Wat is cloudbeveiliging?

Definitie van cloudbeveiliging

Cloudbeveiliging is een discipline van cyberbeveiliging die zich richt op het beveiligen van systemen voor cloud computing. Dit houdt in dat de gegevens privé en veilig worden bewaard in de online infrastructuur, applicaties en platformen. Voor de beveiliging van deze systemen zijn er inspanningen nodig van de cloudproviders en de klanten die er gebruik van maken, of het nu gaat om een individu, een klein tot middelgroot bedrijf of een onderneming.

Cloud providers hosten services op hun servers via permanente internetverbindingen. Omdat hun bedrijf afhankelijk is van het vertrouwen van de klant, worden er beveiligingsmethoden gebruikt om de gegevens van de klant in de cloud privé en veilig op te slaan. Maar cloudbeveiliging ligt ook voor een deel in handen van de klant. Inzicht in beide facetten is cruciaal voor een gezonde cloudbeveiligingsoplossing.

De kern van cloudbeveiliging bestaat uit de volgende categorieën:

• Gegevensbeveiliging
• Identiteit en toegangsbeheer (IAM)
• Governance (beleid inzake de preventie, detectie en beperking van bedreigingen)
• Dataretentie (DR) en bedrijfscontinuïteitsplanning (BC)
• Wettelijke naleving

Cloudbeveiliging mag dan wel lijken op legacy IT-beveiliging, maar dit kader vraagt eigenlijk om een andere aanpak. Laten we, voordat we dieper gaan duiken, eerst eens kijken wat cloudbeveiliging is.

Wat is cloudbeveiliging?

Cloudbeveiliging is de volledige bundel van technologie, protocollen en beste praktijken die cloud computing-omgevingen, applicaties die in de cloud draaien en gegevens die in de cloud worden bewaard, beschermen. Het beveiligen van cloudservices begint met het begrijpen van wat er precies beveiligd wordt, evenals de systeemaspecten die moeten worden beheerd.

Als overzicht, de ontwikkeling van de backend tegen beveiligingslekken is grotendeels in handen van providers van cloudservices. Naast het kiezen van een provider die zich echt bewust is van veiligheid, moeten klanten zich vooral richten op de juiste configuratie van de service en veilige gebruiksgewoonten. Bovendien moeten klanten er zeker van zijn dat alle hardware van de eindgebruiker en netwerken goed beveiligd zijn.

De volledige omvang van de cloudbeveiliging is bedoeld om het volgende te beschermen, ongeacht je verantwoordelijkheden:

• Fysieke netwerken - routers, elektrische voeding, bekabeling, klimaatregeling, enz.
• Gegevensopslag - harde schijven, enz.
• Dataservers - hardware en software voor de kerncomponenten van netwerkcomputing
• Kaders voor computervirtualisatie - virtuele machinesoftware, hostmachines en gastmachines
• Besturingssystemen (OS) - software die alle computerfuncties ondersteunt
• Middleware - application programming interface (API)-beheer,
• Runtime-omgevingen - uitvoering en onderhoud van een lopend programma
• Gegevens - alle opgeslagen, gewijzigde en toegankelijke informatie
• Applicaties - traditionele softwareservices (e-mail, belastingsoftware, productiviteitsapplicaties, enz.)
• Hardware voor eindgebruikers - computers, mobiele apparaten, Internet of Things (IoT)-apparaten, enz.

Door cloud computing kan het eigendom van al deze componenten sterk verschillen. Dit kan de scope van de verantwoordelijkheden op het gebied van de beveiliging voor de klant onduidelijk maken. Aangezien het beveiligen van de cloud er anders kan uitzien op basis van wie de machtiging heeft over elke component, is het belangrijk om te begrijpen hoe deze zijn gegroepeerd.

Om het eenvoudiger te maken, zijn cloud computing-componenten beveiligd vanuit twee gezichtspunten:

1. Types van cloudservices die door derde partijen worden aangeboden als modules die worden gebruikt om de cloudomgeving te creëren. Afhankelijk van het type service, kun je een verschillend aantal componenten binnen de service beheren:

