Pilvipalveluiden tietoturvan hallinta on muuttunut merkittävästi viimeisen vuosikymmenen aikana. Kyse ei ole enää vain yksittäisten palvelimien suojaamisesta, vaan jatkuvasti muuttuvan kokonaisuuden hallinnasta: identiteeteistä, datasta, konteista, serverless-palveluista, verkoista, konfiguraatioista ja tuhansista niiden välisistä riippuvuuksista.
CISO (Chief Information Security Officer) näkökulmasta keskeinen kysymys onkin yhä useammin yksinkertainen mutta vaikea:
Näemmekö luotettavasti koko pilviympäristömme tilan ja pystymmekö tunnistamaan sieltä liiketoiminnan kannalta merkittävimmät riskit?
Webscalen tehtävänä on varmistaa, että asiakkaamme voivat rakentaa, skaalata ja hallita digitaalisia palveluitaan luottavaisin mielin. Olemme vuodesta 2013 lähtien työskennelleet AWS-, Microsoft Azure- ja Google Cloud -ympäristöjen parissa ja nähneet pilviarkkitehtuurien kehittymisen yksinkertaisista virtuaalipalvelimista hajautettuihin ja dynaamisiin multi-cloud- ja mikropalveluympäristöihin.
Samalla tietoturvan haaste on muuttunut. Perinteiset agenttipohjaiset tietoturvaratkaisut ovat edelleen hyödyllisiä monissa käyttötapauksissa, mutta yksinään ne eivät välttämättä tarjoa riittävän nopeaa ja kattavaa näkyvyyttä moderniin pilviympäristöön. Agenttien asentaminen, päivittäminen ja kattavuuden varmistaminen voi myös muodostaa merkittävän operatiivisen tehtävän.
Tästä syystä olemme tuoneet
Orca Securityn agentittoman lähestymistavan osaksi Webscalen hallittuja palveluita.
Tavoitteemme on yksinkertainen: tietoturvan pitää mahdollistaa liiketoiminnan nopeus, ei hidastaa sitä.
1. Kattava näkyvyys ilman agenttien aiheuttamaa operatiivista kuormaa
Pilviympäristön merkittävimpiä riskejä ovat resurssit ja riippuvuudet, joiden olemassaolosta tietoturvatiimi ei tiedä.
Perinteinen agenttipohjainen tietoturvamalli edellyttää ohjelmistoagentin asentamista suojattaviin kohteisiin. Teoriassa malli on selkeä, mutta käytännössä nopeasti muuttuvassa pilviympäristössä kattavuuden ylläpitäminen voi olla haastavaa.
Uusia työkuormia syntyy jatkuvasti. Kehitystiimit ottavat käyttöön uusia palveluita, kontteja ja ympäristöjä. Jos agentti jää asentamatta, sen konfiguraatio on virheellinen tai versio vanhentunut, tietoturvan näkyvyyteen voi muodostua aukko.
CISO näkökulmasta tämä aiheuttaa olennaisen kysymyksen:
Miten voimme hallita riskiä, jos emme voi luotettavasti osoittaa, mitä ympäristössämme on?
Orcan
SideScanning™-teknologia lähestyy ongelmaa eri tavalla. Ratkaisu hyödyntää pilvipalveluntarjoajan rajapintoja ja työkuormien tallennuskerroksesta saatavaa tietoa ilman, että itse työkuormiin tarvitsee asentaa agentteja.
Webscalen hallittujen palveluiden kannalta tällä on kaksi merkittävää vaikutusta.
Ensinnäkin uuden pilviympäristön tietoturvanäkyvyys voidaan muodostaa nopeasti ilman pitkää agenttien asennusprojektia.
Toiseksi tietoturvan kattavuus ei ole samalla tavalla riippuvainen siitä, onko jokainen yksittäinen kehitystiimi muistanut asentaa oikean agentin jokaiseen uuteen resurssiin.
Virtuaalikoneet, kontit, serverless-palvelut ja muut pilviresurssit voidaan tuoda automaattisesti näkyvyyden piiriin ympäristön kehittyessä.
"Siirtyminen agenttipohjaisesta mallista agentittomaan tietoturvan näkyvyyteen muutti hallittujen palveluidemme painopistettä. Sen sijaan, että käyttäisimme aikaa kattavuuden varmistamiseen, voimme keskittyä asiakkaalle olennaisten havaintojen ja riskien tunnistamiseen." CISO - Webscalen asiakasyritys
Liiketoiminnan näkökulmasta kyse on ennen kaikkea
operatiivisen kitkan vähentämisestä. Tietoturvaratkaisun käyttöönoton ei tarvitse tarkoittaa uusia komponentteja jokaiseen työkuormaan, ylimääräistä ylläpitotaakkaa tai muutoksia sovellusten julkaisuprosesseihin.
2. CISO ei tarvitse lisää hälytyksiä – vaan parempaa riskien priorisointia
Modernien organisaatioiden tietoturvaongelmana ei yleensä ole datan puute. Ongelma on pikemminkin sen määrä.
Pilviympäristön tietoturvaratkaisut voivat tuottaa tuhansia havaintoja haavoittuvuuksista, virheellisistä konfiguraatioista, identiteettiriskeistä ja poikkeamista. Jos kaikki havainnot näyttävät yhtä kiireellisiltä, lopputulos on helposti
alert fatigue eli hälytysväsymys.
CISO kannalta tuhansien teknisten löydösten lista ei vielä ole käyttökelpoinen riskinäkymä. Olennaista on ymmärtää niiden
konteksti.
