Hoofdstuk 6 van 10
Lees het vorig hoofdstuk over de 6 meest voorkomende securityfouten
‘Cloud’ is ondertussen hét buzzword in de IT-wereld en dat is niet zonder reden. De cloud biedt bedrijven enorme voordelen: schaalbaarheid, flexibiliteit en toegankelijkheid waar je maar wilt. Maar zoals bij alles in IT, komen er ook bij de cloud uitdagingen kijken, zeker als het om beveiliging gaat. Want ja, de cloud maakt het mogelijk om vanaf elke plek toegang te krijgen tot je software, maar dat geldt niet alleen voor jou – ook voor hackers.
Waarom de cloud zo aantrekkelijk (en risicovol) is
De cloud maakt het mogelijk om je bedrijfssoftware te hosten zonder dat je zelf servers hoeft te beheren. Dat klinkt natuurlijk fantastisch, en in veel opzichten is het dat ook. Geen gedoe met hardware-updates, altijd en overal toegang, en je kunt schalen zonder dat je meteen nieuwe servers moet kopen. Maar, zoals we eerder zeiden, elke roos heeft zijn doorns, en in dit geval zijn die doorns de beveiligingsrisico’s.
Omdat de cloud een publieke omgeving is, is hij in de basis kwetsbaarder dan een intern netwerk. Hackers zien de cloud als een goudmijn, omdat daar vaak grote hoeveelheden data van veel verschillende bedrijven samenkomen. Denk er maar eens over na: als je je software draait in de cloud, zijn je gegevens toegankelijk via het internet. Dat maakt het een stuk makkelijker voor kwaadwillenden om binnen te dringen.
Encryptie: je eerste verdedigingslinie
Een van de eerste dingen die je moet doen om je data in de cloud te beveiligen, is ervoor zorgen dat alles wat over het netwerk wordt verzonden, goed versleuteld is. Encryptie is hierbij essentieel. Zonder encryptie stuur je als het ware een ansichtkaart met al je gevoelige informatie op de voorkant – iedereen kan het lezen. Met encryptie verander je die ansichtkaart in een stevige kluis, waar alleen de juiste ontvanger toegang toe heeft.
Er zijn twee belangrijke momenten waarop je encryptie moet toepassen:
- Data in beweging: Dit zijn de data die van je servers naar de gebruikers worden gestuurd, of van je software naar andere systemen. Het gebruik van encryptie zoals SSL/TLS zorgt ervoor dat die data onderweg niet onderschept of gelezen kan worden.
- Data in rust: Dit zijn de data die op je servers staan. Zelfs als hackers erin slagen toegang te krijgen tot je cloudomgeving, mogen ze zonder de juiste encryptiesleutels nog steeds geen toegang krijgen tot de gevoelige informatie die is opgeslagen.
Toegangspunten: de zwakke schakels
Beveiliging in de cloud draait niet alleen om encryptie. Een ander belangrijk onderdeel is het beveiligen van de toegangspunten tot je software. De grootste fout die bedrijven maken, is dat ze te licht gaan over wie toegang heeft tot hun cloudomgeving. We horen regelmatig verhalen over bedrijven die gehackt zijn omdat ze zwakke wachtwoorden gebruikten of omdat ze geen extra beveiligingslagen hadden ingesteld.
Een simpele maar effectieve maatregel is het gebruik van multi-factor authentication (MFA). Dit betekent dat gebruikers niet alleen een wachtwoord moeten invoeren, maar ook een tweede beveiligingsstap moeten doorlopen, zoals het invoeren van een code die ze op hun telefoon ontvangen. Dit zorgt ervoor dat, zelfs als hackers erin slagen het wachtwoord van een gebruiker te bemachtigen, ze nog steeds niet zomaar binnenkomen.
Daarnaast is role-based access control (RBAC) een krachtig hulpmiddel. Met RBAC kun je bepalen wie binnen je organisatie toegang heeft tot welke delen van de software. Niet elke medewerker hoeft toegang te hebben tot alle data, en door toegang te beperken, verminder je het risico dat iemand per ongeluk iets fout doet of dat een kwaadwillende gebruiker toegang krijgt tot gevoelige informatie.
De cloud is kwetsbaar, maar niet onveilig
De belangrijkste boodschap hier is dat de cloud niet inherent onveilig is. Het kan juist extreem veilig zijn, mits je de juiste maatregelen neemt. De cloud zelf is niet het probleem – het probleem is hoe je met de cloud omgaat. De cloud, net zoals je eigen infrastructuur, is een huis: zonder sloten op de deuren en ramen staat het wijd open voor inbrekers, maar met de juiste beveiliging is het net zo veilig als elke andere plek.
Bij het ontwikkelen van maatwerksoftware die in de cloud draait, is het essentieel om vanaf het begin samen te werken met security-experts. Beveiliging moet altijd worden ingebouwd, net zoals bij on-premises software (software die op je eigen infrastructuur draait). Het verschil is dat je rekening moet houden met de unieke uitdagingen van de cloud. Denk aan dingen zoals:
- Network firewalls: Zorg ervoor dat je gebruik maakt van firewalls om ongewenst verkeer te blokkeren.
- Monitoring en logging: Gebruik tools om je cloudomgeving in de gaten te houden en verdachte activiteiten op te merken voordat ze een groot probleem worden.
- Incident response: Zorg dat je een duidelijk plan hebt voor wat er moet gebeuren als er een beveiligingsincident plaatsvindt. Snel reageren is cruciaal om de schade te beperken.
Samenwerken voor succes
Wat misschien wel de grootste uitdaging is bij cloudbeveiliging, is de samenwerking tussen verschillende partijen. De cloud werkt in veel gevallen als een gedeelde verantwoordelijkheid. Je hebt de cloudprovider, zoals Amazon Web Services (AWS) of Microsoft Azure, die zorgt voor de beveiliging van de infrastructuur. Jij, als gebruiker van de cloud, bent echter verantwoordelijk voor de beveiliging van je data en de software die op die infrastructuur draait.
Daarom is het cruciaal om helder te krijgen wie waarvoor verantwoordelijk is. De meeste cloudproviders bieden uitstekende beveiligingstools, maar het is aan jou om ze op de juiste manier te gebruiken. In veel gevallen zullen wij als ontwikkelaars van maatwerksoftware een adviserende rol spelen: we zorgen ervoor dat de software die we bouwen veilig is, maar werken ook samen met jouw IT-team en de cloudprovider om ervoor te zorgen dat alles correct wordt ingesteld en beschermd.
Cloudbeveiliging vraagt om een gedegen aanpak en een continue samenwerking tussen verschillende partijen. In de volgende hoofdstukken zullen we ingaan op de impact van infrastructuur en externe validatie.