Đối với số lượng tổ chức ngày càng tăng, môi trường CNTT bao gồm sự pha trộn của các dịch vụ public cloud, private clouds và cơ sở hạ tầng tại chỗ (on-premise). Các dịch vụ của sự tích hợp này ngày càng ra đời nhiều hơn để phục vụ nhiều nhu cầu khác nhau của các doanh nghiệp hiện nay.
Hai năm qua đã chứng kiến một sự tăng trưởng lớn trong việc sử dụng các dịch vụ đám mây và xu hướng không có dấu hiệu chậm lại. Một báo cáo vào tháng 4 năm 2021 của công ty nghiên cứu Gartner dự báo rằng chi tiêu trên toàn thế giới đối với các dịch vụ public cloud sẽ tăng 23% trong năm nay 2022.
Các công nghệ mới nổi như containerization, virtualization và edge computing đang ngày càng trở nên chính thống và thúc đẩy chi tiêu đám mây, báo cáo cho biết. Phần mềm như một dịch vụ – Software as a service (SaaS) vẫn là phân khúc thị trường lớn nhất.
Thay vì triển khai một loại dịch vụ đám mây, các công ty đang lựa chọn sự tích hợp để đáp ứng các mục tiêu kinh doanh của họ. Mô hình đám mây lai – hybrid cloud có thể cung cấp sự linh hoạt chưa từng có cho các doanh nghiệp. Chúng có thể chuyển dung lượng lên hoặc xuống khi cần và di chuyển dữ liệu và khối lượng công việc đến và từ bất kỳ số lượng dịch vụ đám mây nào. Hybrid Cloud cũng trình bày những rủi ro an ninh mạng mà nếu không được giải quyết có thể dẫn đến tổn thất đáng kể.
Dưới đây là top những thách thức hàng đầu về an ninh đám mây nói chung hay bảo mật đám mây lai (hybrid cloud) nói riêng và cách để giải quyết chúng.
1. Tăng độ phức tạp, giảm khả năng hiển thị
Khi các công ty triển khai nhiều dịch vụ đám mây công cộng hơn và thêm các khả năng đám mây riêng, môi trường CNTT của họ sẽ trở nên phức tạp hơn nhiều so với quan điểm quản lý và bảo mật. Nếu không thực hiện các bước để theo dõi việc sử dụng các dịch vụ, họ sẽ giảm khả năng hiển thị về những gì đang diễn ra trong môi trường này.
“Một môi trường hybrid tự nhiên chỉ ra nhiều độ phức tạp hơn; có rất nhiều “windows and doors” khác để lock, và nhiều hơn việc bảo trì bảo mật – patching, v.v. – để thực hiện”, Chris Kanaracus, Giám đốc nghiên cứu dành cho cơ sở hạ tầng Đám mây chuyên dụng và Hybrid Cloud / Dịch vụ tại Công ty nghiên cứu International Data Corp (IDC). “Chúng tôi đã thấy rất nhiều câu chuyện truyền thông cao về rò rỉ dữ liệu gây ra bởi lỗi của con người chẳng hạn như misconfigured storage buckets trên các đám mây công cộng.”
Liên minh Bảo mật Cloud – Cloud Security Alliance (CSA), một tổ chức xác định các tiêu chuẩn, chứng nhận và thực tiễn tốt nhất để giúp đảm bảo môi trường điện toán đám mây an toàn, trích dẫn sai cấu thức và kiểm soát thay đổi không đầy đủ và khả năng hiển thị sử dụng đám mây hạn chế là trong số các mối đe dọa hàng đầu đối với điện toán đám mây trong 2020.
Sự vượt trội của các dịch vụ đám mây thường sẽ yêu cầu thay đổi cách các tổ chức tiếp cận bảo mật. “Trong khi chọn một môi trường hybrid cloud mới có thể cung cấp sự lựa chọn và linh hoạt của các tổ chức, nó cũng có nghĩa là các nhà lãnh đạo CNTT cần phải đánh giá lại thực hành an ninh của họ và xem xét cách họ có thể cần phải thích nghi”, Mandy Andress, the CISO of Elastic, một nhà cung cấp của online search products. Có câu nói rằng: “Bạn không thể bảo đảm những gì bạn không thể nhìn thấy” – đặc biệt đúng trong kiến trúc đám mây lai. Tích hợp các đám mây công cộng và cá nhân hoặc cơ sở hạ tầng có thể tăng độ phức tạp và nâng cao rủi ro của một tổ chức, hiển thị và kiểm soát tối quan trọng để đảm bảo một hệ thống phân phối.
2. Khoảng cách kiến thức và kỹ năng
Sự thiếu hụt nghiêm trọng về kỹ năng an ninh mạng đã được ghi nhận phổ biến. Nhiều tổ chức đang vật lộn để tìm người để đảm nhận nhiều vai trò khác nhau, nhưng việc xác định và thuê các chuyên gia an ninh, những người cũng hiểu Cloud thực hiện thử thách với một cấp độ khác. Khoảng cách kiến thức bảo mật đám mây này có thể khiến các doanh nghiệp đối mặt với rủi ro và họ cần tìm cách thu hẹp khoảng cách trước khi quá muộn.
