Security & Risk Management Update 2017

Transkript

1 Security & Risk Management Update 2017 Scandic Bygholm Park, Horsens, den 1. juni 2017 Premium partner: Partnere:

2 Cloud Hvad skal man være opmærksom på, når man går cloud-vejen? Jacob Herbst, CTO, Dubex A/S Scandic Bygholm Park, Horsens, den 1. juni 2017

3 Hvad er Cloud Computing?

4 Hvad er Cloud Computing? Cloud Computing? Cloud == Internet Det er blot outsourcing Det er virtualisering Hype og marketing Ikke noget nyt Cloud? Computing Cloud Computing En helt ny service model *aas = as a Service On-demand / Pay-as-you-go Fleksibelt og skalerbart Abstrakt ressourcebegreb Cloud Computing is a model for enabling ubiquitous, convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction. This cloud model is composed of five essential characteristics, three service models, and four deployment models. NIST - Definition of Cloud Computing

5 IT Infrastructure evolution Past Servers are standalone Limited mobility Present Partly virtualization Partly mobile Future Cloud Computing Mobile Enterprise

6 The NIST Cloud Definition Framework Hybrid Clouds Deployment Models Private Cloud Community Cloud Public Cloud Service Models Software as a Service (SaaS) Platform as a Service (PaaS) Infrastructure as a Service (IaaS) Essential Characteristics On Demand Self-Service Broad Network Access Rapid Elasticity Resource Pooling Measured Service Common Characteristics Massive Scale Homogeneity Virtualization Low Cost Software Resilient Computing Geographic Distribution Service Orientation Advanced Security

7 Enabling teknologier Virtualisering Effektiv udnyttelse af ressourcer Hurtig provisionering Stordriftsfordele Lavere omkostninger Åbne standarder Fælles protokoller Web 2.0 brugervenlige webapplikationer Management Virtual Machines Hypervisor Servers Automatisering Internet & båndbredde Storage Billig båndbredde Global mulighed for opkobling

8 Cloud som forretningsenabler Forretning er interesseret i processer og information - ikke teknologi, applikationer og infrastruktur On-demand self-service Brugeren kan i realtid selv tildele ressourcer Automatiseret; Ingen involvering af serviceudbyderen eller it-afdelingen It er et værktøj og ikke et mål i sig selv Det er i forretning at der genereres værdien, alt andet er i princippet blot understøttelse Fra et forretningssynspunkt har IT i sig selv ingen værdi - værdien ligger i hvor effektivt IT kan understøtte forretningen Krav fra forretningen er med til at drive adoptionen af Cloud Computing Broad network access Resource pooling Rapid elasticity Measured Service Service tilgås via internettet Anvendelse af standardmekanismer Ressourcer (for)deles mellem flere brugere, abstraheret fra selve implementeringen Kunden har ikke kendskab til infrastrukturen Fleksibel, simpel og enkel realtidsservice ressourcer tildeles efter behov Pay-as-you go - Ressourceforbruget måles, overvåges, styres og afregnes løbende Ingen CapEx kun variabel OpEx

9 Software as a Service (SaaS) Anvender udbyderens applikationer over netværket Eksempler Webmail, SalesForce, Google Docs Brugeren har ingen adgang til den underliggende cloud-infrastruktur Management Virtual Machines Hypervisor Servers Automatisering Storage Dine data Dit problem

10 Platform as a Service (PaaS) Brugerens applikationer afvikles på en cloud-infrastruktur Eksempler Google Engine, Windows Azure og VMforce Kræver at applikationerne er udviklet i værktøjer supporteret af leverandøren Brugeren har kun adgang til at administrere egne applikationer Management Virtual Machines Hypervisor Servers Storage Automatisering Din applikation Dit problem

11 Infrastructure as a Service (IaaS) Adgang til processor, storage og netværk Mulighed for selv at tildele og styre alle ressourcer brugeren kan afvikle vilkårlige operativsystemer og applikationer Eksempler Amazon Webservice og Microsof Azure Brugeren har ingen adgang til den underliggende cloud-infrastruktur, men kontrol over egne ressourcer Management Virtual Machines Hypervisor Servers Storage Automatisering Dine Servere Dit problem

