Debesijos paslaugos tapo neatsiejama šiuolaikinių organizacijų IT infrastruktūros dalimi. Jos leidžia lanksčiai naudotis IT ištekliais, optimizuoti kaštus ir didinti veiklos efektyvumą, tačiau kartu atveria naują kibernetinių grėsmių paviršių. Debesijos aplinkoje dažnai saugomi jautrūs organizacijos duomenys, todėl netinkamai sukonfigūruotos saugumo kontrolės priemonės gali lemti reikšmingus saugumo incidentus ar duomenų nutekėjimą.
Šio straipsnio tikslas – apžvelgti debesijos paslaugų veikimo principus, pagrindines grėsmes ir rizikas bei pateikti rekomenduojamas technines ir organizacines kontrolės priemones, padedančias užtikrinti tinkamą debesijos paslaugų saugumo lygį.
Kodėl debesijos paslaugų saugumas yra kritiškai svarbus?
Remiantis ENISA 2024 m. grėsmių apžvalga, debesijos paslaugų naudojimas išlieka itin aukštas – dauguma organizacijų vienu metu naudojasi daugiau nei dviem skirtingais debesijos paslaugų teikėjais, o daugiau nei 47 % debesijos aplinkoje laikomų duomenų yra jautrūs. Tokia situacija lemia, kad debesijos paslaugos tampa patraukliu taikiniu kibernetiniams nusikaltėliams.
Piktavaliai vis dažniau naudojasi teisėtomis debesijos paslaugomis ir patikimomis platformomis, siekdami išvengti aptikimo. Ši taktika, vadinama „naudojimusi patikimomis svetainėmis“ (Living Off Trusted Sites, LOTS), apsunkina grėsmių identifikavimą ir didina incidentų poveikį organizacijų tinklams ir informacinėms sistemoms.
Papildomai, Lietuvos Kibernetinio saugumo įstatymas, perkeliamas iš TIS2 (NIS2) direktyvos, įpareigoja organizacijas užtikrinti tinkamą kibernetinį saugumą visoje TIS aplinkoje, įskaitant debesijos paslaugas, vykdyti rizikų analizę, valdyti incidentus ir užtikrinti tiekimo grandinės saugumą.
Debesijos paslaugų teikimo modeliai ir atsakomybių pasidalijimas
Debesijos paslaugos gali būti teikiamos skirtingais modeliais, kurie lemia organizacijos ir paslaugų teikėjo atsakomybės ribas:
- IaaS (Infrastructure as a Service) – paslaugų teikėjas atsako už fizinę infrastruktūrą, o organizacija – už operacines sistemas, aplikacijas, konfigūracijas ir duomenų saugumą.
- PaaS (Platform as a Service) – paslaugų teikėjas užtikrina infrastruktūrą, OS ir platformą, o organizacija atsako už kuriamų aplikacijų ir jų duomenų saugumą.
- SaaS (Software as a Service) – paslaugų teikėjas valdo visą techninę aplinką, o organizacija atsakinga už prieigos valdymą ir duomenų apsaugą.
Kuo didesnė organizacijos kontrolė, tuo didesnė ir jos atsakomybė už saugumo užtikrinimą.
Pagrindinės debesijos paslaugų grėsmės
Netinkamai valdomos debesijos paslaugos gali sukelti šias pagrindines rizikas:
- ● netinkamą prieigos valdymą ir paskyrų kompromitavimą;
- ● duomenų nutekėjimą dėl klaidingai sukonfigūruotų dalijimosi teisių;
- ● išpirkos atakas, paveikiančias sinchronizuotus ir bendrinamus duomenis;
- ● socialinės inžinerijos ir sukčiavimo atakas per el. paštą ir komunikacijos platformas;
- ● konfigūracijos klaidas ir neautorizuotas trečiųjų šalių integracijas;
- ● tiekimo grandinės pažeidžiamumus per API ir įskiepius.
Rekomenduojamos kontrolės priemonės
Siekiant sumažinti minėtas rizikas, organizacijoms rekomenduojama įgyvendinti šias kontrolės priemones:
- Prieigos valdymą ir MFA, taikant žemiausios privilegijos ir „Zero Trust“ principus;
- Duomenų klasifikavimą ir DLP, ribojant viešą dalijimąsi ir užtikrinant dokumentų žymėjimą;
- El. pašto saugumo priemones, įskaitant SPF, DKIM, DMARC ir anti-phishing sprendimus;
- Stebėseną ir auditą, integruojant debesijos žurnalus su SIEM ir CASB sprendimais;
- Mobiliųjų įrenginių valdymą, naudojant MDM / EMM sprendimus;
- Nepriklausomas atsargines kopijas, saugomas atskirai nuo pagrindinės infrastruktūros;
- Incidentų valdymo ir paslaugų tęstinumo planus, periodiškai testuojamus ir atnaujinamus.
Duomenų lokalizacija ir teisinė atitiktis
Duomenų laikymo vieta yra esminis aspektas, susijęs su BDAR ir TIS2 reikalavimais. Organizacijos turėtų užtikrinti, kad debesijos paslaugų sutartyse būtų aiškiai apibrėžta duomenų lokalizacija, pageidautina – Europos Ekonominės Erdvės ribose, bei numatytos audito ir atsekamumo galimybės.
Nuolatinė priežiūra ir saugumo kultūra
Debesijos paslaugų saugumas nėra vienkartinis procesas. Jis reikalauja nuolatinės konfigūracijų peržiūros, prieigų valdymo, žurnalų analizės, atsarginių kopijų testavimo ir reguliarių darbuotojų mokymų. Tik nuosekli saugumo higiena ir organizacinė disciplina leidžia užtikrinti duomenų konfidencialumą, integralumą ir prieinamumą ilgalaikėje perspektyvoje.
Turite klausimų, ar norite sužinoti daugiau apie debesijos sprendimų saugumo užtikrinimą? Susisiekime.