Dé clouduitdaging die iedere CISO moet kunnen overwinnen

Infoblox

De cloud is een krachtige manier om de schaalbaarheid van een organisatie te vergroten en kan gegevensbeveiliging ondersteunen. Maar de cloud brengt ook aanzienlijke complexiteit met zich mee voor zowel security als compliance. Deze uitdaging wordt nog groter in hybride omgevingen, omdat cloudomgevingen heel anders gestructureerd zijn dan de on-premises infrastructuur.

Uiteindelijk is de uitdaging terug te brengen tot één thema, transparantie, dat zowel security als compliance bemoeilijkt. Gelukkig heeft een CISO meerdere opties om deze uitdaging te overwinnen.

Geen overzicht op security

De gemiddelde CISO kent misschien het grote plaatje van de beveiliging van zijn cloudleveranciers, maar als het gaat om de dagelijkse details zoals relatief kleine wijzigingen in instellingen of de identiteiten van en contracten met externe partners, weten de meeste CISO’s minder dan zou moeten. Wanneer je dan ook nog meerdere cloudsystemen naast elkaar hebt draaien én een on-premises infrastructuur die vol zit met legacy-applicaties, dan hebben CISO’s een flinke uitdaging voorhanden.

De meeste goede cloudleveranciers hebben uitstekende security. Maar ze focussen wél alleen op hun eigen platform – niet op het unieke ecosysteem van de gebruiker. Deze “one-size-fits-all”-beveiliging werkt lang niet altijd in het voordeel van een individuele organisatie.

CISO’s die transparantie willen vergroten, zouden kunnen beginnen met een analyse van hun partners. Wanneer je bijvoorbeeld op externe serverdiensten vertrouwt voor de kritieke infrastructuur, heeft je netwerkteam doorgaans weinig inzicht. Ook de integratie van IoT-technologie kan leiden tot een gebrek aan inzicht op het gebied van netwerkbeveiliging.

In plaats van alle gebruikte platforms apart te monitoren, is het in dit geval effectiever om een laag toe te voegen aan het netwerk, die gecentraliseerd inzicht biedt in het gehele ecosysteem. Hierdoor is een netwerkteam veel sneller in staat om kwetsbaarheden te detecteren en verhelpen.

Dit betekent niet dat CISO’s geen contact hoeven te onderhouden met afzonderlijke leveranciers. Neem bijvoorbeeld het update-beleid: veel leveranciers hebben de neiging om consequent instellingen aan te passen die van hun kant onschuldig lijken, maar grote gevolgen hebben voor een specifieke organisatie. En het is een feit dat veel van de onthulde cloudbreuken te wijten zijn aan configuratiefouten. Hier moeten de CISO’s transparantie afdwingen, zodat ze weten welke veranderingen worden ontwikkeld en ze de mogelijkheid hebben om hun zorgen te uiten wanneer security in het geding komt.

Compliance-complexiteit

Een brij aan verschillende cloudleveranciers maakt ook compliance lastiger dan het zou moeten zijn. Stel, je bent wettelijk verplicht om gegevens op te slaan op Europese servers. Een leverancier mag dat dan wel op orde hebben, maar volgen zijn partners dit beleid ook? Hetzelfde geldt voor dagvaardingen: een derde partij in het buitenland zou zomaar gevoelige gegevens kunnen prijsgeven, zelfs als dit in strijd is met Europese wetgeving.

Een CISO zou dit gebrek aan transparantie contractueel af moeten dwingen, door vast te leggen dat alle derde partijen gelijke regels volgen. Anders is het wachten op een databreuk verderop in de keten, en in dat geval is het niet altijd voldoende om te zeggen dat “de leverancier ons heeft beloofd dat het goed zou gaan”.

Om je security niet af te laten hangen van derde partijen, kunnen CISO’s natuurlijk zelf stappen nemen om de infrastructuur te bewaken. Sommige organisaties komen geregeld voor compliance-uitdagingen te staan, zoals de NIB-richtlijn, die van kritieke dienstverleners vereist dat zij hun cybersecurity zeer goed op orde hebben. Ook in dit soort situaties kan een laag worden toegevoegd aan de infrastructuur die niet voor meer complexiteit, maar voor meer transparantie zorgt. Daarnaast implementeren ze automatiseringsprocessen die hun netwerkteam in staat stelt om hun gehele security stack samen te laten werken en zo beter te anticiperen op kwetsbaarheden.

De IT-infrastructuur van organisaties zal met de opkomst van de cloud alleen maar complexer en meer versnipperd worden. Het is daarom essentieel dat CISO’s zich focussen op de kleine lettertjes van de overeenkomsten met cloudleveranciers. Daarnaast zouden de subonderdelen van de infrastructuur bij elkaar gebracht moeten worden in een enkel monitoringsysteem, om een uitgestrekt ecosysteem weer klein te maken en de controle terug in de handen van het netwerkteam te geven.