自從冠狀病毒疫情發(fā)生以來，很多人在家遠程辦公，因此也進入了遠程工作的新時代。團隊協(xié)作SaaS的采用率因此迅速增長，云計算協(xié)作安全性面臨的問題也是如此。根據(jù)安全提供商McAfee公司的調(diào)查，在2020年1月至4月期間，對企業(yè)云帳戶的外部攻擊增加了630%，威脅參與者主要針對協(xié)作服務(wù)進行攻擊。行業(yè)專家預(yù)計，遠程工作將在疫情結(jié)束之后很長時間內(nèi)持續(xù)進行，而寬松的政策以及協(xié)作平臺上的風(fēng)險行為使組織面臨巨大的持續(xù)風(fēng)險。
McAfee公司市場總監(jiān)Nigel Hawthorn在其博客上指出：“組織通常不會允許不明身份的人員走進辦公室查看辦公桌上的文件，需要通過安保人員和系統(tǒng)的檢查和批準。但是，根據(jù)McAfee公司研究人員的調(diào)查，使用Microsoft Teams的組織每隔幾分鐘就會添加一個新的訪客，例如第三方合作伙或客戶。而對于組織的私有數(shù)字空間來說，外部訪問的數(shù)量驚人。”Hawthorn補充說，作為主要供應(yīng)商，微軟公司在產(chǎn)品的安全性方面進行了大量投資，但是其用戶仍然有責(zé)任確保以安全的方式使用協(xié)作軟件。
Metrigy公司的研究人員發(fā)現(xiàn)，擁有主動云計算協(xié)作安全計劃的組織更有可能從協(xié)作平臺中看到可以衡量的收益，例如節(jié)省成本、增加收入和提高生產(chǎn)力。專家認為，在這些環(huán)境中確保數(shù)據(jù)安全，需要首席信息安全官和其他安全領(lǐng)導(dǎo)者采用多管齊下的方法來解決技術(shù)、流程和人員問題。其策略應(yīng)高包括以下內(nèi)容：
1.選擇團隊協(xié)作的供應(yīng)商
總部位于新澤西州澤西市的數(shù)據(jù)管理和安全提供商AvePoint公司首席風(fēng)險、隱私和信息安全官Dana Simberkoff表示，任何云協(xié)作套件都會固有地帶來第三方風(fēng)險。他說，“無論你采用哪一個平臺，基本上都是將你的數(shù)據(jù)放在別人的服務(wù)器上，這意味著你的控制權(quán)降低了。”
Gartner公司分析師Patrick Hevesi表示，云計算服務(wù)的本質(zhì)要求組織依靠其供應(yīng)商來提供良好的基礎(chǔ)網(wǎng)絡(luò)安全性。因此，組織的首席信息安全官應(yīng)該提出以下問題：
•供應(yīng)商如何監(jiān)視和控制誰進入其服務(wù)器設(shè)施?
•供應(yīng)商是否有安全攝像頭?
•供應(yīng)商的網(wǎng)絡(luò)層是否安全?
Simberkoff建議說：“對于那些匆忙部署團隊協(xié)作軟件作為疫情應(yīng)對計劃一部分的組織來說，應(yīng)該盡快完成全面的供應(yīng)鏈風(fēng)險評估。需要了解組織的數(shù)據(jù)、員工和供應(yīng)商。”
Reiko Feaver是一家從事隱私、數(shù)據(jù)和網(wǎng)絡(luò)安全法律業(yè)務(wù)的云計算律師事務(wù)所Culhane Meadows的合作伙伴，她鼓勵客戶仔細審查提供商的安全認證，如果可能的話，獨立審計其內(nèi)部運營。她說，“例如，如果讓IT顧問遠程訪問組織的系統(tǒng)，確保他們正在監(jiān)控這種訪問，并在不再需要時將其切斷。”
Gartner公司的Hevesi表示，思科和微軟等頂級供應(yīng)商擁有深厚而廣泛的安全和工程專業(yè)知識，會在用戶之間建立相對較高的信任度。而運行在主要云平臺上的小型SaaS產(chǎn)品(包括AWS Microsoft Azure等)也能從這些供應(yīng)商的規(guī)模經(jīng)濟和可觀的安全資源中獲益。
Hevesi表示，組織需要謹慎選擇中小數(shù)據(jù)中心SaaS提供商。他說：“例如他們沒有為服務(wù)器打補丁或者在舊版TLS上運行，他們更容易受到錯誤和漏洞的影響，或者他們的基礎(chǔ)設(shè)施中沒有認證或標(biāo)準。這會讓我感到擔(dān)心。”
