5 Kendala dalam Model Tanggung Jawab Bersama Keamanan Siber Cloud

Komputasi awan menawarkan banyak keuntungan bagi bisnis modern, seperti fleksibilitas, skalabilitas, efisiensi, dan inovasi. Namun hal ini juga menimbulkan tantangan dan risiko keamanan tersendiri. Bagaimana cara mengamankan data dan aset Anda di cloud? Siapa yang bertanggung jawab atas apa yang ada di lingkungan cloud?

Model tanggung jawab bersama membantu menjawab pertanyaan-pertanyaan ini dan banyak lagi. Model tanggung jawab bersama adalah kerangka kerja yang mendefinisikan peran dan tanggung jawab keamanan dan kepatuhan penyedia layanan cloud (CSP) dan pelanggan untuk berbagai komponen lingkungan cloud. CSP bertanggung jawab untuk mengamankan infrastruktur dan layanan cloud, seperti server, jaringan, penyimpanan, dan database. Pelanggan bertanggung jawab untuk mengamankan data dan aplikasi mereka di cloud, serta sistem operasi, perangkat lunak, dan konfigurasi jaringan mereka, bergantung pada jenis layanan cloud yang mereka gunakan. Model tanggung jawab bersama bertujuan untuk mencegah kesenjangan keamanan cloud dan memastikan akuntabilitas sehingga menghasilkan postur keamanan yang lebih kuat bagi semua pihak.

Namun, model tanggung jawab bersama tidaklah mudah. Ada banyak kendala yang dapat membahayakan model ini dan membuat pelanggan rentan terhadap ancaman keamanan. Berikut lima kendala tersebut dan cara menghindarinya.

Kesalahan 1: Kesalahpahaman tentang Keamanan Cloud

Salah satu kesulitan umum mengenai model tanggung jawab bersama adalah kesalahpahaman tentang keamanan cloud. Beberapa pelanggan memiliki pandangan ekstrem mengenai keamanan cloud, terlalu optimis atau terlalu pesimis. Misalnya, beberapa pelanggan mungkin berpikir bahwa cloud sangat aman sehingga tidak ada lagi yang bisa mereka lakukan. Mereka mungkin berasumsi bahwa CSP telah melakukan semuanya dan mereka dapat bersantai dan menikmati manfaat cloud tanpa mengkhawatirkan keamanan. Hal ini tidak benar karena masih banyak aspek yang masih menjadi tanggung jawab pelanggan seperti perlindungan data, manajemen akses, dan pengaturan konfigurasi. Mengandalkan CSP saja dapat menyebabkan kesenjangan keamanan atau hilangnya peluang.

Di sisi lain, beberapa pelanggan mungkin berpikir bahwa cloud sangat tidak aman sehingga mereka tidak dapat menggunakannya. Mereka mungkin takut bahwa hal ini akan membuat mereka menghadapi lebih banyak ancaman dan kerentanan dibandingkan pusat data mereka sendiri. Mereka mungkin juga tidak mempercayai kemampuan atau kemauan CSP untuk melindungi data dan aset mereka. Hal ini juga tidak benar, karena ada banyak keuntungan keamanan cloud yang dapat dimanfaatkan pelanggan, seperti skalabilitas, otomatisasi, ketahanan, kecerdasan, dll. CSP memiliki insentif yang kuat untuk menjaga tingkat keamanan yang tinggi bagi pelanggan mereka, sebagai pelanggan mereka. reputasi dan pendapatan bergantung padanya.

Jadi, kebenarannya ada di antara dua ekstrem ini. Keamanan cloud bukanlah formula ajaib atau mimpi buruk. Hal ini merupakan tanggung jawab bersama yang mengharuskan kedua belah pihak untuk bekerja sama dan memahami peran dan kewajibannya.

Mitos: CSP bertanggung jawab atas pelanggaran keamanan atau kehilangan data di cloud.

