클라우드 컴퓨팅
산업 제조
클라우드의 데이터가 백업되고 위협으로부터 안전하다고 가정합니까? 그렇게 빠르지 않습니다.
2018년에 기록적인 수의 사이버 보안 공격이 발생함에 따라 모든 데이터가 위협을 받고 있음이 분명합니다.
누구나 “나에게는 일어날 수 없는 일”이라고 항상 생각합니다. 실제로 해커로부터 100% 안전한 네트워크는 없습니다.
Kaspersky Lab에 따르면 랜섬웨어는 2018년에 250% 이상 증가했으며 매우 무서운 방향으로 계속해서 증가하고 있습니다. 여기에 제시된 조언을 따르면 클라우드에서 상당한 데이터 손실로 인한 심각한 영향에 대한 궁극적인 보험 정책입니다.
클라우드에서 데이터 보안을 시작하는 방법은 무엇입니까? 클라우드에서 데이터를 보호하기 위한 모범 사례는 무엇입니까? 클라우드 컴퓨팅은 얼마나 안전한가요?
보안 전략을 빠르게 시작할 수 있도록 전문가를 초대하여 Cloud 보안 위험 및 위협에 대한 조언을 공유했습니다.
Dustin Albertson, Veeam의 수석 클라우드 솔루션 설계자
대부분의 사람들은 클라우드 기반 보안에 대해 생각할 때 네트워킹, 방화벽, 엔드포인트 보안 등을 생각하는 경향이 있습니다. Amazon은 클라우드 보안을 다음과 같이 정의합니다.
클라우드의 보안은 온프레미스 데이터 센터의 보안과 매우 유사하며 시설 및 하드웨어를 유지 관리하는 데 비용이 들지 않습니다. 클라우드에서는 물리적 서버나 저장 장치를 관리할 필요가 없습니다. 대신 소프트웨어 기반 보안 도구를 사용하여 클라우드 리소스로 들어오고 나가는 정보 흐름을 모니터링하고 보호합니다.
그러나 종종 간과되는 위험 중 하나는 가용성을 유지하는 것입니다. 내가 의미하는 바는 지리적 중복성 또는 하드웨어 중복성 이상입니다. 귀하의 데이터와 애플리케이션이 포함되는지 확인하는 것입니다. 클라우드는 모든 걱정이 사라지는 마법의 장소가 아닙니다. 클라우드는 모든 두려움이 증식하기 쉽고 저렴한 곳입니다. 강력한 데이터 보호 전략을 갖추는 것이 중요합니다. Veeam은 Peter Krogh가 만든 '3-2-1 규칙'에 대해 자주 설교해 왔습니다.
규칙에 따르면 데이터 복사본 3개가 있어야 하며 두 개의 다른 미디어에 저장하고 하나는 오프사이트에 보관해야 합니다. 오프사이트는 일반적으로 "클라우드"에 있지만 이미 클라우드에 있는 경우는 어떻습니까?
사람들이 이미 클라우드에 있을 때 동일한 클라우드에 데이터를 저장하는 경향이 있는 대부분의 클라우드 문제가 여기에서 발생합니다. 이것이 클라우드로 이동할 때 상세한 전략을 가지고 있다는 것을 기억하는 것이 중요한 이유입니다. Veeam 에이전트를 활용하여 클라우드 워크로드를 보호하고 Cloud Connect를 사용하여 백업을 오프사이트로 보내 동일한 데이터 센터 또는 클라우드 외부에서 해당 가용성을 유지합니다. 데이터를 보호하는 것이 공급자의 일이 아니라고 가정하지 마십시오.
Allure Security의 CTO인 Salvatore Stolfo
ESG에서 실시한 새로운 설문 조사에 따르면, 조직의 75%가 퍼블릭 클라우드에 저장된 민감한 데이터의 최소 20%가 충분히 보호되지 않는다고 말했습니다. 또한 설문조사 응답자의 81%는 사내 데이터 보안이 퍼블릭 클라우드 데이터보다 더 성숙하다고 생각합니다.
그러나 기업은 조직의 이점을 극대화하기 위해 그 어느 때보다 빠르게 클라우드로 마이그레이션하고 있습니다. LogicMonitor의 Cloud Vision 2020 보고서에 따르면 2020년까지 비즈니스 워크로드의 약 83%가 클라우드에 있을 것으로 예상됩니다. 우리가 겪고 있는 것은 보안 제어가 해당 데이터를 보호하기 위해 진화하는 것보다 더 빠른 속도로 조직이 생산성을 위해 민감한 데이터를 클라우드로 마이그레이션하는 점점 더 긴급한 상황입니다.
기업은 사용자의 권한 수준에 따라 클라우드 공유 내의 데이터에 대한 액세스를 제어하는 솔루션을 살펴봐야 하지만, 해당 데이터가 비정상적이거나 의심스러운 방식으로 액세스될 때 경고를 받을 수 있는 수단도 있어야 합니다. 신뢰할 수 있는 사용자가 되십시오.
많은 해커와 내부자 유출은 훔칠 가치 있는 데이터를 찾아 클라우드 공유에서 자유롭게 이동할 수 있는 합법적인 자격 증명을 도난당한 악의적인 행위자로부터 발생한다는 점을 기억하십시오. 미끼라고 하는 속임수 문서도 이를 탐지하는 훌륭한 도구가 될 수 있습니다. 미끼는 클라우드 보안 침해의 초기 단계에서 보안 팀에 비정상적인 행동에 대해 경고할 수 있으며, 실제로는 매우 설득력 있는 가짜 문서인데도 사이버 도둑이 될 사람이 가치 있는 것을 훔쳤다고 생각하도록 속일 수 있습니다. 그러면 문서가 클라우드 공유에서 해제된 경우에도 문서를 제어할 수 있는지에 대한 문제가 있습니다.
여기에서 많은 보안 솔루션이 무너지기 시작합니다. 클라우드 리포지토리에서 파일을 다운로드한 후 파일이 이동하는 위치와 파일을 보는 사람을 어떻게 추적할 수 있습니까? 이를 해결하려면 지오펜싱 및 원격 측정과 같은 기술에 더 많은 투자가 필요합니다.
Nic O'Donovan, 솔루션 아키텍트 및 VMware 클라우드 전문가
하이브리드 클라우드는 주로 배포 속도, 확장성 및 비용 절감이 비즈니스에 더 매력적이 됨에 따라 기업에서 계속해서 인기를 얻고 있습니다. 우리는 인프라가 클라우드로 빠르게 진화하는 것을 계속 보고 있습니다. 즉, 보안도 비슷한 속도로 발전해야 합니다. 기업은 클라우드 보안에 대한 안정적인 접근 방식을 갖춘 클라우드 서비스 제공업체와 협력하는 것이 필수적입니다.
즉, 데이터를 안전하게 유지하기 위한 보안 계획을 이해하고 구현하기 위해 함께 협력함에 따라 클라우드 제공업체와의 파트너십이 점점 더 중요해지고 있습니다.
다단계 인증, 데이터 암호화, 필요한 규정 준수 수준과 같은 보안 제어는 보안 계획을 수립하는 동안 집중해야 하는 모든 영역입니다.
Isacc Kohen, Termind CEO
점점 더 많은 기업이 클라우드의 희생양이 되고 있으며 이는 클라우드 구성 오류 및 직원의 부주의와 관련이 있습니다.
1. 데이터 보안에 대한 가장 큰 위협은 직원입니다. 부주의하거나 악의적인 직원은 맬웨어 감염 및 데이터 손실의 주요 원인 중 하나입니다. 맬웨어 공격과 피싱 이메일이 뉴스에서 흔한 단어인 이유는 해커가 데이터에 액세스하는 '쉬운' 방법이기 때문입니다. 악의적인 범죄자는 소셜 엔지니어링을 통해 직원을 '속여서' 중요한 비즈니스 및 엔터프라이즈 데이터 시스템에 암호와 자격 증명을 제공할 수 있습니다. 이를 방지하는 방법:효과적인 직원 교육 프로그램 및 시스템을 적극적으로 조사하는 직원 모니터링
2. 배움을 멈추지 마십시오. 지속적으로 변화하고 적응하는 산업에서는 최신 트렌드와 취약점에 대한 업데이트가 중요합니다. 예를 들어 사물 인터넷(IoT)의 경우 증가된 Wi-Fi 연결 및 온라인 데이터 저장 서비스를 통해 데이터를 보호하는 것과 관련하여 '빙산의 일각'이 보이기 시작했습니다. 이 이야기에는 더 많은 발전이 있으며 향후 소규모 비즈니스에 직접적인 영향을 미칠 것입니다.
3. 스토리지가 어떻게 작동하는지 조사하고 이해한 다음 교육합니다. 우리는 데이터가 클라우드를 통해 노출될 때 많은 경우 클라우드 설정의 잘못된 구성 때문이라는 이야기를 들었습니다. 직원은 애플리케이션의 보안 특성을 이해하고 설정을 쉽게 변경하고 데이터를 외부에 노출하는 '켜짐'을 설정할 수 있어야 합니다. 교육 프로그램을 통해 보안 인식을 교육합니다.
4. 액세스 포인트를 제한하십시오. 이를 완화하는 쉬운 방법은 액세스 포인트를 제한하는 것입니다. 클라우드 노출과 관련된 일반적인 실수는 실수로 액세스한 직원이 데이터가 열린 연결에 노출되도록 허용하는 전역 권한을 활성화할 때 발생합니다. 완화하려면 데이터 클라우드(모든 액세스 포인트)에 액세스할 수 있는 사람과 대상을 파악하고 이러한 연결을 철저히 모니터링하십시오.
5. 시스템 모니터링. 프로그레시브와 스루. 클라우드에서 데이터를 장기간 보호하려면 사용자 분석 및 모니터링 플랫폼을 사용하여 침해를 더 빨리 감지하십시오. 모니터링 및 사용자 분석은 데이터를 간소화하고 사용자(직원 및 컴퓨터)의 표준 '프로필'을 생성합니다. 이러한 분석은 통합되고 가장 중요한 데이터 기탁을 따르며, 이는 관리자가 탐지 소프트웨어에 표시한 것입니다. 특정 클라우드 데이터가 변조, 이동 또는 침해되면 시스템은 즉시 관리자에게 "핑"하여 특성 변경을 표시합니다.
마이클 V.N. Hall, Turbot 운영 이사
클라우드의 보안에 대해 이해해야 할 몇 가지 중요한 사항이 있습니다.
1. 암호는 강력합니다 – 모든 암호 위반의 80%는 다단계 식별을 통해 방지할 수 있었습니다. 문자를 통해 전화로 또는 계정으로 이메일을 통해 개인 신원을 확인함으로써 이제 누군가가 귀하의 계정에 액세스하려고 할 때 알림을 받을 수 있습니다. 세부사항.
현재 가장 큰 원인 중 하나는 취약한 자격 증명입니다. 즉, 피싱 사기, 키로깅 및 무차별 대입 공격을 통해 암호, 암호 키 및 암호 문구가 도용됩니다.
암호는 새 암호입니다. 임의의 기억하기 쉬운 암호는 더 길고 복잡한 경향이 있기 때문에 암호보다 훨씬 낫습니다.
MyDonkeysEatCheese47은 복잡한 암호이며 귀하가 당나귀 주인이나 치즈 제작자가 아닌 한 귀하와 관련이 없습니다. 전체 범위의 구두점 뿐만 아니라 대문자와 소문자를 사용하는 것을 잊지 마십시오.
2. 호스팅 제공업체에 계속 연락하세요. 높은 보안 표준을 갖춘 평판 좋은 회사인 올바른 호스팅 제공업체를 선택하십시오. 빈번한 상호 작용을 통해 변경 사항이나 발전 중인 문제를 파악할 수 있으므로 정기적으로 연락하십시오.
3. 하이브리드 솔루션을 고려하십시오. 하이브리드 솔루션을 사용하면 안전하고 정적인 시스템이 중요한 데이터를 사내에 저장하는 동시에 우선 순위가 낮은 데이터를 클라우드의 더 큰 다용도에 개방할 수 있습니다.
Tom DeSot, Digital Defense, Inc.의 CIO
기업은 클라우드 컴퓨팅 보안 위험과 이점을 평가해야 합니다. 자체 데이터 센터에서 시스템을 실행하는 것에서 큰 도약을 하기 전에 클라우드로 이전하는 것이 무엇을 의미하는지 스스로 교육하도록 하는 것입니다.
너무 자주 비즈니스가 계획 없이 클라우드로 마이그레이션하는 것을 보았거나 비즈니스와 시스템 보안에 대한 의미에 대한 지식이 없었습니다. 그들은 자신의 소프트웨어가 다른 고객과 공유 시스템에 "살아있다"는 사실을 인식해야 하므로 다른 고객의 플랫폼에 침해가 발생하는 경우 공격자가 자신의 시스템도 손상시킬 수 있습니다.
마찬가지로, 클라우드 고객은 데이터가 미국에만 저장되는지 또는 공급자가 다른 대륙에 있는 다른 시스템에 복제하는지 여부에 관계없이 데이터가 저장되는 위치를 이해해야 합니다. 정보가 PII 또는 HIPAA 또는 기타 규제 법령에 따라 보호되는 정보와 같이 민감한 정보인 경우 실제 문제가 발생할 수 있습니다. 마지막으로, 클라우드 고객은 클라우드 제공자가 준수하는 서비스 수준 계약(SLA)에 세심한 주의를 기울이고 자체 SLA를 반영하는지 확인해야 합니다.
클라우드로 이동하는 것은 컴퓨팅 리소스를 확보하고 가동 시간을 보장할 수 있는 좋은 방법이지만, 저는 항상 고객에게 "클라우드에 있다는 것이 의미하는 바에 대해 감사할 시간을 가질 수 있도록 작은 단계로 이동하도록 조언합니다. "
SecureState의 CEO인 Ken Stasiak
클라우드에 넣는 데이터 유형과 해당 데이터에 대한 필수 보안 요구 사항을 이해하십시오.
기업이 클라우드에 저장하려는 데이터 유형에 대한 아이디어가 있으면 다양한 클라우드 제공업체를 평가할 때 필요한 실사 수준을 확실히 이해해야 합니다. 예를 들어 PHI(보호 건강 정보)를 호스팅할 클라우드 서비스 제공업체를 선택하는 경우 데이터를 클라우드로 이동하기 전에 보안 표준 및 HIPAA 규정 준수를 평가해야 합니다.
클라우드 서비스 제공업체가 데이터 보안에 관심이 있는 조직에 적합한지 여부를 평가할 때 다음과 같은 몇 가지 좋은 질문을 할 수 있습니다. 정기적인 SOC 감사 및 평가를 수행합니까? 악의적인 활동으로부터 어떻게 보호합니까? 모든 직원에 대한 배경 조사를 수행합니까? 직원 모니터링, 액세스 결정 및 감사 추적을 위해 어떤 유형의 시스템을 갖추고 있습니까?
Michael R. Durante, Tie National, LLC 사장
클라우드는 비즈니스 요구 사항을 충족하고 여러 위치에서 협업을 증대할 수 있는 유연성으로 인해 컴퓨팅 분야에서 성장하는 힘이 되고 있지만, 상대적으로 제어할 수 없는 취약성을 노출할 가능성이 있는 보안 문제도 제기합니다.
예를 들어, 사용자가 정기적으로 보안 패치 및 업데이트를 적용하지 않는 경우 BYOD는 보안에 문제가 될 수 있습니다. 가장 중요한 팁은 사용 가능한 액세스 제어를 최대한 활용하는 것입니다.
기업은 액세스 제어를 활용하여 직원의 직무와 관련된 작업만 허용하도록 보안 권한을 제한해야 합니다. 액세스를 제한함으로써 기업은 중요한 파일이 필요한 직원만 사용할 수 있도록 하여 잘못된 당사자에게 노출될 가능성을 줄입니다. 또한 이 제어를 통해 직원이 원격에서 액세스를 시도하는 위치에 관계없이 민감한 콘텐츠를 보호하기 위해 고용 종료 즉시 액세스 권한을 취소할 수 있습니다.
Paul Evans, Redstor CEO
클라우드 기술을 사용하면 모든 규모의 기업이 더 많은 원격 작업, 더 높은 가용성 및 더 많은 유연성을 통해 성능을 개선하고 효율성을 얻을 수 있습니다.
그러나 배포된 이질적인 시스템의 수가 증가하고 선택할 수 있는 클라우드 공급업체 및 소프트웨어가 너무 많아짐에 따라 데이터 보안에 대한 제어를 유지하는 것이 어려울 수 있습니다. 클라우드 서비스를 구현할 때 서비스를 제공할 공급자/벤더의 혈통과 프로세스를 철저히 이해하는 것이 중요합니다. 업계 표준 보안 인증을 시작하는 것이 좋습니다. ISO 27001 인증을 받은 공급업체는 국제 정보 보안 관리 표준을 충족했으며 그렇지 않은 공급업체보다 더 높은 평가를 받아야 함을 입증했습니다.
데이터가 지리적으로 어디로 이동하는지, 누가 데이터에 액세스할 수 있는지, 암호화되는지 여부를 완전히 이해하는 것이 데이터를 보호할 수 있는 핵심입니다. 데이터 유출이나 손실이 발생하거나 가동 중지 시간이 있는 경우 공급업체의 프로세스가 무엇인지 아는 것도 중요합니다. 허용 가능한 가동 중지 시간은 계약된 서비스 수준 계약(SLA)에 명시되어야 하며, 이를 통해 재정적으로 뒷받침되어야 합니다.
클라우드 플랫폼을 활용하려는 조직에는 클라우드 보안 위협이 있습니다. 누가 데이터에 액세스할 수 있습니까? 데이터는 어디에 저장됩니까? 내 데이터가 암호화되어 있습니까? 그러나 대부분의 경우 클라우드 플랫폼은 이러한 질문에 답할 수 있으며 높은 수준의 보안을 제공합니다. 클라우드를 활용하는 조직은 데이터에 영향을 미치는 데이터 보호 법률 및 규정을 인지하고 클라우드 제공업체와의 계약을 정확하게 이해해야 합니다. 데이터는 어떻게 보호됩니까? 많은 규정과 업계 표준이 민감한 데이터를 저장하는 가장 좋은 방법에 대한 지침을 제공할 것입니다.
데이터의 안전하지 않거나 암호화되지 않은 사본을 보관하면 더 큰 위험에 처할 수 있습니다. 클라우드 서비스의 보안 수준에 대한 지식을 얻는 것이 중요합니다.
보존 정책은 무엇이며 백업이 있습니까? 클라우드 플랫폼은 용도가 매우 다양할 수 있으며 이로 인해 문제가 발생할 수 있습니다(또는 방지할 수 있음). 데이터가 클라우드 플랫폼에 저장되는 경우 랜섬웨어 또는 손상과 같은 클라우드 보안 위험에 취약할 수 있으므로 데이터 사본을 여러 개 보관하거나 백업하면 이를 방지할 수 있습니다. 이러한 프로세스가 수행되었음을 보장하면 조직 클라우드 플랫폼의 보안 수준이 향상되고 위험이 어디에서 올 수 있는지 이해할 수 있습니다.
Fred Reck, InnoTek Computer Consulting
모든 클라우드 사용자에 대해 강력한 암호를 요구하는지 확인하고 가급적이면 다단계 인증을 사용하세요.
2017년 Verizon Data Breach Investigations Report에 따르면 모든 해킹 관련 침해의 81%가 도난 및/또는 취약한 비밀번호를 활용했습니다. 클라우드의 가장 중요한 이점 중 하나는 전 세계 어디에서나 모든 장치에서 회사 데이터에 액세스할 수 있다는 것입니다. 반대로 보안 관점에서 사용자 이름과 비밀번호를 알고 있는 사람("나쁜 사람"이라고도 함)은 잠재적으로 비즈니스 데이터에 액세스할 수 있습니다. 사용자가 강력한 비밀번호를 만들도록 강제하면 해커가 무차별 대입 공격(여러 개의 임의 문자에서 비밀번호 추측)을 사용하기가 훨씬 더 어려워집니다.
보안 암호 외에도 오늘날 많은 클라우드 서비스는 직원의 휴대 전화를 다단계 전략의 보조 물리적 보안 인증 수단으로 활용하여 조직에서 이를 액세스 가능하고 저렴하게 구현할 수 있습니다. 사용자는 비밀번호를 알아야 할 뿐만 아니라 계정에 액세스하기 위해 휴대전화에 물리적으로 액세스해야 합니다.
마지막으로, 미리 정해진 로그인 횟수에 실패하면 사용자 계정을 잠그는 기능을 구현하는 것을 고려하십시오.
Chris Byrne은 Sensorpro의 공동 창립자이자 CEO입니다.
기업은 사용하는 클라우드 애플리케이션에 액세스하기 위해 이중 인증 및 IP 위치 잠금을 활성화해야 합니다.
2FA를 사용하면 문자 메시지로 일반적인 이메일/비밀번호 조합에 또 다른 도전을 추가할 수 있습니다. IP 잠금을 사용하면 사무실 IP 또는 원격 작업자의 IP에서 액세스를 차단할 수 있습니다. 플랫폼에서 이를 지원하지 않는 경우 공급자에게 활성화하도록 요청하는 것이 좋습니다.
실제 클라우드 플랫폼 제공과 관련하여 미사용 데이터 암호화 옵션을 제공합니다. 어느 시점에서 이것은 https(SSL/TLS)처럼 유비쿼터스하게 될 것입니다. 상상할 수 없는 일이 발생하고 데이터가 잘못된 손에 넘어가는 경우(예:기차에서 장치를 도난당하거나 잊어버린 경우) 저장 데이터 암호화는 올바른 암호화 키 없이는 누구도 데이터에 액세스하지 못하도록 하는 최후의 방어선입니다. 훔쳐가더라도 사용할 수 없습니다. 예를 들어, 이것은 최근의 Equifax 침해를 개선했을 것입니다.
Eric Schlissel, GeekTek 사장 겸 CEO
클라우드에 연결할 때마다 VPN(가상 사설망)을 사용합니다. VPN은 일반적으로 Netflix USA 또는 BBC Player와 같은 스트리밍 서비스에 액세스하여 지리적으로 차단된 시청자가 웹 트래픽을 반익명화하는 데 사용됩니다. 또한 클라우드에 연결하는 모든 장치에 중요한 보안 계층을 제공합니다. VPN이 없으면 패킷 스니퍼를 사용하는 잠재적인 침입자가 클라우드 계정에 액세스하는 구성원을 확인하고 잠재적으로 로그인 자격 증명에 액세스할 수 있습니다.
저장 데이터를 암호화합니다. 어떤 이유로든 사용자 계정이 퍼블릭, 프라이빗 또는 하이브리드 클라우드에서 손상된 경우 일반 텍스트와 암호화된 형식의 데이터 차이는 수십만 달러, 특히 229,000달러로 측정될 수 있습니다. 보험사 Hiscox에서 실시한 설문조사의 응답자. 최근 사건에서 알 수 있듯이 이 데이터를 암호화 및 복호화하는 프로세스는 대안을 견디는 것보다 훨씬 더 고통스러울 것입니다.