Kriittiseksi luokiteltu haavoittuvuus täysin eristetyssä palvelimessa voi muodostaa huomattavasti pienemmän todellisen riskin kuin keskitasoinen haavoittuvuus internetiin avoimessa palvelussa, jolla on samalla laajat IAM-oikeudet ja pääsy arkaluonteiseen dataan.
Orca yhdistää havaintoja yhteiseen kontekstiin. Näin yksittäisen haavoittuvuuden lisäksi voidaan tarkastella esimerkiksi sitä:
- onko resurssi saavutettavissa internetistä
- millaiset käyttöoikeudet siihen liittyvät
- sisältääkö resurssi arkaluonteista dataa
- voidaanko haavoittuvuutta käytännössä hyödyntää
- mahdollistaako löydös etenemisen ympäristössä
- muodostaako useiden yksittäisten havaintojen yhdistelmä hyökkäyspolun.
Tätä kokonaiskuvaa voidaan hyödyntää useilla tietoturvan osa-alueilla:
Haavoittuvuuksien hallinta: Päivittämättömien ohjelmistojen ja haavoittuvuuksien tunnistaminen pilviympäristön eri kerroksista.
Identiteetit ja käyttöoikeudet: Tarpeettoman laajojen roolien ja oikeuksien tunnistaminen sekä mahdollisten lateraalisen liikkumisen reittien löytäminen.
Datan tietoturva: Arkaluonteisen datan, henkilötietojen, API-avainten ja muiden salaisuuksien tunnistaminen sekä niiden altistumisen arviointi.
Konfiguraatioriskit: Virheellisesti määriteltyjen tallennuspalveluiden, avoimien porttien ja muiden pilvikonfiguraatioihin liittyvien riskien tunnistaminen.
CISO-tasolla tämän lähestymistavan arvo syntyy siitä, että
teknisten löydösten määrä voidaan muuttaa priorisoiduksi riskinäkymäksi.
Webscalen
CARE- ja MANAGE-palveluissa tavoitteena ei ole vain tuottaa asiakkaalle lisää havaintoja. Tavoitteena on auttaa tunnistamaan ne riskit, joihin rajalliset tietoturva- ja kehitysresurssit kannattaa kohdistaa ensimmäisenä.
Jos tuhansista löydöksistä pystytään tunnistamaan pieni joukko aidosti merkittäviä riskejä, tietoturvatyö muuttuu sekä tehokkaammaksi että paremmin liiketoiminnan tavoitteita tukevaksi.
3. Tietoturvan ja kehityksen välinen kitka on myös liiketoimintariski
Tietoturva ja ohjelmistokehitys ovat perinteisesti tarkastelleet riskiä eri näkökulmista.
Tietoturvatiimin tehtävänä on pienentää riskiä. Kehitystiimin tehtävänä on toimittaa uusia ominaisuuksia nopeasti ja luotettavasti.
Huonosti toteutettuna nämä tavoitteet voivat olla ristiriidassa keskenään.
Perinteisessä mallissa tietoturvatiimi voi esimerkiksi toimittaa kehittäjille pitkän listan haavoittuvuuksia, joiden prioriteetti tai yhteys todelliseen liiketoimintariskiin jää epäselväksi. Kehittäjälle tämä näyttäytyy helposti ylimääräisenä työnä, joka kilpailee sprintin muiden tavoitteiden kanssa.
Webscalen näkökulmasta kestävä pilvitietoturva edellyttää, että tietoturva integroidaan osaksi kehittämisen normaalia toimintamallia.
Agentittomuus auttaa tässä kahdella tavalla.
Ensinnäkään kehitystiimien ei tarvitse asentaa, ylläpitää ja selvittää tietoturva-agenttien ongelmia saadakseen työkuormansa tietoturvan näkyvyyden piiriin.
Toiseksi Orca voidaan integroida osaksi CI/CD-prosessia, jolloin riskejä voidaan tunnistaa jo kehityksen aikaisemmissa vaiheissa. Kehittäjille voidaan samalla tarjota täsmällisempää tietoa siitä, mikä ongelma on, miksi sillä on merkitystä ja miten se voidaan korjata.
Tämä tukee
DevSecOps-toimintamallia, jossa tietoturva ei ole kehityksen jälkeen tapahtuva erillinen tarkastusvaihe, vaan osa ohjelmistojen koko elinkaarta.
Agentittomuus ei ole itseisarvo – riskienhallinnan tehokkuus on
CISO näkökulmasta agentiton teknologia ei ole kiinnostava vain siksi, ettei agentteja tarvitse asentaa. Sen todellinen arvo syntyy siitä, mitä tämä mahdollistaa.
Parempi kattavuus. Nopeampi käyttöönotto. Vähemmän operatiivista kuormaa. Kontekstiin perustuva riskien priorisointi. Ja vähemmän kitkaa tietoturvan, pilvialustan ja ohjelmistokehityksen välillä.
Modernissa multi-cloud-ympäristössä tietoturvan pitää pystyä skaalautumaan yhtä nopeasti kuin suojattavan ympäristön.
Webscalella näemme agentittoman pilvitietoturvan tärkeänä osana tätä kokonaisuutta. Orca Securityn avulla pystymme yhdistämään teknisen näkyvyyden Webscalen pilviosaamiseen ja hallittuihin palveluihin siten, että asiakas ei saa vain uutta tietoturvatyökalua.
Asiakas saa jatkuvan kyvyn
nähdä, priorisoida ja hallita pilviympäristönsä riskejä.
Ja lopulta juuri siitä CISO tehtävässä on kyse: ei kaikkien mahdollisten tietoturvahavaintojen poistamisesta, vaan liiketoiminnan kannalta olennaisten riskien tunnistamisesta ja hallitsemisesta tavalla, joka mahdollistaa organisaation turvallisen kasvun ja uudistumisen.
