Velge partner for skyen?

Når bedrifter skal kjøpe skytjenester, velger de først om de skal kjøpe direkte fra produsent eller via partner. Mange selskaper velger å kjøpe skyforbruket gjennom en partner da prisen ofte er lik og partner tilbyr verdiøkende tjenester sammen med forbruksavtalen.

Det er ingenting i veien for å samarbeide med flere partnere, men den partneren du velger til å levere forbruksavtalen vil som regel ha både tilgang til og innsyn i ditt skymiljø. Det blir derfor viktig at denne partneren praktiserer god sikkerhet.

Sikkerhetsutfordringer i skyen

Det er mange problemstillinger å ta tak i når man snakker om sikkerhet i skyen, men den største er mangel på oppdatert sikkerhetskompetanse. Det er ikke mulig å rapportere om tilfredsstillende sikkerhet hvis man ikke har detaljert kjennskap til hva som utgjør god sikkerhet i skyen.

Hva som utgjør god sikkerhetspraksis i skyen endres nærmest ukentlig og det kan bli krevende å henge med for selskaper som ikke kan prioritere et eget sikkerhetsteam med flere ansatte. Selv de store sikkerhetsmiljøene sliter med kompleksiteten i enterprise hybrid-miljøer. Velger du å jobbe med en sikkerhetspartner vil du kunne øke sikkerheten i skymiljøet fra start, uten at det forutsetter store interne investeringer.  

Hva gjør en sikkerhetspartner?

Velger du å jobbe med en sikkerhetspartner må du sannsynligvis belage deg på en ryddejobb i oppstarten av partnerskapet. Nye samarbeid starter som regel ved at det gjøres en analyse av eksisterende infrastruktur sett opp imot beste praksis for sikkerhet. Her er læringen fra gjennomførte analyser relativt entydig; det praktiseres ikke tilfredsstillende sikkerhet i de fleste norske skymiljøer.

Blant manglene som oppdages er spennet stort og med litt analyse kan dette trygt tolkes som at kompetansenivået er varrierende. Konfigurasjonsfeil av infrastruktur er en stor synder, med typiske feil som lagringsinstanser eksponert mot internett, disker og OS som er ukryptert, diverse logger som ikke er aktivert, nettsverksregler satt til any/any osv.

Svakheter relatert til arkitektur er også en gjenganger, med mangler på segmentering, kontrollpunkter og nettverksarkitektur. Tilgangsstyring er også et stort punkt med mangler på for eksempel admin brukerkontroll, multifaktor-autentisering, PIM og log for endringskontroll. Listen over ting du skal ha kontroll på fortsetter og er i rask endring, så her gjelder det å ha tungen rett i munnen.

Etter en eventuell opprydning er gjennomført vil en sikkerhetspartner hjelpe deg å orientere skymiljøet etter kjente sikkerhetsrammeverk – og hjelpe deg periodisk å kontrollere etterlevelse. På denne måte vil du raskt bli kjent med egne sårbarheter samtidig som du fortsetter arbeidet med å utvikle en fornuftig sikkerhetskultur i selskapet, også for skyen.