フィードを購読する

Tässä jutussa

  • näet, kuinka CIA-malli, DevSecOps-toimintatapa ja yhtenäinen automaatiostrategia voivat auttaa sinua toteuttamaan tietoturvallisen hybridipilven
  • opit kuinka tuotteet, kuten Red Hat Enterprise Linux ja Red Hat Advanced Cluster Security for Kubernetes, voivat auttaa minimoimaan toimintariskejä

On selvää, että tietoturva on yksi tärkeimmistä asioista kaikissa hybridipilven käytön vaiheissa. Tässä jutussa tarkastelemme hybridipilven tietoturvan parantamista tietomurtojen välttämiseksi.

Mitä tietoturvahaasteita on hybridipilviympäristöissä?

Hybridipilviympäristöjen tietoturvahaasteita ovat muun muassa:

  • Datan suojaaminen: Koska sama data voi olla joko siirrettävänä tai levossa eri ajankohtina (ja eri paikoissa), datan paljastuminen ulkopuolisille hybridipilvessä on todellinen riski 
  • Yhteistyön puute tiimien välillä: Kun kehitys-, operaatio- ja tietoturvatiimit hoitavat tietoturvan hybridipilviympäristöissä omissa siiloissaan, seurauksena voi olla esimerkiksi tietoturva-aukkoja ja päällekkäisiä toimenpiteitä.
  • Vaatimustenmukaisuuden ja järjestelmien hallinnan virtaviivaistaminen: Vaaditun perustietoturvasuojan manuaalinen käyttöönotto, tietoturvatarkastuksiin valmistautuminen ja hajautetun ympäristön vaatimustenmukaisuudentarkistaminen voivat olla aikaa vieviä ja kalliita.

Jos kehitystyö jollain näistä kolmesta osa-alueesta viivästyy, se voi mahdollistaa luvattoman pääsyn ulkopuolisille  yritysten arkaluonteiseen dataan ja sisäisiin resursseihin. 

Miten tilanne voidaan sitten ratkaista?

3 vinkkiä tietoturvallisen hybridipilven käyttöönottoon

1. Varmista, että data täyttää CIA-kolmikantamallin (Confidentiality, Integrity, and Availability) vaatimukset 

Hybridipilviympäristöissä data ei ole levossa, liikkeessä tai toiminnassa vain omassa palvelinkeskuksessasi vaan myös yhdessä tai useammassa julkisessa pilvessä. Tämä tekee datan suojaamisesta kriittisen tärkeää  ja samalla monimutkaista.

Tietoturvaa voidaan parantaa niin kutsuttua CIA-kolmikantamallia käyttämällä eli toimimalla kolmen tietoturvan avaintekijän mukaisesti:

  1. Luottamuksellisuus: Datan käytön rajoittaminen vain niille, joilla on lupa käyttää niitä.
  2. Yhteneväisyys: Varmistetaan, että henkilöt joilla ei ole oikeutta käyttää dataa, eivät pysty muuttamaan tai poistamaan tietoja.
  3. Saatavuus: Varmistetaan, että data on tarvittaessa saatavilla.

Miltä siis CIA-mallin käyttäminen hybridipilviympäristöissä näyttää?

Se näyttää erilaiselta sen mukaan, missä vaiheessa elinkaartaan data on. Esimerkkinä mallin eri vaiheiden näkymisestä käytämme lepotilassa olevaa dataa: Lepotilassa olevan datan luottamuksellisuuden varmistaminen voi näyttää datan kryptaamiselta, ja yhteneväisyys voi näyttää kryptatun datan vahvistamiselta. Saatavuus voi tarkoittaa tietojen varmuuskopiointia.

Red Hat voi auttaa CIA-mallin käyttöönottamisessa. Red Hat Enterprise Linuxilla (RHEL) rakennetuissa tuotteissamme on mukana keskeisimmät tietoturvaominaisuudet kuten standardized crypto policies ja Security-Enhanced Linux (SELinux). 

Esimerkiksi Red Hat Openshift Data Foundation, hybridipilven tallennusalustamme Red Hat OpenShifille, hyödyntää RHEL:n sertifioitua, itsenäisesti validoitua kryptografiaa, joka mahdollistaa hybridipilvessä datan salauksen sekä levossa että liikkeessä.

2. Yhdenmukaista koko organisaation tietoturva käyttämällä DevSecOps-toimintatapaa

DevSecOps-toimintatavassa tietoturva-, kehitys- ja käyttötiimit jakavat vastuun tietoturvan integroimisesta koko IT-elinkaaren ajan. DevSecOpsin käyttöönotto tarkoittaa sovellusten ja infrastruktuurin tietoturvan ottamista huomioon alusta alkaen.

DevSecOps on erinomainen valinta tietoturvallista hybridipilveä käyttöönotettaessa – mutta miltä se todellisuudessa näyttää hybridipilviympäristöissä?

Vaikka kulttuuri on tärkeä osa toimintaa, haluat varmistaa myös, että hybridipilviratkaisu yksinkertaistaa DevSeCOps-toimintamallia niin paljon kuin mahdollista.

