Written by Ostražitosť a zodpovednosť je pre poskytovanie zabezpečených multi-cloudových aplikácií zásadná
V čase, keď podniky využívajú multi-cloudovú stratégiu, aby zlepšili IT prevádzku aj úroveň služieb poskytovaných svojim zákazníkom, si nemôžu dovoliť prehliadať dopady multi-cloudu na bezpečnosť. To platí najmä v súvislosti s novou paradigmou spúšťanie rôznych výpočtových prostredí pre doručovanie aplikácií.
IT kvôli multi-cloudovým prostredím naráža na problémy v podobe rastúcej zložitosti, neexistujúce viditeľnosti naprieč platformami a štandardy od väčšieho počtu rôznych dodávateľov. Popri tom vedenie podnikov uvádza ako hlavnú výzvu zabezpečenie.
Tento trend ilustruje nedávny globálny prieskum medzi vedúcimi pracovníkmi v oblasti IT a obchodu, ktorý vykonala spoločnosť A10 Networks v spolupráci s Business Performance Innovation (BPI) Network. V prieskume respondenti uviedli, že pre dosiahnutie výhod multi-cloudového IT bude rozhodujúce zaistenie silného zabezpečenia naprieč cloudy, sieťami, aplikáciami a dátami. Zjavne je na čom pracovať – do dnešného dňa iba 11 percent opýtaných vníma, že boli v získaní plného prínosu multi-cloudovej stratégie veľmi úspešní, naopak väčšina (51 percent) sa hodnotí, že v tom doteraz bola len čiastočne úspešná alebo neúspešná.
Rýchla rešerša on-line materiálov ukáže rad reálnych prípadov zraniteľností a incidentov. V jednom príspevku na blogu spoločnosti VMware autor uvádza, že úlohou IT a bezpečnostných tímov, nielen poskytovateľov cloudu, je postarať sa o mnoho aspektov bezpečnosti. Ak chcete zastaviť sofistikované boty, častú exfiltráciu osobných údajov (PII), útoky na aplikácie a ďalšie hrozby, je nevyhnutné implementovať bezpečnostnú stratégiu naprieč všetkými používanými súkromnými a verejnými cloudmi. Stratégia pritom musí byť rovnako prísna ako tá, ktorú používate v on-premise priestoru, ak nie prísnejšia.
Deterministická alebo náhodná multi-cloudové zložitosť – všetko musí byť zabezpečené
Je ľahké pochopiť, prečo nárast využití multi-cloudových prostredí má tendenciu predbiehať vývoj multi-cloudového zabezpečenia. Aj keď prechod na multi-cloud je často súčasťou jasne definovanej a cielenej stratégie, nie je tomu tak vo všetkých prípadoch. U mnohých organizácií dochádza k presunu ad hoc.
Môže sa napríklad stať, že spoločnosť s cloudovou stratégiou postavenou na jednom dodávateľovi získa alebo sa spojí s inou organizáciou, ktorá využíva iné cloudové platformy. Obchodné jednotky a vývojové tímy môžu nakupovať vlastné cloudové zdroje s požehnaním IT alebo bez neho, a vytvárať tak shadow IT. Nové požiadavky na špecifické služby, zvrchovanosť dát (napríklad GDPR) alebo integrácia vedú IT k tomu, aby do prostredia pridávalo nových dodávateľov. Výsledkom je, že väčšina spoločností končí v zložitejšom multi-cloudovom prostredí, než pôvodne zamýšľala.
Či už zámerne alebo nie, vývoj multi-cloudového prostredia je zvyčajne ovplyvnený obchodnými i IT faktory. Podobne ako u mnohých technológií v IT prevádzke organizácie najprv nasadzujú služby, ktoré potrebujú k riešeniu rôznych požiadaviek, a až potom obracia svoju pozornosť na to, ako najlepšie kontrolovať a spravovať výsledné prostredie. Výsledky prieskumu pritom ukazujú, že je to potom často ťažšie, než sa pôvodne očakávalo.
Takmer dve tretiny respondentov (63 percent) uviedli, že hlavnou výzvou multi-cloudového IT je zaistenie bezpečnosti vo všetkých cloudoch, sieťach, aplikáciách a dátach. To, že je to na vrcholku záujmu, je dobrá správa, aj napriek tomu, že tieto riešenia dnes nie sú rozšírené. Z ďalších výziev zazneli manažérske zručnosti a odbornosť (37 percent) a centralizovaná viditeľnosť a správa (33 percent) – obe kľúčové obavy o efektívne zabezpečenie multi-cloudu.
