كيفية تطوير سياسات الأمان للبيئات متعددة السحابية
البيئات متعددة السحابية معقدة. إنها تتطلب نفس الاهتمام بالتفاصيل مثل إستراتيجية الحوسبة السحابية الفردية عندما يتعلق الأمر بتخزين البيانات وإدارة الوصول والامتثال والبرامج الضارة والهجمات الإلكترونية.
ولكن مع السحابة المتعددة، يمكنك مضاعفة (على الأقل) سطح الهجوم الخاص بك. وهذا يعني أن هناك المزيد والمزيد من الطرق التي قد تسوء بها الأمور عند إضافة المزيد من الخدمات.
قم بدمج هذه المخاطر مع حقيقة أن موفري الخدمات السحابية لا يعملون بشكل جيد معًا، وأن هناك القليل جدًا من المواهب المتاحة في مجال الأمن السيبراني في السوق، ولم تبدأ معظم المؤسسات في الدخول في مجال السحابة المتعددة باستراتيجية أمنية واضحة وسليمة.
هذا برميل بارود جاهز للانفجار إذا لم تكن مستعدًا.
تساعدك إستراتيجية الأمان متعددة السحابة أنت وفرقك على إدارة هذه المخاطر، وزيادة الرؤية عبر موفري الخدمات السحابية، وتنفيذ المراقبة الاستباقية، وإنشاء عملية التعافي من الكوارث.
من منظور تقني، تعتمد استراتيجية الأمان متعددة السحابات لديك على ثلاث ركائز: الأتمتة، والتجريد، والسلطة. يعد فهم كل من هذه الأمور أمرًا بالغ الأهمية لنجاحك في بيئة السحابة المتعددة.
والأكثر من ذلك، أنت بحاجة إلى تغيير طريقة تفكيرهم عندما يتعلق الأمر بالسحابة المتعددة بشكل آمن.
لم يعد هناك شك في أن السحابة آمنة. يتمتع كل من موفري الخدمات السحابية باستراتيجيات وخطط قوية للأمن السيبراني.
المشكلة، كما أشار جارتنر، هي أن المؤسسات لا تعرف كيفية استخدام السحابة بشكل آمن. بمجرد تغيير طريقة تفكيرك، يصبح من الأسهل بكثير تطوير وتنفيذ استراتيجية أمان متعددة السحابات.
أتمتة
هذا ما وصلنا إليه: تحاول المؤسسات استخدام النماذج المحلية للحوسبة السحابية، لكنها لا تعمل. لديهم مطورين يتمتعون بخبرة قليلة أو معدومة في مجال السحابة أو الأمن السيبراني في توفير الموارد السحابية ونشرها.
الأتمتة هي الجواب.
يجب عليك تطوير ممارسات أمنية واضحة وتنفيذها مقدمًا حتى لا يضطر المطورون إلى القلق بشأنها. إنه جزء أساسي من حركة DevSecOps التي تضع الأمان في أيدي المطورين، ولكن 6% فقط من المؤسسات تقوم بذلك حاليًا.
والأمر الأكثر إثارة للدهشة من ذلك هو أن 3% فقط من المؤسسات تستفيد من البنية التحتية غير القابلة للتغيير لتدمير الموارد وإعادة بنائها.
كيفية تنفيذ الأتمتة في استراتيجية أمنية متعددة السحابة
الهدف هو الابتعاد عن تكوين عمليات النقر إلى تنسيق أكثر بنية تحتية (على غرار AWS CloudFormation). الأمر الصعب هو العثور على حل يعمل عبر منصات متعددة (على عكس AWS CloudFormation).
تتطلع العديد من المؤسسات إلى Terraform من HashiCorp، وهي أداة مفتوحة المصدر للبنية التحتية كرمز، لسد هذه الفجوة.
بمجرد اعتماد فريقك في الأداة، يمكنك إدراج بعض ممارسات الأمان الأساسية كجزء من قوالب IaaS الخاصة بك.
يمكنك تمكين تسجيل الدخول والتحكم في الإصدار والتشفير مقدمًا حتى يقوم المطورون تلقائيًا بتضمين عناصر الأمان هذه كجزء من ممارساتك الأساسية المضمنة. يمكنك أيضًا الاستفادة من البنى التحتية غير القابلة للتغيير لتقوية تلك البيئات وزيادة مرونة حلولك.
هناك العديد من الطرق الأخرى للاستفادة من الأتمتة في استراتيجية الأمان متعددة السحابات لديك، ولكن هذه بعض الثمار سهلة المنال لتساعدك على البدء في المسار.
التجريد
الركيزة التالية في استراتيجية الأمان متعددة السحابات الخاصة بك هي التجريد. سواء أحببت ذلك أو كرهته، فإن التجريد هو أفضل طريقة للتعامل مع تعقيد البيئة متعددة السحابية عندما تكون فرقك منتشرة بالفعل.
