Cloud-Sicherheitstipps zur Reduzierung von Sicherheitsrisiken, Bedrohungen und Schwachstellen

Gehen Sie davon aus, dass Ihre Daten in der Cloud gesichert und vor Bedrohungen geschützt sind? Nicht so schnell.

Mit einer Rekordzahl von Cybersicherheitsangriffen im Jahr 2018 ist klar, dass alle Daten in Gefahr sind.

Alle denken immer:„Das kann mir nicht passieren.“ Tatsache ist, dass kein Netzwerk 100 % sicher vor Hackern ist.

Laut Kaspersky Lab ist Ransomware im Jahr 2018 um über 250 % gestiegen und entwickelt sich weiterhin in eine sehr beängstigende Richtung. Das Befolgen der hier vorgestellten Ratschläge ist die ultimative Versicherungspolice gegen die lähmenden Auswirkungen eines erheblichen Datenverlusts in der Cloud.

Wie sichern Sie Ihre Daten in der Cloud? Was sind die Best Practices, um Ihre Daten in der Cloud zu schützen? Wie sicher ist Cloud Computing?

Um Ihnen beim Start Ihrer Sicherheitsstrategie zu helfen, haben wir Experten eingeladen, ihre Ratschläge zu  Cloud-Sicherheitsrisiken und -bedrohungen zu teilen

Wichtige Erkenntnisse unserer Experten zu Cloud-Schutz und Sicherheitsbedrohungen

• Akzeptieren Sie, dass es nur eine Frage der Zeit sein kann, bis jemand Ihre Verteidigung durchbricht, planen Sie es ein.
• Gehen Sie nicht davon aus, dass Ihre Daten in der Cloud gesichert sind.
• Zwei-Faktor-Authentifizierung und IP-Standort aktivieren, um auf Cloud-Anwendungen zuzugreifen.
• Nutzen Sie die Verschlüsselung. Daten im Ruhezustand verschlüsseln.
• Das menschliche Element gehört zu den größten Bedrohungen für Ihre Sicherheit.
• Implementieren Sie einen robusten Änderungskontrollprozess mit wöchentlichem Patch-Verwaltungszyklus.
• Bewahren Sie Offline-Kopien Ihrer Daten auf, falls Ihre Cloud-Daten zerstört oder als Lösegeld gehalten werden.
• Vertrag mit Sicherheitsüberwachungsdienst rund um die Uhr.
• Haben Sie einen Reaktionsplan für Sicherheitsvorfälle.
• Verwenden Sie fortschrittliche Firewall-Technologie, einschließlich WAF (Web Access Firewalls).
• Nutzen Sie Anwendungsdienste, Layering und Mikrosegmentierung.

1. Verfügbarkeit in der Cloud aufrechterhalten

Dustin Albertson, Senior Cloud Solutions Architect bei Veeam

Wenn die meisten Menschen an das Thema Cloud-basierte Sicherheit denken, denken sie in der Regel an Netzwerke, Firewalls, Endpunktsicherheit usw. Amazon definiert Cloud-Sicherheit als:

Sicherheit in der Cloud ist ähnlich wie die Sicherheit in Ihren Rechenzentren vor Ort – nur ohne die Kosten für die Wartung von Einrichtungen und Hardware. In der Cloud müssen Sie keine physischen Server oder Speichergeräte verwalten. Stattdessen verwenden Sie softwarebasierte Sicherheitstools, um den Informationsfluss in und aus Ihren Cloud-Ressourcen zu überwachen und zu schützen.

Ein häufig übersehenes Risiko ist jedoch die Aufrechterhaltung der Verfügbarkeit. Damit meine ich mehr als nur Geo-Redundanz oder Hardware-Redundanz, ich beziehe mich darauf, sicherzustellen, dass Ihre Daten und Anwendungen abgedeckt sind. Cloud ist kein magischer Ort, an dem all Ihre Sorgen verschwinden; Eine Cloud ist ein Ort, an dem all Ihre Ängste oft einfacher und billiger zu multiplizieren sind. Eine robuste Datenschutzstrategie ist der Schlüssel. Veeam hat oft über die von Peter Krogh geprägte „3-2-1-Regel“ gepredigt.

Die Regel besagt, dass Sie drei Kopien Ihrer Daten haben, diese auf zwei verschiedenen Medien speichern und eine extern aufbewahren sollten. Der eine Offsite befindet sich normalerweise in der „Cloud“, aber was ist, wenn Sie sich bereits in der Cloud befinden?

Hier sehe ich die meisten Cloud-Probleme, wenn Menschen bereits in der Cloud sind, neigen sie dazu, die Daten in derselben Cloud zu speichern. Aus diesem Grund ist es wichtig, beim Wechsel in die Cloud an eine detaillierte Strategie zu denken. Durch die Nutzung von Dingen wie Veeam-Agenten zum Schutz von Cloud-Workloads und Cloud Connect zum Offsite-Versenden der Backups, um diese Verfügbarkeit außerhalb desselben Rechenzentrums oder derselben Cloud aufrechtzuerhalten. Gehen Sie nicht davon aus, dass es die Aufgabe der Anbieter ist, Ihre Daten zu schützen, da dies nicht der Fall ist.

2. Die Cloud-Migration überholt die Evolution der Sicherheitskontrollen

Salvatore Stolfo, CTO von Allure Security

Laut einer neuen Umfrage von ESG gaben 75 % der Unternehmen an, dass mindestens 20 % ihrer sensiblen Daten, die in Public Clouds gespeichert sind, unzureichend gesichert sind. Außerdem glauben 81 % der Befragten, dass die Datensicherheit vor Ort ausgereifter ist als Daten in öffentlichen Clouds.

Unternehmen migrieren jedoch schneller denn je in die Cloud, um die Vorteile für die Organisation zu maximieren:Laut dem Cloud Vision 2020-Bericht von LogicMonitor werden bis 2020 schätzungsweise 83 % der geschäftlichen Workloads in der Cloud sein. Was wir haben, ist eine zunehmend dringende Situation, in der Unternehmen ihre sensiblen Daten zu Produktivitätszwecken schneller in die Cloud migrieren, als sich Sicherheitskontrollen zum Schutz dieser Daten weiterentwickeln.

Unternehmen müssen nach Lösungen suchen, die den Zugriff auf Daten innerhalb von Cloud-Freigaben basierend auf der Berechtigungsebene des Benutzers kontrollieren, aber sie müssen auch über die Mittel verfügen, um benachrichtigt zu werden, wenn auf diese Daten auf ungewöhnliche oder verdächtige Weise zugegriffen wird, selbst auf scheinbare Weise ein vertrauenswürdiger Benutzer sein.