Základné bezpečnostné schopnosti a postupy
Zo vzájomnej spolupráce IT, bezpečnostných tímov a vedúcich manažérov s cieľom odstrániť medzeru v zabezpečení multi-cloudu vyplynula jasná potreba relevantných a využiteľných technológií. Ako hlavné možnosti zlepšenia zabezpečenia, spoľahlivosti a výkonu multi-cloudu v reporte BPI väčšina opýtaných volala centralizovanú viditeľnosť a analytiku v oblasti bezpečnosti a výkonu (56 percent), automatizované nástroje pre skrátenie doby odozvy a zníženie nákladov (54 percent) a centralizovanú správu z jedného miesta (50 percent).
Vzhľadom k tomu, že objem digitálnych byznysových dát a transakcií neustále rastie, 38 percent respondentov tiež poukázalo na potrebu škálovateľnejších a výkonnejších bezpečnostných riešení. To sa v priebehu času ešte zhorší, najmä s nárastom IoT a príchodom 5G konektivity.
Pri pohľade na najdôležitejšie aspekty zaistenia bezpečnosti a spoľahlivosti multi-cloudových prostredí sa 62 percent respondentov zhodlo na dôležitosti centralizovanej autentizácie alebo pred-autentizácie, ktorá pomôže udržať účinnú kontrolu nad užívateľmi, správcami a systémy, ktorým je povolený prístup k rôznym zdrojom naprieč cloudy. Jeden respondent, Raja Mohan, vedúci strategický architekt cloudových a platformových služieb vo Franklin Templeton, vysvetlil dôvody tohto dôrazu: „Akým spôsobom dodáme vysoko zabezpečené aplikácie tak, aby nezáležalo na tom, kde bežia? Ako poskytneme plynulé a bezpečné služby? To je cieľ.“
Odpoveď na túto otázku je vidieť v často spomínanom centralizovanom zabezpečeniu ako kritickej praxi pre multi-cloudové IT (46 percent). Medzi obrannými technológiami mnohí respondenti volali po konkrétnej obrane s vysokou hodnotou, ako sú robustné webové aplikačné firewally (WAF) (40 percent) a ochrana pred DDoS (33 percent).
IT prevádzka musí byť partnerom bezpečnostných tímov pre ochranu naprieč cloudy
Organizácie sa snažia získať z dostupných bezpečnostných nástrojov maximum, ale s výsledkami nie sú zďaleka spokojné. “V tejto chvíli využívame bezpečnostné riešenie od poskytovateľov verejných cloudov rozšírené o našu súčasnú sadu nástrojov, ale v tomto priestore sa stále vyvíjame,” uviedol Mohan.
IT organizácie v skutočnosti neustále prehodnocujú svoje riešenia a dodávateľa a určujú oblasti, kde potrebujú urobiť zmenu. Iba deväť percent respondentov z prieskumu je veľmi spokojných so svojimi súčasnými bezpečnostnými riešeniami pre multi-cloudové prostredia, zatiaľ čo 38 percent vidí potrebu významných zlepšení. Iba 18 percent verí, že nemusí prehodnocovať svojich vendorov. Tieto čísla sú alarmujúce pre všetkých, ktorí sa pohybujú v oblasti multi-cloudového zabezpečenia.
Dôkazy ukazujú, že je potrebné prijať „polynimbusový“ prístup zabezpečených aplikačných služieb, ktorý vráti kontrolu do rúk IT a bezpečnostným tímov, aby mohli poskytovať bezpečné a konzistentné prostredie aplikačných služieb naprieč cloudami.
Polynimbus prístup postavený na moderných Application Delivery Controlleroch (ADC) je z pohľadu A10 Networks najúčinnejším spôsobom ako zabezpečiť, aby boli splnené požiadavky na dodržiavanie bezpečnostných politík, zhody s predpismi, funkčnosť a očakávania od multi-cloudu, a zároveň sa znížil tlak na preťažené IT a bezpečnostné tímy. Tento prístup v konečnom dôsledku uľahčí udržanie ostražitosti a zodpovednosti.
Ďalšie informácie o bezpečnostných výzvach, ktoré prichádzajú s multi-cloudovým IT, a o tom, ako ich riešiť, nájdete v úplnom reportu „Mapping the Multi-Cloud Enterprise: Next Steps in Optimizing Business & IT Agility, Efficiency & Security.“
Autor: Paul Nicholson, A10 Networks
Prekl. a úpravy: Jan Mazal, VPGC
Zdroj: Security in a Multi-cloud Environment