12 Deployment Models Enterprise Community cloud Enterprise Private cloud Private cloud Hybrid cloud Private cloud Virtual Private cloud Public cloud Private cloud Cloud-infrastruktur for en organisation - administreret af organisationen selv. Community cloud Cloud-infrastruktur for flere kendte organisationer med samme mål og krav - administreret af organisationerne selv. Public cloud Cloud-infrastruktur tilgængelig for alle - administreret af cloudservice leverandøren Hybrid cloud Cloud-infrastruktur der en blanding af clouds (private, community eller public) og bundet sammen så data og applikationer kan flyttes rundt Internt Eksternt

13 Positionering af løsninger SaaS PaaS IaaS Private Hybrid Public

14 Service Models shared responsibility Private (On-Premise) Infrastructure (as a Service) Platform (as a Service) Software (as a Service) Access control Access control Access control Access control lications lications lications lications Data Data Data Data Security & Integration Security & Integration Security & Integration Security & Integration Databases Databases Databases Databases Servers Servers Servers Servers Virtualization Virtualization Virtualization Virtualization Server HW Storage Networking Server HW Storage Networking Server HW Storage Networking Server HW Storage Networking Managed by you Managed by vendor

15 Nye teknologier nye udfordringer Dagens datacenter Vi har selv kontrol over data Serverrummet er placeret på X adresse Data ligger på server Y og Z Vi har backup på plads Vi har styr på vores administratoradgang Vores oppetid er tilstrækkelig og ellers kan vi selv gøre noget ved det Vi har vores egne sikkerhedseksperter Morgendagens Cloud løsning Hvem har kontrol? Hvor står serverne? Hvor er vores data opbevaret? Hvad sikre der er taget backup? Hvem har adgang? Hvor robust er det? Hvordan kan vi lave audit? Hvordan skal vores sikkerhedsfolk arbejde??

16 Eksempler på overvejelser Hvor i verden er mine data? Hvad er risikoen ved at jeg deler applikation, platform og infrastruktur med andre? Har min cloudleverandører fokus på sikkerhed? Hvordan kan jeg kontrollere compliance? Hvordan er mine data beskyttet overholdes mine krav til fortrolighed? Vil flytning af mine data give fremmede lande adgang? Må jeg opbevare min virksomhedens data på fremmed udstyr? Hvem har adgang til mine data i skyen? Hvordan laver jeg auditering og penetrationstest af min cloudbaserede infrastruktur? Hvilke data er gemt i skyen? Hvordan krypterer jeg mine data? Hvor mange cloudløsninger kender jeg ikke til? Hvem har ansvaret? Hvad laver brugerne i skyen? Hvordan overvåger jeg sikkerheden i cloud?

