‘IT-afdelingen worstelen met het beveiligen van de cloud’

Intel heeft zijn tweede jaar­lijkse cloud security-rapport gepu­bli­ceerd, getiteld ‘Building Trust in a Cloudy Sky’. Het rapport beschrijft de huidige staat van de wereld­wijde cloud-adoptie, de belang­rijkste zorgen rond private en publieke cloud­dien­sten, de impli­ca­ties van een overstap naar de cloud voor security en de groeiende impact van Shadow IT. Voor het onderzoek zijn ruim 2.000 IT-profes­si­o­nals uit de hele wereld ondervraagd.

“Bij veel orga­ni­sa­ties is een ‘Cloud First’-strategie inmiddels een onderdeel van de archi­tec­tuur geworden”, zegt Raj Samani, EMEA Chief Tech­no­logy Officer, Intel Security. “Een snelle overstap naar cloud computing staat hoog op de agenda. Dit jaar lieten de respon­denten weten te verwachten dat binnen 15 maanden 80 procent van hun IT-budget naar de cloud zal gaan.”

Het vertrouwen in de cloud groeit

Het vertrouwen in publieke cloud­dien­sten is het afgelopen jaar opnieuw gegroeid. De meeste orga­ni­sa­ties beschouwen cloud­dien­sten als net zo veilig als of zelfs veiliger dan private clouds. Ook verwachten ze dat publieke clouds een lagere total cost of ownership en beter inzicht in data bieden. Het aantal respon­denten dat publieke clouds vertrouwt is dubbel zo groot als het aantal dat daarin geen vertrouwen heeft. Dit groeiende vertrouwen, gekoppeld met meer bewust­zijn bij het senior mana­ge­ment over de risico’s, leidt ertoe dat meer orga­ni­sa­ties gevoelige data opslaan in de publieke cloud. Vooral persoon­lijke infor­matie over klanten wordt in publieke clouds bewaard: 62 procent van de respon­denten zegt dit te doen.

Maar ook toenemende risico’s: Shadow IT en het tekort aan cybersecurity skills

Het groeiende tekort aan security skills blijft een negatieve impact hebben op het tempo waarmee orga­ni­sa­ties over­stappen naar de cloud. Bijna de helft van de onder­vraagde orga­ni­sa­ties zegt dat een gebrek aan cyber­se­cu­rity profes­si­o­nals de adoptie of het gebruik van cloud diensten heeft afgeremd. Dit kan ook zorgen voor een toename in het gebruik van Shadow IT (publieke cloud diensten die zonder medeweten van IT door mede­wer­kers binnen de orga­ni­satie worden gebruikt). 36% zegt ondanks het tekort aan security profes­si­o­nals toch door te gaan met hun cloud acti­vi­teiten. Slechts 15% van de respon­denten zegt geen gebrek aan vaar­dig­heden te hebben.

Dankzij gemak­ke­lijke inkoop­pro­ce­dures, wordt bijna 40 procent van de cloud­dien­sten nu afgenomen zonder dat de IT-afdeling hierbij wordt betrokken. Helaas is het inzicht in het gebruik van deze Shadow IT-diensten gedaald van 50% vorig jaar naar iets minder dan 47% dit jaar. Dit zorgt ervoor dat 65% van IT-profes­si­o­nals van mening is dat Shadow IT een negatieve impact heeft op hun vermogen om de cloud te bevei­ligen. Dit is niet verras­send, gezien de hoeveel­heid gevoelige data die nu in publieke cloud staan. Ook zegt ruim de helft (52%) dat ze malware hebben gede­tec­teerd die afkomstig was van een cloud SaaS-toepassing.

Ontwikkelingen in het datacenter

Waar een jaar geleden nog iets meer dan de helft (51%) van de orga­ni­sa­ties liet weten alleen een private cloud te gebruiken, is dit inmiddels gedaald tot iets minder dan een kwart (24%). In dezelfde tijd is het aantal orga­ni­sa­ties met een hybride cloudom­ge­ving gegroeid van 19 procent naar 57 procent. Deze overstap naar een hybride private/​publieke cloud­ar­chi­tec­tuur vereist dat het data­center zich ontwik­kelt naar een sterk gevir­tu­a­li­seerde infra­struc­tuur op basis van cloud­tech­no­logie. Gemiddeld is 52% van de servers in het data­center van een orga­ni­satie gevir­tu­a­li­seerd. 80 procent maakt gebruik van contai­ners en de orga­ni­sa­ties verwachten binnen twee jaar te zijn over­ge­stapt op een volledig software-defined datacenter.

Aanbevelingen:

• Aanval­lers zijn altijd op zoek naar de makke­lijkste doel­witten, ongeacht of deze publiek, privaat of hybride zijn. Geïn­te­greerde bevei­li­gings­op­los­singen die inzicht bieden in alle diensten van een orga­ni­satie, is waar­schijn­lijk de beste verdediging.
• De popu­lairste aanvals­me­thode is het achter­halen van login­ge­ge­vens, vooral van die van beheer­ders. Orga­ni­sa­ties moeten best practices hanteren voor authen­ti­catie, zoals complexe, unieke wacht­woorden, multi-factor authen­ti­catie en – indien mogelijk – biome­tri­sche identificatietechnieken.
• Er wordt nog te weinig gebruik­ge­maakt van effec­tieve bevei­li­gings­tech­no­lo­gieën zoals data loss preven­tion, encryptie en cloud access security brokers (CASB). De inte­gratie van deze tools met een bestaand bevei­li­gings­sys­teem zorgt voor beter inzicht, maakt het mogelijk om Shadow IT-diensten te detec­teren en biedt moge­lijk­heden om gevoelige data auto­ma­tisch te beschermen. Daarbij maakt het niet uit deze data zijn opge­slagen binnen de orga­ni­satie of worden getrans­por­teerd via een netwerk.
• Orga­ni­sa­ties moeten zich focussen op een bevei­li­gings­aanpak die zich richt op risi­co­ma­na­ge­ment en het beperken van de gevolgen van inci­denten. Ze zouden een Cloud First-strategie moeten overwegen om de adoptie van cloud­dien­sten te versnellen, om zo de kosten terug te dringen en de flexi­bi­li­teit te vergroten. Daarbij zouden de bevei­li­gings­ope­ra­ties ingericht moeten worden voor een proac­tieve aanpak in plaats van een reactieve.