クラウドの保護

公開: 2019-02-06

クラウドストレージの採用は、そのアクセシビリティ、スケーラビリティ、およびITオーバーヘッドの削減により、世界中の企業の間で大流行しています。ただし、クラウドストレージのセキュリティは、その利便性と、従業員がどこでも、どのデバイスでも、いつでも会社のデータにアクセスできるという事実にもかかわらず、組織にとって最大の関心事になっています。

クラウドストレージは、ローカルに実装された高価なハードウェアに代わる費用効果の高い方法です。ただし、クラウドでビジネスを行うということは、クラウドストレージデータが構内でデータを保護するために採用する多くの保護手段の範囲外であるため、機密データと機密ファイルが新しいリスクにさらされることを意味します。

さらに、コネクテッドオフィスとモノのインターネット（IoT）テクノロジーの出現により、企業はセキュリティリスクにもかかわらずクラウドテクノロジーへの依存度をさらに高めています。より多くの企業デバイスがインターネットに接続されるようになると、意図しない漏洩や侵害の可能性が高まります。

おそらく、クラウドストレージのセキュリティに伴う最大の課題は、IT部門によって承認されておらず、最小セキュリティ基準を満たしていないクラウドストレージと無料のファイル共有サービスの使用です。知っているかどうかにかかわらず、従業員はIT部門の知識や承認なしに、企業の機密データを危険にさらす可能性があります。

幸い、以下は、クラウドストレージのセキュリティを向上させてクラウド内のデータを安全に保つのに役立つ10のソリューションです。

クラウドストレージセキュリティソリューション

機密データをクラウドに保存しないでください

100％安全なクラウドストレージサービスは世界中にありません。したがって、クラウドストレージサービスを使用する組織は、データをローカルに保存する組織よりもセキュリティの問題に直面する可能性が高いため、機密データをクラウドや仮想空間に保存しないでください。すべての機密データを削除するには、クラウドに保存する予定のすべてのファイルを監査する必要があります。

効果的なパスワード管理

企業として、IT部門は複数の従業員アカウントを管理する必要があるため、絶対確実なセキュリティフレームワークを開発することは困難です。ただし、効果的なパスワード管理ツールを自由に使用できるため、ネットワーク内のすべてのユーザーの強力なパスワードを開発および管理できます。パスワードは定期的に、また従業員が退職するたびにリセットする必要があります。

エンドユーザーは、推測しにくいパスワードを作成して覚えておく必要があります。複数のパスワードを追跡する必要がある場合は、パスワードの作成と保存を処理するソフトウェアサービスを検討する必要があります。マスターパスワードを覚えておいて、コンピューターに記録しないようにしてください。

多要素認証を使用する

パスワードはハッキング、置き忘れ、またはその他の方法で侵害される可能性があるため、ログインの追加のセキュリティレイヤーとして多要素認証を使用する方が安全です。ユーザー名とパスコードとは別に、多要素認証にはID認証のための3番目の要素が必要です。これは、指紋、音声分析、または自分だけがアクセスできる一意のコードである可能性があり、個別に生成されます。

暗号化

ソース、転送中、および保存時にデータを暗号化する必要があります。最も安全な解決策は、ソースでデータを暗号化し、自分でキーを管理することです。ネットワーク仮想化を備えたSDNの出現により、転送中のデータは比較的安全ですが、安全を確保するために常にエンドツーエンドの暗号化を使用してください。 CSPのサーバーとのすべての対話は、セキュリティのためにSSL送信を介して行われる必要があります。さらに、SSLはクラウドサービスプロバイダーのネットワーク内でのみ終了する必要があります。

保存データの場合、暗号化により、プライバシーポリシー、契約上の義務、および機密データを処理するための規制要件に確実に準拠できます。クラウドストレージディスクに保存されているデータは暗号化する必要があり、暗号化キーも定期的にローテーションされるマスターキーで暗号化する必要があります。理想的には、CSPはフィールドレベルの暗号化も提供する必要があります。この場合、暗号化するフィールド（SSN、CFP、クレジットカード番号など）を指定できます。

厳密で継続的な脆弱性テストの使用

CSPは、一流の脆弱性およびインシデント対応ツールを採用する必要があります。これらの対応ツールのソリューションは、システムの弱点をテストし、重要なセキュリティ監査間の時間を短縮するために、完全に自動化されたセキュリティ評価をサポートする必要があります。スキャンは、オンデマンドまたはスケジュールされたときに実行できます。

