Cyberveiligheid voor de cloud: tien ‘best practices’ voor een beveiligingscultuur

Cloudbeveiliging is als een dieet: iedereen praat erover, weinigen doen het echt en nog minder doen het goed. Hoewel cloudtechnologie een revolutie teweeg heeft gebracht in het bedrijfsleven, zien we vaak over het hoofd dat de vele voordelen gepaard gaat met het risico van een datalek.

In 2023 werden bij de Autoriteit Persoonsgegevens meer dan 25.000 datalekken gemeld, een stijging van 21 procent ten opzichte van het voorgaande jaar. Dit benadrukt de dringende behoefte aan verbeterde cloudbeveiligingsmaatregelen om gevoelige gegevens te beschermen in een steeds digitalere en cloudafhankelijke omgeving.

E-commercebedrijven moeten prioriteit geven aan cyberbeveiligingsmaatregelen, omdat bedreigingen zoals phishing en cybersabotage het consumentenvertrouwen ernstig kunnen schaden en een kritische blik van de regelgevende instanties kunnen aantrekken.

Het rimpeleffect van een cloudincident

Een cloudlek treedt op wanneer ongeautoriseerde personen toegang krijgen tot gegevens die zijn opgeslagen in een cloudsysteem. Voor e-commercebedrijven kan dit betekenen dat gevoelige klantinformatie, financiële gegevens of eigen bedrijfsinformatie wordt blootgesteld. De impact van een lek kan bestaan uit financiële verliezen, boetes en schade aan de naamsbekendheid en het vertrouwen.

In 2018 zakte de MyFitnessPal-app van Under Armour door zijn knieën, waardoor de informatie van 150 miljoen gezondheidsfanaten werd blootgelegd. Het lijkt erop dat de populaire fitness-app zijn ‘cyberbeveiligings-squat-dagen’ had overgeslagen. Het probleem lag bij de wachtwoordbeveiliging. Wachtwoorden zijn de sleutels tot je persoonlijke account. Om ze veilig te houden, gebruiken apps zoals MyFitnessPal een proces genaamd hashing om ze te versleutelen.

Hoewel de meeste wachtwoorden van de MyFitnessPal-app waren beveiligd met de veilige hashingfunctie bcrypt, waren sommige alleen gehasht met het veel zwakkere SHA-1-algoritme, dat bekende kwetsbaarheden heeft. Deze discrepantie ontstond juist omdat het bedrijf de overstap maakte van SHA-1 naar bcrypt, maar oude gegevens bewaarde voor inactieve gebruikers. Dat is typisch: onoplettenheid is altijd de grootste bedreiging geweest voor de industrie.

De rol van ethisch hackers

Misschien had de MyFitnessPal-app van Under Armour zijn cybersecurity-workout niet overgeslagen als het een persoonlijke trainer in de vorm van ethische hackers had gehad. Dit roept de vraag op: welke rol zouden ze in dat geval hebben gespeeld?

Ethische hackers zouden het gebruik van het zwakke SHA-1 hashing-algoritme hebben ontdekt en een upgrade naar een veiligere methode zoals bcrypt hebben aanbevolen voor alle gebruikerswachtwoorden. Ze zouden ook advies hebben gegeven over best practices voor het consequent implementeren van sterke beveiligingsmaatregelen door het hele systeem, om ervoor te zorgen dat verouderde en onveilige methoden volledig werden uitgebannen.

‘Best practices’ voor cloudbeveiliging in e-commerce

In de wereld van cloud computing is paranoia geen stoornis: het is een best practice. Misschien zou deze paranoia de MyFitnessPal-app van Under Armour miljoenen dollars aan kosten hebben bespaard. Een best practice per dag houdt verliezen voor je e-commercebedrijf op afstand.