Fakta: CSP hanya bertanggung jawab atas pelanggaran atau kerugian yang diakibatkan oleh kelalaian atau kesalahan mereka sendiri. Pelanggan tetap bertanggung jawab untuk mematuhi undang-undang dan peraturan, mengamankan data dan aplikasi mereka sendiri, dan melaporkan setiap insiden atau masalah.

Mitos: Pelanggan tidak memiliki kendali atau visibilitas atas data dan aset mereka di cloud.

Fakta: Pelanggan memiliki kepemilikan dan kendali penuh atas data dan aset mereka di cloud. Mereka dapat memilih tempat menyimpan datanya, cara mengenkripsinya, siapa yang dapat mengaksesnya, cara memantaunya, dll. Mereka juga dapat menggunakan alat dan layanan yang disediakan oleh CSP atau pihak ketiga untuk meningkatkan visibilitas dan kemampuan audit lingkungan cloud mereka. .

Mitos: Pelanggan dapat menggunakan alat dan praktik keamanan yang sama di cloud seperti yang mereka lakukan di lokasi.

Fakta: Pelanggan mungkin perlu beradaptasi atau mengadopsi alat dan praktik keamanan baru di cloud agar sesuai dengan berbagai karakteristik dan tantangan komputasi awan. Misalnya, mereka mungkin perlu menggunakan lebih banyak alat otomatisasi dan orkestrasi untuk mengelola konfigurasi keamanan di berbagai layanan dan wilayah cloud. Mereka mungkin juga perlu menggunakan lebih banyak pendekatan keamanan berbasis identitas dan berpusat pada data untuk melindungi data dan aset mereka dalam lingkungan cloud yang dinamis dan terdistribusi.

Kesalahan 2: Pendelegasian Tanggung Jawab yang berlebihan

Bahaya lain dalam model tanggung jawab bersama adalah pendelegasian tanggung jawab yang berlebihan. Beberapa pelanggan mungkin tidak sepenuhnya memahami apa yang sebenarnya tersisa ketika mereka memindahkan sistem ke cloud. Mereka mungkin berasumsi bahwa CSP bertanggung jawab atas segalanya dan tidak memperhatikan kewajibannya sendiri. Hal ini dapat berisiko dan mengakibatkan masalah kepatuhan atau pelanggaran.

Misalnya, beberapa pelanggan mungkin berpikir bahwa mereka tidak perlu khawatir tentang melakukan patching atau memperbarui perangkat lunak atau aplikasi mereka di cloud karena mereka berasumsi bahwa CSP akan melakukannya untuk mereka. Namun, hal ini bergantung pada jenis model layanan cloud yang mereka gunakan. Jika mereka menggunakan Infrastruktur sebagai Layanan (IaaS), mereka tetap bertanggung jawab untuk melakukan patching dan memperbarui sistem operasi tamu dan aplikasi yang berjalan di atas infrastruktur CSP. Jika mereka menggunakan Platform as a Service (PaaS), mereka tetap bertanggung jawab untuk melakukan patching dan memperbarui kode aplikasi yang berjalan di atas platform CSP. Jika mereka menggunakan Perangkat Lunak sebagai Layanan (SaaS), mereka mungkin tidak perlu melakukan patch atau memperbarui apa pun, namun mereka masih perlu mengonfigurasi pengaturan dan preferensi sesuai dengan kebutuhan keamanan mereka.

Oleh karena itu, penting untuk membaca dengan cermat apa yang dikatakan penyedia dalam dokumentasinya tentang tanggung jawab dan batasannya. Mereka mungkin mengatakannya secara detail, namun bisa melelahkan dan terkadang tidak terlalu jelas. Beberapa dokumen penting yang harus dicari adalah:

• Perjanjian Tingkat Layanan (SLA): Dokumen ini mendefinisikan tingkat layanan dan kinerja yang dijamin oleh penyedia, serta solusi dan penalti jika terjadi kegagalan.
• Ketentuan Layanan (TOS): Dokumen ini menjelaskan syarat dan ketentuan hukum penggunaan layanan penyedia, termasuk hak dan kewajiban kedua belah pihak, kebijakan penggunaan yang dapat diterima, kebijakan privasi, dll.