Ensiksi on tärkeää ymmärtää, että DevSecOps-toimintamallin on oltava ensisijainen osa yrityksen tietoturva/IT-kulttuuria. Terveen DevSecOps-kulttuurin lähtökohtia hybridipilviympäristöissä ovat:

  • Koulutus: Kehittäjien kouluttaminen turvallisiin koodauskäytäntöihin.
  • Läpinäkyvyys: Siilojen poistaminen ja näkyvyyden tarjoaminen Ops-työkaluihin.
  • Yhteiset tavoitteet: Koko prosessin kattavien tavoitteiden määrittäminen ja mittaaminen.
  • Tietoturva-automaatio: Tietoturvan automatisointi elinkaaren jokaisessa vaiheessa.

Vaikka kulttuuri on tärkeää, sinun kannattaa myös varmistaa, että hybridipilviteknologiasi yksinkertaistaa DevSecOps-toimintatapaa mahdollisimman paljon.

Koska konttien ja Kubernetesin käyttö mahdollistavat nykyään monet hybridipilvet, tarvitset tietoturva-alustan, joka sekä suojaa koko Kubernetes-ympäristöäsi että tekee DevSecOpsista helpompaa.

Red Hat Advanced Cluster Security for Kubernetes  on yrityksille suunnattu Kubernetes-natiivi konttitietoturvaratkaisumme. Se voidaan integroida DevOpsiin ja tietoturvatyökaluihin, jotka auttavat sinua sekä vähentämään uhkia että ottamaan käyttöön tietoturvakäytäntöjä, jotka minimoivat sovellustenne toiminnalliset riskit.

Toinen Red Hat -tuote, joka voi auttaa yksinkertaistamaan DevSecOps-toimintatapaa, on Red Hat OpenShift Platform Plus,  joka tuo yhteen hybridipilviympäristössä useiden klustereiden hallintaan tarvitsemasi työkalut.

3. Ota käyttöön yhtenäinen automaatiostrategia tehostaaksesi vaatimustenmukaisuutta ja järjestelmien hallintaa.

Automaatio auttaa vähentämään inhimillistä virheistä johtuvia  riskejä, varmistamaan turvallisuuden heti alusta alkaen ja mahdollistaa everything-as-code-toimintatavan.  Automaation avulla voit tehostaa toimintanne vaatimustenmukaisuutta ja järjestelmien hallintaa seuraavasti:

  • Jäljitettävyys ja toistettavuus vaatimustenmukaisuuden varmistamiseksi.
  • Yhdenmukainen konfigurointi ja hallinta usean eri valmistajan ratkaisuista koostuvassa toimintaympäristössä.
  • Käytäntöjen, järjestelmäpäivitysten ja palomuurien automaattinen käyttöönotto koko verkossa.

Ideaalitilanteessa yrityksellä olisi hybridipilvi-stackissa yhteinen automaatiokieli, joka nykyisten DevSecOps-tiimien ja uusien työntekijöiden olisi helppo oppia. Yhteinen automaatiokieli mahdollistaa kaikkien IT-tiimien toimintojen yhteensopivuuden ja sujuvan yhteistyön.

Red Hat Ansible Automation Platformin avulla voit hyödyntää yhtä johtavista automaatioalustoista, joka sisältää kuratoidun kokoelman moduuleja, rooleja ja pelikirjoja tietoturvauhkien tutkimiseen ja niihin vastaamiseen. 

Lue lisää LINKKI siitä, kuinka helppoa pilvi-infrastruktuurin luominen Ansiblella voi olla.

Yhteenveto

Tietoturva on suuri huolenaihe, olitpa missä tahansa hybridipilven käyttövaiheessa, ja hybridipilven tietoturvallisuuden ylläpitäminen on tärkeää ohjelmistojen haavoittuvuuksiin reagoitaessa.

Olipa kyse datan turvaamisesta, tiimien yhteistyöstä tai vaatimustenmukaisuuden ja järjestelmien hallinnan virtaviivaistamisesta, hyvin toimivien hybridipilvien tietoturvakäytäntöjen toteuttaminen voi olla haastavaa. Red Hatin tuotteet tarjoavat avun näiden haasteiden ratkaisemiseen. 

Kerromme jutussa muutaman esimerkin siitä, kuinka Red Hat Openshift Data Foundation, Red Hat Advanced Cluster Security for Kubernetes sekä Red Hat Ansible Automation Platform voivat auttaa tietoturvallisen hybridipilven käyttöönotossa.

Opi lisää hybridipilven tietoturvahaasteista ja -ratkaisuista Security Symposium 2021

-tapahtumassa, jonka voit katsoa nyt suoratoistotallenteena. LINKKI


執筆者紹介

Bill Cozens is a recent UNC-Chapel Hill grad interning as an Associate Blog Editor for the Red Hat Blog.

Read full bio

チャンネル別に見る

automation icon

自動化

テクノロジー、チームおよび環境に関する IT 自動化の最新情報

AI icon

AI (人工知能)

お客様が AI ワークロードをどこでも自由に実行することを可能にするプラットフォームについてのアップデート

open hybrid cloud icon

オープン・ハイブリッドクラウド

ハイブリッドクラウドで柔軟に未来を築く方法をご確認ください。

security icon

セキュリティ

環境やテクノロジー全体に及ぶリスクを軽減する方法に関する最新情報

edge icon

エッジコンピューティング

エッジでの運用を単純化するプラットフォームのアップデート

Infrastructure icon

インフラストラクチャ

世界有数のエンタープライズ向け Linux プラットフォームの最新情報

application development icon

アプリケーション

アプリケーションの最も困難な課題に対する Red Hat ソリューションの詳細

Original series icon

オリジナル番組

エンタープライズ向けテクノロジーのメーカーやリーダーによるストーリー