Apa Artinya untuk Keamanan Cloud dan SaaS

  • Whatsapp
Perintah Eksekutif Keamanan Siber 2021

Menanggapi aktor jahat yang menargetkan sistem TI federal AS dan rantai pasokan mereka, Presiden merilis “Perintah Eksekutif untuk Meningkatkan Keamanan Siber Bangsa (Perintah eksekutif).”

Meskipun diarahkan pada departemen dan lembaga Federal, Perintah Eksekutif kemungkinan akan memiliki efek riak melalui aliran pasokan teknologi Federal. Perusahaan swasta dan perusahaan akan melihat ke Perintah Eksekutif untuk membangun praktik terbaik mereka.

Bacaan Lainnya

Pada tingkat tinggi, Perintah Eksekutif mencakup persyaratan berbagi informasi, dorongan menuju arsitektur cloud dan Zero Trust, dan meningkatkan transparansi di seluruh rantai pasokan perangkat lunak.

Memahami dasar-dasar Perintah Eksekutif Gedung Putih untuk Meningkatkan Keamanan Siber Negara

Sebagian besar Perintah Eksekutif berfokus pada tugas-tugas administratif yang terkait dengannya, termasuk mendefinisikan ulang bahasa kontrak, menetapkan garis waktu, dan mendefinisikan peran dan tanggung jawab agensi. Untuk perusahaan yang tidak memasok teknologi ke pemerintah federal, Perintah Eksekutif mungkin terasa tidak penting.

Pada kenyataannya, beberapa prinsip dasar dapat digunakan oleh perusahaan yang beroperasi di luar rantai pasokan TI federal, termasuk:

  • Berbagi intelijen yang lebih baik
  • Memodernisasi infrastruktur agensi dengan cloud dan Zero Trust
  • Mengamankan rantai pasokan perangkat lunak TI federal

Apa Kata Perintah Eksekutif

Teks Perintah Eksekutif panjang dan dilengkapi dengan semua jargon peraturan yang terkait dengan hukum. Memecahnya menjadi potongan-potongan seukuran gigitan memberikan gambaran yang bagus.

Berbagi informasi yang lebih baik

Poin singkat dan ringkas dari yang satu ini adalah bahwa “setiap orang harus bermain dengan baik dan berhenti bersembunyi di balik kontrak.” Singkatnya, Perintah Eksekutif berupaya menciptakan peluang berbagi informasi yang lebih bermakna bagi agensi dan vendor ketika pelaku ancaman menemukan dan mengeksploitasi kerentanan.

Pindah ke cloud dan buat Zero Trust Architecture

Meskipun yang satu ini sebagian besar berbicara sendiri, persyaratan dalam Perintah Eksekutif menciptakan sedikit kepanikan di seluruh ruang federal karena banyak jadwal yang sangat singkat. Misalnya, dalam waktu 60 hari, agen federal perlu:

  • Prioritaskan sumber daya untuk pindah ke cloud secepat mungkin
  • Rencana untuk mengimplementasikan Zero Trust Architecture (ZTA)
  • Dapatkan hal-hal seaman mungkin dan pulihkan risiko dunia maya

Akhirnya, dalam 180 hari, mereka semua harus mengadopsi otentikasi multi-faktor (MFA) dan enkripsi baik saat diam maupun dalam perjalanan. Dengan lembaga yang mengadopsi aplikasi Software-as-a-Service (SaaS) untuk memodernisasi tumpukan TI, identitas, dan konfigurasi kontrol akses mereka, termasuk otentikasi multi-faktor, bertindak sebagai strategi mitigasi risiko utama.