• Kebijakan Keamanan: Dokumen ini menjelaskan praktik dan standar keamanan penyedia, termasuk cara mereka melindungi infrastruktur, cara menangani insiden, cara mematuhi peraturan, dll.

Dengan meninjau dokumen-dokumen ini secara cermat, pelanggan dapat menghindari potensi kesalahpahaman dan ekspektasi yang tidak realistis mengenai apa yang dapat atau tidak dapat dilakukan oleh penyedia layanan untuk mereka.

Kesalahan 3: Kesenjangan Kemampuan vs. Tanggung Jawab

Risiko ketiga dalam model tanggung jawab bersama adalah kesenjangan kemampuan vs. tanggung jawab. Beberapa pelanggan mungkin tidak memiliki keterampilan, sumber daya, atau alat untuk memenuhi tanggung jawab mereka di cloud. Mereka mungkin kekurangan keahlian, staf, atau anggaran untuk menerapkan langkah-langkah keamanan yang efektif untuk data mereka dalam lingkungan cloud baru.

Hal ini dapat menjadi masalah karena mereka bisa saja melewatkan kerentanan atau ancaman kritis namun gagal mematuhi persyaratan peraturan yang berlaku atau standar industri yang ada di lingkungan cloud mereka.

Salah satu cara untuk mengatasi kesenjangan ini adalah dengan berinvestasi dalam pelatihan, perekrutan, atau mempertahankan staf terampil yang dapat menangani tanggung jawab keamanan cloud mereka secara efektif.

Cara lain untuk mengatasi kesenjangan ini adalah dengan menggunakan alat atau layanan khusus yang disediakan oleh vendor perangkat lunak independen (ISV) atau CSP lain untuk meningkatkan kemampuan keamanan mereka di cloud. Namun, hal ini dapat semakin memperumit siapa yang bertanggung jawab atas apa dan memaksa tim untuk mengelola dan memantau CSP lainnya.

Salah satu metode yang paling populer dan aman adalah memanfaatkan vendor atau mitra pihak ketiga untuk membantu kebutuhan keamanan cloud. Misalnya, memanfaatkan penyedia layanan terkelola (MSP) atau penyedia layanan keamanan terkelola (MSSP) untuk melakukan outsourcing beberapa atau semua tugas keamanan di cloud membantu mengalihkan pengelolaan platform berbasis cloud dan infrastruktur TI ke satu vendor, sehingga menyederhanakan keamanan dan manajemen. sekaligus.

Kesalahan 4: Setelan dan Konfigurasi Default

Kesalahan umum dalam model tanggung jawab bersama adalah menggunakan pengaturan dan konfigurasi default untuk layanan atau aplikasi cloud tanpa mengubah atau meninjaunya. Hal ini dapat menciptakan kerentanan keamanan dan membuat sistem pengguna rentan terhadap serangan.

Pengaturan dan konfigurasi default dapat menjadi masalah karena beberapa alasan. Mereka dapat mengaktifkan fitur yang tidak diinginkan yang menghabiskan sumber daya atau menonaktifkan layanan penting yang memberikan keamanan. Mereka juga dapat membiarkan beberapa opsi terbuka atau tidak jelas, sehingga menimbulkan kebingungan atau inkonsistensi.

Misalnya, beberapa pelanggan mungkin tidak mengaktifkan autentikasi multifaktor (MFA) untuk akun atau sumber daya mereka di cloud, karena menurut mereka hal tersebut terlalu rumit atau tidak perlu, sehingga membuat mereka lebih rentan terhadap pencurian atau penyusupan kredensial. Banyak pengguna mungkin tidak mempertimbangkan untuk mengubah kunci enkripsi atau algoritme default untuk data mereka saat transit atau saat disimpan di cloud. Namun, hal ini dapat membuat mereka lebih rentan terhadap pelanggaran atau kebocoran data, karena default ini mungkin tidak memenuhi persyaratan atau standar keamanan spesifik mereka. Mereka mungkin juga dibagikan dengan pelanggan lain atau diketahui oleh penyerang. Pelanggan harus menggunakan kunci enkripsi atau algoritme mereka sendiri yang unik, kuat, dan mematuhi kebijakan mereka.