Hevesi指出，即便如此，組織的首席信息安全官也不必禁止使用新興的云協(xié)作工具，也不必重新審查它們。幾乎所有云訪問安全代理(CASB)都會主動評估大量第三方SaaS應(yīng)用程序并編譯結(jié)果以供參考。云訪問安全代理(CASB)的客戶通常還可以提交票證，要求代理審查尚未在其數(shù)據(jù)庫中使用的應(yīng)用程序。
即使在最初的審核和采用之后，組織也應(yīng)該定期重新評估其提供商的安全性。Feaver說：“不要認為他們正在做正確的事。組織必須擁有自己的系統(tǒng)并進行檢查。”
2.權(quán)衡訪客訪問設(shè)置
專家建議，即使是最好的團隊協(xié)作套件，其安全性也取決于其安全設(shè)置。在部署新的SaaS平臺時，IT領(lǐng)導(dǎo)者需要主動配置用戶訪問和權(quán)限，以與組織風(fēng)險偏好保持一致。
Metrigy公司的研究表明，向外部用戶開放協(xié)作平臺有助于提高投資回報率(ROI)。但是過早開放新部署的協(xié)作應(yīng)用程序可能會導(dǎo)致災(zāi)難性的數(shù)據(jù)泄漏。考慮到這一點，Hevesi建議，首席信息安全官應(yīng)該限制甚至阻止用戶邀請外部參與者的能力。
他說：“組織首先建立協(xié)作平臺，然而將其鎖定，并確保安全團隊知道如何管理它。”隨著網(wǎng)絡(luò)安全團隊成功添加諸如多因素身份驗證(MFA)和數(shù)據(jù)丟失防護(DLP)策略之類的控制層，他們可以逐步地擴展用戶權(quán)限和擴展第三方訪問權(quán)限。
Feaver表示，Culhane Meadows律師事務(wù)所對云協(xié)作安全性采取了類似的衡量方法。該公司在很大程度上依賴Microsoft團隊進行內(nèi)部通信，并計劃在不久的將來向該平臺添加外部客戶端，但其前提是安全團隊必須完成各種身份驅(qū)動的控件的實施。 Feaver說：“在可以邀請誰、共享什么資源、誰可以訪問哪些資源，以及訪問多長時間方面將具有更高的安全性。”
Gartner公司分析師Patrick Hevesi表示，組織通常不會在沒有防火墻的情況下部署數(shù)據(jù)中心設(shè)備，也不會在沒有云訪問安全代理(CASB)的情況下部署SaaS應(yīng)用程序，尤其是協(xié)作應(yīng)用程序。
Metrigy公司的分析師Irwin Lazar建議，希望實現(xiàn)組織之間協(xié)作的組織可以考慮使用Federation，該聯(lián)盟可橋接兩個組織的協(xié)作空間，但將其系統(tǒng)和數(shù)據(jù)保持獨立性。他補充說，應(yīng)用程序之間的聯(lián)盟和第三方聯(lián)盟都涉及到代理兩個協(xié)作平臺之間的連接的獨立軟件，它們往往比更常見的訪客訪問選項更安全。后者使首席信息安全官對用戶和數(shù)據(jù)的控制相對較少。
Lazar警告說，需要注意的是，供應(yīng)商的默認設(shè)置有時會發(fā)生變化。例如，在2021年2月，Microsoft Teams開始自動支持第三方訪客訪問，除非管理員人工禁用該功能。
思科公司安全工程師Jeremy Laurenson發(fā)推文聲稱，“微軟為什么要這么做?這一做法是數(shù)據(jù)所有權(quán)和安全性的災(zāi)難。這一更改說明需要定期檢查設(shè)置。”
3.多層云協(xié)作安全控制
Hevesi表示，強大的云協(xié)作安全計劃需要從多因素身份驗證(MFA)開始的多層控制。他說：“現(xiàn)在用戶如果沒有在防火墻的保護下，那么需要驗證是否像供應(yīng)商所說的那樣安全。”
數(shù)據(jù)丟失防護(DLP)和數(shù)據(jù)分類也應(yīng)具有較高的優(yōu)先級。AvePoint公司的Simberkoff說：“由于員工分散在各地遠程工作，很難跟蹤數(shù)據(jù)。首席信息安全官應(yīng)該始終知道數(shù)據(jù)在哪里，誰可以訪問，如果他們共享了數(shù)據(jù)以及何時刪除了數(shù)據(jù)。”