17 Cloud-hændelser Nirvanix prepares to close, tells customers to stop using its cloud SEP :56PM GMT Posted by: Sonia Lelii The speculation about troubled cloud storage vendor Nirvanix was true: today the company took steps to begin closing its doors. Nirvanix did not comment on its future, but advised customers to stop replicating data to the Nirvaix cloud and to move their data off the company s systems in the next couple of weeks. Nirvanix sent a notification to customers late this afternoon with suggestions to follow for data migration, because it plans to disable uploads to the cloud on Sept. 23. The to customers read: We are notifying you as soon as possible after making this decision so that you can make alternative plans for storage service. Nirvanix will have resources available to continue to provide service between now and Oct. 15 for you to download your data free of charge. It s been crazy, said Chris Pyle, chief executive of Champion Solutions Group, a Nirvanix partner who received a call from Nirvanix at 9 a.m. today. It s a complete surprise. Yes, it s disheartening. Champion Solutions Group became a partner about a year ago, Pyle said. He would not confirm how many customers he has using Nirvanix cloud storage, but it s enough to cause me a lot of angst. Nirvanix advised customers to stop uploading data immediately if Nirvanix is the first copy or second copy of data and advised them to consider migrating data to another public cloud provider such as IBM-SoftLayer, Amazon S3, Google Storage or Microsoft Azure. If Nirvanix handles the second or third copy of the data, customers should stop uploading data and contact its rapid response team for assistance with data deletion. Microsoft Azure failure puts websites offline Karl Flinders Wednesday 19 November :52 Websites have been sent crashing as a result of problems with Microsoft s Azure cloud computing platform. The problems began in the early hours of Wednesday (19 November 2014) when access to Microsoft's Office 365 apps and Xbox Live gaming were affected. A Microsoft spokesperson said the company is looking into the problems: Microsoft is investigating an issue affecting access to some Microsoft services. We are working to restore full access to these services as quickly as possible. Fears over using the cloud for business-critical IT has always been a major concern for large enterprises, however this is reducing as cloud matures. A study of 300 IT and business decision-makers from analyst firm Forrester revealed 81%, are either already running business-critical apps in the cloud or plan on doing so in the next two years. This type of incident could set planning back. In 2011, Amazon and Microsoft's European cloud services were down for a weekend after a lightning strike caused power failures at their datacentres in Dublin. The lightning strike took out the main power supply and affected part of the phase-control system that synchronises the backup generator plant, causing a disruption to the service of Amazon's Elastic Compute Cloud (EC2) cloud computing platform for the second time that year, as well as affecting Microsoft's Business Productivity Online Suite (BP). Businesses still concerned over cloud

18 Top Concerns of Security in the Cloud OK Loss of Control Data Security Reliability Compliance Security Management Many companies and governments are uncomfortable with the idea of their information located on systems they do not control. Providers must offer a high degree of security transparency to help put customers at ease. Migrating workloads to a shared network and compute infrastructure increases the potential for unauthorized exposure. Authentication and access technologies become increasingly important. High availability will be a key concern when worrying about a loss of service should outages Mission critical applications may not run in the without strong availability guarantees. Complying With SOX, HAIPA, and other regulations may prohibit clouds for some applications. Comprehensive auditing capabilities are essential. Providers must supply easy, visual controls to manage firewall and security settings for applications and runtime environments in the cloud. Focus on a business' privacy, protection, and resiliency

19 There is no such thing as the cloud. It s just someone else s computer.

20 Sikkerhed og compliance opfattes som en udfordring Sikkerhed, privacy er den primære bekymring. Compliance kommer på tredjepladsen!

21 Hvad er compliance? Compliance handler om at være i overensstemmelse med et sæt specifikationer, retningslinjer eller love eller være i færd med at blive det Overholdelse af reglerne skal typisk sikre fokus på sikkerhed med henblik på at imødegå eller undgå en risiko Compliance styrker og gavner organisationen da man kan dokumentere efterlevelsen overfor kunder, leverandører og myndigheder Compliance management sikrer, at it-processer, tjenester og systemer overholder organisationens politikker og relevante eksterne lovkrav Afvigelse fra reglerne kan ofte medføre store bøder, pålæg og i regulerede brancher medføre mistede licenser, tilladelser eller godkendelser Start med at beslut hvad du skal være compliant med fx GDPR / EU-persondataforordningen Persondataloven Payment Card Industry Data Security Standard (PCI DSS) Sarbanes-Oxley Health Insurance Portability and Accountability Act of 1996 (HIPAA) Federal Information Security Management Act (FISMA) Compliance Overholdelse af et sæt regler eller standarder. Dette skal kunne bekræftes ved en revision baseret på observationer, spørgsmål og inspektion. Sikkerhed Implementering af tekniske, fysiske og administrative kontroller for at sikre fortrolighed, integritet, tilgængelighed, ansvar og vished.