• De kern van elke cloudservice van een derde partij bestaat uit het beheer van het fysieke netwerk, de gegevensopslag, de gegevensservers en de kaders voor computervirtualisatie door de provider. De service wordt opgeslagen op de servers van de provider en gevirtualiseerd via hun intern beheerde netwerk dat wordt geleverd aan klanten en dat op afstand toegankelijk is. Hierdoor worden hardware- en andere infrastructuurkosten om klanten via internetverbindingen overal toegang te geven tot hun computingbehoeften, verminderd.
• Software-as-a-Service (SaaS)-cloudservices bieden klanten toegang tot applicaties die volledig gehost worden en draaien op de servers van de provider. Providers beheren de applicaties, gegevens, runtime, middleware en het besturingssysteem. Klanten moeten alleen maar toegang krijgen tot hun applicaties. SaaS-voorbeelden zijn Google Drive, Slack, Salesforce, Microsoft 365, Cisco WebEx, Evernote.
• Platform-as-a-Service (PaaS)-cloudservices bieden klanten een host voor het ontwikkelen van hun eigen applicaties, die worden uitgevoerd binnen de eigen "sandboxed" ruimte van de klant op servers van providers. Providers beheren de runtime, middleware en het besturingssysteem. Klanten moeten zorgen voor het beheer van hun applicaties, gegevens, gebruikerstoegang, apparaten van eindgebruikers en netwerken van eindgebruikers. PaaS-voorbeelden zijn Google App Engine, Windows Azure.
• Infrastructure-as-a-Service (IaaS)-cloudservices bieden klanten de hardware en het kader voor connectiviteit op afstand om het grootste deel van hun computing te bieden, tot het besturingssysteem toe. Providers beheren alleen de kernservices van de cloud. Klanten moeten ervoor zorgen om alles te beveiligen wat bovenop een besturingssysteem komt, inclusief applicaties, gegevens, runtimes, middleware en het besturingssysteem zelf. Daarnaast moeten klanten de gebruikerstoegang, de apparaten van de eindgebruikers en de netwerken van de eindgebruikers beheren. IaaS-voorbeelden zijn Microsoft Azure, Google Compute Engine (GCE), Amazon Web Services (AWS).

2. Cloudomgevingen zijn implementatiemodellen waarbij één of meerdere cloudservices een systeem creëren voor de eindgebruikers en organisaties. Dit segmenteert de beheersverantwoordelijkheden - inclusief beveiliging - tussen klanten en providers.

De huidige cloudomgevingen die worden gebruikt, zijn:

• Publiekecloudomgevingen bestaan uit multi-tenant cloudservices waarbij een klant de servers van een provider deelt met andere klanten, net zoals een kantoorgebouw of een ruimte met collega's. Dit zijn services van derden die door de provider worden uitgevoerd om klanten toegang te geven via het web.
• Privatecloudomgevingen van derden zijn gebaseerd op het gebruik van een cloudservice die de klant exclusief gebruik toestaat van zijn eigen cloud. Deze single-tenant omgevingen zijn normaal gesproken eigendom van en worden beheerd en geëxploiteerd door een externe provider.
• Private in-house cloudomgevingen bestaan ook uit single-tenant servers voor cloudservice, maar opereren vanuit hun eigen private datacenter. In dit geval wordt deze cloudomgeving door het bedrijf zelf gerund om een volledige configuratie en inrichting van elke component mogelijk te maken.
• Multi-cloudomgevingen omvatten het gebruik van twee of meer cloudservices van afzonderlijke providers. Dit kan elke mix zijn van publieke en/of private cloudservices.
• Hybridecloudomgevingen bestaan uit het gebruik van een mix van een private cloud van een derde partij en/of lokaal private clouddatacenter met één of meerdere publieke clouds.

Door het vanuit dit perspectief te bekijken, kunnen we begrijpen dat cloudgebaseerde beveiliging een beetje anders kan zijn op basis van het type cloud waarin gewerkt wordt door de gebruikers. Maar de effecten zijn zowel voor de individuele klanten als voor de organisaties voelbaar.

Hoe werkt cloudbeveiliging?

Elke beveiligingsmaatregel in de cloud functioneert om één of meerdere van de volgende zaken te bereiken:

• Herstel van gegevens mogelijk maken in geval van gegevensverlies
• Beschermen van opslag en netwerken tegen kwaadaardige gegevensdiefstal
• Voorkomen van menselijke fouten of nalatigheid die leiden tot het lekken van gegevens
• De gevolgen van een gegevensdiefstal of systeeminbraak beperken

Gegevensbeveiliging is een aspect van cloudbeveiliging dat het technische einde van dreigingspreventie betekent. Met behulp van hulpmiddelen en technologieën kunnen providers en klanten barrières opwerpen tussen de toegang en de zichtbaarheid van gevoelige gegevens. Encryptie is een van de krachtigste beschikbare hulpmiddelen. Encryptie versleutelt je gegevens zodat deze alleen leesbaar zijn voor iemand die over de encryptiesleutel beschikt. Als je gegevens worden verloren of gestolen, zullen ze effectief onleesbaar en betekenisloos zijn. Ook in cloudnetwerken wordt de nadruk gelegd op beveiliging van datatransport, zoals bij virtuele private netwerken (VPN's).