يجعل التجريد من السهل (على الرغم من أنه ليس من السهل دائمًا) الحفاظ على الرؤية والتحكم في بيئتك متعددة السحابية، مع الاستمرار في إدارة التباين بين نماذج المسؤولية المشتركة المختلفة للموفرين.
كيفية تنفيذ التجريد في استراتيجية أمنية متعددة السحابة
السبب الأول لبناء حل متعدد السحابة هو الاستفادة من الخدمات المختلفة التي يقدمها بائعو الخدمات السحابية المختلفون.
لكنك الآن تحاول إنشاء طبقة من الرؤية تسمح لفريقك بإدارة تلك الخدمات المختلفة. هناك بالفعل طريقتان لتنفيذ التجريد كوسيلة للحصول على هذه الرؤية.
الأول هو العثور على خدمة شاملة مثل VMWare التي تقدم العديد من الخدمات لإدارة تعقيد البيئة متعددة السحابية.
توفر هذه الأنواع من الخدمات الحماية الكاملة والرؤية عبر البيئة متعددة السحابية الخاصة بك. والمزيد من الحماية يعني حماية أفضل، أليس كذلك؟ الجانب السلبي لهذه الأنواع من الخدمات الشاملة هو أنها تحد من خفة الحركة لديك.
الخيار الآخر هو النهج الذي يحركه واجهة برمجة التطبيقات (API) والذي يركز على مجالات محددة لتجريدها.
وهذا يوفر المزيد من المرونة في إستراتيجيتك متعددة الأوساط السحابية واسعة النطاق ويحقق أقصى استفادة من الموارد المحدودة المتوفرة لديك داخليًا.
بعض الأمثلة على هذه الخدمات هي: Laceworks وOrca وTrend Micro وSysdig.
سلطة
ينخرط القادة في لعبة التوازن بين سرعة الوصول إلى السوق والأمان. لا تريد أن ينتهي بك الأمر في الأخبار بسبب اختراق البيانات، ولكن لديك مطورين يدفعونك للتحرك بشكل أسرع.
يعد هذا إجراء موازنة أكثر خطورة عندما تكون لديك موارد محدودة لإدارة بيئتك متعددة السحابية. الاجابة؟ إنشاء مركز التميز السحابي (CCoE).
كيفية تنفيذ السلطة في حل أمني متعدد السحابة
يجب أن يكون هدف CCoE هو تزويد المؤسسات بالحد الأدنى من المنتجات السحابية القابلة للتطبيق والتي تجيب على السؤال: كيف يمكنك تمكين المطورين من تقديم قيمة للمستهلك مع الاستمرار في تلبية الاحتياجات التنظيمية؟
هذا هو السؤال الذي لا يزال الكثير من مراكز التميز تحاول الإجابة عليه.
إنهم يلعبون لعبة التوازن الخاصة بهم بين مركزية المعلومات والعمليات دون إعاقة الابتكار وسرعة الوصول إلى السوق.
ويتطلب الحل تحولا آخر في العقلية. يتعين على فرق الأمان الابتعاد عن التكوين الثابت التقليدي الذي يقفل كل شيء ويضع الكثير من عناصر التحكم لأن ذلك غير مستدام في البيئة السحابية (وخاصة السحابية المتعددة).
بدلاً من ذلك، ما تراه هو محركات سياسات وقواعد أكثر استباقية تعمل على تدوين السياسات، مما يجعلها متاحة عبر سحابات متعددة.
وهذا يعني تحديد السلطة، والتسلسل الهرمي للاحتياجات، والحد الأدنى من الممارسات القابلة للتطبيق لضمان أن الفرق عبر الأقسام لديها سياسات وممارسات لبناء حلول متعددة السحابة بشكل آمن.
بمجرد وصولك إلى هذه المرحلة، يمكنك تحديد أدوات التعديل أو التغيير التي توفر مساحة للمطورين دون المساس بالسلامة التنظيمية للحلول متعددة الأوساط السحابية الخاصة بك.
المكافأة: خفة الحركة
لا ينبغي أن تكون إستراتيجية الأمان متعددة الأوساط السحابية الخاصة بك تكتيكًا محددًا ونسيانه. إنه ليس مربعًا للتحقق منه والمضي قدمًا.
يتغير الكثير في سوق الحوسبة السحابية. يجب أن تكون منفتحًا على الأفكار الجديدة، وطرح الأسئلة، واستكشاف الفرص الجديدة.
هناك الكثير من البائعين الذين يثيرون الخوف وعدم اليقين والشك بشأن الحلول السحابية، خاصة فيما يتعلق بالأمن.
ولكن إذا كنت على استعداد للتعلم والحفاظ على عقل منفتح، فسوف تتخذ قرارات أفضل وأكثر ذكاءً بشأن موفري الخدمات السحابية الآن وأثناء قيامهم بإصدار خدمات جديدة.
المصدر: pluralsight
قد يهمك:
