成果です。

最高のクラウド セキュリティを備えていても、保護における最も重大なギャップや違反の原因は、多くの場合、人的エラーのせいです。継続的な構成の正確性を検証するためのルーチンを用意することは、クラウドで企業データを安全に保つために最も活用されておらず、評価もされていない指標です。

18.クラウド ベンダー キーのセキュリティに関する質問

Brandan Keaveny、Ed.D.、Data Ethics LLC の創設者

クラウドベースのソリューションへの移行の可能性を検討するときは、侵害が発生した場合に備えて適切なサポートを確保する必要があります。クラウドベースのプロバイダーとの契約に署名する前に、次の質問をしてください:

質問:プロバイダーはサービスを促進するためにいくつのサードパーティを使用していますか?

質問の理由 (理由):プロセスとドキュメントを更新して、手続き上の保護措置とクラウドベースのソリューションとの調整を含める必要があります。さらに、クラウドベースのプロバイダーが提供するセキュリティのレベルを明確に理解する必要があります。保存されるデータのプライバシーとセキュリティの要件を満たすために、より高いレベルのセキュリティを追加する必要があります。

Question:How will you be notified if a breach of their systems occurs and will they assist your company in the notification of your clients/customers?

Reason:By adding a cloud-based solution to the storage of your data also adds a new dimension of time to factor into the notification requirements that may apply to your data should a breach occur. These timing factors should be incorporated into breach notification procedures and privacy policies.

When switching to the cloud from a locally hosted solution your security risk assessment process needs to be updated. Before making the switch, a risk assessment should take place to understand the current state of the integrity of the data that will be migrated.

Additionally, research should be done to review how data will be transferred to the cloud environment. Questions to consider include:

Question:Is your data ready for transport?

Reason:The time to conduct a data quality assessment is before migrating data to a cloud-based solution rather than after the fact.

Question:Will this transfer be facilitated by the cloud provider?

Reason:It is important to understand the security parameters that are in place for the transfer of data to the cloud provider, especially when considering large data sets.

19. Secure Your Cloud Account Beyond the Password

Contributed by the team at Dexter Edward

Secure the cloud account itself. All the protection on a server/os/application won’t help if anyone can take over the controls.

• Use a strong and secure password on the account and 2-factor authentication.
• Rotate cloud keys/credentials routinely.
• Use IP whitelists.
• Use any role-based accesses on any associated cloud keys/credentials.

Secure access to the compute instances in the cloud.

• Use firewalls provided by the cloud providers.
• Use secure SSH keys for any devices that require login access.
• Require a password for administrative tasks.
• Construct your application to operate without root privilege.
• Ensure your applications use encryption for any communications outside the cloud.
• Use authentication before establishing public communications.

Use as much of the private cloud network as you can.

• Avoid binding services to all public networks.
• Use the private network to isolate even your login access (VPN is an option).

Take advantage of monitoring, file auditing, and intrusion detection when offered by cloud providers.

• The cloud is made to move – use this feature to change up the network location.
• Turn off instances when not in use. b. Keep daily images so you can move the servers/application around the internet more frequently.

20. Consider Implementing Managed Virtual Desktops

Michael Abboud, CEO, and Founder of TetherView

Natural disasters mixed with cyber threats, data breaches, hardware problems, and the human factor, increase the risk that a business will experience some type of costly outage or disruption.

Moving towards managed virtual desktops delivered via a private cloud, provides a unique opportunity for organizations to reduce costs and provide secure remote access to staff while supporting business continuity initiatives and mitigating the risk of downtime.

Taking advantage of standby virtual desktops, a proper business continuity solution provides businesses with the foundation for security and compliance.

The deployment of virtual desktops provides users with the flexibility to work remotely via a fully-functional browser-based environment while simultaneously allowing IT departments to centrally manage endpoints and lock down business critical data. Performance, security, and compliance are unaffected.

Standby virtual desktops come pre-configured and are ready to be deployed instantaneously, allowing your team to remain “business as usual” during a sudden disaster.

In addition to this, you should ensure regular data audits and backups

If you don’t know what is in your cloud, now is the time to find out. It’s essential to frequently audit your data and ensure everything is backed up. You’ll also want to consider who has access to this data. Old employees or those who no longer need access should have permissions provoked.

It’s important to also use the latest security measures, such as multi-factor authentication and default encryption. Always keep your employees up to speed with these measures and train them to spot potential threats that way they know how to deal with them right away.

