Door Michel Schaalje.

Cloud en security, het blijft een heikel thema. Het idee leeft dat een cloud provider de beveiliging beter op orde heeft dan je dat als bedrijf zelf voor elkaar kunt krijgen. Is dat wel zo? Hééft de cloudprovider zijn security wel op orde? Hoe weet je dat? Ik zie nog steeds onderzoeken langskomen die uitwijzen dat er nog steeds twijfel bestaat aan de security in de cloud. Nu zien we de multi-cloud opkomen. En dan hebben we meteen een multi-uitdaging. Want hoe krijgen we in die omgeving de beveiliging op orde?

Huisregels

De ultieme beveiliging regel je in je ‘eigen huis’. Je stelt zelf het beveiligingsbeleid op, met regels die zijn toegespitst op de organisatie. Zelf hou je toezicht op de naleving van het beleid en als het misgaat ben je ook zelf verantwoordelijk. Wie naar de cloud gaat verlaat zijn eigen huis en komt ergens terecht waar iemand anders de beveiligingsscepter zwaait. Betrouwbaar? Waarschijnlijk wel. Maar toch wil je dat daar je eigen huisregels worden nageleefd. Met één provider is dat misschien nog wel te regelen. Maar hoe moet dat in een multi-cloudomgeving?

Steeds ingewikkelder

In een multi-cloudomgeving kan het aantal connecties, applicaties, aangesloten devices, enzovoorts, exploderen en genereren daarmee even zovele potentiële ‘entry points’ voor cyberdreigingen. Technologieën zoals microservices, containers en API’s vergroten de kans op datadiefstal. Virtualisatie en nieuwe ontwikkelingen, bijvoorbeeld ‘software defined’ datacenters maken de security nog ingewikkelder dan het al was.

Eén gemeenschappelijke component

Maar hoe complex de verschillende clouds en de interactie daarmee ook is, er is één gemeenschappelijke component: het netwerk. Goede security is alleen mogelijk als er inzicht is in het verkeer van en naar de cloud. Het bekende voorbeeld: als het ene moment iemand vanuit Mexico toegang wil en even later ‘dezelfde persoon’ het probeert vanuit Shanghai, moet dat natuurlijk gesignaleerd worden. Uit welke clouds die multi-cloud omgeving is opgebouwd en al dan niet in een hybride combinatie met een private cloud en on premise IT, alles loopt via het netwerk.

Wat je niet ziet

Ik zie dat bedrijven zich hiervan steeds meer bewust worden en zich afvragen of zij wel voldoende inzicht hebben in de verkeersstromen. Dat is overigens niet alleen nodig om passende beveiligingsmaatregelen te nemen. Wie de verkeersstromen ziet, krijgt ook andere inzichten. Bijvoorbeeld welke clouddiensten allemaal worden gebruikt. Niet alleen de diensten die door het bedrijf ‘officieel ‘zijn aangeschaft, maar net zo goed de diensten die door medewerkers of afdelingen op eigen houtje worden afgenomen, de beruchte shadow-IT. Wat je niet ziet weet je niet en kan je dus ook niet stoppen…

Oplossingen

Er bestaan inmiddels oplossingen die huisregels naar de cloud brengen, zoals gebruikersrechten en de controle daarop, waarbij de validatie ervan binnen de bedrijfsomgeving blijft. De volgende stap is het combineren van deze inzichten met securityoplossingen die inmiddels voor datacenters beschikbaar zijn en die zeer snel een breed scala aan kwetsbaarheden, inclusief die voor servers, kunnen identificeren. Dit soort oplossingen kunnen ook allerlei verdacht procesgedrag detecteren. Deze oplossingen werken dankzij geavanceerde technologieën, zoals machine learning en AI. Automatisering helpt hier de security ook in bijzonder complexe omgevingen aan te pakken. De ‘multi-uitdaging’ is dan opeens niet zo’n grote uitdaging meer.

Michel Schaalje, Directeur Security Cisco Nederland