Một cách là cung cấp đào tạo nội bộ và bên ngoài. Cần có một nỗ lực phối hợp giữa các ngành nghề kinh doanh, lãnh đạo và đội ngũ quản trị an ninh mạng, đào tạo và nguồn nhân lực để phát triển một chương trình giảng dạy và các con đường đào tạo đa phương thức để tăng trưởng kỹ năng liên tục và để hỗ trợ môi trường đám mây lai phức tạp, Vikram Kunchala – risk and financial advisory cyber cloud leader and principal at consulting firm Deloitte.
“Điều quan trọng cần lưu ý là hầu hết các tổ chức phi công nghệ và các nhà cung cấp dịch vụ phi đám mây đang cạnh tranh cho cùng một nhóm tài năng Cloud”, Kunchala nói. “Như vậy, thuê là một thách thức và các công ty không chỉ dựa vào nó như một lựa chọn. Phát triển các chương trình đào tạo cho nhân viên hiện tại Up-Skill / Skill có thể giúp đỡ trong lĩnh vực này.”
Quản trị mạnh (Strong governance) là một thành phần quan trọng khác trong môi trường đám mây lai, Kunchala nói. Có một ma trận trách nhiệm được xác định rõ ràng và các mô hình hoạt động có thể giảm bớt mối quan tâm và cho phép quản trị hiệu quả. “Các số liệu giám sát cung cấp khả năng hiển thị vào hiệu quả của các nhóm bảo mật khác nhau và hiệu quả của các biện pháp kiểm soát được thực hiện”, ông nói.
Cisos và các nhà lãnh đạo an ninh khác “cần xem xét hiệu quả về việc sử dụng tài nguyên và kỹ năng của họ,” Andress nói. “Trong môi trường Hybrid Cloud, các nhóm bảo mật có thể cần tìm hiểu các chức năng bảo mật của hai dịch vụ đám mây (hoặc nhiều hơn).”
3. Chuyển trách nhiệm bảo mật
Trách nhiệm đưa vào vị trí kiểm soát xung quanh perimeter security, cơ sở hạ tầng và ảo hóa dần dần chuyển sang các nhà cung cấp đám mây trong một hệ sinh thái đám mây công cộng, vì vậy hãy hiểu mô hình trách nhiệm chung thay đổi là quan trọng, Kunchala nói. “Tổ chức cố gắng mở rộng kiểm soát bảo mật private cloud và ngăn xếp công nghệ cho các đám mây công cộng, không hoạt động trong một số trường hợp”, ông nói. “Không được xác định rõ ràng [responsibility assignment matrix] và / hoặc mô hình vận hành trong phòng sinh thái đám mây lai cho các mối đe dọa không được kiểm tra và các khả năng chưa được xác định ngăn chặn tổ chức thu nhỏ và đáp ứng các mục tiêu kinh doanh.”
Bất chấp tầm quan trọng của việc biết và theo mô hình trách nhiệm chung đi kèm với việc sử dụng các dịch vụ đám mây, đó không phải là điều tất cả các công ty đang làm. “Mô hình trách nhiệm chung được sử dụng bởi các công ty đám mây công cộng là điều mà nhiều doanh nghiệp vẫn vật lộn với việc giữ vị thế đầu,” Kanaracus nói.
4. Bảo vệ mạng không phù hợp
Bảo mật mạng (Network security) là một khu vực quan trọng nơi các tổ chức tiếp tục bị thách thức, vì các công cụ nhà cung cấp hiện tại hỗ trợ đám mây riêng có thể không phù hợp với các đám mây công cộng, Kunchala nói. “Các tổ chức thúc đẩy các thùng chứa quá trình chuyển đổi và quản lý liền mạch trên đám mây hybrid và không hiểu nuances như service mesh và bảo mật API [có thể] dẫn đến sự thỏa hiệp tiềm năng của các containers và khai thác thêm.”
Hầu hết các nhà cung cấp công cụ bảo mật dựa trên đám mây công cộng hỗ trợ môi trường đám mây riêng, Kunchala nói. “Nhưng các công cụ nhà cung cấp truyền thống được xây dựng cho tại chỗ hoặc đám mây riêng không được kéo dài hoặc cung cấp đầy đủ các tính năng cho đám mây công cộng”, ông nói. “Phân tích nhà cung cấp là chìa khóa và nên được thực hiện một khi tất cả các yêu cầu và các trường hợp sử dụng đã được xác định.”
5. Dispersed logging and monitoring capabilities
Trong môi trường đám mây lai, các nguồn đăng nhập được trải rộng trên các hệ thống tại chỗ, hệ thống đám mây công cộng, công cụ nhà cung cấp và dịch vụ gốc đám mây, Kunchala nói. “Điều quan trọng là xác định các số liệu Telemetry nhật ký và xây dựng các số liệu để theo dõi.” Các tổ chức cần các chỉ số hiệu suất chính (KPI) cho các số liệu vận hành và chức năng và các chỉ số rủi ro chính (Kris) để báo cáo điều hành, ông nói.
Tuy nhiên, sự phát triển của khả năng ghi nhật ký và giám sát là một hành trình một đến hai năm, có một số bước và công cụ để xử lý nhật ký và tương quan trên nhiều nguồn để đến các số liệu xác định, ông Kunchala nói. Mục tiêu cuối cùng là phát triển bảng điều khiển báo cáo tùy chỉnh để phục vụ cho các giám đốc điều hành, để giúp họ hiểu rủi ro và tác động còn lại của các dịch vụ đám mây, ông nói. Trong khi đó, các nhóm hoạt động sẽ đạt được tầm nhìn đầy đủ vào các mối đe dọa nguy hiểm.