Denken Sie daran, dass viele Hacker und Insider-Lecks von schlechten Akteuren mit gestohlenen, legitimen Anmeldeinformationen stammen, die es ihnen ermöglichen, sich frei in einer Cloud-Freigabe zu bewegen, auf der Suche nach wertvollen Daten zum Stehlen. Täuschungsdokumente, sogenannte Decoys, können ebenfalls ein hervorragendes Werkzeug sein, um dies aufzudecken. Köder können Sicherheitsteams in der frühen Phase einer Cloud-Sicherheitsverletzung auf ungewöhnliches Verhalten aufmerksam machen und sogar einen Möchtegern-Cyberdieb glauben machen, dass er etwas Wertvolles gestohlen hat, obwohl es sich in Wirklichkeit um ein äußerst überzeugendes gefälschtes Dokument handelt. Dann stellt sich die Frage, die Kontrolle über Dokumente zu haben, auch wenn sie aus der Cloud-Freigabe gehoben wurden.

Hier beginnen viele Sicherheitslösungen zu versagen. Wie können Sie nach dem Herunterladen einer Datei aus einem Cloud-Repository nachverfolgen, wohin sie wandert und wer sie ansieht? Um dieses Problem zu lösen, muss mehr in Technologien wie Geofencing und Telemetrie investiert werden.

3. Minimieren Sie Cloud-Computing-Bedrohungen und -Schwachstellen mit einem Sicherheitsplan

Nic O’Donovan, Lösungsarchitekt und Cloud-Spezialist bei VMware 

Die Hybrid Cloud wird bei Unternehmen immer beliebter – vor allem, da die Bereitstellungsgeschwindigkeit, Skalierbarkeit und Kosteneinsparungen für Unternehmen attraktiver werden. Wir sehen weiterhin, dass sich die Infrastruktur schnell in die Cloud entwickelt, was bedeutet, dass sich die Sicherheit in einem ähnlichen Tempo entwickeln muss. Für das Unternehmen ist es unerlässlich, mit einem Cloud-Service-Provider zusammenzuarbeiten, der einen zuverlässigen Ansatz für die Sicherheit in der Cloud hat.

Dies bedeutet, dass die Partnerschaft mit Ihrem Cloud-Anbieter immer wichtiger wird, da Sie zusammenarbeiten, um einen Sicherheitsplan zum Schutz Ihrer Daten zu verstehen und umzusetzen.

Sicherheitskontrollen wie Multi-Faktor-Authentifizierung, Datenverschlüsselung sowie das erforderliche Maß an Compliance sind alles Bereiche, auf die Sie sich bei der Erstellung Ihres Sicherheitsplans konzentrieren sollten.

4. Hören Sie nie auf, sich über Ihre größten Schwachstellen zu informieren

Isacc Kohen, CEO von Teramind

Immer mehr Unternehmen fallen der Cloud zum Opfer, und das hat mit Cloud-Fehlkonfiguration und Fahrlässigkeit der Mitarbeiter zu tun.

1. Die größte Bedrohung für die Datensicherheit sind Ihre Mitarbeiter. Ob fahrlässig oder böswillig, Mitarbeiter sind einer der Hauptgründe für Malware-Infektionen und Datenverlust. Der Grund, warum Malware-Angriffe und Phishing-E-Mails in den Nachrichten häufig vorkommen, liegt darin, dass sie „einfache“ Möglichkeiten für Hacker sind, auf Daten zuzugreifen. Durch Social Engineering können böswillige Kriminelle Mitarbeiter „austricksen“, Passwörter und Zugangsdaten an wichtige Geschäfts- und Unternehmensdatensysteme weiterzugeben. Möglichkeiten, dies zu verhindern:ein effektives Mitarbeiterschulungsprogramm und Mitarbeiterüberwachung, die das System aktiv sondiert

2. Hören Sie nie auf zu lernen. In einer Branche, die sich ständig verändert und anpasst, ist es wichtig, über die neuesten Trends und Schwachstellen auf dem Laufenden zu bleiben. Beim Internet der Dinge (IoT) beispielsweise sehen wir gerade erst die „Spitze des Eisbergs“, wenn es um den Schutz von Daten über zunehmende WLAN-Verbindungen und Online-Datenspeicherdienste geht. In dieser Geschichte gibt es noch mehr zu entwickeln, und sie wird sich in Zukunft direkt auf kleine Unternehmen auswirken.

3. Recherchieren und verstehen Sie, wie die Speicherung funktioniert, und bilden Sie sie dann weiter. Wir haben die Geschichten gehört – wenn Daten über die Cloud offengelegt werden, liegt dies oft an einer Fehlkonfiguration der Cloud-Einstellungen. Die Mitarbeiter müssen die Sicherheitsnatur der Anwendung verstehen und wissen, dass die Einstellungen leicht manipuliert und eingeschaltet werden können, um Daten extern offenzulegen. Sensibilisieren Sie das Sicherheitsbewusstsein durch Schulungsprogramme.

4. Beschränken Sie Ihre Zugangspunkte. Eine einfache Möglichkeit, dies abzumildern, ist, Ihre Zugriffspunkte einzuschränken. Ein häufiger Fehler bei der Offenlegung in der Cloud ist darauf zurückzuführen, dass Mitarbeiter mit Zugriff versehentlich globale Berechtigungen aktivieren, sodass die Daten einer offenen Verbindung ausgesetzt werden. Verstehen Sie zur Risikominderung, wer und was Zugriff auf die Datenwolke hat – alle Zugriffspunkte – und überwachen Sie diese Verbindungen gründlich.

5. Überwachung der Systeme. Progressiv und durch. Verwenden Sie für den langfristigen Schutz von Daten in der Cloud eine Benutzeranalyse- und Überwachungsplattform, um Verstöße schneller zu erkennen. Überwachung und Benutzeranalyse optimieren Daten und erstellen ein Standard-„Profil“ des Benutzers – Mitarbeiter und Computer. Diese Analysen sind integriert und folgen Ihren wichtigsten Datenablagen, die Sie als Administrator in der Erkennungssoftware angegeben haben. Wenn bestimmte Cloud-Daten manipuliert, verschoben oder verletzt werden, „pingt“ das System einen Administrator sofort an, um eine Änderung des Charakters anzuzeigen.

5. Ziehen Sie Hybridlösungen in Betracht

Michael V.N. Hall, Betriebsleiter für Steinbutt

Es gibt einige wichtige Dinge, die Sie über die Sicherheit in der Cloud wissen sollten:

1. Passwörter sind Macht – 80 % aller Passwortverletzungen hätten durch Multifaktor-Identifikation verhindert werden können:Indem Sie Ihre persönliche Identität per Textnachricht an Ihr Telefon oder eine E-Mail an Ihr Konto verifizieren, können Sie jetzt benachrichtigt werden, wenn jemand versucht, auf Ihr Passwort zuzugreifen Details.

Einer der größten Schuldigen im Moment sind geschwächte Anmeldeinformationen. Das bedeutet, dass Passwörter, Passkeys und Passphrases durch Phishing-Betrug, Keylogging und Brute-Force-Angriffe gestohlen werden.

Passphrasen sind die neuen Passwörter. Zufällige, leicht zu merkende Passphrasen sind viel besser als Passwörter, da sie in der Regel länger und komplizierter sind.