Amankan rantai pasokan

Tanpa perlu membuat daftar peretasan dan pelanggaran rantai pasokan baru-baru ini, ini adalah persyaratan yang paling tidak mengejutkan. Mengejutkan sangat sedikit orang, bagian ini mencakup beberapa poin penting:

  • Buat kriteria untuk evaluasi keamanan perangkat lunak
  • Menetapkan standar dan prosedur untuk pengembangan perangkat lunak yang aman
  • Buat “Bill of Materials Perangkat Lunak” yang mencantumkan semua “bahan” teknologi yang digunakan pengembang

Apa Arti Perintah Eksekutif untuk Perusahaan

Untuk agensi, ini akan membutuhkan sedikit kerja. Untuk perusahaan, ini kemungkinan merupakan pertanda dari hal-hal yang akan datang. Masalahnya adalah meskipun Perintah Eksekutif adalah awal yang baik, dua persyaratan utama untuk menerapkan Zero Trust, MFA dan enkripsi, tidak benar-benar menutup semua celah keamanan cloud.

Menurut Laporan Investigasi Pelanggaran Data 2021 (DBIR) kesalahan konfigurasi tetap menjadi vektor ancaman utama untuk arsitektur cloud. Meningkatnya penggunaan aplikasi Software-as-a-Service (SaaS) sebenarnya memicu dua pola serangan yang berbeda:

  • Serangan Aplikasi Web Dasar: berfokus pada tujuan langsung, mulai dari akses ke email dan data aplikasi web hingga penggunaan ulang aplikasi web untuk mendistribusikan malware, defacement, atau serangan Distributed Denial of Service (DDoS).
  • Kesalahan Lain-Lain: tindakan yang tidak disengaja, biasanya oleh aktor internal atau aktor mitra, termasuk mengirim data ke penerima yang salah.

Menurut DBIR, serangan aplikasi web dasar mencakup hal-hal seperti pencurian kredensial dan serangan brute force. Sementara itu, subset Miscellaneous Errors juga menyertakan hal-hal seperti penyimpanan file berbasis cloud yang ditempatkan ke internet tanpa kontrol.

Vektor serangan ini menunjukkan pentingnya manajemen keamanan SaaS terhadap keamanan cloud secara keseluruhan. Banyak perusahaan tidak memiliki visibilitas ke dalam konfigurasi mereka, dan penyebaran aplikasi SaaS membuat pemantauan konfigurasi manual hampir tidak mungkin dilakukan. Seiring perusahaan melanjutkan perjalanan transformasi digital mereka, pemantauan dan manajemen konfigurasi hanya akan menjadi lebih sulit.

Keamanan cloud, bahkan dengan fokus pada pembentukan Arsitektur Zero Trust, perlu memasukkan keamanan aplikasi SaaS. Karena agensi dan perusahaan dalam rantai pasokan mereka menggabungkan aplikasi SaaS, risiko keamanan yang ditimbulkan oleh kesalahan konfigurasi perlu ditangani.

Daftar Putar Keamanan SaaS Tingkatkan

Saat agensi dan perusahaan mulai mencari solusi, meningkatkan keamanan SaaS harus ada dalam daftar “langkah proaktif yang harus diambil”.

Integrasikan semua aplikasi: Perjalanan di Jalan Panjang dan Berliku

Melakukan bisnis bisnis Anda memerlukan banyak aplikasi, terutama di seluruh tenaga kerja jarak jauh. Meskipun siklus pembelian berpotensi panjang, menambahkan aplikasi ke tumpukan Anda relatif mudah. Tim TI Anda membuat beberapa koneksi ke infrastruktur cloud Anda menggunakan API, lalu menambahkan pengguna. Orang bisa turun ke bisnis.

Pelajari lebih lanjut tentang cara mencegah risiko kesalahan konfigurasi di aplikasi SaaS Anda

Mengelola keamanan aplikasi SaaS untuk jangka panjang adalah tantangan besar. Anda memiliki banyak aplikasi, dan masing-masing memiliki konfigurasi dan bahasa yang unik. Tidak ada organisasi yang dapat memiliki pakar dalam setiap bahasa dan konfigurasi aplikasi. Jika Anda dapat mengintegrasikan semua aplikasi Anda ke dalam satu platform yang menciptakan pendekatan standar untuk konfigurasi, Anda mengambil langkah pertama di jalan yang panjang dan berliku untuk mengamankan infrastruktur cloud Anda.

