02/11/2022 • Inga Steinunn Björgvinsdóttir
Komin í skýið, hvað svo?
Origo hélt opinn fyrirlestur um netöryggi fyrir skýjalausnir eins og Azure og AWS í vikunni enda ekki vanþörf á.
Nú eru flest fyrirtæki, stofnanir og félög á fleygiferð til skýja og eins og alls staðar í upplýsingatækni þarf að gæta vel að öryggi. Það eru ekki bara tól og tæki sem tryggja öryggi, það eru líka hönnun og aðferðafræði.
AWS öryggis-tækjakistan breið og djúp
Halldór J. Jörgensson frá AWS var einn fyrirlesara og fór yfir tækjakistu þeirra í netöryggi. AWS er að finna á yfir 200 stöðum í yfir 100 löndum og býður upp á yfir 200 skýjalausnir og þjónustu. Hjá AWS er öryggi alltaf fyrsta verkefni með “forgang 0” í allri þróun.
Það er mikill kraftur og vinnusparnaður fólginn í því að nota skýjaþjónustu. Með krafti fjöldans er hægt að innleiða staðla og hlítingu laga þannig að sú vinna erfist. Traust gagnvart skýjalausnum þýtur upp og treysta bankar, lyfjafyrirtæki og flugfélög AWS fyrir sínum viðkvæmu vinnslum. Yfir 5000 SAP-kerfi keyra á AWS skýjalausnum. Traust á skýjalausnum er orðið mjög sterkt og má nefna það að úkraínska ríkið kom opinberum gögnum í skýið þegar stríðið hófst því þau mátu að það væri öruggari staður.
AWS ber ábyrgð á því að tryggja öryggi innviðana sem það rekur og valdeflir notendur sína með öryggistólunum þannig þau geti tekið ráðstafanir til að mæta öryggisþörfum sínum. AWS býður upp á yfir 30 öryggistól til að styðja við notendur sína og starfar innan vistkerfis samstarfsaðila á sviði öryggislausna eins og AllCloud og Origo.
Einhverjir hafa velt vöngum yfir því hvort hægt sé að klippa á netsamskipti við Ísland. Hér svarar Halldór J. Jörgensson þessari brýnu spurningu:
Ógn af netglæpum í hámarki í Danmörku
Jesper Frisgaard Mortensen, netöryggissérfræðingur frá Microsoft í Danmörku, steig næstur í púlt og fór yfir stöðu mála í sínu heimalandi. Danska netglæpaeftirlitið (CFCS) tekur reglulega út ógnarstig netglæpa, netnjósna og netaðgerðarsinna. Öll stig hækka og eru netglæpir og netnjósnir í hæsta stigi (skoðaðu skýrsluna hér).
Loka þurfti á annað hundrað verslunum 7-Eleven nú fyrr á árinu vegna gíslatökuárásar þar sem kerfum og gögnum var læst og einungis sleppt gegn gjaldi. Samkvæmt annarri danskri stofnun, stofnun ríkisins um stefnu í net og upplýsingaöryggi, er vanþekking á áhættu netöryggis hjá efsta lagi danskra fyrirtækja metin mjög há.
Árið 2019 var þekking danskra stjórnenda á netöryggisógnum ekki að finna víðaFjarvinna fjölgar snertiflötum
Vinsældir fjarvinnu hafa þotið upp á síðustu þremur árum (út af svolitlu) og bein afleiðing þess er fjölgun snertifleta sem varða netöryggi. Jesper mælir með fjórum grunnstoðum í netöryggi skýjalausna:
1. Netöryggi byggt inn í lausnir
Byggið netöryggi inn í lausnir frá byrjun og varið ykkur á því að nota safn kóða frá þriðja aðila eins og í gegnum gagnasöfn Github
2. Cloud Security Posture Management (CSPM)
Nýtið ykkur aðferðina Cloud Security Posture Management (CSPM) til að koma netöryggi í sterkar grunnstöður og öðlast yfirsýn á reglum netöryggis.
3. Cloud Workload Protection (CWP)
Nýtið ykkur Cloud Workload Protection (CWP) til að tryggja samhæfð verkferli og reglur netöryggis í gegnum allt skýjalausnaframboð rekstursins.
4. Aðgangsmál
Verið ákaflega vör um aðganga að mikilvægum kjarnalausnum rekstursins.
Microsoft býður upp á lausnir sem sérhæfa sig CSPM og CWP öryggi, og er með sérstakt Secure Score sem veitir innsýn í öryggisstöðu lausna. Hér er hægt að kynna sér Microsoft Defender fyrir skýið og Microsoft Sentinel netöryggislausnirnar.
Hér segir Jesper frá þeim möguleikum sem eru í boði til að tryggja betur öryggið í skýinu og netöryggi fyrirtækja:
Hannið lausnir án trausts
Niklas Jörding, sérfræðingur Cloudflare í vantrausti (e. Zero Trust), mætti og kenndi okkur að vantreysta öllu! Cloudflare er á stóran part af internetinu í dag og dreifir út boðskap þess að byggja inn vantraust í kerfi og kóða til að auka öryggi. Vantraust er ekki vara frá Cloudflare, það er prinsipp.
Í gamla daga þá var hægt að byggja upp lokað netkerfi sem höfðu ein aðgang að vinnuumhverfi og gögnum félagsins. Svo þurfti starfsfólk að hafa aðgang að umhverfinu utan netkerfisins og þá voru stungnar holur á kerfið með VPN-tengingum sem virka eins og einskonar dyraverðir sem hleypa fólki inn að vinnunni sinni. En þegar fólk er komið inn þá er ekki spurt um skilríki á barnum.
Aðferðafræðin í vantrausti byggir á því að það sé spurt á flestum ef ekki öllum stöðum til að tryggja öryggi. Internetið er nýja fyrirtækjanetið og það þarf aðlaga það að breyttum aðstæðum.
Leiðin að öruggari framtíð fyrir internetiðHvað er í vændum?
Niklas talaði mikið um framtíðina og hvað þarf að gera til að mæta tíðaranda í netöryggi. Vantraust þarf að flæða í gegnum allt saman. Byggja þarf upp lausnir sem tala saman og koma á trausti sín á milli.
Þær þurfa að bjóða upp á snarpa upplifun um internetið og þær verða að vera aðgengilegar um víða veröld. Það þarf að ganga úr skugga að netveitan sé líka traustsins verð og byggja upp seiglu í netsamband svo það verði ekki rof. Þær lausnir þurfa að hafa innbyggða sveigju til að geta mætt framtíðarlausnum.
Hér segir Niklas okkur meira um vantraust strategíuna (e. Zero Trust strategy):
Höfundur bloggs
Inga Steinunn Björgvinsdóttir
Forstöðumaður þjónustulausnir, markaðsmál
Deila bloggi