21. Be Aware of a Provider’s Security Policies

Jeff Bittner, Founder and President of Exit technologies

Many, if not most, businesses will continue to expand in the cloud, while relying on on-premise infrastructure for a variety of reasons, ranging from a simple cost/benefit advantages to reluctance to entrust key mission-critical data or systems into the hands of third-party cloud services providers. Keeping track of what assets are where in this hybrid environment can be tricky and result in security gaps.

Responsibility for security in the cloud is shared between the service provider and the subscriber. So, the subscriber needs to be aware not only of the service provider’s security policies, but also such mundane matters as hardware refresh cycles.

Cyber attackers have become adept at finding and exploiting gaps in older operating systems and applications that may be obsolete, or which are no longer updated. Now, with the disclosure of the Spectre and Meltdown vulnerabilities, we also have to worry about threats that could exploit errors or oversights hard-coded at the chip level.

Hardware such as servers and PCs has a limited life cycle, but often businesses will continue to operate these systems after vendors begin to withdraw support and discontinue firmware and software updates needed to counter new security threats.

In addition to being aware of what their cloud provider is doing, the business must keep track of its own assets and refresh them or decommission them as needed. When computer systems are repurposed for non-critical purposes, it is too easy for them to fall outside of risk management and security oversight.

22. Encrypt Backups Before Sending to the Cloud

Mikkel Wilson, CTO at Oblivious.io

1. File metadata should be secured just as vigilantly as the data itself. Even if an attacker can’t get at the data you’ve stored in the cloud, if they can get, say, all the filenames and file sizes, you’ve leaked important information. For example, if you’re a lawyer and you reveal that you have a file called “michael_cohen_hush_money_payouts.xls” and it’s 15mb in size, this may raise questions you’d rather not answer.

2. Encrypt your backups *before* you upload them to the cloud. Backups are a high-value target for attackers. Many companies, even ones with their own data centers, will store backups in cloud environments like Amazon S3. They’ll even turn on the encryption features of S3. Unfortunately, Amazon stores the encryption keys right along with the data. It’s like locking your car and leaving the keys on the hood.

23. Know Where Your Data Resides To Reduce Cloud Threats

Vikas Aditya, Founder of QuikFynd Inc,

Be aware of where their data is stored these days so that they can proactively identify if any of the data may be at risk of a breach.

These days, data is being stored in multiple cloud locations and applications in addition to storage devices in business. Companies are adopting cloud storage services such as Google Drive, Dropbox, OneDrive, etc. and online software services for all kind of business processes. This has led to vast fragmentation of company data, and often managers have no idea where all the data may be.

For example, a confidential financial report for the company may get stored in cloud storage because devices are automatically synching with cloud or a sensitive business conversation may happen in cloud-based messaging services such as Slack. While cloud companies have all the right intentions to keep their customer data safe, they are also the prime target because hackers have better ROI in targeting such services where they can potentially get access to data for millions of subscribers.

So, what should a company do?

While they will continue to adopt cloud services and their data will end up in many, many locations, they can use some search and data organization tools that can show them what data exists in these services. Using full-text search capabilities, they can then very quickly find out if any of this information is a potential risk to the company if breached. You cannot protect something if you do not even know where it is. And more importantly, you will not even know if it is stolen. So, companies looking to protect their business data need to take steps at least to be aware of where all their information is.

24. Patch Your Systems Regularly To Avoid Cloud Vulnerabilities

Adam Stern, CEO of Infinitely Virtual

Business users are not defenseless,  even in the wake of recent attacks on cloud computing like WannaCry or Petya/NotPetya.

The best antidote is patch management. It is always sound practice to keep systems and servers up to date with patches – it is the shortest path to peace of mind. Indeed, “patch management consciousness” needs to be part of an overarching mantra that security is a process, not an event — a mindset, not a matter of checking boxes and moving on. Vigilance should be everyone’s default mode.

Spam is no one’s friend; be wary of emails from unknown sources – and that means not opening them. Every small and midsize business wins by placing strategic emphasis on security protections, with technologies like clustered firewalls and intrusion detection and prevention systems (IDPS).

25. Security Processes Need Enforcement as Staff Often Fail to Realize the Risk

Murad Mordukhay, CEO of Qencode

1. Security as a Priority

Enforcing security measures can become difficult when working with deadlines or complex new features. In an attempt to drive their products forward, teams often bend the rules outlined in their own security process without realizing the risk they are putting their company into. A well thought out security process needs to be well enforced in order achieve its goal in keeping your data protected. Companies that include cloud security as a priority in their product development process drastically reduce their exposure to lost data and security threats.