Verifikasi akses dan terapkan kebijakan: Stop Believin’

Sementara Perjalanan mungkin mengatakan “jangan berhenti percaya,’” Arsitektur Zero Trust berarti tidak mempercayai siapa pun atau apa pun sampai mereka memberikan bukti yang benar. Misalnya, MFA tidak berfungsi pada sistem yang menggunakan protokol autentikasi lama seperti IMAP dan POP3. Jika Anda perlu mengamankan tumpukan SaaS Anda dan memenuhi garis waktu singkat ini, Anda memerlukan visibilitas ke semua akses pengguna, terutama pemegang Akses Istimewa seperti admin super atau akun layanan.

Perusahaan memerlukan kebijakan terpadu di semua aplikasi SaaS, memastikan kepatuhan yang berkelanjutan. Ini berarti kemampuan untuk menganalisis akses setiap pengguna di semua platform SaaS Anda berdasarkan peran, hak istimewa, tingkat risiko, dan platform dengan kemampuan untuk memadupadankan saat Anda mencari, sehingga Anda memiliki wawasan yang Anda butuhkan, saat Anda membutuhkannya.

Hilangkan kesalahan konfigurasi SaaS

Pantau keamanan SaaS terus menerus: Anda Harus Tahu

Bagian tersulit dari keamanan SaaS adalah terus berubah, seperti karyawan berbagi dokumen dengan pihak ketiga atau menambahkan pengguna non-perusahaan baru ke platform kolaborasi. Masalahnya adalah bahwa Perintah Eksekutif dan sebagian besar mandat kepatuhan lainnya mengasumsikan bahwa Anda harus tahu tentang postur risiko Anda karena Anda terus memantau keamanan Anda.

Anda memerlukan keamanan SaaS yang selalu aktif yang menyediakan identifikasi risiko waktu nyata, peringatan berbasis konteks, dan prioritas risiko.

Mengotomatiskan kegiatan remediasi: Jangan Pernah Mengecewakan Anda

Tidak ada satu orang pun yang dapat mengelola keamanan SaaS secara manual.

Mengelola secara manual risiko yang timbul dari begitu banyak pengguna, begitu banyak aplikasi, dan begitu banyak lokasi akan membuat departemen TI menjalankan espresso dan minuman energi dan, sayangnya, kemungkinan besar, kehilangan risiko kritis.

Mengotomatiskan proses keamanan SaaS dalam satu platform berbasis cloud adalah cara paling efisien untuk mengelola proses. Solusi manajemen platform SaaS memenuhi keamanan Anda di mana ia tinggal, di cloud, sehingga Anda dapat mengotomatiskan keamanan Anda dengan kecepatan cloud, mengurangi risiko, dan memperkuat postur keamanan dan kepatuhan Anda.

Perisai Adaptif: Manajemen Keamanan Kinerja SaaS adalah Tautan yang Hilang

Perisai Adaptif memberikan visibilitas penuh ke salah satu masalah paling kompleks dalam keamanan cloud. Solusi manajemen postur keamanan SaaS ini memungkinkan perusahaan untuk memantau risiko kesalahan konfigurasi di seluruh kawasan SaaS secara terus-menerus: mulai dari konfigurasi yang mencakup malware, spam, dan phishing hingga perilaku mencurigakan dan izin pengguna yang tidak dikonfigurasi dengan benar.

Adaptive Shield menyelaraskan kontrol teknis dengan CIS Benchmarks dan dapat memetakan kepatuhan kontrol ke NIST 800-53 serta kerangka kerja lainnya.

Solusi manajemen platform keamanan Adaptive Shield SaaS juga secara native terhubung dengan solusi Single-Sign-On (SSO), seperti Azure, Ping, dan Okta, untuk membantu melacak penggunaan MFA di seluruh organisasi.

Dengan aplikasi SaaS menjadi aturan dan bukan pengecualian untuk bisnis modern, keamanan cloud bergantung pada pemantauan terus menerus untuk kesalahan konfigurasi SaaS yang berisiko.

Pelajari lebih lanjut tentang cara mencegah risiko kesalahan konfigurasi di aplikasi SaaS Anda

Pos terkait

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan. Ruas yang wajib ditandai *