Identiteits- en toegangsbeheer (IAM - Identity and Access Management) heeft betrekking op de toegangsrechten die aan gebruikersaccounts worden toegekend. Het beheer van de authenticatie en autorisatie van gebruikersaccounts is hier ook van toepassing. Toegangscontroles zijn cruciaal om gebruikers - zowel legitieme als kwaadaardige - te beperken om toegang te krijgen tot en het compromitteren van gevoelige gegevens en systemen. Wachtwoordbeheer, multi-factor authenticatie en andere methoden vallen onder de scope van IAM.

Governance richt zich op beleid voor het voorkomen, detecteren en beperken van bedreigingen. Bij KMO’s en ondernemingen kunnen aspecten als bedreigingsinformatie helpen bij het opsporen en prioriteren van bedreigingen om essentiële systemen zorgvuldig te bewaken. Echter, zelfs individuele cloudklanten zouden kunnen profiteren van de waardering van veilig gedrag van gebruikers en training. Deze zijn meestal van toepassing in een organisatie, maar regels voor veilig gebruik en het reageren op bedreigingen kunnen nuttig zijn voor elke gebruiker.

Planning van het bewaren van gegevens (DR - Data retention) en de bedrijfscontinuïteitsplanning (BC - Business Continuity) omvatten technische maatregelen voor herstel van gegevens in geval van rampen. Centraal in elk DR- en BC-plan staan methoden voor gegevensredundantie zoals back-ups. Daarnaast kan het beschikken over technische systemen voor het waarborgen van een ononderbroken werking ook helpen. Kaders voor het testen van de geldigheid van back-ups en gedetailleerde instructies voor het herstel voor de medewerkers zijn net zo waardevol voor een gedegen BC-plan.

Bij de naleving van de wetgeving gaat het om de bescherming van de privacy van de gebruiker, zoals die door de wetgevende instanties is vastgelegd. Regeringen hebben het belang ingezien van de bescherming van informatie van particuliere gebruikers tegen uitbuiting met het oog op winstoogmerk. Als zodanig moeten organisaties de regels volgen om zich aan dit beleid te houden. Een benadering is het gebruik van datamaskering, die de identiteit van de gegevens vertroebelt door middel van encryptiemethoden.

Wat maakt de beveiliging van de cloud anders?

De traditionele IT-beveiliging heeft een immense evolutie doorgemaakt bij de verschuiving naar cloudgebaseerde computing. Terwijl de cloudmodellen zorgen voor meer gemak, zijn er voor een permanente verbinding nieuwe overwegingen nodig om ze veilig te houden. Cloudbeveiliging, als een gemoderniseerde cyberbeveiligingsoplossing, onderscheidt zich op een aantal punten van oude IT-modellen.

Gegevensopslag: Het grootste verschil is dat oudere modellen van IT sterk afhankelijk waren van lokale gegevensopslag. Organisaties hebben al lang ondervonden dat het zelf bouwen van alle in-house IT-omkadering voor gedetailleerde, op maat gemaakte beveiligingscontroles, kostbaar en log is. Cloudgebaseerde omkadering heeft geholpen om de kosten van systeemontwikkeling en -onderhoud te verlagen, maar ook om enige controle weg te halen bij de gebruikers.

Snelheid om op te schalen: Op een vergelijkbare manier vraagt de cloudbeveiliging om unieke aandacht bij het opschalen van de IT-systemen van de organisatie. Cloudcentrische infrastructuur en apps zijn zeer modulair en snel te mobiliseren. Hoewel deze mogelijkheid ervoor zorgt dat systemen uniform worden aangepast aan de veranderingen in de organisatie, is het wel een probleem wanneer de behoefte van een organisatie aan upgrades en gebruiksgemak groter is dan het vermogen om de beveiliging bij te houden.

Systeeminterface voor eindgebruikers: Voor organisaties en individuele gebruikers zijn cloudsystemen ook verbonden met vele andere systemen en services die beveiligd moeten worden. Toegangsrechten moeten worden gehandhaafd vanaf het niveau van het apparaat van de eindgebruiker tot aan het software- en zelfs het netwerkniveau. Daarnaast moeten providers en gebruikers alert zijn op de kwetsbaarheden die zij kunnen veroorzaken door onveilig gedrag bij installaties en systeemtoegang.

Nabijheid van andere netwerkgegevens en -systemen: Omdat cloudsystemen een continue verbinding zijn tussen cloudproviders en al hun gebruikers, kan dit substantiële netwerk de provider zelfs in gevaar brengen. In netwerklandschappen kan één enkel zwak apparaat of zwakke component worden misbruikt om de rest te besmetten. Cloudproviders stellen zich bloot aan bedreigingen van de vele eindgebruikers waarmee ze in contact komen, of ze nu gegevensopslag of andere services aanbieden. Extra netwerkbeveiligingsverantwoordelijkheden liggen bij de providers die anders producten leveren die uitsluitend op de systemen van de eindgebruikers actief zijn in plaats van op hun eigen systemen.

