playbook ความปลอดภัยของคลาวด์ smb

กฎข้อแรกใน Playbook ความปลอดภัยบนคลาวด์สำหรับธุรกิจขนาดเล็กถึงขนาดกลาง (SMB) คือเราอยู่ในการชนะ ที่จะไม่ได้รับโดยหรือบันทึกเงินสดย่อยเพียงพอที่จะซื้อกาแฟหรือตามฝูงชน มันเกี่ยวกับการส่งเสริม บริษัท ให้อยู่ในระดับใหม่พร้อมประหยัดเงินและเพิ่มความปลอดภัย หากคุณไม่คาดหวังผลประโยชน์ทั้งหมดจากการย้ายไปยังคลาวด์แสดงว่าคุณกำลังเล่นเกมผิด

การย้ายไปยังคลาวด์เป็นกลยุทธ์และสร้างผลกำไร ไม่ควรเคลื่อนย้ายไปที่ก้อนเมฆเป็นสิ่งที่ตามมาภายหลัง ใส่คนทำงานที่ดีและมีประสบการณ์ไว้ในนั้นไม่ใช่พนักงานนอกเวลา

ไม่ว่าธุรกิจหลักของคุณคือชิ้นส่วนยานยนต์การวางแผนกิจกรรมหรือแม้แต่ซอฟต์แวร์คอมพิวเตอร์เป้าหมายของหนังสือเล่มนี้คือการช่วยให้คุณมุ่งเน้นไปที่วิสัยทัศน์กลางของคุณ ในระดับใหญ่การใช้คอมพิวเตอร์เป็นเพียงสิ่งที่ทำให้ไขว้เขว ตอนนี้การเตรียมการด้านไอทีเป็นกิจวัตรประจำวันมากพอที่คุณจะไว้วางใจกับผู้ขายภายนอกมากกว่าให้พนักงานของคุณลองทำทุกอย่าง ด้วยตัวเลือกระบบคลาวด์ที่เหมาะสมองค์กรของคุณจะประหยัดค่าใช้จ่ายด้านทุนเพิ่มความปลอดภัยในการปฏิบัติงานและมีความคล่องตัวและตอบสนองได้ดียิ่งขึ้น

โอกาสที่จะรู้จักตัวเอง

บริษัท ต่างๆมีสิทธิ์ที่จะกังวลเกี่ยวกับความปลอดภัยของคลาวด์ ค่าใช้จ่ายทั้งทางตรงและทางอ้อมของการละเมิดข้อมูลล่าสุดที่ บริษัท ต่างๆเช่น Anthem, Ashley Madison, CVS, Experian, Scottrade, Target และ Trump Hotel Collection เป็นเพียงแค่การส่าย ความล้มเหลวไม่ได้เกิดจากช่องโหว่ของคลาวด์โดยเฉพาะ พวกเขาเสียในนโยบายพื้นฐานและการดำเนินการภายใน บริษัท

"คลาวด์" ครอบคลุมข้อเสนออันยิ่งใหญ่ สำหรับ บริษัท หนึ่งอาจเป็นผู้เปลี่ยนเกมที่ใช้บริการออนไลน์ง่ายๆเพื่อแทนที่บัตรลงเวลาของพนักงานด้วยเครื่องมือเครือข่าย บริษัท อื่นอาจตัดสินใจว่าต้องการอะไรน้อยกว่าศูนย์ข้อมูลแบบบริการ (DCaaS) ทั้งหมดเข้าถึงได้ผ่านเดสก์ท็อป -a-a-service (DaaS) และเสริมด้วยการกู้คืนความเสียหายแบบ as-a-service ( DRaaS) พร้อมทุกอย่างย้ายออกนอกสถานที่ บริษัท ที่สามอาจกระโดดเข้าสู่คลาวด์อย่างเต็มที่ แต่เป็น บริษัท เอกชนในสถานที่จริงที่สอดคล้องกับกฎหมาย

รายละเอียดความปลอดภัยบนคลาวด์จะแตกต่างกันระหว่างตัวอย่างเหล่านี้ แต่พื้นฐานหลายอย่างมีความเหมือนกัน:

1. ให้พนักงานทุกคนเข้าสู่ระบบของตนเอง

2. สร้างขั้นตอนมาตรฐานสำหรับการถอนบัญชีเมื่อพนักงานออก

3. ให้คำแนะนำผู้ดูแลระบบเป็นลายลักษณ์อักษรสำหรับการเข้าถึงการสำรองข้อมูลและการสนับสนุนระบบคลาวด์

