Cloud-based IT-adaptatie raakt in een hogere versnelling naarmate IaaS-, PaaS- en SaaS-oplossingen zich verder ontwikkelen en bedrijven zich inspannen om hun IT-infrastructuur flexibeler en kosteneffectiever te maken. Momenteel zijn beveiliging en compliance de belangrijkste beperkende factoren voor cloudadaptatie. Recente onderzoeken hebben aangetoond dat 90% van de organisaties die verhuizen naar de cloud of dit overwegen, zich in meer of mindere mate zorgen maakt over de beveiliging. Specifieke betreft dit algemene beveiliging, verlies en lekken van data, en verlies van controle. Regelgeving zoals de AVG beperkt waar data en applicaties geplaatst kunnen worden en welke mate van beveiliging vereist is.

Traditionele beveiligingsarchitecturen zijn gebaseerd op een scheiding tussen openbare en private netwerken met één of een beperkt aantal connectiepunten. Deze connectiepunten zijn beveiligd met oplossingen aan de perimeter, zodat interne data en applicaties niet toegankelijk zijn van buitenaf, behalve via een extensie van die perimeter zoals een VPN-connectie met een beveiligde host of locatie.

Cloudoplossingen op zich bieden fysieke bescherming en beveiligingseigenschappen gericht op systeembeschikbaarheid zoals DDoS-bescherming. Beveiliging van systeem, data en applicatie is de verantwoordelijkheid van de gebruiker van de cloudoplossing. Hoewel beveiligingstools worden aangeboden, moeten deze worden geconfigureerd en bieden ze slechts een basale vorm van (netwerk-)bescherming.

Een nieuwe aanpak van beveiliging

‘Een ketting is zo sterk als zijn zwakste schakel’, luidt een populair gezegde. Dat geldt zeker ook op het vlak van beveiliging. De meeste cloudimplementaties (71%) zijn hybride, wat betekent dat data en applicaties zich op elk moment binnen of buiten de perimeter van je bedrijf kunnen bevinden. Hoe dan ook moet de beveiliging altijd van hetzelfde robuuste niveau zijn. Verschillende risico's vereisen een verschillende aanpak om de nodige bescherming te realiseren. Hierdoor ontstaan tegelijk nieuwe uitdagingen wat betreft zichtbaarheid, beheer en rapportage.

While it is possible to make the cloud a virtual part of your inside perimeter, it would only be applicable for IaaS cloud solutions and counteracts most of the benefits of cloud-based solutions. Implementing this type of security is relatively easy and can be done with standard functionality offered by most cloud providers.

A more scalable approach is to create direct access points to the cloud. This offloads access to your data centre and is more resilient, but creates additional entry points that need securing. Creating a protection layer between the two silos is also recommended.

The type and extent of security measures required depend on what needs to be secured. Applications and data are accessed from outside the perimeter with devices that are not always under your control, which means that security decisions are no longer about who has access to what, but also with what, from where and what they can do with that data.

Beschikbare multicloudbescherming oplossingen

Tegenwoordig zijn er diverse oplossingen beschikbaar voor het beveiligen van multicloud-architecturen, variërend van eenvoudige netwerkbeveiliging tot volledige content- en contextbewuste beveiliging. Aan elke variant hangt een prijskaartje wat betreft de aanschaf, mede bepaald door de (operationele) complexiteit. Een aantal van de meest gebruikte beveiligingsoplossingen op dit moment:

Stateful firewalls

Stateful firewalls leveren basisbeveiliging van het netwerk en laten connecties toe tussen eindpunten middels toegestane protocollen.

Next-generation firewalls (NGFW)

NGFW gaan een stap verder met het beveiligen van een netwerk. Behalve dat ze goedgekeurde protocollen toestaan, kunnen ze inspecties uitvoeren van de betreffende applicatie die wordt gebruikt en het type data dat wordt overgedragen. Next-generation firewalls maken het eenvoudiger om gebruikers te koppelen aan eindpunten, zodat je makkelijker controle houdt over wie toegang heeft tot wat en op welke manier.

Data loss prevention (DLP)

DLP verhoogt het beveiligingsniveau dat wordt geboden door een NGFW omdat het niet enkel een applicatie toestaat dan wel blokkeert. Het inspecteert namelijk actief de data die worden overgedragen en kan data markeren die verboden is. Het kan ook inzicht geven in welke data zich waar bevinden, zodat beveiligingsmaatregelen daarop kunnen worden afgestemd.

Content access security brokers (CASB)

CASB pakt de problemen aan die ontstaan wanneer bedrijven cloud-gebaseerde applicaties gaan gebruiken en gegevens niet langer binnen de bedrijfsgrenzen worden gehouden. CASB kan niet alleen greep krijgen op welke gegevens jouw organisatie binnenkomen en verlaten, maar kan ook controleren waar ze naartoe worden gestuurd en in welk formaat.

Endpoint-beveiliging

Oorspronkelijk beperkten oplossingen voor endpoint-beveiliging zich tot het blokkeren van schadelijke content op het eindapparaat. De huidige generatie bepaalt ook welke data wordt opgeslagen op het endpoint en wat ermee kan worden gedaan. Is er een probleem met het apparaat (gestolen of op een andere wijze een bedreiging), dan kunnen de data ontoegankelijk gemaakt worden om zo de impact van een dergelijke gebeurtenis in te perken.

Placeholder for Engineeroover shoulder laptop

Elk van deze oplossingen biedt een ander beveiligingsniveau, mogelijk ten koste van performance en usability van de applicatie, en elk verschilt in de CAPEX en OPEX die dit voor jouw organisatie oplevert. Elke oplossing moet op een strategische locatie worden geplaatst binnen je IT-infrastructuur om de efficiency te maximaliseren. Meerdere oplossingen op meerdere locaties over de hele infrastructuur vergt daarnaast een beheeroplossing die zorgt voor consistentie van de beveiliging, mogelijke zwakke plekken zichtbaar maakt en afwijkingen onmiddellijk rapporteert. Bovendien kan het beveiligingsbeheerplatform het punt zijn waar compliance-audits worden geautomatiseerd.