Bezpieczeństwo chmury i infrastruktury: uszczelniamy to, co konfiguracja zostawia otwarte
Bezpieczeństwo chmury to zabezpieczanie tego, za co w chmurze odpowiadasz Ty, a nie dostawca: konfiguracji usług, uprawnień, sieci i danych w AWS, Azure czy GCP. Dostawca pilnuje samej chmury — reszta jest po Twojej stronie. Znajdujemy błędne ustawienia i nadmiarowe dostępy, uszczelniamy je wg standardów CIS i pilnujemy, żeby konfiguracja nie rozjechała się z czasem.
Executive summary: Chmura rzadko zawodzi przez wyrafinowany atak – zawodzi przez błędną konfigurację po stronie klienta. Gartner szacował, że do 2025 r. za 99% incydentów bezpieczeństwa w chmurze odpowiada klient, nie dostawca (źródło: „Predicts 2021: Cloud Security Drives Digital Business”; autorzy: Mitch Clem, Neil MacDonald, Pete Shoard; data publikacji: 19 listopada 2020 r.). Publiczny bucket, otwarty port, konto z nadmiarem uprawnień – to tędy wyciekają dane. Zaczynasz od przeglądu konfiguracji: w ~2 tygodnie dostajesz listę krytycznych miskonfiguracji według priorytetu, a potem je uszczelniamy i pilnujemy na bieżąco.
Brak zabezpieczeń kosztuje więcej, niż myślisz
Większość firm odkrywa problem po fakcie, bo nikt wcześniej nie zadał pytania: gdzie są nasze luki? Przeprowadzamy niezależne audyty i oceny ryzyka, które dają twarde dane zamiast domysłów.
Wyzwania w zarządzaniu ryzykiem i zgodnością
Firmy nie ponoszą największych kosztów przez brak technologii. Ponoszą je przez brak wiedzy o tym, gdzie faktycznie są narażone.
Nie widzisz, co masz publicznie wystawione.
Środowisko rozrosło się przez trzy chmury i kilka zespołów; nie ma jednej mapy tego, co jest otwarte na świat. Skutek: publiczny zasób albo otwarty port, o którym dowiesz się dopiero z incydentu.
Uprawnienia rozdane „na już”.
Konta z prawami administratora nadawane w pośpiechu i nigdy nieodebrane, klucze w kodzie. Skutek: jedno przejęte konto = dostęp do całego środowiska.
Shadow IT i dryf konfiguracji.
Działy biznesowe uruchamiają usługi poza kontrolą IT, a bezpieczne ustawienia „rozjeżdżają się” po każdym wdrożeniu. Skutek: stan z audytu sprzed pół roku już nie obowiązuje.
Model współodpowiedzialności działa przeciwko Tobie.
Zakładasz, że „chmura jest bezpieczna”, ale za konfigurację odpowiadasz Ty. Skutek: luka jest po Twojej stronie – odpowiedzialność też.
|
|
Zobacz, jak to działa w praktyce
Klient:
Firma z sektora MedTech przygotowująca się do certyfikacji ISO 27001.
Wyzwanie:
Firma musiała szybko zidentyfikować i zamknąć luki w procesach zarządzania bezpieczeństwem informacji, aby spełnić wymogi normy i zyskać zaufanie kluczowych klientów.
Rozwiązanie:
Przeprowadziliśmy kompleksową analizę luk w odniesieniu do ISO 27001, następnie audyt wewnętrzny z priorytetyzowanym planem działań naprawczych.
Rezultaty:
Zidentyfikowanie 15 kluczowych niezgodności z planem do ich usunięcia.
Skrócenie czasu przygotowania do audytu certyfikacyjnego o 3 miesiące.
Pomyślne przejście audytu zewnętrznego i uzyskanie certyfikatu ISO 27001.
Twoja firma też może przejść przez audyt w sposób uporządkowany i bezstresowy.
Obiektywna ocena i konkretny plan
Dostarczamy niezależną, zewnętrzną perspektywę na poziom bezpieczeństwa Twojej organizacji. Nie po to, żeby pokazać listę problemów, ale żeby dać Ci priorytety i plan, który możesz natychmiast wdrożyć.