MyDonkeysEatCheese47 ist eine komplizierte Passphrase und unabhängig von Ihnen, es sei denn, Sie sind ein Eselbesitzer oder ein Käsehersteller. Denken Sie daran, Groß- und Kleinbuchstaben sowie alle Satzzeichen zu verwenden.

2. Bleiben Sie in Kontakt mit Ihrem Hosting-Provider. Wählen Sie den richtigen Hosting-Anbieter – ein seriöses Unternehmen mit hohen Sicherheitsstandards. Kommunizieren Sie regelmäßig mit ihnen, da Sie durch häufige Interaktionen über Änderungen oder sich entwickelnde Probleme auf dem Laufenden bleiben.

3. Betrachten Sie eine Hybridlösung. Hybridlösungen ermöglichen sichere, statische Systeme, um kritische Daten intern zu speichern und gleichzeitig Daten mit niedrigerer Priorität für die größere Vielseitigkeit der Cloud zu öffnen.

6. Erfahren Sie, wie Cloud-Sicherheitssysteme funktionieren

Tom DeSot, CIO von Digital Defense, Inc.

Unternehmen müssen sicherstellen, dass sie die Sicherheitsrisiken und Vorteile von Cloud Computing bewerten. Es soll sicherstellen, dass sie sich darüber informieren, was es bedeutet, in die Cloud zu wechseln, bevor sie den großen Sprung von der Ausführung von Systemen in ihrem eigenen Rechenzentrum wagen.

Allzu oft habe ich gesehen, wie ein Unternehmen ohne Plan oder Wissen darüber, was dies für sie und die Sicherheit ihrer Systeme bedeutet, in die Cloud migriert hat. Sie müssen erkennen, dass ihre Software auf gemeinsam genutzten Systemen mit anderen Kunden „lebt“, sodass der Angreifer bei einer Verletzung der Plattform eines anderen Kunden möglicherweise auch sein System kompromittieren kann.

Ebenso müssen Cloud-Kunden verstehen, wo ihre Daten gespeichert werden, ob nur in den USA oder ob der Anbieter auf andere Systeme auf anderen Kontinenten repliziert. Dies kann ein echtes Problem verursachen, wenn es sich bei den Informationen um vertrauliche Informationen wie PII oder um Informationen handelt, die unter HIPAA oder einem anderen Regulierungsgesetz geschützt sind. Schließlich muss der Cloud-Kunde genau auf die Service Level Agreements (SLA) achten, an die sich der Cloud-Anbieter hält, und sicherstellen, dass es sein eigenes SLA widerspiegelt.

Der Wechsel in die Cloud ist eine großartige Möglichkeit, Computerressourcen freizusetzen und Betriebszeit sicherzustellen, aber ich rate meinen Kunden immer, den Schritt in kleinen Schritten zu machen, damit sie Zeit haben, zu verstehen, was es bedeutet, „in der Cloud“ zu sein. ”

7. Führen Sie Ihre Due Diligence bei der Sicherung der Cloud durch

Ken Stasiak, CEO von SecureState

Verstehen Sie die Art der Daten, die Sie in die Cloud stellen, und die vorgeschriebenen Sicherheitsanforderungen für diese Daten.

Sobald ein Unternehmen eine Vorstellung davon hat, welche Art von Daten es in der Cloud speichern möchte, sollte es ein solides Verständnis für das Maß an Sorgfalt haben, das bei der Bewertung verschiedener Cloud-Anbieter erforderlich ist. Wenn Sie sich beispielsweise für einen Cloud-Dienstanbieter zum Hosten Ihrer geschützten Gesundheitsinformationen (PHI) entscheiden, sollten Sie eine Bewertung der Sicherheitsstandards und der HIPAA-Konformität verlangen, bevor Sie Daten in die Cloud verschieben.

Einige gute Fragen, die Sie stellen sollten, wenn Sie bewerten, ob ein Cloud-Dienstanbieter für eine Organisation geeignet ist, die sich mit der Sicherung dieser Daten befasst, sind:Führen Sie regelmäßige SOC-Audits und -Bewertungen durch? Wie schützen Sie sich vor böswilligen Aktivitäten? Führen Sie bei allen Mitarbeitern Hintergrundüberprüfungen durch? Welche Arten von Systemen haben Sie für Mitarbeiterüberwachung, Zugriffsbestimmung und Audit-Trails eingerichtet?

8. Richten Sie Zugriffskontrollen und Sicherheitsberechtigungen ein

Michael R. Durante, Präsident von Tie National, LLC.

Während die Cloud aufgrund ihrer flexiblen Skalierung zur Erfüllung der Anforderungen eines Unternehmens und zur Verbesserung der standortübergreifenden Zusammenarbeit eine wachsende Kraft in der Datenverarbeitung ist, wirft sie auch Sicherheitsbedenken auf, da sie möglicherweise Schwachstellen aufdeckt, die relativ außerhalb Ihrer Kontrolle liegen.

Beispielsweise kann die Sicherheit von BYOD eine Herausforderung darstellen, wenn Benutzer nicht regelmäßig Sicherheitspatches und -updates anwenden. Mein wichtigster Tipp ist, die verfügbaren Zugriffskontrollen optimal zu nutzen.

Unternehmen müssen Zugriffskontrollen verwenden, um Sicherheitsberechtigungen einzuschränken und nur die Aktionen zuzulassen, die sich auf die beruflichen Funktionen der Mitarbeiter beziehen. Durch die Beschränkung des Zugriffs stellen Unternehmen sicher, dass kritische Dateien nur den Mitarbeitern zur Verfügung stehen, die sie benötigen, wodurch die Wahrscheinlichkeit verringert wird, dass sie den falschen Parteien ausgesetzt werden. Diese Kontrolle macht es auch einfacher, Zugriffsrechte sofort nach Beendigung des Arbeitsverhältnisses zu widerrufen, um sensible Inhalte zu schützen, unabhängig davon, von wo aus der Mitarbeiter versucht, aus der Ferne darauf zuzugreifen.

9. Den Stammbaum und die Prozesse des Lieferanten oder Anbieters verstehen

Paul Evans, CEO von Redstor

Der Einsatz von Cloud-Technologien hat es Unternehmen jeder Größe ermöglicht, Leistungsverbesserungen voranzutreiben und die Effizienz durch mehr Remote-Arbeiten, höhere Verfügbarkeit und mehr Flexibilität zu steigern.

Mit einer zunehmenden Anzahl unterschiedlicher eingesetzter Systeme und einer so großen Auswahl an Cloud-Anbietern und Software kann es jedoch schwierig werden, die Kontrolle über die Datensicherheit zu behalten. Wenn Sie einen Cloud-Service implementieren möchten, ist es wichtig, die Herkunft und die Prozesse des Lieferanten/Anbieters, der den Service bereitstellt, gründlich zu verstehen. Sicherheitszertifizierungen nach Branchenstandard sind ein guter Ausgangspunkt. Lieferanten, die über eine ISO 27001-Zertifizierung verfügen, haben bewiesen, dass sie internationale Managementstandards für Informationssicherheit erfüllt haben und höher angesehen werden sollten als Lieferanten ohne.

