Yapılandırılmamış Hassas Verileri Bulutta Güvende Tutmak
Forbes'un bir makalesine göre şirketlerin %77'si en az bir bulut tabanlı hizmet kullanıyor ve bulut çözümlerinin benimsenmesinin artmaya devam etmesi kaçınılmaz. Neden? Çünkü bulut hizmetleri ölçeklenebilir, esnek ve kullanımı kolaydır ve işletmelere uzun vadede tasarruf sağlayabilir. Ancak bulut hizmetleri, verilere erişme ve kullanma şekliyle ilgili bir dizi güvenlik sorunu sunar; bu da hassas verilerin korunmasını ve ilgili veri koruma düzenlemelerine uyumu daha da zorlaştırır.
Kuruluşlar hizmet olarak yazılım (SaaS), hizmet olarak platform (PaaS) veya hizmet olarak altyapı (IaaS) kullanabilir ve genellikle çeşitli farklı hizmet sağlayıcılara güvenirler. Bunlar arasında Amazon, Microsoft, Google ve IBM sayılabilir. Her durumda, en dikkate değer veri güvenliği sorunları şu veya bu şekilde görünürlükle ilgilidir. BT yöneticileri hangi veri ve uygulamaların, ne zaman ve kim tarafından kullanıldığını belirlemekte zorluk çekiyor. Aynı şekilde, aktarım halindeki verileri takip etmekte de zorlanıyorlar.
Doğal olarak, bulut hizmetlerini kullanırken, Güvenlik Duvarları, İzinsiz Giriş Önleme Sistemleri (IPS) ve Veri Kaybını Önleme (DLP) yazılımı gibi geleneksel şirket içi çevre savunma çözümleri, çalışanlar tarafından kullanılan tüm cihazlara dağıtılmadıkça gereksiz hale getirilir.
Ancak kuruluşların %85'inin BYOD'yi şu veya bu şekilde benimsediği göz önüne alındığında, tüm çalışanların cihazlarına aracıların kurulması pratikte mümkün olmaz ve şüphesiz büyük bir dirençle karşı karşıya kalır. Çoğu bulut çözümü şifreleme hizmetleri sunsa da, hizmet sağlayıcının şifre çözme anahtarlarına erişimi olacağından bunlar gerçek anlamda güvenli değildir. Bir tür ihlale maruz kalmaları durumunda, bir bilgisayar korsanı bu anahtarlara ve dolayısıyla korudukları verilere erişebilir.
Kuruluşların verilerini bulutta güvence altına almasına yardımcı olacak hangi çözümler mevcut?
Bir zamanlar güvendiğimiz geleneksel güvenlik çözümlerinin çoğunun artık bulut çözümlerini kullanırken geçerliliğini yitirdiği göz önüne alındığında, daha veri merkezli bir yaklaşım benimsememiz gerekiyor.
Bulut hizmet sağlayıcılarının yerel denetim işlevleri son zamanlarda gelişmiş olsa da, kimin hangi verilere ne zaman eriştiğini tam olarak takip etmek için yeterince ayrıntılı bilgi sunamıyorlar. Yasal uyumluluk gereksinimlerini karşılamak için kullanılabilecek gerçek zamanlı uyarılar ve özelleştirilebilir raporlar da sağlamazlar.
Bununla birlikte, tüm saygın bulut sağlayıcıları, üçüncü tarafların verilerinin nasıl kullanıldığına ilişkin daha fazla bilgi edinmek için kullanabileceği bir Uygulama Programlama Arayüzünü (API) kullanıma sunacak. Bu, üçüncü taraf çözümlerin birden fazla bulut hizmeti sağlayıcısından gelen olay günlüklerini toplamasına ve ilişkilendirmesine ve sezgisel bir arayüz aracılığıyla olayların bir özetini görüntülemesine olanak tanır.
Hangi kullanıcı hesaplarına, dosyalara ve klasörlere erişildiği, değiştirildiği, taşındığı ve silindiği hakkında çok spesifik bilgiler sağlayabilir ve gelen kutunuza veya cep telefonunuza gerçek zamanlı uyarılar sağlayabilirler. Benzer şekilde, verilerinizin nasıl kullanıldığını ve saklandığını bildiğinizin kanıtı olarak denetleyici makamlara sunulabilecek çok sayıda önceden tanımlanmış rapor sağlayacaklar.
Doğal olarak, büyük miktarlarda yapılandırılmamış verileri birden fazla bulut platformunda depoluyorsanız, bu verilerin nerede bulunduğunu takip etmek zor olabilir. Neyse ki, pek çok veri güvenliği platformu, çok çeşitli veri türlerini otomatik olarak keşfedip sınıflandırabilen yerleşik veri sınıflandırma araçlarına sahiptir. Veri sınıflandırması yalnızca sahip olduğunuz hassas verilerin belirlenmesini kolaylaştırmakla kalmaz, aynı zamanda erişim ayrıcalıklarının doğru şekilde atanmasını da kolaylaştırır.
Doğal olarak, kesinlikle ihtiyacınız olmayan verileri silmek iyi bir fikirdir ve bu, özellikle hassas verileri bulutta saklarken geçerlidir. Son olarak, bulut hizmeti sağlayıcısı tarafından sağlanan yerel şifreleme araçlarına güvenmek yerine, verileri yüklemeden önce veya düzenleme sonrasında otomatik olarak şifreleyecek bir üçüncü taraf şifreleme çözümü kullanın.