De IT-infrastructuur van de meeste organisaties berust vandaag op een hybride architectuur waarin on-premises hardware samenspeelt met diensten van één of meerdere cloudproviders. Hoe kan je die complexe omgeving beveiligen?
Wat data on-premises, enkele toepassingen bij één cloudprovider en dan nog wat apps bij een andere speler: de IT-architectuur van ondernemingen vandaag is complexer dan ooit. Volgens het Cloud Security-rapport (juni 2021) van Fortinet, gebaseerd op een bevraging bij 572 beveiligingsprofessionals wereldwijd, streeft 71 procent van de ondernemingen een hybride of een multicloudstrategie na. Bij die organisaties staat de infrastructuur dus op minstens twee locaties. 36 procent mikt daarbij op een hybride model met een combinatie van on-premises en de cloud, 35 procent heeft meerdere cloudproviders in het achterhoofd. Vandaag vertrouwt 73 procent van alle ondernemingen op minstens twee providers.
Complexiteit, maar niet zonder reden
“Het landschap wordt alleen maar complexer”, bevestigt Jeroen Bismans, Systems Engineer bij Fortinet. “Data en gebruikers zitten werkelijk overal. Digitale transformatie zorgt ervoor dat er meer linken zijn tussen organisaties, klanten en externe partijen waardoor het aanvalsoppervlak groter wordt. De omgeving groeit en er zijn meer waardevolle gegevens in aanwezig, dus moet je meer beschermen.”
lees ook
Fortinet wil tekort aan security professionals verhelpen met gratis cursusaanbod
Hoewel cybercriminelen duchtig misbruik maken van die situatie, is Bismans niet tegen de complexe hybride infrastructuurmodellen. “De uitdagingen die bedrijven vandaag moeten oplossen, zijn complex. Ze grijpen naar de cloud en proberen zo snel te groeien. Grote cloudproviders hebben hun eigen sterktes en organisaties kiezen vaak voor een best of breed-aanpak. Het is moeilijk om daaraan te ontkomen. Bedrijven moeten mee met hun tijd.” De voordelen zijn legio: volgens het rapport zorgde digitale transformatie bij 53 procent van de bedrijven voor een snellere time-to-market. 51 procent geeft aan vlotter op de noden van klanten te kunnen reageren en 41 procent bespaarde geld.
Complexe IT-infrastructuur is dus een teken van de tijd. Mijden is niet nodig, zolang je er goed en op een veilige manier mee omgaat. Bismans: “Vijftien jaar geleden was het eenvoudig om een bedrijf te beveiligen. Alles op het internet was slecht, alles intern was goed. Dat is eenvoudig te beheren en te controleren. Nu data overal zitten werkt die aanpak niet meer en vinden IT-specialisten het moeilijk om vat te krijgen op hun beveiliging. Er zijn zoveel omgevingen waar toepassingen en gegevens staan, die ieder hun eigen expertise vereisen, dat het onmogelijk is om alles zelf manueel te beheersen.”
Gegroeid verantwoordelijkheidsbesef
Het is aan de organisaties zelf om daar oplossingen voor te implementeren. Dat beseffen ze gelukkig, al was dat vroeger wel anders. “Bedrijven met een lage cloudmaturiteit onderschatten nog vaak wat ze moeten doen. Ze constateren dan dat er iets schort en moeten een inhaalmanoeuvre inzetten. Organisaties die al wel enkele jaren met de cloud werken, kennen het shared responsibility model goed genoeg. Cloudproviders van hun kant doen vandaag ook goed hun best om aan klanten duidelijk te maken waar de verantwoordelijkheid van de provider eindigt en die van henzelf begint.”
Het grootste risico bij een complexe infrastructuur zijn de misconfiguraties. 67 procent van de organisaties ziet volgens het rapport misconfiguraties als het grootste risico. “Bij de migratie naar de cloud blijft de grootste focus van bedrijven om alles werkende te krijgen”, beseft Bismans. “Zo’n migratie brengt veel uitdagingen met zich mee, zodat business continuity soms teveel focus krijgt ten nadele van beveiliging.
Business continuity krijgt soms teveel focus ten nadele van beveiliging.
Jeroen Bismans, Systems Engineer Fortinet
Bedrijven weten dus al bij al vrij goed tegen welke beveiligingsuitdaging ze aankijken. Daarmee is het probleem nog niet verholpen. Bismans weet waarop organisaties een goede beveiliging moeten stoelen. “Om te beginnen is de technologische aanpak belangrijk. Je moet automatiseren en consolideren: het is geen realistische ambitie om de complexiteit van een hybride multicloudomgeving manueel te beheren.”
Platform-aanpak
Hij pleit voor een overkoepelende beveiligingsoplossing. “Ga in dit geval niet voor best of breed, maar kiest een platformaanpak”, waarschuwt Bismans. “Zo praten alle beveiligingsoplossingen met elkaar, of ze nu een workload in de cloud beveiligen dan wel on-premises staan.” Die integratie maakt automatisering mogelijk maar zorgt ook voor extra inzichten. Twee losstaande feiten kunnen op zichzelf niet verdacht lijken, maar wel wanneer je ze met elkaar in verband brengt. “Gebeurt er iets on-premises, dan leert je beveiliging in de cloud daarvan en vice versa.”
lees ook
Hoe de Kanselarij van de Eerste Minister de IT-beveiliging een boost gaf
De platformaanpak heeft nog een bijkomend voordeel: beheer gebeurt vanuit een centrale console met een single pane of glass. Zo zie je als administrator vanop één centraal dashboard meteen of een aspect van je omgeving beveiliging nodig heeft. