О передовых практиках защиты многооблачных сред

Forrester прогнозирует, что мировой рынок публичных облаков увеличится до 178 млрд долл. в этом году по сравнению со 146 млрд долл. в 2017 г. Фирма также предсказала, что к концу 2018 года более половины глобальных предприятий в своей цифровой трансформации будут полагаться как минимум на одну публичную облачную платформу. Не вызывает сомнений, что будущее ИТ связано с многооблачными и гибридными решениями.

Есть много причин, по которыми всё больше организаций выбирают вариант с несколькими облаками. Крупные предприятия могут использовать Office 365 и Salesforce.com, а небольшой бизнес — Google Apps со всеми прилагающимися подключаемыми модулями. Широко распространены и другие предложения Software-as-a-Service (SaaS) и Infrastructure-as-a-Service (IaaS). Простота использования и привлекательная модель потребления, предлагаемая облачными провайдерами, сделали принятие этого варианта практически безальтернативным с технологической и деловой точек зрения.

Большинство из тех, кто выбирает многооблачный подход, разделяются на два лагеря. Один состоит из полностью облачных организаций — стартапов и «рожденных в облаке» предприятий, таких как Netflix. Эти организации используют сервисы многих облачных провайдеров, они живут в облаке и остаются там. Им требуется разработать разные подходы к безопасности для каждого облачного провайдера.

Традиционные организации, которые переносят некоторые цифровые активы в облако, но сами не являются облачными, образуют другой лагерь. В этом случае облако содержит только часть их данных. Такие компании обычно выбирают, какие варианты SaaS и IaaS использовать, руководствуясь деловыми соображениями, как правило эти решения принимаются на уровне бизнес-подразделений и зачастую без учета возможных последствий для безопасности. Это ставит ИТ-отделы и команды безопасности перед фактом, вынуждая их решать вопросы обеспечения безопасности задним числом.

Таким образом, для каждой из этих групп облачная безопасность имеет собственные особенности и проблемы.

Отдельные и общие заботы

Для облачно-нативного лагеря фактором, определяющим какую технологию безопасности использовать, является возможность её интеграции со средой автоматизации, функциями DevOps и операционными моделями. Команды DevOps и SecDevOps заинтересованы в том, чтобы иметь возможность автоматизировать и оптимизировать операции безопасности с помощью общих методологий непрерывной интеграции, которые используют эти организации. Они хотят, чтобы меры безопасности не мешали им внедрять новые технологии, выпускать ПО и его версии для своих клиентов.

Перед этой группой стоит сложная задача: найти единую операционную модель и оптимальную политику безопасности, которые могут быть применены ко многим различным облачным инфраструктурам и приложениям, не обязательно обладающими одинаковыми операционными возможностями управления безопасностью. Как результат, команды SecDevOps сталкиваются с проблемой обеспечения единообразия безопасности, включая оптимизацию операций безопасности для платформ любого типа.

Им также требуется надежный, унифицированный набор согласованных средств управления безопасностью. Чтобы достичь этого, организация должна найти способ абстрагировать службы безопасности, предлагаемые различными платформами, с получением единого набора инструментов, пригодного для применения ко всей инфраструктуре.

Не желая попадать в зависимость от отдельных облачных провайдеров, эти организации ищут несколько источников для построения своей облачной инфраструктуры. Это лишь добавляет сложности и усугубляет проблему, делая ее ещё более трудозатратной.

У более традиционной группы предприятий имеются свои сложности. Им необходимо обеспечивать равную степень безопасности для локальной и облачной инфраструктур. «Теневые ИТ» представляют серьёзную проблему для этой группы, так как руководители организации могут увлечься возможностями нового приложения и забыть предупредить команду безопасности, что они начали его использовать. Поэтому важно побыстрее интегрировать имеющиеся средства управления безопасностью в различные платформы, чтобы каждый раз заново не изобретать велосипед.

В этой группе меньше сотрудников DevOps и более традиционных ИТ-специалистов, которым нужны несложные приложения с графическим интерфейсом для управления единой инфраструктурой. Сотрудники службы безопасности, как правило, сильно перегружены постоянными изменениями и необходимостью обеспечивать их безопасность и соответствие требованиям. Наряду с текущими внутренними теневыми ИТ-инициативами команда занимается и более плановым наращивание инфраструктуры облачной безопасности, чтобы иметь возможность быстро откликаться на запросы различных бизнес-единиц. В этих случаях глобальное размещение и эластичная природа облака становятся важными, поскольку вы хотите получать такие сервисы в любой точке земного шара и в любое время, и платить только за те услуги, которые вы используете.

В конечном итоге организациям обоих типов необходимо внедрить унифицированную инфраструктуру безопасности в нескольких облачных инфраструктурах. Для некоторых это подразумевает лишь сочетание публичных облаков, а для других — комбинацию публичных и частных облаков.

Рекомендации по безопасности в облаке

Независимо от конкретных различий в безопасности, обе группы могут извлечь выгоду из внедрения следующих передовых практик защиты многооблачных сред:

Автоматизация: Возможность автоматизировать безопасность и интегрировать автоматизированные процессы в цикл разработки обеспечит соответствие требованиям безопасности без каких-либо дополнительных усилий и с сохранением максимальной скорости разработки приложений.
Абстракция: Политику безопасности нужно абстрагировать в единый язык централизованного управления, так чтобы, независимо от базовых технологий — будь то частный ЦОД или инфраструктура публичного облака — компания реализовала безопасность единым и стандартным образом. Межсетевые экраны должны обеспечивать логическую абстракцию для того, чтобы поддерживать физическую и виртуальную сегментацию в частных и общедоступных облаках.
Гибкость: По мере роста приложения или внедрения большего их количества, расти и расширяться должна также безопасность. И организации должны иметь возможность платить только за ту степень защиты, которую они используют.
Осведомленность о приложениях. Для того, чтобы сохранять актуальность для разных приложений, система безопасности должна учитывать их специфику. Тогда она будет эффективна для SaaS и приложений для внутреннего использования, базирующихся на различных инфраструктурах и сервисах. Состояние безопасности улучшается если возможность применения различных инструментов, наиболее подходящих для защиты конкретных приложений, дополняет согласованная политика безопасности для всех инфраструктур.
Видимость: Поскольку инциденты могут возникать в любом месте поверхности атаки, важным требованием является видимость всей гибридной, многооблачной инфраструктуры. Коррелированное представление угроз и рисков для всей инфраструктуры становится существенным преимуществом. С переходом на «единое окно обзора» организации получают всеобъемлющую перспективу многочисленных частных и публичных облаков, а также приложений SaaS.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365