Ocena ryzyka technologicznego i biznesowego:
Identyfikujemy i analizujemy ryzyka, tworzymy rejestr ryzyk i plan postępowania, który staje się podstawą Twojej strategii bezpieczeństwa.
Audyty wewnętrzne i audyty zgodności
Przeprowadzamy audyty weryfikujące zgodność z normami ISO 27001 oraz regulacjami DORA i NIS2, z pełną dokumentacją gotową na audyt zewnętrzny.
Analiza luk:
Porównujemy Twój obecny stan zabezpieczeń z wymaganiami standardu lub regulacji i dostarczamy mapę drogową do zamknięcia luk, z priorytetami i szacowanym nakładem pracy.
Audyty techniczne konfiguracji chmury:
Dogłębna weryfikacja konfiguracji środowisk AWS, Azure i GCP w odniesieniu do CIS Benchmarks. Błędy w konfiguracji środowisk chmurowych to jedna z najczęstszych i najmniej widocznych przyczyn naruszeń.
Ocena ryzyka stron trzecich:
Analizujemy poziom bezpieczeństwa Twoich kluczowych dostawców. Łańcuch dostaw to dziś jeden z głównych wektorów ataku.
Twoja droga do obiektywnej wiedzy o ryzyku
Każdy audyt realizujemy tak, żeby efektem był konkretny plan działania, a nie tylko raport do szuflady.
1.
Planowanie i ustalenie zakresu
Wspólnie precyzujemy cele, zakres i kryteria audytu. Wiemy co chcemy sprawdzić i dlaczego.
2.
Zbieranie dowodów
Wywiady z kluczowymi osobami, analiza dokumentacji, weryfikacja konfiguracji technicznych. Patrzymy na fakty, nie deklaracje.
3.
Analiza i wnioski
Identyfikujemy mocne strony i niezgodności. Każda niezgodność jest opisana z kontekstem biznesowym, nie tylko technicznym.
4.
Raport i plan działań naprawczych
Prezentujemy raport z priorytetyzowanym planem działań. Wychodzisz ze spotkania wiedząc co robić jako pierwsze.
Najczęściej zadawane pytania
AWS, Azure i Google zabezpieczają samą chmurę: serwery, sieć fizyczną, hypervisor. Za bezpieczeństwo w chmurze — konfigurację usług, uprawnienia, dane, dostęp do sieci — odpowiadasz Ty. To rozgraniczenie nazywa się modelem współodpowiedzialności i właśnie po Twojej stronie powstaje większość realnych luk.
Audyt to zdjęcie stanu w jednym momencie: raport z listą luk. CSPM (cloud security posture management) to ciągłe pilnowanie konfiguracji — wykrywa dryf i nowe misconfiguracje na bieżąco, gdy tylko się pojawią. Audyt mówi „co poprawić”, my utrzymujemy stan „poprawione” w czasie.
Najczęściej: publicznie dostępne magazyny danych (np. buckety S3), otwarte porty zarządzania, nadmiarowe uprawnienia (konta z prawami administratora „na wszelki wypadek”), brak szyfrowania i wyłączone logowanie zdarzeń. To one — nie wyrafinowane ataki — stoją za większością wycieków z chmury.
Nie, jeśli robi się to dobrze. Wpinamy kontrolę bezpieczeństwa w narzędzia, których zespół już używa, i ustawiamy bariery zamiast bramek. Deweloperzy dalej wdrażają — dostają tylko sygnał o ryzyku obok deploya. Bezpieczeństwo ma usuwać tarcie między IT a resztą firmy, nie dokładać go.
CIS Benchmarks to uznane, publikowane standardy bezpiecznej konfiguracji dla AWS, Azure, GCP i wielu systemów. Dają obiektywny, sprawdzalny punkt odniesienia zamiast „naszym zdaniem tak jest bezpieczniej”. Hardening wg CIS to konkretne ustawienia, które można zweryfikować i pokazać audytorowi czy klientowi.
Od przeglądu konfiguracji chmury. W około dwa tygodnie skanujemy Twoje środowisko, mapujemy je na CIS Benchmarks i dajemy listę misconfiguracji według priorytetu: co załatać dziś, a co może poczekać. Dopiero potem uszczelniamy i – jeśli chcesz – pilnujemy konfiguracji na bieżąco.