모든 클라우드 기반 계정에 이중 인증 및 싱글 사인온을 사용합니다. Google, Facebook 및 PayPal은 모두 이중 인증을 사용하므로 사용자는 계정에 로그인하기 전에 고유한 소프트웨어 생성 코드를 양식에 입력해야 합니다. 귀하의 비즈니스가 그 위상을 갈망하는지 여부에 관계없이 보안 전략의 이 핵심 구성 요소를 에뮬레이트할 수 있고 에뮬레이트해야 합니다. 싱글 사인온은 액세스 관리를 단순화하므로 한 쌍의 사용자 자격 증명이 직원을 모든 계정에 서명합니다. 이렇게 하면 시스템 관리자는 잊어버릴 수 있고 나중에 전 직원이 다시 액세스할 수 있는 계정이 아닌 하나의 계정만 삭제할 수 있습니다.
스티븐 J.J. Weisman, 변호사 및 Bentley University 교수
셰익스피어의 말을 빌리자면, 잘못은 클라우드에 있지 않습니다. 책임은 우리에게 있습니다.
클라우드에 민감한 데이터를 저장하는 것은 여러 수준에서 데이터 보안을 위한 좋은 옵션입니다. 그러나 기술의 보안 수준에 관계없이 인적 요소는 사이버 범죄자가 악용할 수 있는 잠재적인 보안 위험을 항상 내포하고 있습니다. 과거의 많은 클라우드 보안 침해는 클라우드 기술의 보안 허점 때문이 아니라 클라우드 개별 사용자의 행동으로 인한 것으로 입증되었습니다.
그들은 스피어 피싱 이메일, 전화 통화 또는 문자 메시지를 통해 사람들이 클라우드 계정에 액세스하는 데 필요한 중요한 정보를 제공하도록 설득하는 사이버 범죄자에게 자신도 모르는 사이에 사용자 이름과 비밀번호를 제공했습니다.
이 문제를 피하는 가장 좋은 방법은 직원에게 스피어 피싱을 인식하고 방지하기 위한 더 나은 교육과 함께 클라우드 계정에 액세스하려고 할 때마다 직원의 휴대전화로 일회용 코드를 전송하는 것과 같은 이중 요소 인증을 사용하는 것입니다.
Bob Herman, 공동 창립자이자 IT Tropolis 사장
1. 이중 인증은 계정 사기로부터 보호합니다. 많은 사용자는 악의적인 행위자가 피해자를 속여 가짜 웹사이트에 로그인 정보를 입력하도록 하는 이메일 피싱 시도의 피해자가 되지 못합니다. 그러면 악의적인 행위자는 실제 사이트에 피해자로 로그인하여 사이트 애플리케이션 및 사용자 액세스에 따라 모든 종류의 피해를 줄 수 있습니다. 2FA는 애플리케이션에 로그인할 때 두 번째 코드를 입력해야 합니다. 일반적으로 사용자의 휴대전화로 코드가 전송됩니다.
2. 데이터를 소유하고 클라우드 공급업체와 더 이상 비즈니스를 수행하지 않으려는 경우 데이터를 검색할 수 있는지 확인하는 것이 필수적입니다. 대부분의 합법적인 클라우드 공급업체는 고객이 데이터를 소유한다는 조건을 명시해야 합니다. 다음으로 사용 가능한 형식으로 데이터를 추출하거나 내보낼 수 있는지 또는 요청 시 클라우드 공급업체에서 제공하는지 확인해야 합니다.
Sam Bisbee, Threat Stack의 최고 보안 책임자
1. 실시간 보안 관찰 및 지속적인 시스템 모니터링 생성
모니터링은 모든 데이터 환경에서 필수적이지만 최신 클라우드 환경, 특히 SaaS 환경의 변화는 더 자주 발생하는 경향이 있음을 강조하는 것이 중요합니다. 그들의 영향은 즉시 느껴집니다.
탄력적인 인프라의 특성 때문에 결과는 극적일 수 있습니다. 언제든지 누군가의 우발적이거나 악의적인 행동은 개발, 프로덕션 또는 테스트 시스템의 보안에 심각한 영향을 미칠 수 있습니다.
실시간 보안 관찰 가능성과 지속적인 모니터링 없이 현대적인 인프라를 실행하는 것은 맹목적인 비행과 같습니다. 환경에서 무슨 일이 일어나고 있는지에 대한 통찰력이 없으며 문제가 발생할 때 즉시 완화를 시작할 방법이 없습니다. 시간 경과에 따른 애플리케이션 상태를 이해하려면 애플리케이션 및 호스트 기반 액세스를 모니터링해야 합니다.
2. 구성 설정을 지정하고 지속적으로 모니터링
Amazon Direct Connect와 같은 클라우드 환경의 보안 구성은 복잡할 수 있으며, S3 누출에 대한 모든 최근 사례에서 입증된 바와 같이 실수로 시스템 및 데이터에 대한 액세스 권한을 전 세계에 공개하기 쉽습니다.
지속적으로 실시간으로 서비스를 생성 및 제거할 수 있는 SaaS 환경의 변하기 쉬운(때로는 휘발성) 특성을 고려할 때 서비스를 적절하게 구성하지 못하고 설정을 모니터링하지 못하면 보안이 위태로워질 수 있습니다. 궁극적으로 이는 고객이 데이터를 보호하기 위해 귀하에게 두는 신뢰를 무너뜨릴 것입니다.
설정된 기준에 대해 구성을 설정하고 지속적으로 모니터링하면 서비스를 설정할 때 문제를 방지할 수 있으며 구성 문제가 발생했을 때 보다 신속하게 구성 문제를 감지하고 대응할 수 있습니다.
3. 클라우드 보안 솔루션 및 인프라에 대한 보안 및 운영 우선순위 조정
좋은 보안은 적절한 운영과 구별할 수 없습니다. 이러한 팀은 조직 내에서 너무 자주 충돌합니다. 보안은 때때로 비즈니스를 느리게 하는 것으로 간주됩니다. Dev 및 Ops 팀의 활동을 감시하는 데 지나치게 집중합니다. 그러나 보안은 비즈니스를 가능하게 하는 요소가 될 수 있습니다.