Het oplossen van de meeste problemen met cloudbeveiliging betekent dat gebruikers en cloudproviders - zowel in de persoonlijke als in de zakelijke omgeving - beide proactief moeten blijven in hun eigen rol in de cyberbeveiliging. Deze tweeledige aanpak houdt in dat gebruikers en providers samen voor het volgende moeten zorgen:

• Veilige systeemconfiguratie en onderhoud.
• Opleiding voor gebruikers over veiligheid - zowel op het gebied van gedrag als op technisch gebied.

Uiteindelijk moeten cloudproviders en gebruikers transparant en verantwoordelijk zijn om ervoor te zorgen dat beide partijen veilig blijven.

Risico's van cloudbeveiliging

Wat zijn de beveiligingsproblemen bij cloud computing? Want als je ze niet kent, hoe moet je dan de juiste maatregelen treffen? Immers, een zwakke beveiliging van de cloud kan gebruikers en providers aan allerlei soorten bedreigingen van hun cyberbeveiliging blootstellen. Enkele veel voorkomende bedreigingen voor cloudbeveiliging zijn:

• Risico's van cloudgebaseerde infrastructuur met inbegrip van incompatibele legacy IT-kaders en verstoringen van de services voor gegevensopslag van derden.
• Interne bedreigingen als gevolg van een menselijke fout, zoals een verkeerde configuratie van de toegangscontroles voor de gebruikers.
• Externe bedreigingen die bijna uitsluitend worden veroorzaakt door kwaadwillige actoren, zoals malware, phishingen DDoS-aanvallen.

Het grootste risico van de cloud is dat er geen perimeter is. Traditionele cyberbeveiliging is gericht op het beschermen van de perimeter, maar cloudomgevingen zijn sterk verbonden, wat betekent dat onveilige API's (Application Programming Interfaces) en accountkapers tot echte problemen kunnen leiden. Geconfronteerd met de beveiligingsrisico's van cloud computing moeten professionals op het vlak van cyberbeveiliging overstappen op een datacentrische aanpak.

Het onderling verbonden zijn levert ook problemen op voor netwerken. Kwaadwillige actoren breken vaak in op netwerken via gecompromitteerde of zwakke toegangsgegevens. Zodra een hacker erin slaagt om binnen te raken, kunnen ze gemakkelijk uitbreiden en gebruikmaken van slecht beveiligde interfaces in de cloud om gegevens op verschillende databases of knooppunten te lokaliseren. Ze kunnen zelfs hun eigen cloudservers gebruiken als bestemming waar ze gestolen data naar kunnen exporteren en opslaan. Beveiliging moet zich ook in de cloud bevinden - niet alleen in de toegang tot je cloudgegevens.

De opslag van jouw gegevens door derden en de toegang via het internet hebben ook elk hun eigen bedreigingen. Als deze services om een of andere reden worden onderbroken, kan je toegang tot de gegevens verloren gaan. Zo kan een storing in het telefoonnetwerk betekenen dat je op een essentieel moment geen toegang hebt tot de cloud. Ook kan een stroomstoring invloed hebben op het datacenter waar je gegevens zijn opgeslagen, mogelijk met permanent gegevensverlies.

Dergelijke onderbrekingen kunnen op lange termijn gevolgen hebben. Een recente stroomstoring bij een cloudgegevensfaciliteit van Amazon resulteerde voor sommige klanten in gegevensverlies toen servers hardwareschade opliepen. Dit is een goed voorbeeld van de reden waarom je lokale back-ups van ten minste een aantal van je gegevens en applicaties moet hebben.

Waarom is beveiliging in de cloud belangrijk

In de jaren negentig van de vorige eeuw werden zakelijke en persoonlijke gegevens lokaal bewaard - en ook de beveiliging was lokaal. De gegevens bevonden zich op de interne opslag van een pc thuis en op bedrijfsservers, als je voor een bedrijf werkte.

De introductie van cloudtechnologie heeft iedereen gedwongen om de cyberbeveiliging opnieuw te evalueren. Jouw gegevens en applicaties kunnen zweven tussen lokale en externe systemen - en altijd toegankelijk zijn via het internet. Als je Google Docs op je smartphone gebruikt of Salesforce-software gebruikt om voor je klanten te zorgen, kunnen die gegevens overal worden bewaard. Daarom wordt het beschermen ervan moeilijker dan wanneer het slechts een kwestie was van het tegenhouden van ongewenste gebruikers om toegang te krijgen tot jouw netwerk. Cloudbeveiliging vereist een aanpassing van enkele eerdere IT-praktijken, maar het is om twee belangrijke redenen belangrijker geworden:

