Smb bulut güvenlik oyun kitabı

Bu küçük ve orta ölçekli işletmedeki ilk kural (SMB) Cloud Security Playbook, onu kazanmak için içinde olduğumuzdur. Kahve almak ya da kalabalığı takip etmek için uğraşmamak ya da yeterince küçük para biriktirmemek. Şirketi yeni bir seviyeye yükseltmek, aynı anda para kazanmak ve güvenliği arttırmakla ilgilidir. Tüm bu avantajları buluta geçişinizden beklemiyorsanız, yanlış oyundasınız demektir.

Buluta geçiş, stratejik ve karlı. Buluta geçmeyi bir düşünce olarak kabul etmeyin. Bunun üzerine yarı zamanlı bir stajyer değil, iyi çalışan deneyimli işçilere koyun.

Ana iş kolunuz otomobil parçaları, etkinlik planlaması veya hatta bilgisayar yazılımı olsun, bu oyun kitabının amacı, merkezi görüşünüze odaklanmanıza yardımcı olmaktır. Büyük ölçüde, bilgisayar işlemleri sadece bir dikkat dağıtıcıdır. BT tedariki artık, kendi çalışanlarınızın hepsini yapmaya çalışmak yerine, bir dış satıcıya güvenmekten daha iyi olmanıza yetecek kadar rutin. Doğru bulut seçenekleriyle, kuruluşunuz sermaye giderlerinden tasarruf sağlayacak, operasyonel güvenlik kazanacak ve daha çevik ve duyarlı olacaktır.

Kendini Tanıma Fırsatı

Şirketler bulut güvenliği konusunda endişe duymakta haklılar. İstiklal Marşı, Ashley Madison, CVS, Experian, Scottrade, Target ve Trump Otel Koleksiyonu gibi şirketlerdeki son veri ihlallerinin doğrudan ve dolaylı maliyetleri çok şaşırtıcı. Başarısızlıklar özellikle bulut açıklarından kaynaklanmamıştır; şirketler içinde temel politikalar ve uygulamalarda bozulma oldu.

"Bulut", çok geniş bir teklif yelpazesini kapsar. Bir şirket için, işçilerin zaman çizelgelerini ağ bağlantılı bir araçla değiştirmek için basit bir çevrimiçi hizmeti benimsemek bir oyun değiştirici olabilir. Başka bir şirket, bir hizmet olarak masaüstlerinden (DaaS) erişilen ve bir hizmet olarak felaketten kurtarma ile güçlendirilen, bir hizmet olarak veri merkezinin (DCaaS) tümünden daha azına ihtiyaç duymadığına karar verebilir. DRaaS), her şey şirket dışına taşındı. Üçüncü bir şirket tamamen buluta geçebilir - ancak yasal düzenlemelere uygun fiziksel bir yerde bulunan özel bir şirket.

Bulut güvenliği ayrıntıları bu örnekler arasında farklılık gösterir, ancak temellerin çoğu aynıdır:

1. Her çalışana kendi giriş bilgilerini verin.

2. Çalışanlardan ayrılırken emekli olmak için standart bir prosedür oluşturun.

3. Yedekleme erişimi ve bulut desteği için yazılı yönetici talimatlarını sağlayın.

4. Acil bir durum oluşmadan önce kuruluşunuzla bulut güvenliği satıcısı arasında iş ilişkileri oluşturun.

5. Siz ve sağlayıcınız, servis kesintisi sıklığı ve kesinti eylem planı dahil olmak üzere hizmet seviyesi sözleşmesi (SLA) beklentileri hakkında anlaşılır, açık bir anlaşmaya sahip olmalısınız.

Resmi bir iş planı, kuruluşunuzun bir bütün olarak en iyi şekilde kullanılmasına yardımcı olduğu gibi, iş akışlarını, güçlü yönleri ve zayıf yönleri kapsayan açık bir BT gereksinimi yazma yetkisine sahiptir. Önemli bir planlama yönü, işletmenizin işlerini nasıl yürüttüğünü tam olarak doğrulamak için kuruluşunuzdaki kilit iş yükü sahipleriyle görüşmektir. Geçmişte olabileceğini hatırladığınız şeyleri değil, gerçek iş yüklerini taşıdığınızdan emin olun.