보안은 네트워크 관리, 사용자 액세스, 인프라 구성 및 애플리케이션 계층 전반의 취약성 관리 전반에 걸쳐 조직 내부의 자동화 테스트 도구, 보안 제어 및 모니터링을 활용하여 비즈니스를 발전시켜 공격 표면 전반의 위험을 줄이고 운영 가용성을 유지해야 합니다. .
Jeremey Vance, US Cloud
1. 클라우드에 있는 모든 것과 모든 사용자가 클라우드에서 무엇을 사용하고 있는지 알 수 있도록 감사 도구를 사용합니다. 모르는 데이터는 보호할 수 없습니다.
2. 네트워크에서 어떤 서비스가 실행되고 있는지 확인하는 것 외에도 이러한 서비스가 누가, 언제, 어떻게, 왜 사용되는지 알아보세요.
3. 감사 프로세스를 일회성 이벤트가 아닌 네트워크 모니터링의 일상적인 일부로 만드십시오. 또한 이에 대한 대역폭이 없는 경우 해당 감사 루틴을 US Cloud와 같은 적격한 제3자에게 아웃소싱하십시오.
Marcus Turner, Enola Labs의 수석 설계자 및 CTO
클라우드는 매우 안전하지만 회사 데이터를 안전하게 유지하려면 클라우드를 올바르게 구성하는 것이 중요합니다.
특히 AWS의 경우 AWS Config가 이를 수행하는 데 가장 잘 활용되는 도구입니다. 올바른 방식으로 구성된 AWS는 세계에서 가장 안전한 클라우드 컴퓨팅 환경 중 하나입니다. 그러나 대부분의 데이터 유출은 해커가 복잡한 프로그램을 악용하여 중요한 데이터에 액세스하는 것이 아니라, 기업 데이터를 취약하게 만드는 단순한 보안되지 않은 지점, 즉 낮은 결과입니다.
최고의 클라우드 보안이 있더라도 인간의 실수는 종종 가장 심각한 보호 공백 또는 위반의 원인이 됩니다. 지속적인 구성의 정확성을 검증하는 루틴을 갖는 것은 클라우드에서 회사 데이터를 안전하게 유지하기 위해 가장 잘 사용되지 않고 과소 평가되는 지표입니다.
Brandan Keaveny, Ed.D., Data Ethics LLC 설립자
클라우드 기반 솔루션으로의 전환 가능성을 탐색할 때 침해가 발생할 경우 적절한 지원이 제공되는지 확인해야 합니다. 클라우드 기반 제공업체와 계약을 체결하기 전에 다음 질문을 하십시오.
질문:서비스 제공자는 서비스를 용이하게 하기 위해 얼마나 많은 제3자를 사용합니까?
질문 이유(이유):절차상 보호 장치 및 클라우드 기반 솔루션과의 조정을 포함하도록 프로세스 및 문서를 업데이트해야 합니다. 또한 클라우드 기반 공급자가 제공하는 보안 수준을 명확하게 이해해야 합니다. 저장되는 데이터에 대한 개인 정보 보호 및 보안 요구 사항을 충족하려면 보안 수준을 높여야 합니다.
Question:How will you be notified if a breach of their systems occurs and will they assist your company in the notification of your clients/customers?
Reason:By adding a cloud-based solution to the storage of your data also adds a new dimension of time to factor into the notification requirements that may apply to your data should a breach occur. These timing factors should be incorporated into breach notification procedures and privacy policies.
When switching to the cloud from a locally hosted solution your security risk assessment process needs to be updated. Before making the switch, a risk assessment should take place to understand the current state of the integrity of the data that will be migrated.
Additionally, research should be done to review how data will be transferred to the cloud environment. Questions to consider include:
Question:Is your data ready for transport?
Reason:The time to conduct a data quality assessment is before migrating data to a cloud-based solution rather than after the fact.
Question:Will this transfer be facilitated by the cloud provider?
Reason:It is important to understand the security parameters that are in place for the transfer of data to the cloud provider, especially when considering large data sets.
Contributed by the team at Dexter Edward
Secure the cloud account itself. All the protection on a server/os/application won’t help if anyone can take over the controls.
Secure access to the compute instances in the cloud.
Use as much of the private cloud network as you can.
Take advantage of monitoring, file auditing, and intrusion detection when offered by cloud providers.
Michael Abboud, CEO, and Founder of TetherView
Natural disasters mixed with cyber threats, data breaches, hardware problems, and the human factor, increase the risk that a business will experience some type of costly outage or disruption.
Moving towards managed virtual desktops delivered via a private cloud, provides a unique opportunity for organizations to reduce costs and provide secure remote access to staff while supporting business continuity initiatives and mitigating the risk of downtime.
Taking advantage of standby virtual desktops, a proper business continuity solution provides businesses with the foundation for security and compliance.
The deployment of virtual desktops provides users with the flexibility to work remotely via a fully-functional browser-based environment while simultaneously allowing IT departments to centrally manage endpoints and lock down business critical data. Performance, security, and compliance are unaffected.
Standby virtual desktops come pre-configured and are ready to be deployed instantaneously, allowing your team to remain “business as usual” during a sudden disaster.
In addition to this, you should ensure regular data audits and backups
If you don’t know what is in your cloud, now is the time to find out. It’s essential to frequently audit your data and ensure everything is backed up. You’ll also want to consider who has access to this data. Old employees or those who no longer need access should have permissions provoked.
It’s important to also use the latest security measures, such as multi-factor authentication and default encryption. Always keep your employees up to speed with these measures and train them to spot potential threats that way they know how to deal with them right away.
Jeff Bittner, Founder and President of Exit technologies
Many, if not most, businesses will continue to expand in the cloud, while relying on on-premise infrastructure for a variety of reasons, ranging from a simple cost/benefit advantages to reluctance to entrust key mission-critical data or systems into the hands of third-party cloud services providers. Keeping track of what assets are where in this hybrid environment can be tricky and result in security gaps.
Responsibility for security in the cloud is shared between the service provider and the subscriber. So, the subscriber needs to be aware not only of the service provider’s security policies, but also such mundane matters as hardware refresh cycles.
