Предоставление пользователям возможности управлять своими данными даже в гибридной облачной среде
В сегодняшнюю эпоху, когда почти все находится в сети, самым ценным активом компании является конфиденциальность их бизнес-данных и другой интеллектуальной собственности. Однако в гибридных облачных средах часто неясно, где хранятся ваши данные и кто имеет фактический контроль над ними. Могут ли пользователи контролировать свои данные, даже если они используют ненадежные приложения, работающие в ненадежных центрах обработки данных? Чтобы изучить этот и подобные вопросы, я недавно побеседовал с Мохитом Тивари, генеральным директором и соучредителем Symmetry Systems, компании, которая обеспечивает безопасность хранилищ данных и объектов (DSOS), специально созданную для обеспечения полной прозрачности и унифицированного контроля доступа. над вашими наиболее ценными активами данных, независимо от того, где и как они хранятся.
Я начал свой разговор с того, что сегодня многие предприятия приняли модель гибридного облака для своих ИТ-инфраструктур. Затем я спросил Мохита, какие проблемы конфиденциальности связаны с хранением и обработкой пользовательских данных в гибридных облачных средах. В ответ он сказал: «Гибридные облака позволяют предприятиям поддерживать устаревшие системы локально, используя при этом общедоступное или виртуальное частное облако для новых услуг и в качестве резервной емкости/по требованию. Неиспользование гибридного облака — серьезный бизнес-риск».
Гибридное облако и данные: риски и возможности
Я попросил его пояснить это, и он ответил: «Гибридное облако приносит как риски безопасности, так и возможности, и я считаю, что возможности в конечном итоге перевешивают риски в устойчивом состоянии. Угроза безопасности заключается в том, что облачные сервисы имеют много новых элементов управления безопасностью и имеют большой радиус поражения для небольших ошибок. Например, Amazon Simple Storage Service (Amazon S3) имеет элементы управления доступом к активам данных на основе корзин, объектов, атрибутов, ролей, учетных записей и организаций, и ошибки здесь приводят к тому, что данные попадают в чужие руки. Поскольку многие компании обрабатывают данные пользователей/клиентов, ошибки при настройке гибридного облака действительно могут привести к нарушению доступа к этим данным».
«Возможность, — продолжил Мохит, — заключается в том, что инфраструктура управляется с помощью автоматизации, и это дает небольшим командам по безопасности с экспертами возможность оказывать огромное влияние на последовательное внедрение лучших практик и быстрое реагирование на атаки или отчеты об уязвимостях. По мере создания новых инструментов и лучших практик риски безопасности должны значительно снизиться».
Затем я спросил Мохита, что, по его мнению, является самой сложной частью защиты конфиденциальных бизнес-данных в гибридных облачных средах. «Во-первых, — ответил он, — трудно даже точно определить «конфиденциальные» данные. Во многих случаях данные, отличные от PCI/PHI, используются для вывода конфиденциальных атрибутов. Во-вторых, большинство правил авторизации и доступа к данным сегодня встроены в приложения, где поверхность атаки огромна — приложения сложны и уязвимы, а эксплойты могут превратить приложения в помощников злоумышленника, которые перелопачивают пользовательские данные по законным каналам», — сказал он.
«В-третьих, бизнес-требования меняются быстро, люди перемещаются, и сохранение разрешений, определенных как для скорости, так и для безопасности, является исключительно сложной проблемой, особенно когда командам по безопасности приходится обосновывать минимизацию ущерба, который может быть не обнаружен».
Смягчение проблем с безопасностью данных и конфиденциальностью
Это хорошие моменты, ответил я. Но что можно сделать, чтобы смягчить эти проблемы безопасности и конфиденциальности данных? И какую роль в этом могут сыграть Symmetry Systems? «Первый большой шаг, — говорит Мохит, — заключается в том, чтобы глубоко понять риски, связанные с данными, — сопоставить содержимое хранилищ данных с «социальной сетью» объектов данных, узнать, как объекты данных используются в бизнес-целях, и внедрить этот график — упреждающее снижение риска данных, а также обнаружение атак и помощь в устранении их последствий. Данные — это самый ценный и постоянный актив — соответственно, мы должны подумать о переносе наших «брандмауэров» с сетей на приложения, а теперь и на данные. Symmetry привела к определению этих требований в новую категорию — безопасность хранилищ данных и объектов (DSOS) — и предлагает DataGuard в качестве ведущего решения DSOS».
Проблемы соответствия
Затем я спросил Мохита о проблемах, с которыми сталкиваются многие предприятия в области соблюдения требований, и о том, что можно сделать, чтобы упростить задачу соблюдения GDPR, HIPPA и других стандартов управления. «Сегодня у большинства предприятий есть вызовы данных, когда разработчики и владельцы данных должны записывать, что, по их мнению, приложения делают с данными. Это и трудно поддерживать, и часто это не соответствует истине. Многие предприятия начинают внедрять механизмы, ориентированные на данные, например, требовать, чтобы все группы разработчиков создавали API-интерфейсы, которые обогащают объекты данных метаданными о конфиденциальности и предоставляют ручки для удаления данных или учетной записи для них. Такие компании, как Google и Facebook, могут делать это внутри компании, но большинство организаций имеют распределенный контроль, и они выиграют от решения, которое сканирует хранилища данных и загружает их программу конфиденциальности с помощью метаданных, а затем помогает им отвечать на вопросы, связанные с аудитом. Автоматизация этой подготовки данных может привести компании к готовности к соблюдению нормативных требований и сэкономить время сотрудников на сборе данных».
Чтобы закончить наш разговор. Я спросил Мохита, не хочет ли он еще что-нибудь сказать по этому поводу. «Модель гибридного облака — это отличная возможность применить лучшие результаты исследований в области кибербезопасности и важные уроки из практики в следующие 20 лет инфраструктуры. Программируемая инфраструктура может помочь превратить безопасность из неотъемлемого компонента в неотъемлемую и развивающуюся часть инфраструктуры. И в целом, позволить темным данным лучше и безопаснее использовать».