2. Passwords &Encryption

Two important parts of securing your data in the cloud are passwords and encryption.

Poor password management is the most significant opportunity for bad actors to access and gain control of company data. This usually accomplished through social engineering techniques (like phishing emails) mostly due to poor employee education. Proper employee training and email monitoring processes go a long way in helping expose password information. Additionally, passwords need to be long, include numbers, letters, and symbols. Passwords should never be written down, shared in email, or posted in chat and ticket comments. An additional layer of data protection is achieved through encryption. If your data is being stored for in the cloud for long periods, it should be encrypted locally before you send it up. This makes the data practically inaccessible in the small chance it is compromised.

26. Enable Two-factor Authentication

Tim Platt, VP of IT Business Services at Virtual Operations, LLC

For the best cloud server security, we prefer to see Two Factor Authentication (also known as 2FA, multi-factor authentication, or two-step authentication) used wherever possible.

これは何ですか？ 2 Factor combines “something you know” with “something you have.” If you need to supply both a password and a unique code sent to your smartphone via text, then you have both those things. Even if someone knows your password, they still can’t get into your account. They would have to know your password and have access to your cell phone. Not impossible, but you have just dramatically made it more difficult for them to hack your account. They will look elsewhere for an easier target. As an example, iCloud and Gmail support 2FA – two services very popular with business users. I recommend everyone use it.

Why is this important for cloud security?

Because cloud services are often not protected by a firewall or other mechanism to control where the service can be accessed from. 2FA is an excellent additional layer to add to security.  I should mention as well that some services, such as Salesforce, have a very efficient, easy to use implementation of 2FA that isn’t a significant burden on the user.

27. Do Not Assume Your Data in the Cloud is Backed-Up

Mike Potter, CEO &Co-Founder at Rewind

Backing up data that’s in the cloud:There’s a big misconception around how cloud-based platforms (ex. Shopify, QuickBooks Online, Mailchimp, WordPress) are backed up. Typically, cloud-based apps maintain a disaster recovery cloud backup of the entire platform. If something were to happen to their servers, they would try to recover everyone’s data to the last backup. However, as a user, you don’t have access to their backup to restore your data.

This means that you risk having to manually undo unwanted changes or permanently losing data if:

• A 3rd party app integrated into your account causes problems.
• You need to unroll a series of changes
• Your or someone on your team makes a mistake
• A disgruntled employee or contractor deletes data maliciously

Having access to a secondary backup of your cloud accounts gives you greater control and freedom over your own data. If something were to happen to the vendor’s servers, or within your individual account, being able to quickly recover your data could save you thousands of dollars in lost revenue, repair costs, and time.

28. Minimize and Verify File Permissions

Randolph Morris, Founder & CTO at Releventure

1. If you are using a cloud-based server, ensure monitoring and patching the Spectre vulnerability and its variations. Cloud servers are especially vulnerable. This vulnerability can bypass any cloud security measures put in place including encryption for data that is being processed at the time the vulnerability is being utilized as an exploit.

2. Review and tighten up file access for each service. Too often accounts with full access are used to ensure software ‘works’ because they had permission issues in the past. If possible, each service should use its own account and only have restricted permission to access what is vital and just give the minimum required permissions.

29. When Securing Files in the Cloud,  Encrypt Data Locally First

Brandon Ackroyd, Founder and Mobile Security Expert at Tiger Mobiles 

Most cloud storage users assume such services use their own encryption. They do, Dropbox, for example, uses an excellent encryption system for files.

The problem, however, is because you’re not the one encrypting, you don’t have the decryption key either. Dropbox holds the decryption key so anyone with that same key can decrypt your data. The decryption happens automatically when logged into the Dropbox system so anyone who accesses your account, e.g., via hacking can also get your now non-encrypted data.

The solution to this is that you encrypt your files and data, using an encryption application or software, before sending them to your chosen cloud storage service.

30. Exposed Buckets in AWS S3 are Vulnerable

Todd Bernhard, Product Marketing Manager at CloudCheckr

1. The most common and publicized data breaches in the past year or so have been due to giving the public read access to AWS S3 storage buckets. The default configuration is indeed private, but people tend to make changes and forget about it, and then put confidential data on those exposed buckets.

