NIST указал на риски безопасности в многооблачных средах

21 августа Национальный институт стандартов и технологий (NIST) предупредил организации, что использование нескольких поставщиков облачных услуг (cloud service providers/CSP) затрудняет поддержание согласованных политик безопасности, применение единых мер контроля и обеспечение надёжных протоколов аутентификации по сравнению с архитектурами на основе одного облака или локальной инфраструктуры.

Всё больше компаний переходит к многооблачным средам, которые определяются как использование продуктов двух или более вендоров. С одной стороны, такой подход является преимуществом, так как позволяет снизить зависимость от одного партнёра: в случае сбоя или кибератаки в его отношении организации могут продолжать работу и сохранять доступ к критически важным системам и данным.

С другой стороны, по мнению регулятора, это может создавать значительные проблемы, поскольку разные поставщики имеют свои собственные модели безопасности, инструменты, конфигурации и системы распределения ответственности. Цель нового отчёта NIST состоит в том, чтобы побудить сообщество ИБ-специалистов активнее изучать и определять приоритеты в решении проблем, связанных с многооблачными архитектурами.

Среди возникающих трудностей называются обеспечение согласованной реализации политик контроля доступа и мер авторизации в различных системах вендоров, каждая из которых имеет уникальную собственную архитектуру; более сложный характер управления уязвимостями; различные подходы к реагированию на инциденты и к аварийному восстановлению; значительный риск нарушения правил защиты данных в разных юрисдикциях и так далее.

Регулятор заявил, что для решения указанных проблем потребуются надёжные системы управления, централизованная прозрачность, последовательное применение политики и сильный акцент на автоматизации и стандартизации. Как отметили в NIST, «отчёт призван обеспечить структурированную постановку проблемы и общий словарь, который может служить основой для будущих исследований, закупок, разработки стандартов и проектирования решений в правительстве, промышленности и академических кругах».

Усам Оздемиров