22 Clouds findes i mange størrelser og former

23 Sikkerhed - fordele og ulemper Fordele Sikkerhed er en integreret del af leverandørens infrastruktur Stordriftsfordele ressourcer til at sikkerhed bliver lavet rigtigt Standardisering sikkerheden kan blot gentages Hvis offentligt tilgængelige systemer flyttes til en ekstern cloud-service mindskes eksponeringen af følsomme interne data Man bliver (oftere) tvunget til et aktivt valg omkring sikkerhed Cloud-servicen indeholder automatiserede sikkerhedsfunktioner Redundans og Disaster Recovery er (som regel) en del af løsningen Resultat: Bedre Sikkerhed og tilgængelighed Ulemper Afhængighed af dataforbindelse for tilgængelighed Nødt til at tro på leverandørens sikkerhedsmodel og rapportering Man har ikke mulighed for selv at reagere på hændelser Det kan være besværligt at få hjælp til efterforskning Tillidsfuld sælgers sikkerhedsmodel Manglende mulighed for at reagere på revisionsanmærkninger Indirekte administratoransvar Proprietære løsninger kan ikke kontrolleres Manglende fysisk kontrol over data/systemer Større eksponering af systemer og data Færre egne direkte handlemuligheder Resultat: Mistet egen kontrol med fortrolighed og integritet

24 Forskellige cloud leverandører Håndtering af små cloud leverandører Udvikle en metode til at gennemføre en hurtig, enkelt, men effektiv revision af små spillere, før der købes services Hvis formålet med den pågældende service er hastighed til markedet, giver det ikke mening at overbebyrde dem med administrative / juridiske opgaver. Hjælp med at holde dine samarbejdspartnere i live Vær pragmatisk om risiko. Vær forberedt på et pludselig ophør af både kontrakter og service Cloud underleverandører Risikostyring og compliance bliver hurtigt komplekst: Mange SaaS-løsninger kører på andre udbyderes IaaS infrastruktur man skal være opmærksom på alle led i kæden Omfatter din kontrakt, at alle parter skal overholde alle krav i den? Gælder force majeure for fejl hos alle parter? Hvor synlig er økonomien hos underleverandører? Understøtter dine disaster recovery og beredskabsplaner dette scenarie?

25 Leverandør transparens Method Customer Decision Usefulness Customer Level of Effort Formal on-site evaluation by in-house team High Highest Formal on-site evaluation by consultant High High Formal written report from third-party assessor (assessment not initiated by customer) Medium to High Medium Security rating service Medium High Low Successful completion of third-party assessment (without written report) Medium Evaluation of CSP's security documentation Low Medium Completed questionnaire Low Medium Marketing material describing security program Lowest Low to Medium Low Kilde: Gartner

26 Forskellige cloud leverandører har forskellig risiko CSP Size/Experience/ Market Share Tier 1 You don't have to worry if one of the major CSPs is secure, but you still must use them securely Second Tier CSPs may be providing strategically important applications for departments or verticals. They usually lack thirdparty evaluation and may be financially weak. Tier 2 Tier 3 Number of Cloud Service Providers You can't assume a tiny CSP is secure, or financially solvent. That may be an acceptable risk, but you must use them carefully. Kilde: Gartner

27 Hvad er Dubex proces til cloud anvendelse? Cloud Readiness Er virksomheden klar til Cloud service Forretningsmæssige fordele ved Cloud Computing Cloud computing fra et teknisk perspektiv og ændringer ved IT service management Risiko ved regulativer for cloud computing Cloud Risikovurdering Risici ved Cloud services Overblik over kritiske sikkerhedsrisici Compliance krav Metoder til at nedbringe restrisici ved cloud service Cloud Compliance analyse Compliance ved cloud anvendelsen Virksomhedens reelle efterlevelse Kritiske afvigelser ligger Metoder til at håndtere afvigelserne ift. compliance krav

28 Anbefalinger - generelle Udvikle en holistisk cloud-sikkerhedsstrategi, som omfatter: Baseret på Shared Responsibility Model Beskyttelsen af virksomhedernes SaaS-applikationer Beskyttelsen af virksomhedernes systemer, der kører i offentligt eller privat IaaS Security Management, compliance mangement & overvågningstjenester i Cloud Omfatter alle led i sikkerhedsprocessen Risikostyring og planlægning (Predict & Identify) Implementering af passende, afvejede kontroller (Prevent & protect) Overvåning så angreb og kompromitteringer opdages (Detect) Reaktion, beredskab og Incident Response (Respond & recover) Predict & identify Prevent & protect Detect Respond & recover

29 Tak!