ユーザーレベルのデータセキュリティを使用してアクセスを管理する

クラウドサービスは、ユーザー固有のアクセスとデータ編集のアクセス許可を設定できる、定義済みの役割ベースのアクセス制御機能（RBAC）を提供する必要があります。システムは、HITRUSTやCOBITフレームワークなどの外部および内部のデータセキュリティ標準へのコンプライアンスを維持するために、組織内でアクセス制御ベースのきめ細かい強制的な職務の分離を可能にする必要があります。

厳格なコンプライアンス認証を主張する

業界で最も重要な2つの認定は次のとおりです。

SOC 2または3タイプII：規制順守の監視、ベンダー管理プログラム、および内部リスク管理プロセスに役立ちます。 SOC 2または3認定は、CSPなどのソフトウェアサービスが特別に設計されているだけでなく、最高レベルのセキュリティを確保するために厳密に管理されていることを確認します。
PCI DSS： SaaSプロバイダーは、この認証を取得するために、機密データが完全に保護された安全な方法で保存、送信、および処理されていることを確認するために詳細な監査を受ける必要があります。この包括的なセキュリティ標準には、セキュリティ管理、手順、ポリシー、ソフトウェア設計、ネットワークアーキテクチャ、およびその他の重要な保護対策の要件が含まれています。

定義されたデータ削除ポリシーの使用

明確に定義され、実施されている顧客とのデータ削除ポリシーが必要です。したがって、顧客のデータ保持期間の終了時に、契約で定義されているように、顧客のデータをプログラムで削除する必要があります。これにより、必要なストレージスペースが解放されるだけでなく、不正アクセスが防止されます。

データバックアップを使用する

クラウドストレージ（または同期）はバックアップではないことに常に注意してください。基本的に、データがクラウドエンドから削除されると、ローカルマシンからも削除されます。起動時に、ほとんどのクラウドストレージサービスは、同期されたファイルの詳細なリビジョン履歴を提供しません。したがって、データの損失から保護するには、オンラインバックアップを使用する必要があります。ここでは、オフサイトのものを含む複数のデータバックアップを使用します。オンラインバックアップサービスは、きめ細かい改訂でデータを定期的に更新します。データは、サードパーティのデータセンターにも保存および暗号化されます。

従業員の教育と感作

不正アクセスから会社のデータを保護し、クラウドセキュリティポリシーを適用するための厳格なセキュリティソリューションを実装することに加えて、クラウドの採用に伴うリスクについて従業員を教育することが不可欠です。これには特に、パスワードとエンドポイントデバイスを保護する必要があります。

結論

企業がクラウドの採用を取り入れているため、クラウドストレージのセキュリティは情報セキュリティ戦略とITアーキテクチャの最優先事項になりつつあります。企業は、従業員がクラウドの柔軟性とパフォーマンスを享受できるようにしながら、データを保護することがいかに重要であるかを認識しています。

クラウドストレージの責任をCSPと共有します。エルゴ、CSPは、処理するデータとプラットフォームの暗号化、認証、アクセス制御などのベースライン保護を実装する責任があります。そこから、機密情報へのアクセスを強化し、クラウドデータ保護を強化するための追加のセキュリティ対策を使用して、これらの保護を補完します。

編集者注： Ken Lynchは、エンタープライズソフトウェアのスタートアップのベテランであり、労働者を仕事に駆り立てるものと、仕事をより魅力的にする方法に常に魅了されてきました。ケンはまさにそれを追求するために相互主義を設立しました。彼は、より社会的志向の企業市民を作成するために、従業員を会社のガバナンス、リスク、およびコンプライアンスの目標に関与させるというこのミッションベースの目標で、Reciprocityの成功を推進してきました。ケンはMITでコンピュータサイエンスと電気工学の理学士号を取得しています。詳細については、ReciprocityLabs.comをご覧ください。

これについて何か考えがありますか？ コメントで下に知らせてください、または私たちのツイッターまたはフェイスブックに議論を持ち越してください。

編集者の推奨事項：

「クラウドでの生活」がIT部門を勝ち取るための鍵である理由
クラウドを保護するための次世代ファイアウォールがここにあります
データをクラウドに移行する際の4つの最大の課題
クラウドコンピューティングが中小企業にとって価値がある6つの理由