Ein vollständiges Verständnis darüber zu erlangen, wo Ihre Daten geografisch gespeichert werden, wer Zugriff darauf hat und ob sie verschlüsselt werden, ist der Schlüssel zum Schutz. Es ist auch wichtig zu wissen, wie die Prozesse des Lieferanten im Falle einer Datenpanne oder eines Datenverlusts oder bei Ausfallzeiten aussehen. Akzeptable Ausfallzeiten sollten in vertraglich vereinbarten Service Level Agreements (SLAs) festgelegt werden, die von ihnen finanziell abgesichert sein sollten, um Sicherheit zu bieten.

Für Organisationen, die Cloud-Plattformen nutzen möchten, gibt es Cloud-Sicherheitsbedrohungen zu beachten, wer hat Zugriff auf die Daten? Wo werden die Daten gespeichert? Sind meine Daten verschlüsselt? Aber zum größten Teil können Cloud-Plattformen diese Fragen beantworten und haben ein hohes Maß an Sicherheit. Organisationen, die die Clouds nutzen, müssen sicherstellen, dass sie die Datenschutzgesetze und -vorschriften kennen, die sich auf Daten auswirken, und sich auch ein genaues Verständnis der vertraglichen Vereinbarungen mit Cloud-Anbietern verschaffen. Wie werden Daten geschützt? Viele Vorschriften und Branchenstandards geben Hinweise zur optimalen Speicherung sensibler Daten.

Das Aufbewahren ungesicherter oder unverschlüsselter Kopien von Daten kann diese einem höheren Risiko aussetzen. Es ist wichtig, Kenntnisse über die Sicherheitsstufen von Cloud-Diensten zu erlangen.

Was sind die Aufbewahrungsrichtlinien und habe ich ein Backup? Cloud-Plattformen können sehr unterschiedliche Verwendungszwecke haben, und dies kann Probleme verursachen (oder verhindern). Wenn Daten auf einer Cloud-Plattform gespeichert werden, könnten sie anfällig für Cloud-Sicherheitsrisiken wie Ransomware oder Korruption sein, sodass die Sicherstellung, dass mehrere Kopien von Daten aufbewahrt oder gesichert werden, dies verhindern kann. Die Gewährleistung, dass diese Prozesse durchgeführt wurden, verbessert die Sicherheitsniveaus der Cloud-Plattformen eines Unternehmens und gibt Aufschluss darüber, woher ein Risiko kommen könnte

10. Verwenden Sie starke Passwörter und Multi-Faktor-Authentifizierung

Fred Reck, InnoTek Computerberatung

Stellen Sie sicher, dass Sie starke Passwörter für alle Cloud-Benutzer fordern, und verwenden Sie vorzugsweise die Multi-Faktor-Authentifizierung.

Laut dem Verizon Data Breach Investigations Report 2017 beruhten 81 % aller Hackerangriffe entweder auf gestohlenen und/oder schwachen Passwörtern. Einer der wichtigsten Vorteile der Cloud ist die Möglichkeit, von überall auf der Welt und mit jedem Gerät auf Unternehmensdaten zuzugreifen. Auf der anderen Seite kann aus Sicherheitsgründen jeder (auch bekannt als „Bösewichte“) mit einem Benutzernamen und einem Passwort potenziell auf die Unternehmensdaten zugreifen. Nutzer dazu zu zwingen, sichere Passwörter zu erstellen, macht es Hackern erheblich schwerer, einen Brute-Force-Angriff (Erraten des Passworts aus mehreren zufälligen Zeichen) durchzuführen.

Zusätzlich zu sicheren Passwörtern können viele Cloud-Dienste heute das Mobiltelefon eines Mitarbeiters als sekundäres, physisches Sicherheitsauthentifizierungselement in einer Multi-Faktor-Strategie verwenden, wodurch die Implementierung für ein Unternehmen zugänglich und erschwinglich wird. Benutzer müssten nicht nur das Passwort kennen, sondern auch physischen Zugriff auf ihr Mobiltelefon, um auf ihr Konto zugreifen zu können.

Erwägen Sie schließlich die Implementierung einer Funktion, die das Konto eines Benutzers nach einer festgelegten Anzahl erfolgloser Anmeldungen sperrt.

11. IP-Standortsperre aktivieren

Chris Byrne ist Mitbegründer und CEO von Sensorpro

Unternehmen sollten die Zwei-Faktor-Authentifizierung und die Sperrung des IP-Standorts aktivieren, um auf die von ihnen verwendeten Cloud-Anwendungen zugreifen zu können.

Mit 2FA fügen Sie der üblichen E-Mail/Passwort-Kombination per SMS eine weitere Herausforderung hinzu. Mit der IP-Sperre können Sie den Zugriff von Ihrer Büro-IP oder der IP von Remote-Mitarbeitern abgrenzen. Wenn die Plattform dies nicht unterstützt, erwägen Sie, Ihren Anbieter zu bitten, es zu aktivieren.

Stellen Sie in Bezug auf die tatsächliche Cloud-Plattform-Bereitstellung eine Data-at-Rest-Verschlüsselungsoption bereit. Irgendwann wird dies so allgegenwärtig sein wie https (SSL/TLS). Sollte das Undenkbare passieren und Daten in die falschen Hände geraten, z. B. ein Gerät gestohlen oder in einem Zug vergessen werden, dann ist die Verschlüsselung ruhender Daten die letzte Verteidigungslinie, um zu verhindern, dass jemand ohne die richtigen Verschlüsselungsschlüssel auf Ihre Daten zugreift. Selbst wenn es ihnen gelingt, es zu stehlen, können sie es nicht benutzen. Dies hätte zum Beispiel die jüngste Verletzung von Equifax verbessert.

12. Cloud-Speicher-Sicherheitslösungen mit VPNs

Eric Schlissel, Präsident und CEO von GeekTek

Verwenden Sie VPNs (virtuelle private Netzwerke), wenn Sie sich mit der Cloud verbinden. VPNs werden häufig verwendet, um den Webverkehr halb zu anonymisieren, normalerweise von Zuschauern, die durch den Zugriff auf Streaming-Dienste wie Netflix USA oder BBC Player geoblockiert sind. Sie bieten auch eine entscheidende Sicherheitsebene für jedes Gerät, das sich mit Ihrer Cloud verbindet. Ohne ein VPN könnte jeder potenzielle Eindringling mit einem Paketschnüffler feststellen, welche Mitglieder auf Ihr Cloud-Konto zugreifen, und möglicherweise Zugriff auf ihre Anmeldeinformationen erhalten.

Verschlüsseln von Daten im Ruhezustand. Wenn aus irgendeinem Grund ein Benutzerkonto in Ihrer öffentlichen, privaten oder hybriden Cloud kompromittiert wird, kann der Unterschied zwischen Daten im Klartext- und verschlüsselten Format in Hunderttausenden von Dollar gemessen werden – insbesondere 229.000 US-Dollar, die durchschnittlichen Kosten eines Cyber-Angriffs, der von gemeldet wird die Befragten einer Umfrage des Versicherungsunternehmens Hiscox. Wie die jüngsten Ereignisse gezeigt haben, wird sich das Verschlüsseln und Entschlüsseln dieser Daten als weitaus schmerzloser erweisen, als seine Alternative zu ertragen.