Penting untuk menyesuaikan pengaturan default dan konfigurasi layanan atau aplikasi cloud Anda sesuai dengan tingkat penerimaan risiko, persyaratan keamanan, dan praktik terbaik Anda. Anda juga harus memantau dan memperbaruinya secara rutin untuk mengikuti perubahan di lingkungan Anda dan menggunakan alat dan layanan yang ditawarkan oleh CSP atau pihak ketiga untuk membantu Anda mengelola dan mengotomatisasinya secara efektif.

Permasalahan 5: Kurangnya Visibilitas dan Akuntabilitas

Titik balik kelima dalam model tanggung jawab bersama adalah kurangnya visibilitas dan akuntabilitas. Beberapa pelanggan mungkin kurang memiliki wawasan tentang lingkungan cloud mereka atau kurangnya pengawasan terhadap tindakan CSP mereka. Mereka mungkin tidak mengetahui apa yang terjadi di lingkungan cloud mereka, apa yang dilakukan CSP untuk mereka, atau memiliki cukup bukti terdokumentasi untuk membuktikan kepatuhan dan kinerja mereka.

Misalnya, pengguna cloud mungkin tidak memiliki inventaris yang jelas atas aset berbasis cloud mereka seperti server, database, dan aplikasi. Mereka mungkin tidak mengetahui apa yang mereka miliki, di mana mereka berada, siapa pemiliknya, siapa yang menggunakannya, bagaimana konfigurasinya, bagaimana perlindungannya, atau bagaimana kinerjanya. Hal ini dapat membuat mereka lebih rentan terhadap kesalahan, pemborosan, dan rasa tidak aman.

Contoh lainnya adalah beberapa pelanggan mungkin tidak memiliki jejak audit yang jelas mengenai aktivitas mereka di cloud, seperti siapa melakukan apa, kapan, di mana, mengapa, dan bagaimana. Mereka mungkin tidak memiliki catatan, laporan, atau peringatan untuk memantau dan mengukur tindakan dan hasil yang mereka lakukan, sehingga membuat mereka lebih rentan terhadap insiden dan mungkin juga gagal mematuhi beberapa peraturan dan standar.

Oleh karena itu, penting untuk memiliki tingkat visibilitas dan akuntabilitas yang tinggi terhadap lingkungan cloud dan tindakan CSP Anda. Anda juga harus memiliki:

• Alat dan layanan yang disediakan oleh CSP Anda (atau pihak ketiga) untuk membantu Anda mendapatkan lebih banyak wawasan dan pengawasan atas lingkungan cloud Anda
• Proses dan prosedur untuk mendokumentasikan dan melaporkan aktivitas dan hasil Anda
• Mekanisme dan saluran untuk berkomunikasi dan berkolaborasi dengan CSP Anda secara efektif

Apa Selanjutnya?

Model tanggung jawab bersama adalah konsep kunci untuk memahami keamanan cloud dan menentukan siapa yang bertanggung jawab atas apa yang ada di lingkungan cloud. Hal ini membantu CSP dan pelanggan untuk mencegah kesenjangan keamanan dan memastikan akuntabilitas di seluruh cloud dan lingkungan pelanggan. Dengan menghindari kendala ini, Anda dapat meningkatkan postur dan kinerja keamanan cloud Anda, sambil tetap menikmati manfaat dari komputasi awan. Pastikan untuk menonton Tanya Jawab Keamanan Siber kami selengkapnya tentang Mengapa Mengadopsi Model Tanggung Jawab Bersama di Bagian Anda.