4. สร้างความสัมพันธ์ทางธุรกิจระหว่างองค์กรของคุณและผู้จำหน่ายความปลอดภัยบนคลาวด์ก่อนเกิดเหตุฉุกเฉิน

5. คุณและผู้ให้บริการของคุณควรมีข้อตกลงที่เข้าใจได้และชัดเจนเกี่ยวกับข้อตกลงระดับการให้บริการ (SLA) รวมถึงความถี่ดับและแผนปฏิบัติการดับ

เช่นเดียวกับแผนธุรกิจที่เป็นทางการจะช่วยให้องค์กรของคุณได้รับประโยชน์สูงสุดโดยรวมก็คือการมีข้อกำหนดด้านไอทีที่ชัดเจนซึ่งครอบคลุมขั้นตอนการทำงานจุดแข็งและจุดอ่อน การวางแผนที่สำคัญอย่างหนึ่งคือการสัมภาษณ์เจ้าของภาระงานสำคัญภายในองค์กรของคุณเพื่อยืนยันรายละเอียดที่ชัดเจนว่าธุรกิจของคุณทำธุรกิจอย่างไร ตรวจสอบให้แน่ใจว่าคุณโอนย้ายปริมาณงานจริงไม่ใช่สิ่งที่คุณจำได้ว่าพวกเขาอาจเคยเป็นมาก่อน

นอกจากนี้วางแผนลำดับที่ชัดเจนสำหรับการโยกย้ายของคุณ มองหาผลไม้แขวนต่ำ โอนย้ายเวิร์กโฟลว์การขนส่งความเสี่ยงต่ำและผลตอบแทนสูงได้อย่างง่ายดายก่อน เรียนรู้จากการโยกย้ายครั้งแรกและอัปเดตรูปแบบการย้ายข้อมูลของคุณเมื่อคุณย้ายไปที่การย้ายถิ่นที่ไม่แน่นอนหรือเป็นอันตราย (หรือตัดสินใจบนพื้นฐานของประสบการณ์ของคุณเพื่อป้องกันไม่ให้เวิร์กโฟลว์เฉพาะออกจากคลาวด์)

ครั้งแรกที่คุณเขียนข้อกำหนดคุณจะไม่สมบูรณ์แบบ ไม่เป็นไรที่จะเริ่มแผนคิดว่าคุณได้เก็บทุกอย่างแล้วเริ่มพึ่งพาบริการคลาวด์แล้วสรุปว่าสิ่งต่าง ๆ ไม่สะดวกสบาย คุณค่าที่ยิ่งใหญ่ของสัญญาครั้งแรกของคุณอาจเป็นการเรียนรู้ว่าอะไรมีประสิทธิภาพ ไม่มีความละอายในการเปลี่ยนผู้ให้บริการก่อน การละเมิดข้อมูลพาดหัวที่มีค่าจำนวนมากเกิดขึ้นเมื่อมันกลายเป็นกิจวัตรสำหรับองค์กรเพื่อ "หลีกเลี่ยง" มาตรฐานที่ตั้งใจไว้ แต่ไม่เหมาะสม บริการคลาวด์ส่วนใหญ่ให้บริการอย่างชัดเจนสำหรับเดือนทดลองใช้หรือมากกว่านั้น คาดว่าจะใช้ประโยชน์จาก "ไดรฟ์ทดสอบ" เหล่านี้

โปรดจำไว้ว่ายิ่งคุณเข้าใจสิ่งที่สำคัญกับคุณมากเท่าไหร่คุณก็จะยิ่งได้รับมันมากขึ้นเท่านั้น ในนามธรรมคุณสามารถขอให้ผู้ให้บริการคลาวด์สำหรับทุกสิ่งตั้งแต่ความปลอดภัยบนมือถือและการแบ่งปันไฟล์และการสำรองข้อมูลระดับผู้บริโภคไปจนถึงฟังก์ชั่นสายธุรกิจ (LOB) รวมถึงการบัญชีการบัญชีและการวางแผนทรัพยากรองค์กร (ERP) คุณรู้ดีที่สุดว่าควรจัดลำดับความสำคัญของคุณเองอย่างไร อย่าเพิ่งทำสิ่งที่คุณเสนอ คิดในสิ่งที่ธุรกิจของคุณมีกำไรมากที่สุด

รู้ข้อมูลของคุณ

ธุรกิจสมัยใหม่รับรู้ข้อมูลของพวกเขาสมควรได้รับความสนใจเป็นพิเศษ ในระดับใหญ่ส่วนอื่น ๆ ของธุรกิจสามารถถูกแทนที่หรือเอาต์ซอร์ซได้ แต่ข้อมูลสำคัญ - เกี่ยวกับลูกค้าพนักงานกระบวนการและคุณสมบัติ - สร้างมูลค่าที่ไม่ซ้ำของ บริษัท