Verwenden Sie Zwei-Faktor-Authentifizierung und Single Sign-On für alle Cloud-basierten Konten. Google, Facebook und PayPal verwenden alle eine Zwei-Faktor-Authentifizierung, bei der der Benutzer einen eindeutigen, von der Software generierten Code in ein Formular eingeben muss, bevor er sich bei seinem Konto anmeldet. Unabhängig davon, ob Ihr Unternehmen nach ihrer Größe strebt oder nicht, kann und sollte es diese Kernkomponente ihrer Sicherheitsstrategie nachahmen. Single Sign-On vereinfacht die Zugriffsverwaltung, sodass der Mitarbeiter bei allen Konten mit einem Paar Anmeldeinformationen angemeldet wird. Auf diese Weise müssen Systemadministratoren nur ein Konto löschen und nicht mehrere, die der ehemalige Mitarbeiter vergessen und später wieder aufrufen kann.

13. Hüten Sie sich vor dem menschlichen Risiko

Steven J.J. Weisman, Rechtsanwalt und Professor an der Bentley University

Um es mit Shakespeare zu sagen:Der Fehler liegt nicht in der Wolke; die Verantwortung liegt bei uns.

Das Speichern sensibler Daten in der Cloud ist eine gute Option für die Datensicherheit auf vielen Ebenen. Unabhängig davon, wie sicher eine Technologie sein mag, stellt der Mensch immer eine potenzielle Sicherheitsgefahr dar, die von Cyberkriminellen ausgenutzt werden kann. Viele frühere Cloud-Sicherheitsverletzungen sind nachweislich nicht auf Sicherheitslücken der Cloud-Technologie zurückzuführen, sondern auf Handlungen einzelner Cloud-Nutzer.

Sie haben ihre Benutzernamen und Passwörter unwissentlich an Cyberkriminelle weitergegeben, die Personen durch Spear-Phishing-E-Mails, Telefonanrufe oder Textnachrichten dazu verleiten, die für den Zugriff auf das Cloud-Konto erforderlichen kritischen Informationen preiszugeben.

Der beste Weg, um dieses Problem zu vermeiden, besteht neben einer besseren Schulung der Mitarbeiter zum Erkennen und Verhindern von Spear-Phishing darin, eine Zwei-Faktor-Authentifizierung zu verwenden, z. B. einen einmaligen Code an das Mobiltelefon des Mitarbeiters zu senden, wenn versucht wird, auf das Cloud-Konto zuzugreifen.

14. Gewährleistung des Datenabrufs von einem Cloud-Anbieter

Bob Herman, Mitbegründer und Präsident von IT Tropolis.

1. Die Zwei-Faktor-Authentifizierung schützt vor Kontobetrug. Viele Benutzer scheitern an E-Mail-Phishing-Versuchen, bei denen Angreifer das Opfer dazu verleiten, ihre Anmeldeinformationen auf einer gefälschten Website einzugeben. Der Angreifer kann sich dann als Opfer auf der echten Website anmelden und je nach Website-Anwendung und Benutzerzugriff alle möglichen Schäden anrichten. 2FA stellt sicher, dass beim Einloggen in die Anwendung ein zweiter Code eingegeben werden muss. Normalerweise ein Code, der an das Telefon des Benutzers gesendet wird.

2. Es ist zwingend erforderlich sicherzustellen, dass Sie Eigentümer Ihrer Daten sind und diese abrufen können, falls Sie keine Geschäfte mehr mit dem Cloud-Anbieter tätigen möchten. Die meisten legitimen Cloud-Anbieter sollten in ihren Bedingungen angeben, dass der Kunde Eigentümer seiner Daten ist. Als Nächstes müssen Sie bestätigen, dass Sie die Daten in einem verwendbaren Format extrahieren oder exportieren können oder dass der Cloud-Anbieter sie Ihnen auf Anfrage zur Verfügung stellt.

15. Echtzeit- und kontinuierliche Überwachung

Sam Bisbee, Chief Security Officer bei Threat Stack

1. Schaffen Sie Echtzeit-Sicherheitsbeobachtbarkeit und kontinuierliche Systemüberwachung

Während die Überwachung in jeder Datenumgebung unerlässlich ist, ist es wichtig zu betonen, dass Änderungen in modernen Cloud-Umgebungen, insbesondere in SaaS-Umgebungen, tendenziell häufiger auftreten; Ihre Auswirkungen sind sofort spürbar.

Die Ergebnisse können aufgrund der Natur der elastischen Infrastruktur dramatisch sein. Unbeabsichtigte oder böswillige Handlungen einer anderen Person können die Sicherheit Ihrer Entwicklungs-, Produktions- oder Testsysteme jederzeit ernsthaft beeinträchtigen.

Der Betrieb einer modernen Infrastruktur ohne Echtzeit-Sicherheitsbeobachtbarkeit und kontinuierliche Überwachung ist wie ein Blindflug. Sie haben keinen Einblick in das, was in Ihrer Umgebung vor sich geht, und keine Möglichkeit, sofort Abhilfe zu schaffen, wenn ein Problem auftritt. Sie müssen den anwendungs- und hostbasierten Zugriff überwachen, um den Status Ihrer Anwendung im Laufe der Zeit zu verstehen.

• Überwachungssysteme für manuelle Benutzeraktionen. Dies ist besonders wichtig in der aktuellen DevOps-Welt, in der Ingenieure wahrscheinlich Zugang zur Produktion haben. Es ist möglich, dass sie Systeme mit manuellen Aufgaben verwalten, also nutzen Sie dies als Gelegenheit, um Prozesse zu identifizieren, die für die Automatisierung geeignet sind.
• Verfolgen der Anwendungsleistung im Laufe der Zeit, um Anomalien zu erkennen. Zu verstehen, „wer was wann getan hat“, ist grundlegend für die Untersuchung von Veränderungen, die in Ihrer Umgebung auftreten.

2. Konfigurationseinstellungen festlegen und kontinuierlich überwachen

Sicherheitskonfigurationen in Cloud-Umgebungen wie Amazon Direct Connect können kompliziert sein, und es ist leicht, den Zugriff auf Ihre Systeme und Daten unbeabsichtigt der Welt offen zu lassen, wie all die jüngsten Geschichten über S3-Lecks bewiesen haben.

Angesichts der veränderlichen (und manchmal unbeständigen) Natur von SaaS-Umgebungen, in denen Dienste fortlaufend in Echtzeit erstellt und entfernt werden können, kann eine unzureichende Konfiguration von Diensten und eine fehlende Überwachung der Einstellungen die Sicherheit gefährden. Letztendlich wird dies das Vertrauen untergraben, das Kunden in Sie setzen, um ihre Daten zu schützen.

