חוקרי ה-NSA פרסמו לאחרונה אסטרטגיות אבטחת ענן בניסיון ללמד משתמשי ענן לגבי נהלי האבטחה הטובים ביותר בזמן העברת נתונים לסביבות ענן. המסמך כולל 10 נקודות בנושא סייבר, כל אחת מתמקדת בגישה שונה ובתחום שונה. בחלק מהאסטרטגיות, המשרד לאבטחת תשתיות וסייבר (CISA) שיתף פעולה יחד עם המשרד לביטחון לאומי (NSA).
עשרת המנהגים הטובים ביותר לאבטחת סביבות ענן בחסות ה-NSA:
תוכלו לגשת למסמך המלא כאן
- שמירה על מודל האחריות המשותפת בענן: דף מידע זה מלמד על Cloud framework על ידי הבהרה של אחריות האבטחה ל-CSP וללקוחות בהגנה על ה-cloud instance שלהם בענן.
- ניהול מאובטח של זהויות וגישה בענן (בשיתוף עם CISA): דף מידע זה מבהיר מה הם האיומים בניהול משתמשים, זהויות והרשאות בענן ומציע את הפעולות ושיטות העבודה המומלצות ביותר להטמיע עבור ארגונים הפועלים ומשתמשים בענן.
- שימוש בניהול בטוח של מפתחות ענן (בשיתוף עם CISA): דף מידע זה מציע אפשרויות לניהול מפתחות ואת הנהלים המומלצים לגביהם. המסמך מדגיש את חשיבות הבנת אחריות האבטחה המשותפות עם שירותי KMS בענן.
- יישום הצפנה של רשתות בסביבות ענן (בשיתוף עם CISA): דף מידע זה מיעץ בנוגע ליישום עקרונות בסביבות ענן השונים מרשתות מקומיות. טכנולוגיית ענן מציעה תשתית ל-ZT ללא מכשירים מיוחדים. המסמך מתמקד בנהלים הרלוונטים לתכונות ויכולות ענן נפוצות.
- הגנה על נתונים בענן (בשיתוף עם CISA): הגנה על נתונים בענן חיונית ביותר. הבנת רגישות הנתונים, בחירת אחסון נכון, ויישום צעדי אבטחה הם המפתח. דף מידע זה מספק סקירה של פעולות ונהלים הכרחיים להבטחת וביקורת אחסון בענן.
- הגנה על סביבות CI/CD (בשיתוף עם CISA): ה-NSA וה-CISA מציעים את הדף הזה לשיפור הגנת DevSecOps בענן. המסמך מדריך איך לשלב אבטחה כראוי בסביבות CI/CD של DevOps.
- אכיפה של הטמעה אוטומטית בטוחה דרך תשתית קוד: IaC, בסיסי נתונים, ותמונות זהב הם תבניות להטמעת משאבים בסביבה המקומית וגם בענן. IaC מאפשר הטמעה אוטומטית באמצעות קוד, כולל מדיניות אבטחה.
- התייחסות למורכבויות שנוצרו ע״י סביבות hybrid cloud ו-multi-cloud: דף מידע זה מתמודד עם אתגרים ביישום hybrid cloud ו-multi-cloud על ידי הצעת פתרונות למיתון המורכבות.
- מיתון סיכונים מספקי שירותים מנוהלים בסביבות ענן (משותף עם CISA): MSPs מנהלים שירותי IT בענן, כולל גיבוי, תשתית, ואבטחה. הם מספקים פתרונות מותאמים אישית, אך שימוש בהם מגביר סיכוני סייבר.
- ניהול לוגים של הענן לניטרול אפקטיבי של איומים: גישת דיירי ענן מורכבת בשל וירטואליזציה, כאשר האבטחה תלויה בלוגים שאינם ניתנים לשינוי. לכן, יש לנטר את מדיניות הגישה, הלוגים, והביקורות. ארגונים חייבים לנהל את הלוגים על מנת לצוד איומים ולצורכי התאמה.