Ayrıca, geçişiniz için açık bir sıra planlayın. Düşük asılı meyve arayın; önce kolayca taşınabilir, düşük riskli ve yüksek getirili iş akışlarını geçirir. Erken göçlerden öğrenin ve daha belirsiz veya tehlikeli göçlere geçerken göç şeklinizi güncelleyin (veya deneyimlerinize dayanarak, belirli bir iş akışını buluttan uzak tutmaya karar verin).

Gereksinimleri ilk yazdığınızda, bu konuda mükemmel olmazsınız. Bir plan başlatmak, her şeyi yakaladığınızı düşünmek, bulut hizmetlerine bağımlı olmak ve daha sonra işlerin sadece rahat olmadığı sonucuna varmak sorun değil. İlk sözleşmenizin büyük değeri, neyin etkili olduğunu öğrenmek olabilir. Hizmet sağlayıcıları erken değiştirmek konusunda utanılacak bir şey yok. Birçok başlığa değecek veri ihlali, bir kuruluşun iyi niyetli ancak uygun olmayan standartları "aşması" rutin hale geldiğinde gerçekleşir. Çoğu bulut hizmeti açık bir şekilde bir deneme ayını sağlar; Bu "test sürüşlerinden" faydalanmayı bekliyorlar.

Unutmayın: Sizin için gerçekten önemli olanı ne kadar net anlarsanız, onu alma olasılığınız o kadar artar. Özet olarak, bulut sağlayıcısından, mobil güvenlik ve tüketici sınıfı dosya paylaşımı ve yedeklemeden muhasebe, envanter ve kurumsal kaynak planlaması (ERP) dahil olmak üzere iş kolu (LOB) işlevlerine kadar her şeyi isteyebilirsiniz. Kendi önceliklerinin ne olması gerektiğini en iyisini biliyorsun. Sadece teklif ettiğin şeyi almayın; işinizi en çok kâr eden şeyleri düşünün.

Verilerinizi bilin

Modern işletmeler verilerinin özel bir ilgiyi hakettiğini kabul eder. Büyük ölçüde, bir işletmenin diğer bölümleri değiştirilebilir veya dış kaynaklı olabilir. Ancak müşteriler, çalışanlar, süreçler ve mülklerle ilgili temel veriler bir şirketin benzersiz değerini oluşturur.

Bu nedenle, geçiş planınız yalnızca ne yaptığınızı ve bunu bulutta nasıl yapacağınızı değil, aynı zamanda şirket bilgilerinin kilit parçalarını nasıl güvende tutacağınızı da içermeyecek şekilde net ve spesifik terimler içermelidir. E-posta, buluta geçmek için kullanılan ortak bir yüktür. E-posta genellikle tescilli bilgiler bakımından zengin olmasına rağmen, aynı zamanda olgun bir teknolojidir ve bulut iyi bir şekilde sunar. Birkaç bağımsız analist, bulutta e-posta barındırmanın genellikle kurum içi e-posta hizmetini yönetmekten daha güvenli olduğu sonucuna varmıştır. Bununla birlikte, özel bir e-posta gereksiniminiz varsa (belirli bir bölgedeki depolama için yasal bir kısıtlama gibi), bunun için hesap planınızı ayarlamanız gerekir.

Müşteri işlemlerini veya endüstriyel işlemleri içeren özelleştirilmiş programlar, karşıt profili sunar. Benzersiz hizmetinizi sağlamak için bulut satıcısı yoktur. Öte yandan, en sıradışı, özel ve özel yazılımlar bile buluttan kiralanan sanal makinelerde (VM) çalışabilir. Veri depolamayı kurumunuzda tutmak mümkündür ancak veriler üzerinde çalışmak için buluta güvenebilirsiniz. Bu, satın alma sunucularının sermaye harcamalarını (CAPEX) ayarlanabilir bir işletme harcamalarına (OPEX) dönüştürür.