Indem Sie Konfigurationen anhand einer etablierten Baseline festlegen und diese kontinuierlich überwachen, können Sie Probleme beim Einrichten von Diensten vermeiden und Konfigurationsprobleme schneller erkennen und darauf reagieren, wenn sie auftreten.

3. Sicherheits- und Betriebsprioritäten für Cloud-Sicherheitslösungen und -infrastruktur ausrichten

Gute Sicherheit ist nicht von ordnungsgemäßem Betrieb zu unterscheiden. Zu oft sind diese Teams innerhalb einer Organisation uneins. Sicherheit wird manchmal als Verlangsamung eines Unternehmens angesehen – sie konzentriert sich zu sehr auf die Überwachung der Aktivitäten von Dev- und Ops-Teams. Aber Sicherheit kann ein Geschäftsfaktor sein.

Sicherheit sollte automatisierte Testtools, Sicherheitskontrollen und Überwachung innerhalb einer Organisation nutzen – über Netzwerkmanagement, Benutzerzugriff, Konfiguration der Infrastruktur und Schwachstellenmanagement auf Anwendungsebene – wird das Unternehmen voranbringen, Risiken auf der gesamten Angriffsfläche reduzieren und die Betriebsverfügbarkeit aufrechterhalten .

16. Verwenden Sie Audit-Tools, um Daten in der Cloud zu sichern

Jeremey Vance, US Cloud

1. Verwenden Sie ein Überwachungstool, damit Sie wissen, was Sie alles in der Cloud haben und was alle Ihre Benutzer in der Cloud verwenden. Sie können keine Daten sichern, von denen Sie nichts wissen.

2. Finden Sie nicht nur heraus, welche Dienste in Ihrem Netzwerk ausgeführt werden, sondern finden Sie auch heraus, wie und warum diese Dienste von wem und wann verwendet werden.

3. Machen Sie diesen Auditing-Prozess zu einem routinemäßigen Bestandteil Ihrer Netzwerküberwachung, nicht nur zu einem einmaligen Ereignis. Wenn Sie darüber hinaus nicht über die Bandbreite dafür verfügen, lagern Sie diese Auditing-Routine an einen qualifizierten Drittanbieter wie US Cloud aus.

17. Die meisten Verstöße beginnen an einfachen ungesicherten Punkten

Marcus Turner, Chefarchitekt und CTO bei Enola Labs

Die Cloud ist sehr sicher, aber um sicherzustellen, dass Ihre Unternehmensdaten sicher sind, ist es wichtig, die Cloud richtig zu konfigurieren.

Speziell für AWS ist AWS Config das dafür am besten geeignete Tool. AWS ist bei richtiger Konfiguration eine der sichersten Cloud-Computing-Umgebungen der Welt. Bei den meisten Datenschutzverletzungen handelt es sich jedoch nicht um Hacker, die komplexe Programme nutzen, um Zugriff auf kritische Daten zu erhalten, sondern es sind die einfachen ungesicherten Punkte, die niedrig hängenden Früchte, die Unternehmensdaten angreifbar machen.

Selbst bei der besten Cloud-Sicherheit ist menschliches Versagen oft für die kritischste Lücke oder Verletzung des Schutzes verantwortlich. Routinen zur Validierung der kontinuierlichen Konfigurationsgenauigkeit sind die am wenigsten genutzte und am wenigsten geschätzte Metrik für die Sicherheit von Unternehmensdaten in der Cloud.

18. Stellen Sie Ihrem Cloud-Anbieter Schlüsselsicherheitsfragen

Brandan Keaveny, Ed.D., Gründer von Data Ethics LLC

Wenn Sie die Möglichkeiten für den Wechsel zu einer Cloud-basierten Lösung prüfen, sollten Sie sicherstellen, dass für den Fall einer Sicherheitsverletzung angemessene Unterstützung vorhanden ist. Stellen Sie sich unbedingt die folgenden Fragen, bevor Sie eine Vereinbarung mit einem Cloud-basierten Anbieter unterzeichnen:

Frage:Wie viele Drittanbieter nutzt der Anbieter, um seinen Service zu ermöglichen?

Begründung der Frage (Grund):Prozesse und Dokumentation müssen aktualisiert werden, um Verfahrensgarantien und die Abstimmung mit der Cloud-basierten Lösung aufzunehmen. Darüber hinaus sollte das vom Cloud-basierten Anbieter bereitgestellte Sicherheitsniveau klar verstanden werden. Erhöhte Sicherheitsstufen müssen hinzugefügt werden, um die Datenschutz- und Sicherheitsanforderungen für die zu speichernden Daten zu erfüllen.

Question:How will you be notified if a breach of their systems occurs and will they assist your company in the notification of your clients/customers?

Reason:By adding a cloud-based solution to the storage of your data also adds a new dimension of time to factor into the notification requirements that may apply to your data should a breach occur. These timing factors should be incorporated into breach notification procedures and privacy policies.

When switching to the cloud from a locally hosted solution your security risk assessment process needs to be updated. Before making the switch, a risk assessment should take place to understand the current state of the integrity of the data that will be migrated.

Additionally, research should be done to review how data will be transferred to the cloud environment. Questions to consider include:

Question:Is your data ready for transport?

Reason:The time to conduct a data quality assessment is before migrating data to a cloud-based solution rather than after the fact.

Question:Will this transfer be facilitated by the cloud provider?

Reason:It is important to understand the security parameters that are in place for the transfer of data to the cloud provider, especially when considering large data sets.

19. Secure Your Cloud Account Beyond the Password

Contributed by the team at Dexter Edward

Secure the cloud account itself. All the protection on a server/os/application won’t help if anyone can take over the controls.

• Use a strong and secure password on the account and 2-factor authentication.
• Rotate cloud keys/credentials routinely.
• Use IP whitelists.
• Use any role-based accesses on any associated cloud keys/credentials.

Secure access to the compute instances in the cloud.

• Use firewalls provided by the cloud providers.
• Use secure SSH keys for any devices that require login access.
• Require a password for administrative tasks.
• Construct your application to operate without root privilege.
• Ensure your applications use encryption for any communications outside the cloud.
• Use authentication before establishing public communications.

Use as much of the private cloud network as you can.

• Avoid binding services to all public networks.
• Use the private network to isolate even your login access (VPN is an option).

Take advantage of monitoring, file auditing, and intrusion detection when offered by cloud providers.

• The cloud is made to move – use this feature to change up the network location.
• Turn off instances when not in use. b. Keep daily images so you can move the servers/application around the internet more frequently.

20. Consider Implementing Managed Virtual Desktops

Michael Abboud, CEO, and Founder of TetherView

Natural disasters mixed with cyber threats, data breaches, hardware problems, and the human factor, increase the risk that a business will experience some type of costly outage or disruption.

Moving towards managed virtual desktops delivered via a private cloud, provides a unique opportunity for organizations to reduce costs and provide secure remote access to staff while supporting business continuity initiatives and mitigating the risk of downtime.