1. Gemak boven veiligheid. Cloud computing groeit exponentieel als primaire methode voor zowel de werkplek als voor individueel gebruik. Innovatie heeft het mogelijk gemaakt dat nieuwe technologie sneller wordt geïmplementeerd dan de veiligheidsnormen van de industrie kunnen volgen, waardoor gebruikers en providers meer verantwoordelijkheid krijgen om de risico's van toegankelijkheid in overweging te nemen.
2. Centralisatie en multi-tenant opslag. Elke component, van de kerninfrastructuur tot kleine hoeveelheden gegevens zoals e-mails en documenten, kan nu op afstand worden gelokaliseerd en benaderd via 24/7-webgebaseerde verbindingen. Al deze gegevensverzameling op de servers van enkele grote serviceproviders kan zeer gevaarlijk zijn. Kwaadwillige actoren kunnen nu grote multi-organisatorische datacenters aanpakken en immense gegevensinbreuken

Helaas beseffen kwaadwillige actoren de waarde van cloudgebaseerde doelwitten en tasten ze deze steeds meer af op zwakke punten. Ondanks het feit dat cloudproviders vele beveiligingsrollen van klanten op zich nemen, beheren ze niet alles. Daarmee houden zelfs niet-technische gebruikers de plicht om zich te bekwamen in de beveiliging van de cloud.

Dat gezegd hebbende, zijn gebruikers niet alleen verantwoordelijk voor de beveiliging van de cloud. Als je je bewust bent van de omvang van je veiligheidstaken, zal het volledige systeem veel veiliger blijven.

Beveiligingskwesties in de cloud - privacy

Er is wetgeving ingevoerd om de eindgebruikers te helpen beschermen tegen de verkoop en het delen van hun gevoelige gegevens. De algemene verordening inzake gegevensbescherming (AVG of GDPR - General Data Protection Regulation) en de wet inzake de overdraagbaarheid en verantwoordingsplicht van ziektekostenverzekeringen (HIPAA - Health Insurance Portability and Accountability Act) doen elk hun eigen ding om de privacy te beschermen en de manier te beperken waarop gegevens kunnen worden opgeslagen en geraadpleegd.

Identiteitsbeheermethoden zoals het afschermen van gegevens worden gebruikt om identificeerbare kenmerken te scheiden van gebruikersgegevens voor de naleving van de GDPR. Voor naleving van HIPAA moeten organisaties zoals zorginstellingen ervoor zorgen dat hun provider ook zijn steentje bijdraagt aan het beperken van de toegang tot gegevens.

De CLOUD-wet geeft cloudaanbieders hun eigen wettelijke beperkingen waar ze zich aan moeten houden, mogelijk ten koste van de privacy van de gebruikers. De federale wetgeving van de VS staat nu toe dat de wetshandhaving op federaal niveau de gevraagde gegevens van de servers van de cloudprovider mag opeisen. Hoewel dit het onderzoek doeltreffend kan laten verlopen, kan dit het recht op privacy omzeilen en mogelijk machtsmisbruik veroorzaken.

Hoe de cloud te beveiligen

Gelukkig is er veel dat je kunt doen om je eigen gegevens in de cloud te beschermen. Laten we een aantal van de populaire methodes onderzoeken.

Encryptie is een van de beste manieren om je cloud computing-systemen te beveiligen. Er zijn verschillende manieren om encryptie te gebruiken en deze kunnen worden aangeboden door een cloudprovider of door een afzonderlijke provider van cloudbeveiligingsoplossingen:

• Encryptie van communicatie met de cloud in zijn geheel.
• Encryptie van bijzonder gevoelige gegevens, zoals accountgegevens.
• End-to-end-encryptie van alle gegevens die naar de cloud worden geüpload.

Binnen de cloud bestaat er een groter risico op onderschepping van gegevens als deze onderweg zijn. Wanneer gegevens van de ene naar de andere opslaglocatie worden verplaatst, of worden verzonden naar je lokale applicatie, zijn gegevens kwetsbaar. Daarom is end-to-end encryptie de beste cloudbeveiligingsoplossing voor kritische gegevens. Met end-to-end encryptie wordt je communicatie op geen enkel moment beschikbaar gesteld voor buitenstaanders die niet over je encryptiesleutel beschikken.

Je kunt je gegevens zelf versleutelen voordat je ze in de cloud opslaat, of je kunt gebruik maken van een cloudprovider die je gegevens als onderdeel van de service versleutelt. Als je echter alleen gebruik maakt van de cloud om niet-gevoelige gegevens op te slaan, zoals bedrijfsafbeeldingen of video's, kan end-to-end encryptie overkill zijn. Aan de andere kant is het voor financiële, vertrouwelijke of commercieel gevoelige informatie van vitaal belang.

