Sikkerhet i Skyen

I mars arrangerte NorSIS det 21. Sikkerhetstoppmøte med tema ”Sikkerhet i skyen”. Under dette arrangementet erfarte vi i stor grad at skytjenester er enten om du vil eller ikke noe som benyttes i virksomheten. Dersom virksomheten ikke har en felles løsning for å lagre data i skyen så finner ansatte selv løsninger for dette. Her er det fort gjort at det oppstår utfordringer med shadow-it. Dette understrekes også av Strand som skriver at uavhengig av bedrifters offisielle posisjon på bruk av skytjenester, er ansatte avhengig av disse tjenestene i det daglige arbeidet. Utfordringen med dette er at de tjenestene de ansatte tar i bruk ikke er det tjenestene bedriften ønsker at skal benyttes.

Strand henviser til forskning. En studie fra 2015 som omhandler bruk av skytjenester avdekket at ansatte brukte skytjenester 15 ganger mer enn hva it-avdelingene estimerte eller tillot; en gjennomsnittlig bedrift bruker også over 1.100 skytjenester, hvorav bare åtte prosent oppfyller datasikkerhet og personvernkravene i bedrifter.

Han mener at man ikke bør bli overrasket over at datainnbrudd i skytjenester ofte skjer. Ved siden av den økte bruken av skytjenester har også bruken av personlige enheter (bring your own device) ytterligere bidratt til uklare linjer i forholdet til bedriftens innflytelse. Det pekes på at dette medfører utfordringer med å opprettholde nivået av synlighet og den kontroll som er påkrevd. Mens uklarhet rundt hva som er personlig og hva som er bedriftens aktiviteter på disse enhetene øker eksponensielt, øker også sannsynligheten for sikkerhetsbrudd i skyen skriver Strand.

I Kronikken blir det lagt frem en rekke svar på hvorfor det skjer sikkerhetsbrudd i skyen: Les mer..

• Ansatte som bruker risikofylte skytjenester
• Laste opp sensitive eller regulerte data i skyen
• Ansatte smugler data vi skytjenester
• Kompromittert påloggingsinformasjon

Slike trusler er utfordrende å begrense, spesielt fordi it-avdelingen i mange tilfeller ikke er klar over nøyaktig hvilke eller hvor mange, ikke godkjent skytjenester ansatte har tilgang til og bruker med enheter som hører bedriften til eller tilhører den ansatte selv. I kronikken trekkes det imidlertid frem at bedrifter burde gjennomføre og håndheve et kontrollpunkt på ansattes bruk av skytjenester. Det bør iverksettes bruk av en rekke sikkerhetstjenester som for eksempel autentisering, blokkering av adgang til phishing-relatert innhold, beskyttelse mot skade osv.

Cloud Access Securit Broker(CASB) er løsninger som kan gi virksomheten og spesielt sikkerhetsorganisasjonen et kontrollpunkt får å skape synlighet, sikkerhet og etterlevelseskontroll i forbindelse med bruken av skytjenester. Det er altså synlighet og kontroll for virksomheten som står i fokus ved bruk av slike løsninger. CASB-løsninger kan være med å hjelpe i mangelen på en enhetlig skytjeneste og muliggjøre som nevnt synlighet og kontroll på tvers av et voksende antall skytjenester mange virksomheter opplever at blir benyttet i dag. Shadow-it har som nevnt blitt en økende utfordring. Disse løsningene spiller også er stor rolle knyttet til ny personvernforordning (GDPR)(Peter Koch, Artikkel Linkedin)

Strand påpeker mot slutten i sin kronikk at bruk av CSAB-løsninger  ”gjør at bedriftens it-avdeling oppdager utilsiktede eller ondsinnede trusler fra innsidere og kompromitterte kontoer, og å opprettholde samsvar ved å håndheve datatap og forebyggende politikk, kryptering og kontekstuell tilgangskontroll på tvers av alle skytjenester”.

NorSIS driver i utstrakt grad med forebyggende arbeid gjennom rådgivning, veiledning og foredrag. Vi ser at det å nå frem til ansatte gir god effekt for å gjøre ansatte oppmerksomme på de trusler som eksisterer i omgivelsene og som kan treffe nærmest enhver virksomhet. Når det er sagt har vi gjennom den siste tiden med store mengder forsøk på direktørsvindel, løsepengevirus og flere typer phishingkampanjer sett at mange virksomheter med hell kunne iverksatt teknologiske tiltak for å hindre at mengder med eksempelvis falske e-poster treffer sine ansatte. Vi ser på det som viktig å demme opp for datakriminaliteten på flere steder i de kriminelles verdikjede. Dette vil gjøre at arbeidet til eksempelvis svindlere blir mer krevende og at det står flere hinder i veien før den ansatte nås.

Kilden:

Computerworld.no: Pass deg for sikkerhetsbrudd i skyen

Linkedin.com/Peter Koch: CASB – Det nye sort indenfor sikkerhed i følge Gartner Group.. Indledning