Taking advantage of standby virtual desktops, a proper business continuity solution provides businesses with the foundation for security and compliance.

The deployment of virtual desktops provides users with the flexibility to work remotely via a fully-functional browser-based environment while simultaneously allowing IT departments to centrally manage endpoints and lock down business critical data. Performance, security, and compliance are unaffected.

Standby virtual desktops come pre-configured and are ready to be deployed instantaneously, allowing your team to remain “business as usual” during a sudden disaster.

In addition to this, you should ensure regular data audits and backups

If you don’t know what is in your cloud, now is the time to find out. It’s essential to frequently audit your data and ensure everything is backed up. You’ll also want to consider who has access to this data. Old employees or those who no longer need access should have permissions provoked.

It’s important to also use the latest security measures, such as multi-factor authentication and default encryption. Always keep your employees up to speed with these measures and train them to spot potential threats that way they know how to deal with them right away.

21. Be Aware of a Provider’s Security Policies

Jeff Bittner, Founder and President of Exit technologies

Many, if not most, businesses will continue to expand in the cloud, while relying on on-premise infrastructure for a variety of reasons, ranging from a simple cost/benefit advantages to reluctance to entrust key mission-critical data or systems into the hands of third-party cloud services providers. Keeping track of what assets are where in this hybrid environment can be tricky and result in security gaps.

Responsibility for security in the cloud is shared between the service provider and the subscriber. So, the subscriber needs to be aware not only of the service provider’s security policies, but also such mundane matters as hardware refresh cycles.

Cyber attackers have become adept at finding and exploiting gaps in older operating systems and applications that may be obsolete, or which are no longer updated. Now, with the disclosure of the Spectre and Meltdown vulnerabilities, we also have to worry about threats that could exploit errors or oversights hard-coded at the chip level.

Hardware such as servers and PCs has a limited life cycle, but often businesses will continue to operate these systems after vendors begin to withdraw support and discontinue firmware and software updates needed to counter new security threats.

In addition to being aware of what their cloud provider is doing, the business must keep track of its own assets and refresh them or decommission them as needed. When computer systems are repurposed for non-critical purposes, it is too easy for them to fall outside of risk management and security oversight.

22. Encrypt Backups Before Sending to the Cloud

Mikkel Wilson, CTO at Oblivious.io

1. File metadata should be secured just as vigilantly as the data itself. Even if an attacker can’t get at the data you’ve stored in the cloud, if they can get, say, all the filenames and file sizes, you’ve leaked important information. For example, if you’re a lawyer and you reveal that you have a file called “michael_cohen_hush_money_payouts.xls” and it’s 15mb in size, this may raise questions you’d rather not answer.

2. Encrypt your backups *before* you upload them to the cloud. Backups are a high-value target for attackers. Many companies, even ones with their own data centers, will store backups in cloud environments like Amazon S3. They’ll even turn on the encryption features of S3. Unfortunately, Amazon stores the encryption keys right along with the data. It’s like locking your car and leaving the keys on the hood.

23. Know Where Your Data Resides To Reduce Cloud Threats

Vikas Aditya, Founder of QuikFynd Inc,

Be aware of where their data is stored these days so that they can proactively identify if any of the data may be at risk of a breach.

These days, data is being stored in multiple cloud locations and applications in addition to storage devices in business. Companies are adopting cloud storage services such as Google Drive, Dropbox, OneDrive, etc. and online software services for all kind of business processes. This has led to vast fragmentation of company data, and often managers have no idea where all the data may be.

For example, a confidential financial report for the company may get stored in cloud storage because devices are automatically synching with cloud or a sensitive business conversation may happen in cloud-based messaging services such as Slack. While cloud companies have all the right intentions to keep their customer data safe, they are also the prime target because hackers have better ROI in targeting such services where they can potentially get access to data for millions of subscribers.

So, what should a company do?

While they will continue to adopt cloud services and their data will end up in many, many locations, they can use some search and data organization tools that can show them what data exists in these services. Using full-text search capabilities, they can then very quickly find out if any of this information is a potential risk to the company if breached. You cannot protect something if you do not even know where it is. And more importantly, you will not even know if it is stolen. So, companies looking to protect their business data need to take steps at least to be aware of where all their information is.

24. Patch Your Systems Regularly To Avoid Cloud Vulnerabilities

Adam Stern, CEO of Infinitely Virtual

Business users are not defenseless,  even in the wake of recent attacks on cloud computing like WannaCry or Petya/NotPetya.

The best antidote is patch management. It is always sound practice to keep systems and servers up to date with patches – it is the shortest path to peace of mind. Indeed, “patch management consciousness” needs to be part of an overarching mantra that security is a process, not an event — a mindset, not a matter of checking boxes and moving on. Vigilance should be everyone’s default mode.

Spam is no one’s friend; be wary of emails from unknown sources – and that means not opening them. Every small and midsize business wins by placing strategic emphasis on security protections, with technologies like clustered firewalls and intrusion detection and prevention systems (IDPS).

25. Security Processes Need Enforcement as Staff Often Fail to Realize the Risk

Murad Mordukhay, CEO of Qencode

1. Security as a Priority

Enforcing security measures can become difficult when working with deadlines or complex new features. In an attempt to drive their products forward, teams often bend the rules outlined in their own security process without realizing the risk they are putting their company into. A well thought out security process needs to be well enforced in order achieve its goal in keeping your data protected. Companies that include cloud security as a priority in their product development process drastically reduce their exposure to lost data and security threats.

2. Passwords &Encryption

Two important parts of securing your data in the cloud are passwords and encryption.

Poor password management is the most significant opportunity for bad actors to access and gain control of company data. This usually accomplished through social engineering techniques (like phishing emails) mostly due to poor employee education. Proper employee training and email monitoring processes go a long way in helping expose password information. Additionally, passwords need to be long, include numbers, letters, and symbols. Passwords should never be written down, shared in email, or posted in chat and ticket comments. An additional layer of data protection is achieved through encryption. If your data is being stored for in the cloud for long periods, it should be encrypted locally before you send it up. This makes the data practically inaccessible in the small chance it is compromised.

26. Enable Two-factor Authentication

Tim Platt, VP of IT Business Services at Virtual Operations, LLC

For the best cloud server security, we prefer to see Two Factor Authentication (also known as 2FA, multi-factor authentication, or two-step authentication) used wherever possible.

Was ist das? 2 Factor combines “something you know” with “something you have.” If you need to supply both a password and a unique code sent to your smartphone via text, then you have both those things. Even if someone knows your password, they still can’t get into your account. They would have to know your password and have access to your cell phone. Not impossible, but you have just dramatically made it more difficult for them to hack your account. They will look elsewhere for an easier target. As an example, iCloud and Gmail support 2FA – two services very popular with business users. I recommend everyone use it.

Why is this important for cloud security?

Because cloud services are often not protected by a firewall or other mechanism to control where the service can be accessed from. 2FA is an excellent additional layer to add to security.  I should mention as well that some services, such as Salesforce, have a very efficient, easy to use implementation of 2FA that isn’t a significant burden on the user.