Als je encryptie gebruikt, vergeet dan niet dat het veilige beheer van je encryptiesleutels ook van cruciaal belang is. Houd steeds een back-up bij en liefst niet in de cloud. Het is verstandig je encryptiesleutels ook regelmatig te wijzigen, zodat als iemand er toegang toe krijgt, deze door de wijziging uit het systeem wordt geweerd.

Configuratie is een andere krachtige praktijk bij cloudbeveiliging. Vele inbreuken op cloudgegevens zijn het gevolg van basiskwetsbaarheden zoals fouten in de configuratie. Door ze te voorkomen, verminder je de risico’s bij het beveiligen van je cloud enorm. Als je dit niet graag alleen doet, kun je overwegen om een aparte provider voor beveiligingsoplossingen in de cloud hiervoor aan te spreken.

Hier zijn een paar principes die je kunt volgen:

1. Laat de standaardinstellingen nooit ongewijzigd. Het gebruik van de standaardinstellingen geeft een hacker toegang via de voordeur. Vermijd om dit te doen om het moeilijker te maken voor een hacker om in jouw systeem binnen te dringen.
2. Laat een cloudopslagbucket nooit openstaan. Een open bucket zou hackers in staat kunnen stellen om de inhoud te bekijken door alleen maar de URL van de opslagbucket te openen.
3. Als de cloudprovider je veiligheidscontroles geeft die je kunt inschakelen, gebruik ze dan ook. Het niet selecteren van de juiste beveiligingsopties kan je in gevaar brengen.

Enkele basiscyberbeveiligingstips moeten ook worden ingebouwd bij elke cloudimplementatie. Zelfs als je gebruik maakt van de cloud, mogen de standaard cyberbeveiligingspraktijken niet worden genegeerd. Het is dus de moeite waard om het volgende te overwegen als je zo veilig mogelijk online wilt zijn:

• Gebruik sterke wachtwoorden. Inclusief een mix van letters, cijfers en speciale tekens maakt je wachtwoord moeilijker te kraken. Probeer voor de hand liggende keuzes te vermijden, zoals het vervangen van een S door een $-symbool. Hoe willekeuriger je tekens zijn, hoe beter.
• Gebruik een wachtwoordmanager. Je kan dan elke applicatie, database en service die je gebruikt aparte wachtwoorden geven, zonder dat je ze allemaal hoeft te onthouden. Je moet er echter voor zorgen dat je je wachtwoordmanager beschermt met een sterk hoofdwachtwoord.
• Bescherm alle apparaten die je gebruikt om toegang te krijgen tot je cloudgegevens, inclusief smartphones en tablets. Als je gegevens worden gesynchroniseerd over een groot aantal apparaten, kan één van hen een zwakke schakel zijn die je volledige digitale voetafdruk in gevaar brengt.
• Maak regelmatig een back-up van je gegevens, zodat je in het geval van een cloud-storing of gegevensverlies bij je cloudprovider je gegevens volledig kunt herstellen. Die back-up kan op je pc thuis staan, op een externe harde schijf, of zelfs cloud-to-cloud, zolang je er maar zeker van bent dat de twee cloudproviders de infrastructuur niet delen.
• Wijzig de rechten om te voorkomen dat een persoon of apparaat toegang heeft tot al je gegevens, tenzij dit noodzakelijk is. Bedrijven zullen dit bijvoorbeeld doen via de instellingen voor databasepermissies. Als je een thuisnetwerk hebt, gebruik dan gastnetwerken voor je kinderen, voor IoT-apparaten en voor je tv. Bewaar je 'toegang tot alles' voor eigen gebruik.
• Bescherm jezelf met anti-virus- en anti-malwaresoftware. Hackers hebben gemakkelijk toegang tot je account als er malware in je systeem terechtkomt.
• Vermijd de toegang tot je gegevens via openbare wifi, vooral als er geen gebruik wordt gemaakt van een sterke authenticatie. Gebruik dan een virtual private network (VPN) om je gateway naar de cloud te beschermen.

Cloudopslag en het delen van bestanden

De veiligheidsrisico's van cloud computing kunnen iedereen treffen, van bedrijven tot individuele consumenten. Zo kunnen consumenten de publieke cloud bijvoorbeeld gebruiken voor het opslaan en back-uppen van bestanden (met behulp van SaaS-services zoals Dropbox), voor services zoals e-mail en office-applicaties, of voor het invullen van belastingformulieren en het opvolgen van rekeningen.

Als je gebruikmaakt van cloudgebaseerde services dan kan het zijn dat je moet overwegen hoe je cloudgegevens deelt met anderen, vooral als je werkt als consultant of freelancer. Hoewel het delen van bestanden op Google Drive of een andere service een eenvoudige manier kan zijn om je werk met klanten te delen, moet je misschien controleren of je de rechten goed beheert. Je wilt er immers voor zorgen dat verschillende klanten elkaars namen of mappen niet kunnen zien of elkaars bestanden niet kunnen wijzigen.