ดังนั้นแผนการโยกย้ายของคุณควรรวมไว้ในเงื่อนไขที่ชัดเจนและเฉพาะเจาะจงไม่เพียง แต่สิ่งที่คุณทำและวิธีที่คุณจะทำในคลาวด์ แต่วิธีที่คุณจะเก็บรักษาข้อมูลสำคัญของ บริษัท ไว้อย่างปลอดภัย อีเมลเป็นภาระทั่วไปที่จะย้ายไปยังคลาวด์ ในขณะที่อีเมลมักจะมีข้อมูลที่เป็นกรรมสิทธิ์มากมาย แต่ก็เป็นเทคโนโลยีที่สมบูรณ์และเป็นหนึ่งในระบบคลาวด์ที่ส่งมอบได้ดี นักวิเคราะห์อิสระหลายคนสรุปว่าการโฮสต์อีเมลในระบบคลาวด์นั้นปลอดภัยกว่าการจัดการบริการอีเมลภายในองค์กร อย่างไรก็ตามหากคุณมีข้อกำหนดพิเศษทางอีเมล (เช่นข้อ จำกัด ทางกฎหมายสำหรับการจัดเก็บในเขตอำนาจศาลเฉพาะ) คุณจะต้องปรับแผนของคุณเป็นบัญชีนี้

โปรแกรมที่กำหนดเองซึ่งรวมการทำธุรกรรมของลูกค้าหรือกระบวนการทางอุตสาหกรรมนำเสนอโปรไฟล์ที่ตรงกันข้าม ไม่มีผู้ขายคลาวด์ที่จะให้บริการที่ไม่ซ้ำใครของคุณ ในทางกลับกันแม้แต่ซอฟต์แวร์ที่ผิดปกติเป็นกรรมสิทธิ์และเป็นส่วนตัวสามารถเรียกใช้บนเครื่องเสมือน (VM) ที่เช่าจากคลาวด์ เป็นไปได้ที่จะเก็บรักษาข้อมูลภายในองค์กรของคุณ แต่พึ่งพาระบบคลาวด์ในการทำงานกับข้อมูล สิ่งนี้จะทำให้รายจ่ายฝ่ายทุน (CAPEX) ของการซื้อเซิร์ฟเวอร์เป็นค่าใช้จ่ายในการดำเนินงานที่ปรับได้ (OPEX)

ขอสิ่งที่คุณต้องการ

การใช้งานคอมพิวเตอร์ส่วนใหญ่เป็นกิจวัตรประจำวัน แต่รูปแบบธุรกิจรอบตัวพวกเขายังไม่ได้รับการอบอย่างเต็มที่ บางส่วนของคลาวด์ได้มาตรฐานอย่างทั่วถึง ตัวอย่างเช่นทุกวันผู้คนนับพันได้รับบัญชีอีเมลใหม่ที่ไม่มีค่าใช้จ่ายจาก Google, Microsoft, Yahoo และอื่น ๆ ไม่มีมนุษย์เข้ามาแทรกแซง

อย่างไรก็ตามบริการคลาวด์ที่เชี่ยวชาญเป็นพิเศษนั้นมักได้รับการสนับสนุนจากเจ้าหน้าที่ฝ่ายสนับสนุน คุณสามารถและควรถามคำถาม หากบริการคลาวด์ที่เฉพาะเจาะจงนั้นเหมาะสมกับคุณยกเว้นจะไม่มีการจัดทำรายงานในรูปแบบที่ตรงกับระบบบัญชีของคุณให้นำเสนอบริการดังกล่าวกับผู้ให้บริการ บ่อยครั้งที่พวกเขาสามารถจัดเรียงที่ไม่ปรากฏบนหน้าสาธารณะของพวกเขา

คำถามคลาวด์ไม่ใช่ "เราควรยอมรับหรือไม่" พนักงานของคุณใช้บริการคลาวด์อยู่แล้วไม่ว่าคุณจะเข้าใจหรือไม่ก็ตาม คำถามเกี่ยวกับคลาวด์ที่เกี่ยวข้องมากขึ้นคือ "ผู้ขายรายใดที่เหมาะสมที่สุด" หากคุณจำเป็นต้องตรวจสอบการปฏิบัติงานเพื่อให้เป็นไปตามพระราชบัญญัติประกันสุขภาพและความรับผิดชอบต่อหน้าที่ (HIPAA) หรือพระราชบัญญัติ Sarbanes-Oxley (SOX) หากการอ่านบันทึกของการบุกรุกที่พยายามสกัดกั้นทำให้คุณรู้สึกสบายใจ ผู้ให้บริการส่วนใหญ่เข้าใจว่าลูกค้าที่ดีจะสร้างความสัมพันธ์ระยะยาวและพวกเขาจะร่วมมือกับคำขอที่สมเหตุสมผล ข้อดีอย่างหนึ่งของการพึ่งพาระบบคลาวด์คือคุณสามารถให้ผู้เชี่ยวชาญระดับโลกทำงานให้คุณได้ ใช้ประโยชน์จากสิ่งนี้ให้มากที่สุด

