"בעידן הענן חובה שמערכות ההגנה יקדימו לפחות בצעד אחד את התוקפים"

במסגרת כנס CloudCon 2017, שיערך על ידי CloudZone – יחידת הענן של מטריקס, יתקיים מסלול בנושא אבטחת מידע בענן (CyberZone), עליו שוחחנו עם עדי נאה גמליאל, CTO ב-2BSecure, חברת אבטחת המידע והסייבר של מטריקס.

באילו נושאים יעסוק מסלול ה-CyberZone?
"ארגונים חייבים כל הזמן לשדרג את מערכות אבטחת המידע שלהם. כחלק מאימוץ תשתית הענן, תעשיית אבטחת המידע הופכת במהירות לפתרונות המיועדים לענן".

"במסלול שייערך בכנס בנושא CyberZone, נציג מגמות מרכזיות בתחום אבטחת המידע בהתקדמות הארגון למחשוב ענן. מומחי אבטחה מובילים ידונו בתכנון אסטרטגיית אבטחת המידע בענן, רגולציות חדשות שישפיעו בטווח הקצר על גופים רבים במשק, ניהול התקפות ותגובות בענן וכן בנושא אבטחת קונטיינרים ו-Micro Services".

"בכנס הקרוב נציג גם תהליך להעברת מידע פרטי מהארגון לענן, וכן פתרונות של אבטחת מידע בענן שעשויים לחסוך זמן וכסף ולשדרג את רמת ההגנה".

מה האתגרים העומדים בפני חברות העוברות לענן?   
"תחום אבטחת המידע בענן כולל אתגרים רבים. האתגר הראשון מתייחס לתחום בניה אסטרטגית – איך משלבים הגנה ובקרה על נכסים ותהליכים בענן ואיך יוצרים ארכיטקטורה פשוטה שתמנע הסתבכות עתידית ונקודות כשל נוספות".

"לנושא הארכיטקטורה אפשר גם להכניס עניינים רגולטוריים. למשל, איך שומרים על רגולציות כמו ISO ,PCI ,HIPAA בענן, ואיך מתמודדים עם ההשלכות של GDPR ביחס להגנה על המידע ועמידה ביעדים למתן תגובה בעת אירוע".

"ראוי לציין שהתקנות יכנסו לתוקף כבר במאי 2018 ולא נותר זמן רב להכנות. בנוסף, יש להתייחס לתקנות שפורסמו בתחילת החודש על ידי ועדת חוקה, חוק ומשפט בנושא שמירה על הפרטיות ואבטחת המידע".

"האתגר השני מתייחס לתחום ניהול אבטחת המידע בענן ברמה התפעולית. במקרה זה חשוב להתייחס לסיכונים כתוצאה מטעויות של גורם אנושי ולתאם ציפיות מול ספק השירות בענן ביחס לאחריות המשותפת. העיסוק בתחום זה מוביל להתמודדויות אל מול איומים ושיטות תקיפה חדישות".

"בנוסף, חשוב להתכונן לסיטואציה שבה עקב תקיפת סייבר נגרם נזק ויש לחשוב איך בונים תכנית תגובה משולבת מבחינה טכנולוגית, משפטית ותקשורתית".

"בתחום התפעולי אנו רואים אתגרים נוספים הקשורים לפיתוח ולתשתיות אפליקטיביות. ארגונים רבים מיישמים את פתרון הקונטיינרים וחוששים מאוד מהסיכונים הטמונים בהם. בנושא זה גם נדון במהלך המסלול ונציג כלים, שיעזרו הן למפתחים והן למנהלי אבטחת מידע, להתמודד מול הסיכונים של הטכנולוגיות הללו".

אלו מסרים או טיפים תרצה להעביר לאורחים והלקוחות בכנס?
"למרות שתהליכי אבטחת המידע המתוארים נראים מורכבים, חשוב שארגונים יתייחסו למירב הנושאים הללו ברצינות מלאה".

"מנהלי אבטחת מידע בארגונים מוכרחים להעביר את מנגנוני ההגנה לשלב חדש, שכולל בין היתר יכולות ניתוח התנהגויות, למידה עצמית וזיהוי של חולשות ופרצות, אוטומציה בתגובות לאירועים, הפעלת מלכודות ושיתוף מודיעין בין גורמי חוץ לכלל מערכות ההגנה בארגון".

"יש לבצע ניתוח סיכונים וחולשות רקורסיבי לכלל המערכות בארגון אל מול האיומים המתפתחים, ולזכור שהתוקפים של היום מאוגדים ויצירתיים יותר. לכן, מנהלים בארגונים חייבים לבנות מערכות הגנה שיקדימו לפחות בצעד אחד את התוקפים".

ניתן יהיה לשמוע על חידושים נוספים וטרנדים חמים בעולמות הענן ב-CloudCon – הכנס השנתי של CloudZone.