Zakelijke beveiliging

Door deze fouten en blinde vlekken te elimineren, kan uw organisatie enorme stappen zetten in de richting van het optimaliseren van het gebruik van de cloud, zonder zichzelf bloot te stellen aan cyberrisico’s

Phil Muncaster

Januari 16 2024
 • 
,
5 minuut. lezen

Cloud computing is een essentieel onderdeel van het huidige digitale landschap. Het is tegenwoordig waarschijnlijker dat IT-infrastructuur, platforms en software als een service worden geleverd (vandaar respectievelijk de acroniemen IaaS, PaaS en SaaS) dan in een traditionele on-premise configuratie. En dit spreekt het midden- en kleinbedrijf (MKB) meer aan dan de meeste andere bedrijven.

Cloud biedt de mogelijkheid om het speelveld gelijk te maken met grotere rivalen, waardoor een grotere zakelijke flexibiliteit en snelle schaalgrootte mogelijk worden zonder de portemonnee te breken. Dat is misschien de reden waarom 53% van de ondervraagde mondiale MKB-bedrijven in een recent verslag zeggen dat ze jaarlijks ruim 1.2 miljoen dollar uitgeven aan de cloud; vergeleken met 38% vorig jaar.

Maar de digitale transformatie brengt ook risico’s met zich mee. Beveiliging (72%) en compliance (71%) zijn de tweede en derde meest genoemde clouduitdagingen voor de MKB-respondenten. De eerste stap bij het aanpakken van deze uitdagingen is het begrijpen van de belangrijkste fouten die kleinere bedrijven maken met hun cloudimplementaties.

De zeven belangrijkste fouten op het gebied van cloudbeveiliging die het MKB maakt

Laten we duidelijk zijn: het volgende zijn niet alleen maar fouten die MKB-bedrijven in de cloud maken. Zelfs de grootste ondernemingen met de beste middelen maken zich soms schuldig aan het vergeten van de basis. Maar door deze blinde vlekken weg te nemen, kan uw organisatie enorme stappen zetten in de richting van het optimaliseren van het gebruik van de cloud, zonder zichzelf bloot te stellen aan potentieel ernstige financiële of reputatierisico's.

1. Geen multifactorauthenticatie (MFA)

Statische wachtwoorden zijn inherent onveilig en niet elk bedrijf houdt zich hieraan een goed beleid voor het maken van wachtwoorden. Wachtwoorden kunnen zijn op verschillende manieren gestolen, zoals via phishing, brute force-methoden of gewoonweg geraden. Daarom moet u een extra authenticatielaag toevoegen aan de top. MFA maakt het voor aanvallers veel moeilijker om toegang te krijgen tot de SaaS-, IaaS- of PaaS-accountapps van uw gebruikers, waardoor het risico op ransomware, gegevensdiefstal en andere mogelijke gevolgen wordt verkleind. Een andere optie is om waar mogelijk over te stappen op alternatieve authenticatiemethoden, zoals wachtwoordloze authenticatie.

2. Te veel vertrouwen in de cloudprovider (CSP)

Veel IT-leiders zijn van mening dat investeren in de cloud feitelijk betekent dat alles wordt uitbesteed aan een vertrouwde derde partij. Dat is maar gedeeltelijk waar. In feite is er een model met gedeelde verantwoordelijkheid voor het beveiligen van de cloud, verdeeld tussen CSP en klant. Waar u voor moet zorgen, is afhankelijk van het type clouddienst (SaaS, IaaS of PaaS) en de CSP. Zelfs als de meeste verantwoordelijkheid bij de aanbieder ligt (bijvoorbeeld in SaaS), kan het lonen om te investeren in aanvullende controles door derden.

3. Kan geen back-up maken

Conform het bovenstaande mag u er nooit vanuit gaan dat uw cloudprovider (bijvoorbeeld voor diensten voor het delen van bestanden/opslag) achter u staat. Het loont altijd om rekening te houden met het worstcasescenario, waarbij de kans het grootst is dat er sprake is van een systeemstoring of een cyberaanval. Het zijn niet alleen de verloren gegevens die een impact hebben op uw organisatie, maar ook de downtime en productiviteitsproblemen die kunnen voortvloeien uit een incident.