Cyber attackers have become adept at finding and exploiting gaps in older operating systems and applications that may be obsolete, or which are no longer updated. Now, with the disclosure of the Spectre and Meltdown vulnerabilities, we also have to worry about threats that could exploit errors or oversights hard-coded at the chip level.
Hardware such as servers and PCs has a limited life cycle, but often businesses will continue to operate these systems after vendors begin to withdraw support and discontinue firmware and software updates needed to counter new security threats.
In addition to being aware of what their cloud provider is doing, the business must keep track of its own assets and refresh them or decommission them as needed. When computer systems are repurposed for non-critical purposes, it is too easy for them to fall outside of risk management and security oversight.
Mikkel Wilson, CTO at Oblivious.io
1. File metadata should be secured just as vigilantly as the data itself. Even if an attacker can’t get at the data you’ve stored in the cloud, if they can get, say, all the filenames and file sizes, you’ve leaked important information. For example, if you’re a lawyer and you reveal that you have a file called “michael_cohen_hush_money_payouts.xls” and it’s 15mb in size, this may raise questions you’d rather not answer.
2. Encrypt your backups *before* you upload them to the cloud. Backups are a high-value target for attackers. Many companies, even ones with their own data centers, will store backups in cloud environments like Amazon S3. They’ll even turn on the encryption features of S3. Unfortunately, Amazon stores the encryption keys right along with the data. It’s like locking your car and leaving the keys on the hood.
Vikas Aditya, Founder of QuikFynd Inc,
Be aware of where their data is stored these days so that they can proactively identify if any of the data may be at risk of a breach.
These days, data is being stored in multiple cloud locations and applications in addition to storage devices in business. Companies are adopting cloud storage services such as Google Drive, Dropbox, OneDrive, etc. and online software services for all kind of business processes. This has led to vast fragmentation of company data, and often managers have no idea where all the data may be.
For example, a confidential financial report for the company may get stored in cloud storage because devices are automatically synching with cloud or a sensitive business conversation may happen in cloud-based messaging services such as Slack. While cloud companies have all the right intentions to keep their customer data safe, they are also the prime target because hackers have better ROI in targeting such services where they can potentially get access to data for millions of subscribers.
So, what should a company do?
While they will continue to adopt cloud services and their data will end up in many, many locations, they can use some search and data organization tools that can show them what data exists in these services. Using full-text search capabilities, they can then very quickly find out if any of this information is a potential risk to the company if breached. You cannot protect something if you do not even know where it is. And more importantly, you will not even know if it is stolen. So, companies looking to protect their business data need to take steps at least to be aware of where all their information is.
Adam Stern, CEO of Infinitely Virtual
Business users are not defenseless, even in the wake of recent attacks on cloud computing like WannaCry or Petya/NotPetya.
The best antidote is patch management. It is always sound practice to keep systems and servers up to date with patches – it is the shortest path to peace of mind. Indeed, “patch management consciousness” needs to be part of an overarching mantra that security is a process, not an event — a mindset, not a matter of checking boxes and moving on. Vigilance should be everyone’s default mode.
Spam is no one’s friend; be wary of emails from unknown sources – and that means not opening them. Every small and midsize business wins by placing strategic emphasis on security protections, with technologies like clustered firewalls and intrusion detection and prevention systems (IDPS).
Murad Mordukhay, CEO of Qencode
1. Security as a Priority
Enforcing security measures can become difficult when working with deadlines or complex new features. In an attempt to drive their products forward, teams often bend the rules outlined in their own security process without realizing the risk they are putting their company into. A well thought out security process needs to be well enforced in order achieve its goal in keeping your data protected. Companies that include cloud security as a priority in their product development process drastically reduce their exposure to lost data and security threats.
2. Passwords &Encryption
Two important parts of securing your data in the cloud are passwords and encryption.
Poor password management is the most significant opportunity for bad actors to access and gain control of company data. This usually accomplished through social engineering techniques (like phishing emails) mostly due to poor employee education. Proper employee training and email monitoring processes go a long way in helping expose password information. Additionally, passwords need to be long, include numbers, letters, and symbols. Passwords should never be written down, shared in email, or posted in chat and ticket comments. An additional layer of data protection is achieved through encryption. If your data is being stored for in the cloud for long periods, it should be encrypted locally before you send it up. This makes the data practically inaccessible in the small chance it is compromised.
Tim Platt, VP of IT Business Services at Virtual Operations, LLC
For the best cloud server security, we prefer to see Two Factor Authentication (also known as 2FA, multi-factor authentication, or two-step authentication) used wherever possible.
이게 뭔가요? 2 Factor combines “something you know” with “something you have.” If you need to supply both a password and a unique code sent to your smartphone via text, then you have both those things. Even if someone knows your password, they still can’t get into your account. They would have to know your password and have access to your cell phone. Not impossible, but you have just dramatically made it more difficult for them to hack your account. They will look elsewhere for an easier target. As an example, iCloud and Gmail support 2FA – two services very popular with business users. I recommend everyone use it.
Why is this important for cloud security?
Because cloud services are often not protected by a firewall or other mechanism to control where the service can be accessed from. 2FA is an excellent additional layer to add to security. I should mention as well that some services, such as Salesforce, have a very efficient, easy to use implementation of 2FA that isn’t a significant burden on the user.
Mike Potter, CEO &Co-Founder at Rewind
Backing up data that’s in the cloud:There’s a big misconception around how cloud-based platforms (ex. Shopify, QuickBooks Online, Mailchimp, WordPress) are backed up. Typically, cloud-based apps maintain a disaster recovery cloud backup of the entire platform. If something were to happen to their servers, they would try to recover everyone’s data to the last backup. However, as a user, you don’t have access to their backup to restore your data.
This means that you risk having to manually undo unwanted changes or permanently losing data if:
Having access to a secondary backup of your cloud accounts gives you greater control and freedom over your own data. If something were to happen to the vendor’s servers, or within your individual account, being able to quickly recover your data could save you thousands of dollars in lost revenue, repair costs, and time.
