אבטחת המידע ליישומי ענן במספרים

הכותב: גדי גילאון, יו"ר מוביסק טכנולוגיות, מפיצת פתרונות NetSkope בישראל

אחת הבעיות היותר מורכבות העומדות בפני ארגונים כיום היא חוסר השקיפות בפעילות של המשתמשים ביישומי ענן. חברת NetSkope, המפתחת פתרון לניתוח, סיווג ואכיפת מדיניות ארגונית לפעילות המשתמשים ביישומי ענן, מוציאה דו"ח רבעוני שוטף ובו ניתוח הממצאים בקרב לקוחותיה ביחס לרבעון הקודם. בדו"ח היא מסמנת את המגמות המרכזיות.

החוקרים מצאו בדו"ח האחרון כי נתוני הגישה לחשבונות של כ 15% מהמשתמשים הארגוניים ביישומי ענן נחשפו ונגנבו. לצד המאמץ שארגונים משקיעים בשיפור ההזדהות באמצעות Single sign-on ו-Multi-factor Authentication, יישומים רבים עדיין נמצאים בסיכון.

מחקרים רבים, וגם דו"ח זה, מצביעים על התופעה במסגרתה כ-50% מהגולשים עושים שימוש בסיסמה אחת למספר יישומים. הסבירות שגולשים יעשו שימוש בסיסמה אחת במספר יישומים פופולריים כגון Salesforce ,Box ,Dropbox או WebEx גבוהה והסיכון לארגון גובר כתוצאה מכך. חשיפת סיסמה באפליקציה אחת מאפשרת גישה לאפליקציות נוספות של אותו משתמש. בארגונים רבים נקטו בצעדים על מנת להגן על יישומי הענן ה-Sanctioned (המאושרים לשימוש בארגון), אך במקרים רבים לא עשו שום פעולה כדי להגן על יישומים ה-Unsanctioned (בלתי מאושרים). המחקר של NetSkope מעריך שלפחות 13.5% מיישומי הענן הציבוריים הם בהגדרה של Unsanctioned ובמקביל יש להם חשיבות עסקית קריטית. הגישה ליישומים אלה לא מוגנת באמצעים כמו Single sign-on וMulti-factor authentication, והם נמצאים תחת סיכון.

הנתון שצריך להדאיג אותנו הוא שביישומי Sanctioned נמצאו 8% מהקבצים כמפירים את מדיניות ה-DLP (דלף המידע) הארגוני.

ממצא נוסף מצביע על עלייה של 5% במספר יישומי הענן בשימוש בארגונים ביחס לדו"ח שפורסם ברבעון הרביעי של 2014. 88.1% מהיישומים אינם Enterprise-ready ולא עומדים במדיניות הארגונית. בכ-20% מהארגונים נמצאו יותר מ-1,000 יישומי ענן בשימוש (הנתון מתייחס בעיקר לארצות הברית).

השימוש הגובר ביישומי ענן לצד התפתחות תופעת ה-Shadow IT מחייבים חשיבה ארגונית אחרת. Allow is the new Block צריכה להיות התפיסה החדשה. היכולת לאפשר פעילויות ביישומי ענן תחת מדיניות ארגונית מכילה וכזו המנהלת סיכונים מחושבים ומדודים. ניתוח היישומים על פי פעילויות בארגון מגלה שהשיווק מוביל את השימושים וגם ברמת היישומים שאינם Enterprise-ready. זהו נתון המייצג את הדילמה בארגונים: תחום הדיגיטל בארגון מחייב פתיחות ליישומיי ענן ולרשתות החברתיות, ומאידך מייצר רמת סיכון גוברת.

הפתרון של NetSkope, שגרטנר (Gartner) הגדירה כ-Cool Vendor in security intelligence, ייחודי בכך שהוא תומך בגמישות המייחדת את צרכי הארגונים והמשתמשים ביישומי ענן (Sanctioned ו-Unsanctioned). הוא מאפשר שקיפות מלאה בשימושים לארגון ולקובעי המדיניות, ומאפשר הפחתת הסיכונים ואכיפת המדיניות הארגונית תוך מניעת דלף מידע (DLP) תוך שימוש במודולים הבאים:

• מודל ה-Netskope Active הוא הפתרון היחיד בתחום שמאפשר ניתוח שימושים בזמן אמת ומדיניות בעבור כל יישום ענן, כולל שימושי Shadow IT.

• פתרון ה-CASB – Netskope cloud access and security broker מאפשר שקיפות מלאה של שימושים ביישומי ענן באמצעות גילוי וניתוח מעמיק של השימושים בהם. אכיפת מדיניות ארגונית ביחס ליישומים בענן בזמן אמת למציאת שיתופי מידע ארגוני רגיש באמצעות יישומי אחסון המידע בענן ואיתור של פעילות חריגה היכולה להעיד על סיכון אבטחת מידע אפשרי והפרה של המדיניות הארגונית.

• אינדקס יישומי הענן Cloud Confidence Index – CCI מכיל קרוב ל-6,000 יישומי ענן הנבחנים ב-35 קריטריונים – בין השאר, אבטחת מידע, בקרה והתאוששות מאסון. הציון המתקבל מתייחס לרמת הבשלות של כל אחד מהם ליישום ארגוני ומאפשר קביעת מדיניות המתייחסת ליישומים ארגוניים שהציון שלהם הוא נמוך.

לקבלת מידע נוסף על הפתרון של NetSkope, כמו גם לקבלת ה-NetSkope cloud report January 2015 והספר האלקטרוני “Cloud security for dummies” יש להיכנס לקישור זה.