4. Het lukt niet om regelmatig te patchen

Als u de patch niet uitvoert, stelt u uw cloudsystemen bloot aan misbruik van kwetsbaarheden. Dat kan op zijn beurt leiden tot malware-infecties, datalekken en meer. Patchbeheer is een belangrijke best practice op het gebied van beveiliging, die net zo relevant is in de cloud als op locatie.

5. Verkeerde configuratie van de cloud

CSP's zijn een innovatief stel. Maar de enorme hoeveelheid nieuwe functies en mogelijkheden die ze lanceren als reactie op feedback van klanten kan uiteindelijk voor veel MKB-bedrijven een ongelooflijk complexe cloudomgeving creëren. Het maakt het veel moeilijker om te weten welke configuratie het veiligst is. Veel voorkomende fouten zijn onder meer cloudopslag configureren zodat elke derde partij er toegang toe heeft, en er niet in slaagt open poorten te blokkeren.

6. Geen monitoring van cloudverkeer

Een veelgehoord refrein is dat het tegenwoordig geen kwestie is van ‘of’, maar van ‘wanneer’ uw cloudomgeving (IaaS/PaaS) wordt geschonden. Dat maakt snelle detectie en reactie van cruciaal belang als u de signalen in een vroeg stadium wilt herkennen en een aanval wilt beheersen voordat deze de kans krijgt de organisatie te beïnvloeden. Dit maakt continue monitoring een must.

7. Het niet versleutelen van de kroonjuwelen van het bedrijf

Geen enkele omgeving is 100% inbreukbestendig. Dus wat gebeurt er als een kwaadwillende partij erin slaagt uw meest gevoelige interne gegevens of sterk gereguleerde persoonlijke gegevens van werknemers/klanten te bereiken? Door het in rust en onderweg te versleutelen, zorgt u ervoor dat het niet kan worden gebruikt, zelfs niet als het wordt verkregen.

Zorg voor een goede cloudbeveiliging

De eerste stap bij het aanpakken van deze cloudbeveiligingsrisico's is begrijpen waar uw verantwoordelijkheden liggen en welke gebieden door de CSP worden afgehandeld. Vervolgens gaat het erom te beoordelen of u de cloudeigen beveiligingscontroles van de CSP vertrouwt of deze wilt uitbreiden met aanvullende producten van derden. Stel je de volgende situatie voor:

• Investeer in beveiligingsoplossingen van derden om uw cloudbeveiliging en bescherming voor uw e-mail-, opslag- en samenwerkingstoepassingen te verbeteren, bovenop de beveiligingsfuncties die zijn ingebouwd in cloudservices die worden aangeboden door 's werelds toonaangevende cloudproviders
• Voeg uitgebreide of beheerde detectie- en responstools (XDR/MDR) toe om een ​​snelle respons op incidenten en het indammen/remedieren van inbreuken te stimuleren
• Ontwikkel en implementeer een continu risicogebaseerd patchingprogramma dat is gebaseerd op sterk assetmanagement (dat wil zeggen, weet welke cloud-assets je hebt en zorg er vervolgens voor dat ze altijd up-to-date zijn)
• Versleutel gegevens in rust (op databaseniveau) en onderweg om ervoor te zorgen dat ze worden beschermd, zelfs als de slechteriken ze in handen krijgen. Dit vereist ook effectieve en continue data-ontdekking en -classificatie
• Definieer een duidelijk toegangscontrolebeleid; het verplicht stellen van sterke wachtwoorden, MFA, principes van de minste privileges en op IP gebaseerde beperkingen/allow-listing voor specifieke IP's
• Overweeg om een Zero Trust-aanpak, dat veel van de bovenstaande elementen (MFA, XDR, encryptie) zal bevatten naast netwerksegmentatie en andere controles

Veel van de bovenstaande maatregelen zijn dezelfde best practices die je zou verwachten bij implementatie op locatie. En op hoog niveau zijn ze dat ook, al zullen de details anders zijn. Het allerbelangrijkste: onthoud dat cloudbeveiliging niet alleen de verantwoordelijkheid van de provider is. Neem vandaag nog het heft in handen om cyberrisico's beter te beheersen.