กำหนดแชมป์ที่ชนะ

มอบหมายความรับผิดชอบต่อความสำเร็จของ บริษัท ของคุณในระบบคลาวด์ให้กับบุคคลที่ผ่านการรับรอง ผู้สมัครที่เหมาะสมควรแสดงคุณสมบัติเฉพาะบางประการ:

1. สถานะสูงภายใน บริษัท

2. กระตือรือร้นเกี่ยวกับโอกาสที่คลาวด์นำเสนอ

3. มีความอ่อนไหวต่อปัญหาด้านความปลอดภัย

4. มีความสามารถในการบริหารโครงการและการดำเนินงาน

5. ทะเยอทะยาน (ในทางที่ดี)

แม้ว่าคุณจะไม่พบผู้สมัครที่มีคุณสมบัติครบทุกประการ แต่ก็คุ้มค่ากับความพยายามในการระบุผู้ชนะด้วยคุณสมบัติเหล่านี้อย่างน้อยสองหรือสามอย่าง ผู้ชนะเลิศไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านความปลอดภัยบนคลาวด์ที่ผ่านการรับรองหรือมีความรับผิดชอบด้านไอทีเต็มเวลา ความกระตือรือร้นและความขยันเป็นคุณสมบัติที่สำคัญกว่า

หากองค์กรมีขนาดเล็กพอแชมป์คลาวด์อาจมาจากฝ่ายการเงินหรือฝ่ายจัดซื้อใครก็ตามที่นำที่ปรึกษามาตรวจสอบแผนการและผลการตรวจสอบ มองหาที่ปรึกษาที่สามารถแสดงความสำเร็จอย่างชัดเจนในแง่ธุรกิจ สิ่งเหล่านี้คือสิ่งที่สามารถวัดปริมาณงานที่พวกเขาได้รับการบรรเทาและเวลาดำเนินการที่ถูกเฉือนไม่เพียง แต่เทคโนโลยีที่ทันสมัยที่พวกเขาทำกัน

อยู่ในการติดต่อ

คนที่ทุ่มเทให้กับ บริษัท ของคุณควรติดต่อกับผู้ให้บริการของคุณ โทรเป็นระยะอ่านบล็อกของผู้ให้บริการหรือข่าวประชาสัมพันธ์แล้วถามเกี่ยวกับข้อเสนอใหม่ ๆ คุณอาจมีพนักงานที่ทำให้การค้นหาพิเศษในสบู่เติมหรือรู้ว่าแคชเชียร์ที่ธนาคารสามารถเร่งการรับรู้ของเงินฝาก ความปลอดภัยของข้อมูล บริษัท ที่สำคัญควรได้รับการใส่ใจในรายละเอียดเป็นอย่างน้อย

ไม่จำเป็นต้องเป็นภาระย่อยยับ แม้เพียงหนึ่งชั่วโมงต่อสัปดาห์ก็สามารถปรับปรุงการเข้าใจอย่างลึกซึ้งถึงวิธีการที่ผู้ให้บริการของคุณดำเนินการและสิ่งที่มีความหมายสำหรับคุณ ผู้ให้บริการมักจะแนะนำการฝึกอบรมเกี่ยวกับภัยคุกคามความปลอดภัยใหม่วิธีการบรรเทาปัญหาวิธีที่ บริษัท ของคุณสามารถใช้ระบบคลาวด์ได้ดีขึ้น (บางครั้งมีต้นทุนที่ต่ำกว่า!) การเปลี่ยนแปลงที่น่าจะเกิดขึ้นในปีหน้า ใช้ประโยชน์สูงสุดจากสิ่งที่ควรเป็นพันธมิตรเชิงกลยุทธ์