27. Do Not Assume Your Data in the Cloud is Backed-Up

Mike Potter, CEO &Co-Founder at Rewind

Backing up data that’s in the cloud:There’s a big misconception around how cloud-based platforms (ex. Shopify, QuickBooks Online, Mailchimp, WordPress) are backed up. Typically, cloud-based apps maintain a disaster recovery cloud backup of the entire platform. If something were to happen to their servers, they would try to recover everyone’s data to the last backup. However, as a user, you don’t have access to their backup to restore your data.

This means that you risk having to manually undo unwanted changes or permanently losing data if:

• A 3rd party app integrated into your account causes problems.
• You need to unroll a series of changes
• Your or someone on your team makes a mistake
• A disgruntled employee or contractor deletes data maliciously

Having access to a secondary backup of your cloud accounts gives you greater control and freedom over your own data. If something were to happen to the vendor’s servers, or within your individual account, being able to quickly recover your data could save you thousands of dollars in lost revenue, repair costs, and time.

28. Minimize and Verify File Permissions

Randolph Morris, Founder & CTO at Releventure

1. If you are using a cloud-based server, ensure monitoring and patching the Spectre vulnerability and its variations. Cloud servers are especially vulnerable. This vulnerability can bypass any cloud security measures put in place including encryption for data that is being processed at the time the vulnerability is being utilized as an exploit.

2. Review and tighten up file access for each service. Too often accounts with full access are used to ensure software ‘works’ because they had permission issues in the past. If possible, each service should use its own account and only have restricted permission to access what is vital and just give the minimum required permissions.

29. When Securing Files in the Cloud,  Encrypt Data Locally First

Brandon Ackroyd, Founder and Mobile Security Expert at Tiger Mobiles 

Most cloud storage users assume such services use their own encryption. They do, Dropbox, for example, uses an excellent encryption system for files.

The problem, however, is because you’re not the one encrypting, you don’t have the decryption key either. Dropbox holds the decryption key so anyone with that same key can decrypt your data. The decryption happens automatically when logged into the Dropbox system so anyone who accesses your account, e.g., via hacking can also get your now non-encrypted data.

The solution to this is that you encrypt your files and data, using an encryption application or software, before sending them to your chosen cloud storage service.

30. Exposed Buckets in AWS S3 are Vulnerable

Todd Bernhard, Product Marketing Manager at CloudCheckr

1. The most common and publicized data breaches in the past year or so have been due to giving the public read access to AWS S3 storage buckets. The default configuration is indeed private, but people tend to make changes and forget about it, and then put confidential data on those exposed buckets.

2. Encrypt data, both in traffic and at rest. In the data center, where end users, servers, and application servers might all be in the same building. By contrast, with the Cloud, all traffic goes over the Internet, so you need to encrypt data as it moves around in public. It’s like the difference between mailing a letter in an envelope or sending a postcard which anyone who comes into contact with it can read the contents.

31. Use the Gold-standard of Encryption

Jeff Capone, CEO of SecureCircle

There’s a false sense of privacy being felt by businesses using cloud-based services like Gmail and Dropbox to communicate and share information. Because these services are cloud-based and accessible by password, it’s automatically assumed that the communications and files being shared are secure and private. The reality is – they aren’t.

One way in which organizations can be sure to secure their data is in using new encryption methods such as end-to-end encryption for emailing and file sharing. It’s considered the “gold standard” method with no central points of attack – meaning it protects user data even when the server is breached.

These advanced encryption methods will be most useful for businesses when used in conjunction with well-aligned internal policies. For example, decentralizing access to data when possible, minimizing or eliminating accounts with privileged access, and carefully considering the risks when deciding to share data or use SaaS services.

32. Have Comprehensive Access Controls in Place

Randy Battat, Founder and CEO, PreVeil

All cloud providers have the capability of establishing access controls to your data. This is essentially a listing of those who have access to the data. Ensure that “anonymous” access is disabled and that you have provided access only to those authenticated accounts that need access.

Besides that, you should utilize encryption to ensure your data stays protected and stays away from prying eyes. There is a multitude of options available depending on your cloud provider. Balance the utility of accessing data with the need to protect it – some methods are more secure than others, like utilizing a client-side key and encryption process. Then, even if someone has access to the data (see point #1), they only have access to the encrypted version and must still have a key to decrypt it

Ensure continuous compliance to your governance policies. Once you have implemented the items above and have laid out your myriad of other security and protection standards, ensure that you remain in compliance with your policies. As many organizations have experienced with cloud data breaches, the risk is not with the cloud provider platform. It’s what their staff does with the platform. Ensure compliance by monitoring for changes, or better yet, implement tools to monitor the cloud with automated corrective actions should your environment experience configuration drift.

33. 5 Fundamentals to Keep Data Secure in the Cloud

David Gugick, VP of Product Management at CloudBerry

• Perform penetration testing to ensure any vulnerabilities are detected and corrected.
• Use a firewall to create a private network to keep unauthorized users out.
• Encrypt data using AES encryption and rotate keys to ensure data is protected both in transit and at rest.
• Logging and Monitoring to track who is doing what with data.
• Identity and Access Control to restrict access and type of access to only the users and groups who need it.

34. Ensure a Secure Multi-Tenant Environment

Anthony Dezilva, CISO at PhoenixNAP

When we think of the cloud, we think of two things.  Cost savings due to efficiencies gained by using a shared infrastructure, and cloud storage security risk.

Although many published breaches are attributed to cloud-based environment misconfiguration, I would be surprised if this number was more than, the reported breaches of non-cloud based environments.

The best cloud service providers have a vested interest in creating a secure multi-tenant environment.  Their aggregate spending on creating these environments are far more significant than most company’s IT budgets, let alone their security budgets.  Therefore I would argue that a cloud environment configured correctly, provides a far higher level of security than anything a small to medium-sized business can create an on-prem.

Furthermore, in an environment where security talent is at a grave shortage, there is no way an organization can find, let alone afford the security talent they need.  Resulting in the next best thing, create a business associate relationship with a provider that not only has a strong secure infrastructure but also provides cloud monitoring security solutions.

Cloud Computing Threats and Vulnerabilities:Need to know

• Architect solution as you would any on-prem design process;
• Take advantage of application services layering and micro-segmentation;
• Use transaction processing layers with strict ACLs that control inter-process communication.  Use PKI infrastructure to authenticate, and encrypt inter-process communication.
• Utilize advanced firewall technology including WAF (Web Access Firewalls) to front-end web-based applications, to minimize the impact of vulnerabilities in underlying software;
• Leverage encryption right down to record level;
• Accept that it is only a matter of time before someone breaches your defenses, plan for it.  Architect all systems to minimize the impact should it happen.
• A flat network is never okay!
• Robust change control process, with weekly patch management cycle;
• Maintain offline copies of your data, to mitigate the risk of cloud service collapse, or malicious attack that wipes your cloud environment;
• Contract with 24×7 security monitoring services that have an incident response component.