Ne istiyorsan sor

Bilgisayar işlemleri büyük ölçüde rutindir ancak etraflarındaki iş modelleri henüz tam olarak pişirilmemiştir. Bulutun bazı kısımları tamamen standart hale getirildi. Mesela her gün binlerce insan Google, Microsoft, Yahoo ve benzerlerinden yeni, ücretsiz e-posta hesapları alıyor. İnsan müdahalesi yok.

Bununla birlikte, daha uzmanlaşmış bulut hizmetleri, genellikle bir destek personeli tarafından desteklenir. Soru sorabilir ve sormalısınız. Belirli bir bulut hizmeti tam size göre görünüyorsa, muhasebe sisteminize uygun bir biçimde raporlar sunmaması dışında, sağlayıcınızla görüşün. Genelde, halka açık sayfalarında görünmeyen düzenlemeler yapabilirler.

Büyük ölçüde, bulut sorusu "Benimsemeli miyiz?" Değil. Çalışanlarınız, farkında olsanız da olmasanız da bulut hizmetlerini kullanıyor. Daha uygun bulut sorusu, "Hangi satıcı en uygunudur?" Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (HIPAA) veya Sarbanes-Oxley Yasasına (SOX) uymak için işlemleri denetlemeniz gerekiyorsa, bunu söyleyin. Folyo saldırı girişimlerinin kayıtlarını okumak size rahatlık verirse, isteyin. Çoğu sağlayıcı, iyi müşterilerin uzun vadeli ilişkiler kurduğunu ve makul taleplerle işbirliği yapacaklarını bilir. Bulut güveninin en büyük avantajlarından biri, sizin için çalışan dünya standartlarında uzmanlara sahip olmanızdır. Bundan en iyi şekilde yararlanın.

Kazanan Bir Şampiyon Atama

Bulutta şirketinizin başarısının sorumluluğunu nitelikli birine atayın. İdeal bir adayın birkaç spesifik özelliği sergilemesi gerekir:

1. Şirket içinde yüksek statü.

2. Bulutun sunduğu fırsatlar hakkında hevesli.

3. Güvenlik endişelerine duyarlı.

4. Proje yönetimi ve operasyonlarında uzman.

5. İddialı (iyi bir şekilde).

Her kalifikasyona uyan bir aday bulma ihtimaliniz düşük olsa da, bu özelliklerden en az iki veya üçüne sahip bir şampiyonu tespit etmek için çaba göstermeye değer. Bir şampiyonun onaylı bir bulut güvenliği uzmanı olması veya tam zamanlı BT sorumlulukları olması gerekmez. Coşku ve çalışkanlık daha önemli özelliklerdir.

Bir organizasyon yeterince küçükse, bulut şampiyonu planları gözden geçirmek ve sonuçları denetlemek için danışmanlar getiren bir kişi olan finans veya satın alma departmanından gelebilir. Başarılarını iş açısından açıkça ifade edebilecek danışmanlar arayın; bunlar, rahatlattıkları iş yüklerini ve uğraştıkları işlem zamanlarını ölçebilecek kapasiteye sahip olanlardır.

İletişimde kalın

Şirketinize sadık birinin sağlayıcınızla bağlantıda kalması gerekir. Düzenli olarak arayın, sağlayıcı bloglarını veya basın bültenlerini okuyun ve yeni teklifler hakkında bilgi isteyin. Muhtemelen dolum sabunu konusunda özel ürünler bulma noktasında çalışan veya bankanızdaki hangi kasiyerin mevduatın tanınmasını hızlandıracağını bilen bir çalışanınız vardır. Hayati şirket veri güvenliği, en azından ayrıntılara verilen özeni hak ediyor.