เชื่อถือ แต่ยืนยัน

คุณต้องพึ่งพาผู้ให้บริการของคุณในระดับหนึ่ง แต่อย่าปล่อยให้ตัวเองมีความเสี่ยงมากเกินไป จัดทำแผน DR ที่คาดการณ์ถึงการสูญเสียของผู้ให้บริการ รายละเอียดขึ้นอยู่กับสิ่งที่คลาวด์จัดหาให้คุณ DR อาจหมายถึงอะไรก็ได้ตั้งแต่ดึงไดรฟ์ ZIP สำรองออกจากล็อกบ็อกซ์ไปสู่การสลับร้อนไปจนถึงการติดตั้ง DRaaS ที่มีอุปกรณ์ครบครัน ผู้ให้บริการที่ดีสามารถช่วยคุณในการวางแผนอย่างน้อยส่วนหนึ่งแม้ว่าการสำรองข้อมูลและ DR ของคุณควรได้รับการตรวจสอบโดยที่ปรึกษาอิสระ

แผน DR ของคุณควรมีองค์ประกอบที่ตรงกันข้ามหรือไม่? หมายความว่าวิธีที่จะดำเนินการต่อไปแม้ว่าระบบคลาวด์จะไม่สามารถใช้งานได้อย่างเต็มที่หรืออินเทอร์เน็ตล่มสลาย? คำถามนี้เดินเตร่ไปไกลเกินกว่าปรัชญาสำหรับคำตอบสั้น ๆ แต่สิ่งที่ บริษัท สามารถทำได้คือรวมถึงการพิจารณาอย่างชัดเจนของเหตุการณ์ที่รุนแรงและค่าใช้จ่ายที่เกี่ยวข้องกับมาตรการตอบโต้ที่แตกต่างกันในแผนของพวกเขา บริษัท ของคุณอาจมีแผน DR ที่ไม่แพงโดยไม่ต้องพึ่งพาอินเทอร์เน็ตและตัดสินใจว่าการป้องกันนั้นคุ้มค่า องค์กรส่วนใหญ่ทำงานตามแผน DR ดั้งเดิมและจัดลำดับความสำคัญการดำเนินงานรายวัน แม้ว่าอย่างน้อยการเริ่มแบบฝึกหัด DR ก็เป็นประสบการณ์ทางการศึกษาและรางวัล

ให้มันจริง

เมื่อคุณมีความคาดหวังด้านความปลอดภัยบนคลาวด์ที่สมจริงคุณจะอยู่ในตำแหน่งที่ดีที่สุดสำหรับความสำเร็จ ได้คุณสามารถซื้อพื้นที่เก็บข้อมูลเทราไบต์ได้ที่ร้านกล่องใหญ่ในราคาถูกอย่างน่าตกใจ เมื่อคุณชำระค่าบริการคลาวด์รายเดือนของคุณโปรดจำไว้ว่าคุณได้รับไม่ใช่เพียงแค่มูลค่าของดิสก์ แต่สิ่งที่สำรองไว้โดยอัตโนมัติระบายอากาศทำงานบนการเชื่อมต่อความเร็วสูงกับกระดูกสันหลังของอินเทอร์เน็ตและขัดและตรวจสอบอันตรายด้านความปลอดภัย . ฮาร์ดแวร์ประกอบไปด้วยค่าใช้จ่ายส่วนน้อยในการเสนอคลาวด์เกือบทั้งหมด

แม้หลังจากที่คุณย้ายไปที่คลาวด์ภัยคุกคามความปลอดภัยคอมพิวเตอร์ที่ยิ่งใหญ่ที่สุดของคุณจะยังคงอยู่ภายใน บริษัท ของคุณ: ขโมยและอาชญากรรมของพนักงานคนอื่น ๆ ผู้ให้บริการของคุณสามารถและควรช่วยคุณตรวจสอบการปฏิบัติงาน แต่ท้ายที่สุดวัฒนธรรมของ บริษัท ของคุณจะกำหนดชะตากรรมของการเดินทางผ่านคลาวด์ ใช้แปดขั้นตอนเหล่านี้และการย้ายระบบคลาวด์ของคุณจะสำเร็จ:

1. เล่นเพื่อชนะตั้งเป้าหมายสูงและคาดหวังความปลอดภัยที่ดีกว่าลดต้นทุนและตอบสนองได้มากขึ้น

2. เข้าใจความต้องการของคุณและเขียนเป็นลายลักษณ์อักษร

3. เข้าใจโปรไฟล์ความปลอดภัยข้อมูลเฉพาะของคุณ

4. เจรจาอย่างชาญฉลาดและถามในสิ่งที่คุณต้องการ

5. กำหนดแชมป์คลาวด์ที่จะชนะ

6. ติดต่อกัน

7. เชื่อถือ แต่ตรวจสอบเพื่อให้แน่ใจว่าสูญเสียผู้ให้บริการ

8. ทำให้เป็นจริงและปรับความคาดหวัง