Vergeet niet dat veel van deze algemeen beschikbare cloudopslagservices geen gegevens versleutelen. Als je je gegevens veilig wilt houden door middel van encryptie, moet je encryptiesoftware gebruiken om dit zelf te doen voordat je de gegevens uploadt. Je zult je klanten dan een sleutel moeten geven, anders kunnen ze de bestanden niet lezen.

Controleer de beveiliging van je cloudprovider

Beveiliging moet een van de belangrijkste punten zijn om te overwegen als het gaat om het kiezen van een provider voor cloudbeveiliging. Dat komt omdat je cyberbeveiliging niet langer alleen jouw verantwoordelijkheid is: bedrijven voor cloudbeveiliging moeten hun steentje bijdragen aan het creëren van een veilige cloudomgeving - en de verantwoordelijkheid voor de beveiliging van gegevens delen.

Jammer genoeg zullen de cloudbedrijven je geen blauwdrukken van hun netwerkbeveiliging geven. Dit zou gelijk staan aan een bank die je de gegevens van hun kluis verstrekt - compleet met de combinatie om de kluis open te krijgen.

Echter, het krijgen van de juiste antwoorden op een aantal basisvragen geeft je meer vertrouwen dat je activa in de cloud veilig zullen zijn. Daarnaast zul je je meer bewust zijn van de vraag of je provider de voor de hand liggende beveiligingsrisico's van de cloud goed heeft aangepakt. Wij raden je aan je cloudprovider enkele vragen te stellen uit de volgende reeks:

• Beveiligingsaudits: “Voer je regelmatig externe audits uit van je beveiliging?"
• Gegevenssegmentatie: "Worden klantgegevens logisch gesegmenteerd en gescheiden?"
• Encryptie: "Zijn onze gegevens versleuteld? Welke delen ervan zijn versleuteld?”
• Retentie van klantgegevens: "Welk beleid voor de retentie van klantgegevens wordt gevolgd?"
• Retentie van gebruikersgegevens: "Worden mijn gegevens correct verwijderd als ik jullie cloudservice verlaat?"
• Toegangsbeheer: "Hoe worden de toegangsrechten gecontroleerd?"

Je wilt er ook zeker van zijn dat je de servicevoorwaarden (TOS - terms of service) van jouw provider hebt gelezen. Het lezen van de TOS is essentieel om te begrijpen of je precies krijgt wat je wilt en nodig hebt.

Controleer ook of je alle services die je bij je provider gebruikt kent. Als je bestanden op Dropbox staan of een back-up maken op iCloud (de opslagcloud van Apple), kan dat betekenen dat ze daadwerkelijk op de servers van Amazon staan. Je moet dus zowel AWS bekijken als de service die je rechtstreeks gebruikt.

Hybride cloudbeveiligingsoplossingen

Hybride cloudbeveiligingsservices kunnen een zeer slimme keuze zijn voor klanten in het KMO/MKB-segment en voor ondernemingen. Ze zijn het meest levensvatbaar voor KMO/MKB's en bedrijfsapplicaties, omdat ze over het algemeen te complex zijn voor persoonlijk gebruik. Maar het zijn deze organisaties die gebruik zouden kunnen maken van de mix van schaalgrootte en toegankelijkheid van de cloud met lokale controle van specifieke gegevens.

Hier zijn een paar voordelen op vlak van beveiliging van hybride cloudbeveiligingssystemen:

Segmentatie van services kan een organisatie helpen om te controleren hoe hun gegevens worden benaderd en opgeslagen. Zo kan het plaatsen van meer gevoelige gegevens op locatie, terwijl andere gegevens, applicaties en processen in de cloud worden gedownload, je helpen om je beveiliging op de juiste manier gelaagd te houden. Daarnaast kan het scheiden van gegevens het vermogen van je organisatie verbeteren om wettelijk te blijven voldoen aan de regelgeving omtrent gegevens.

Redundantie kan ook worden verkregen via hybride cloudomgevingen. Door gebruik te maken van de dagelijkse activiteiten van publieke cloudservers en door back-ups te maken van systemen op lokale dataservers, kunnen organisaties hun activiteiten operationeel houden in het geval dat één datacenter offline wordt gehaald of wordt geïnfecteerd met ransomware.

Beveiligingsoplossingen in de cloud voor MKB/KMO

Terwijl ondernemingen kunnen aandringen op een private cloud - het internet equivalent van het bezitten van een eigen kantoorgebouw of campus - moeten particulieren en kleinere bedrijven zich redden met publieke cloudservices. Dit is net als het delen van een kantoor of het wonen in een appartementencomplex met honderden andere huurders. Daarom moet je veiligheid voorop staan.

In kleine tot middelgrote zakelijke applicaties, vind je dat cloudbeveiliging grotendeels afhankelijk is van de publieke providers die je gebruikt.