Ezici bir yük olmak zorunda değildir; haftada sadece bir saat bile, sağlayıcınızın nasıl çalıştığı ve sizin için ne anlama geldiğine dair içgörüyü önemli ölçüde geliştirebilir. Sağlayıcılar sık ​​sık yeni güvenlik tehditleri, bunların nasıl hafifletileceği, şirketinizin bulutu daha iyi kullanabilme yolları (bazen daha düşük maliyetle!), Gelecek yıl boyunca muhtemel değişiklikler ve daha fazlası hakkında eğitim önerebilirler. Stratejik bir ortak olması gerekenlerden en iyi şekilde yararlanın.

Güven ama Doğrula

Sağlayıcınıza bir dereceye kadar güvenmeniz gerekir, ancak kendinizi aşırı derecede savunmasız bırakmayın. Sağlayıcının kaybını öngören DR planlarını yapın. Ayrıntılar, bulutun size tam olarak ne sağladığına bağlıdır. DR, yedek bir ZIP sürücüsünü kilitli kutudan çalışırken değiştirmeye ve tam donanımlı bir DRaaS kurulumuna çekmek anlamına gelebilir. Yedeklemeniz ve DR'niz bağımsız bir danışman tarafından incelenmek zorunda olsa da, iyi sağlayıcılar planlamanın en azından bir bölümünde size yardımcı olabilir.

DR planınız ters eleman içermeli mi? Yani, bulut tamamen kullanılamaz hale gelse veya İnternet dağılsa bile devam etmenin bir yolu? Bu soru kısa bir cevap için çok fazla felsefeye giriyor, ancak şirketlerin yapabilecekleri, aşırı olayların ve planlarındaki farklı önlemlerle ilgili maliyetlerin açıkça dikkate alınmasını içeriyor. Şirketiniz İnternete güvenmeden ucuz bir DR planına sahip olabilir ve korumanın değerli olduğuna karar verebilir. Çoğu kuruluş nispeten ilkel DR planları hazırlar ve günlük işlemlere öncelik verir. Yine de, en azından DR egzersizlerine başlamak eğitici ve faydalı bir deneyim.

Gerçekçi ol

Gerçekçi bulut güvenliği beklentileriniz olduğunda, başarı için en iyi konumdasınız demektir. Evet, yerel big-box mağazasında terabayt depoyu şaşırtıcı derecede düşük fiyatlarla satın alabilirsiniz. Bulut hizmetleri için aylık aboneliğinizi ödediğinizde, yalnızca bir diskin değerini değil, otomatik olarak yedeklenen, havalandırılan, Internet omurgasına hızlı bağlantıyla çalışan ve güvenlik tehlikeleri açısından temizlenen ve izlenen bir disk aldığınızı unutmayın. . Donanım, neredeyse tüm bulut tekliflerinin masrafının bir kısmını oluşturur.

Buluta geçtikten sonra bile, en büyük bilgisayar güvenliği tehditleriniz şirketinizin içinde kalacaktır: hırsızlıklar ve diğer çalışan suçları. Sağlayıcınız işlemleri izlemenize yardımcı olabilir ve etmelidir ancak sonuçta, kendi şirket kültürünüz bulut üzerinden seyahatinizin kaderini belirleyecektir. Bu sekiz adımı atın, bulut geçişiniz başarılı olacaktır:

1. Kazanma, yüksek hedefleme ve daha iyi güvenlik, daha düşük maliyet ve daha fazla yanıt verme beklentisiyle oynayın.

2. Kendi gereksinimlerinizi anlayın ve bunları yazılı olarak koyun.

3. Özel veri güvenliği profilinizi anlayın.

4. Akıllıca pazarlık yapın ve ihtiyacınız olanı isteyin.

5. Kazanacak bir bulut şampiyonu ata.

6. Bağlantıda kalın.

7. Güvenmek ancak sağlayıcı kaybına karşı emin olmak için doğrulayın.

8. Gerçek tutun ve beklentileri ayarlayın.