協(xié)作SaaS提供商Box公司全球首席安全官Lakshmi Hanspal說，“數(shù)據(jù)分類技術(shù)使安全管理人員可以將資源標(biāo)記為敏感資源，從而使數(shù)據(jù)能夠倡導(dǎo)自身的安全性。”
Hanspal說：“安全領(lǐng)導(dǎo)者還可以基于用戶身份、設(shè)備信任、地理位置等來建立條件訪問和特權(quán)。也許在托管設(shè)備上，我可以訪問收入報告，但是在非托管設(shè)備上只有查看的權(quán)限，而沒有下載或打印功能。或者從非典型地理位置訪問數(shù)據(jù)的受信任用戶可能必須采取其他步驟來證明其身份。”
Hevesi表示，團隊協(xié)作安全性的必需工作是云訪問安全代理(CASB)，它可以作為企業(yè)端點和云計算服務(wù)之間的網(wǎng)關(guān)，并結(jié)合了數(shù)據(jù)丟失防護(DLP)、多因素身份驗證(MFA)和威脅檢測等功能。他說：“沒有防火墻就無法保證數(shù)據(jù)中心的安全性，沒有云訪問安全代理(CASB)也難以部署SaaS應(yīng)用程序，尤其是協(xié)作應(yīng)用程序。”
云訪問安全代理(CASB)還可以幫助組織識別和跟蹤影子IT，從獨立的、未經(jīng)批準的協(xié)作應(yīng)用程序到經(jīng)過批準的平臺中看似無害但有潛在風(fēng)險的集成。例如，在2016年的美國國家總務(wù)管理局采用的Google Drive-Slack集成中，在五個月內(nèi)向美國獨立政府機構(gòu)的內(nèi)部和訪客Slack用戶公開了100多個政府Google Drive帳戶。Hanspal補充說：“對于安全從業(yè)人員來說，定期進行檢查非常重要，這樣他們就可以在必要時停用并屏蔽某些應(yīng)用程序。”
4.對員工進行云協(xié)作安全風(fēng)險培訓(xùn)
總部位于佛羅里達州坦帕市的獨立安全和隱私合規(guī)評估機構(gòu)Schellman&Company公司首席信息官Jacob Ansari說，“最終，數(shù)據(jù)泄露更可能源于用戶的無意失誤，而不是更復(fù)雜的、更具針對性的攻擊。培訓(xùn)用戶正確使用這些會議工具以避免潛在問題非常重要，比如無意之間共享帶有機密信息的屏幕，沒有使用會議密碼，或者讓太多不受信任的參與者參加會議。”
在AvePoint公司，Simberkoff對員工進行的安全和隱私風(fēng)險教育超出了協(xié)作平臺本身的虛擬邊界，例如與家庭成員共享物理工作區(qū)或數(shù)字設(shè)備。她說，“機密談話需要以書面形式進行，而不是視頻，或者在周圍沒有其他人的時候進行。”共享設(shè)備的任何人(例如允許孩子使用筆記本電腦做功課的家長)都應(yīng)該部署具有唯一登錄憑據(jù)的單獨用戶配置文件。
Simberkoff還強調(diào)了理解員工角色要求和員工多樣化工作條件的現(xiàn)實，并使員工了解“做正確的事比做錯事更容易”的重要性。組織的首席信息安全官應(yīng)該就未經(jīng)批準的應(yīng)用程序使用的風(fēng)險對員工進行培訓(xùn)，同時還應(yīng)促進安全性與業(yè)務(wù)之間的開放式溝通。例如，影子IT最終可能成為一個危險信號，表明組織批準的協(xié)作套件中缺少重要功能。
Simberkoff說：“對于安全人員來說，需要將自己視為促進業(yè)務(wù)發(fā)展的力量，而不是阻止人們做事，這一點非常重要。安全性應(yīng)該像高速公路護欄一樣，讓協(xié)作平臺用戶在保持相對安全的同時盡可能高效地工作。”
版權(quán)聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉(zhuǎn)載需注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。
京公網(wǎng)安備 11010502049343號