De tien best practices op een rij die ieder bedrijf zou moeten implementeren:

1. Implementeer sterke toegangscontroles – Gebruik multifactorauthenticatie en rolgebaseerde toegangscontrole om ervoor te zorgen dat alleen geautoriseerd personeel toegang heeft tot gevoelige gegevens.
2. Versleutel gegevens tijdens overdracht en opslag – Gebruik robuuste versleutelingsprotocollen om gegevens te beschermen terwijl ze tussen systemen bewegen en wanneer ze in de cloud zijn opgeslagen.
3. Update en ‘patch’ systemen regelmatig – Houd alle software, inclusief cloudplatforms en -applicaties, bijgewerkt met de nieuwste beveiligings-patches.
4. Voer regelmatig beveiligingsaudits uit – Voer uitgebreide beveiligingsbeoordelingen uit om kwetsbaarheden snel te identificeren en aan te pakken.
5. Train medewerkers in’ best practices’ rond beveiliging – Leer medewerkers over phishing, social engineering en andere veelvoorkomende aanvalsmethoden.
6. Implementeer een ‘zero-trust’-architectuur – Kies voor een benadering die uitgaat van het principe ‘vertrouw nooit, controleer altijd’ voor netwerktoegang, ongeacht of de verbinding van binnen of buiten de organisatie komt.
7. Gebruik Cloud Security Posture Management (CSPM)-tools – Deze oplossingen helpen bij het monitoren van cloudomgevingen op misconfiguraties en nalevingsschendingen.
8. Ontwikkel en test een incidentreactieplan – Heb een duidelijke strategie voor het reageren op en herstellen van mogelijke beveiligingsinbreuken.
9. Beoordeel externe leveranciers zorgvuldig – Zorg ervoor dat alle partners en serviceproviders zich houden aan strenge beveiligingsstandaarden.
10. Maak gebruik van kunstmatige intelligentie en Machine Learning – Gebruik geavanceerde technologieën om bedreigingen in realtime te detecteren en erop te reageren.

De kracht van continue controle

We zijn het erover eens dat cloudbeveiliging is als een paraplu in een orkaan: je hebt veel meer nodig om droog te blijven. Continue monitoring van cloudomgevingen kan inspelen op gebeurtenissen voordat ze plaatsvinden en ze veilig houden. Traditionele beveiligingsmaatregelen die vertrouwen op periodieke controles zijn niet langer voldoende in de snelle cloudomgeving. E-commercebedrijven moeten investeren in hulpmiddelen en processen die real-time inzicht bieden in hun cloudinfrastructuur.

Continue monitoring kan helpen bij het detecteren van ongebruikelijke activiteitenpatronen, het identificeren van potentiële kwetsbaarheden en het waarborgen van de naleving van het beveiligingsbeleid. Geautomatiseerde penetratietests kunnen deze potentiële kwetsbaarheden testen, zodat beveiligingsteams zich kunnen richten op de belangrijkste risico’s. Maak gebruik van AI-gebaseerde SIEM-systemen (Security Information and Event Management) om enorme hoeveelheden gegevens te analyseren en afwijkingen op te sporen die kunnen duiden op een poging tot inbraak.

Het opbouwen van een beveiligingscultuur

Hoewel technische maatregelen cruciaal zijn, is het bevorderen van een cultuur van beveiligingsbewustzijn net zo belangrijk. Dit betekent dat beveiliging een prioriteit moet zijn op alle niveaus van de organisatie, van de C-suite tot eerstelijns medewerkers.

Organisaties stappen steeds vaker over naar de cloud vanwege de snelheid, kostenefficiëntie en flexibiliteit die daarmee te winnen valt. Deze flexibiliteit kan echter leiden tot verkeerde configuraties en mogelijke inbreuken op gegevens. Gezien de vele beveiligingscontroles en het gemak waarmee ze over het hoofd te zien zijn, is een offensieve beveiligingsaanpak, inclusief continu scannen en testen, essentieel om bedreigingen proactief te identificeren en te verhelpen, waardoor het kwetsbaarheidvenster wordt geminimaliseerd.

Over de auteur: Alex Wells is Head of product marketing bij Hadrian.