Er zijn echter maatregelen die je kunt nemen om jezelf veilig te houden:

• Multi-tenant gegevenssegmentatie: Bedrijven moeten er zeker van zijn dat hun gegevens niet toegankelijk zijn voor andere klanten van hun cloudleveranciers. Of het nu gaat om gesegmenteerde servers, of om zorgvuldig geëncrypteerde servers, zorg ervoor dat er segmentatiemaatregelen actief zijn.
• Toegangscontrole voor de gebruiker: Het beheren van de machtigingen kan betekenen dat de gebruikerstoegang tot een ongemakkelijk niveau wordt verminderd. Het kan echter veel veiliger zijn om restrictief te werk te gaan en achterwaarts te werken om een balans te vinden dan het toestaan van losse machtigingen waardoor je netwerk sneller kan worden binnengedrongen.
• Naleving van de wettelijke voorschriften: Het is van cruciaal belang dat je gegevens in overeenstemming zijn met internationale regelgeving zoals GDPR om zware boetes en reputatieschade te voorkomen. Zorg ervoor dat maatregelen zoals het afschermen van gegevens en het classificeren van gevoelige gegevens een prioriteit zijn voor jouw organisatie.
• Zorgvuldige schaalvergroting van cloudsystemen: Met de snelle implementatie van cloudsystemen, zorg ervoor dat je de tijd neemt om de systemen van je organisatie te controleren op veiligheid, en dat dit voorrang krijgt op gebruiksgemak. De cloudservices kunnen snel uitgroeien tot een punt waarop het ontbreekt aan regelgeving.

Beveiligingsoplossingen in de cloud voor ondernemingen

Aangezien cloud computing nu door meer dan 90% van de grotere ondernemingen wordt gebruikt, is cloudbeveiliging een essentieel onderdeel van zakelijke cyberbeveiliging. Private cloudservices en andere duurdere infrastructuur kunnen levensvatbaar zijn voor de grotere ondernemingen. Je moet er echter wel voor zorgen dat je interne IT het volledige netwerkbereik goed onder controle heeft.

Voor grootschalig bedrijfsgebruik kan cloudbeveiliging veel flexibeler zijn als je wat investeert in je infrastructuur.

Er zijn een paar belangrijke punten om in gedachten te houden:

• Beheer je rekeningen en services op actieve wijze: Als je een service of bepaalde software niet meer gebruikt, schakel deze dan uit of verwijder deze. Hackers kunnen eenvoudig toegang krijgen tot een volledig cloudnetwerk via oude, slapende accounts door middel van niet-gepatchte zwakke punten.
• Multi-factor authenticatie (MFA): Dit kunnen biometrische gegevens zijn, zoals vingerafdrukken, of een wachtwoord en een aparte code die naar je mobiele apparaat wordt gestuurd. Het kost wat extra tijd, maar is erg nuttig voor je meest gevoelige gegevens.
• Evalueer de kosten-baten van een hybride cloud: Het segmenteren van je gegevens is veel belangrijker voor het gebruik van een onderneming, omdat je met veel grotere hoeveelheden gegevens te maken krijgt. Je moet ervoor zorgen dat je gegevens gescheiden blijven van de gegevens van andere klanten, of ze nu afzonderlijk gecodeerd zijn of logisch gesegmenteerd voor afzonderlijke opslag. Hybride cloudservices kunnen hierbij helpen.
• Wees op je hoede voor shadow IT: Het opleiden van je medewerkers om het gebruik van ongeautoriseerde cloudservices op je netwerken of tijdens het werk voor je bedrijf te vermijden is essentieel. Als gevoelige gegevens via onbeveiligde kanalen worden gecommuniceerd, kan je organisatie worden blootgesteld aan kwaadwillige actoren of juridische kwesties.

Dus of je nu een individuele gebruiker bent, een MKB/KMO-gebruiker of zelfs een cloudgebruiker op ondernemingsniveau - het is belangrijk om ervoor te zorgen dat je netwerk en je apparaten zo veilig mogelijk zijn. Dit begint met een goed begrip van de basis van cyberbeveiliging op individueel gebruikersniveau, maar ook met de garantie dat je netwerk en alle apparaten worden beschermd met behulp van een robuuste beveiligingsoplossing die is gebouwd voor de cloud.

Verwante producten:

• Kaspersky Security Cloud
• Kaspersky Enterprise Hybrid Cloud Security
• Kaspersky Endpoint Security Cloud Plus

Verwante artikels:

• Hoe kies je de juiste anti-virus voor in de cloud
• Waarom is IoT-beveiliging belangrijk voor je thuisnetwerk
• Beveiligingsrisico's met openbare wifi vermijden
• Tips voor het genereren van sterke en unieke wachtwoorden