Randolph Morris, Founder & CTO at Releventure
1. If you are using a cloud-based server, ensure monitoring and patching the Spectre vulnerability and its variations. Cloud servers are especially vulnerable. This vulnerability can bypass any cloud security measures put in place including encryption for data that is being processed at the time the vulnerability is being utilized as an exploit.
2. Review and tighten up file access for each service. Too often accounts with full access are used to ensure software ‘works’ because they had permission issues in the past. If possible, each service should use its own account and only have restricted permission to access what is vital and just give the minimum required permissions.
Brandon Ackroyd, Founder and Mobile Security Expert at Tiger Mobiles
Most cloud storage users assume such services use their own encryption. They do, Dropbox, for example, uses an excellent encryption system for files.
The problem, however, is because you’re not the one encrypting, you don’t have the decryption key either. Dropbox holds the decryption key so anyone with that same key can decrypt your data. The decryption happens automatically when logged into the Dropbox system so anyone who accesses your account, e.g., via hacking can also get your now non-encrypted data.
The solution to this is that you encrypt your files and data, using an encryption application or software, before sending them to your chosen cloud storage service.
Todd Bernhard, Product Marketing Manager at CloudCheckr
1. The most common and publicized data breaches in the past year or so have been due to giving the public read access to AWS S3 storage buckets. The default configuration is indeed private, but people tend to make changes and forget about it, and then put confidential data on those exposed buckets.
2. Encrypt data, both in traffic and at rest. In the data center, where end users, servers, and application servers might all be in the same building. By contrast, with the Cloud, all traffic goes over the Internet, so you need to encrypt data as it moves around in public. It’s like the difference between mailing a letter in an envelope or sending a postcard which anyone who comes into contact with it can read the contents.
Jeff Capone, CEO of SecureCircle
There’s a false sense of privacy being felt by businesses using cloud-based services like Gmail and Dropbox to communicate and share information. Because these services are cloud-based and accessible by password, it’s automatically assumed that the communications and files being shared are secure and private. The reality is – they aren’t.
One way in which organizations can be sure to secure their data is in using new encryption methods such as end-to-end encryption for emailing and file sharing. It’s considered the “gold standard” method with no central points of attack – meaning it protects user data even when the server is breached.
These advanced encryption methods will be most useful for businesses when used in conjunction with well-aligned internal policies. For example, decentralizing access to data when possible, minimizing or eliminating accounts with privileged access, and carefully considering the risks when deciding to share data or use SaaS services.
Randy Battat, Founder and CEO, PreVeil
All cloud providers have the capability of establishing access controls to your data. This is essentially a listing of those who have access to the data. Ensure that “anonymous” access is disabled and that you have provided access only to those authenticated accounts that need access.
Besides that, you should utilize encryption to ensure your data stays protected and stays away from prying eyes. There is a multitude of options available depending on your cloud provider. Balance the utility of accessing data with the need to protect it – some methods are more secure than others, like utilizing a client-side key and encryption process. Then, even if someone has access to the data (see point #1), they only have access to the encrypted version and must still have a key to decrypt it
Ensure continuous compliance to your governance policies. Once you have implemented the items above and have laid out your myriad of other security and protection standards, ensure that you remain in compliance with your policies. As many organizations have experienced with cloud data breaches, the risk is not with the cloud provider platform. It’s what their staff does with the platform. Ensure compliance by monitoring for changes, or better yet, implement tools to monitor the cloud with automated corrective actions should your environment experience configuration drift.
David Gugick, VP of Product Management at CloudBerry
Anthony Dezilva, CISO at PhoenixNAP
When we think of the cloud, we think of two things. Cost savings due to efficiencies gained by using a shared infrastructure, and cloud storage security risk.
Although many published breaches are attributed to cloud-based environment misconfiguration, I would be surprised if this number was more than, the reported breaches of non-cloud based environments.
The best cloud service providers have a vested interest in creating a secure multi-tenant environment. Their aggregate spending on creating these environments are far more significant than most company’s IT budgets, let alone their security budgets. Therefore I would argue that a cloud environment configured correctly, provides a far higher level of security than anything a small to medium-sized business can create an on-prem.
Furthermore, in an environment where security talent is at a grave shortage, there is no way an organization can find, let alone afford the security talent they need. Resulting in the next best thing, create a business associate relationship with a provider that not only has a strong secure infrastructure but also provides cloud monitoring security solutions.
클라우드 컴퓨팅
클라우드에 데이터를 저장하면 사내 스토리지 인프라를 구매, 관리 및 유지할 필요가 없습니다. 이러한 편리함에도 불구하고 클라우드 스토리지 보안이 일반적으로 온프레미스 보호보다 우수함에도 불구하고 클라우드 기반 데이터에 대한 제어 부족은 기업의 공통된 문제로 남아 있습니다. 이 문서는 클라우드 스토리지 보안 소개입니다. 클라우드 공급자가 데이터를 보호하는 데 사용하는 기술. 클라우드 기반 데이터를 안전하게 유지하는 다양한 측면에 대해 알아보고 스토리지 보호가 불충분한 공급업체와 최상위 제공업체를 구별하는 방법을 알아보십시오. 보안
퍼블릭 클라우드에서 데이터를 유지하고 사용하는 데 드는 막대한 비용은 점점 더 기업의 골칫거리가 되고 있습니다. 조직은 보다 비용 효율적인 대안을 찾고 있으며, 이것이 우리가 데이터 송환(현재 퍼블릭 클라우드에 있는 데이터를 가져와 온사이트 또는 베어메탈에서 재호스팅하는 행위) 사례가 점점 더 많아지는 이유입니다. 이 문서는 데이터 송환에 대한 소개입니다. 그리고 온프레미스 베어메탈 스토리지에 찬성하여 퍼블릭 클라우드를 떠날 때의 영향(긍정적 및 부정적 모두). 계속해서 데이터 송환의 주요 동인에 대해 알아보고 클라우드 기반 데이