2. Encrypt data, both in traffic and at rest. In the data center, where end users, servers, and application servers might all be in the same building. By contrast, with the Cloud, all traffic goes over the Internet, so you need to encrypt data as it moves around in public. It’s like the difference between mailing a letter in an envelope or sending a postcard which anyone who comes into contact with it can read the contents.

31. Use the Gold-standard of Encryption

Jeff Capone, CEO of SecureCircle

There’s a false sense of privacy being felt by businesses using cloud-based services like Gmail and Dropbox to communicate and share information. Because these services are cloud-based and accessible by password, it’s automatically assumed that the communications and files being shared are secure and private. The reality is – they aren’t.

One way in which organizations can be sure to secure their data is in using new encryption methods such as end-to-end encryption for emailing and file sharing. It’s considered the “gold standard” method with no central points of attack – meaning it protects user data even when the server is breached.

These advanced encryption methods will be most useful for businesses when used in conjunction with well-aligned internal policies. For example, decentralizing access to data when possible, minimizing or eliminating accounts with privileged access, and carefully considering the risks when deciding to share data or use SaaS services.

32. Have Comprehensive Access Controls in Place

Randy Battat, Founder and CEO, PreVeil

All cloud providers have the capability of establishing access controls to your data. This is essentially a listing of those who have access to the data. Ensure that “anonymous” access is disabled and that you have provided access only to those authenticated accounts that need access.

Besides that, you should utilize encryption to ensure your data stays protected and stays away from prying eyes. There is a multitude of options available depending on your cloud provider. Balance the utility of accessing data with the need to protect it – some methods are more secure than others, like utilizing a client-side key and encryption process. Then, even if someone has access to the data (see point #1), they only have access to the encrypted version and must still have a key to decrypt it

Ensure continuous compliance to your governance policies. Once you have implemented the items above and have laid out your myriad of other security and protection standards, ensure that you remain in compliance with your policies. As many organizations have experienced with cloud data breaches, the risk is not with the cloud provider platform. It’s what their staff does with the platform. Ensure compliance by monitoring for changes, or better yet, implement tools to monitor the cloud with automated corrective actions should your environment experience configuration drift.

33. 5 Fundamentals to Keep Data Secure in the Cloud

David Gugick, VP of Product Management at CloudBerry

• Perform penetration testing to ensure any vulnerabilities are detected and corrected.
• Use a firewall to create a private network to keep unauthorized users out.
• Encrypt data using AES encryption and rotate keys to ensure data is protected both in transit and at rest.
• Logging and Monitoring to track who is doing what with data.
• Identity and Access Control to restrict access and type of access to only the users and groups who need it.

34. Ensure a Secure Multi-Tenant Environment

Anthony Dezilva, CISO at PhoenixNAP

When we think of the cloud, we think of two things.  Cost savings due to efficiencies gained by using a shared infrastructure, and cloud storage security risk.

Although many published breaches are attributed to cloud-based environment misconfiguration, I would be surprised if this number was more than, the reported breaches of non-cloud based environments.

The best cloud service providers have a vested interest in creating a secure multi-tenant environment.  Their aggregate spending on creating these environments are far more significant than most company’s IT budgets, let alone their security budgets.  Therefore I would argue that a cloud environment configured correctly, provides a far higher level of security than anything a small to medium-sized business can create an on-prem.

Furthermore, in an environment where security talent is at a grave shortage, there is no way an organization can find, let alone afford the security talent they need.  Resulting in the next best thing, create a business associate relationship with a provider that not only has a strong secure infrastructure but also provides cloud monitoring security solutions.

Cloud Computing Threats and Vulnerabilities:Need to know

• Architect solution as you would any on-prem design process;
• Take advantage of application services layering and micro-segmentation;
• Use transaction processing layers with strict ACLs that control inter-process communication.  Use PKI infrastructure to authenticate, and encrypt inter-process communication.
• Utilize advanced firewall technology including WAF (Web Access Firewalls) to front-end web-based applications, to minimize the impact of vulnerabilities in underlying software;
• Leverage encryption right down to record level;
• Accept that it is only a matter of time before someone breaches your defenses, plan for it.  Architect all systems to minimize the impact should it happen.
• A flat network is never okay!
• Robust change control process, with weekly patch management cycle;
• Maintain offline copies of your data, to mitigate the risk of cloud service collapse, or malicious attack that wipes your cloud environment;
• Contract with 24×7 security monitoring services that have an incident response component.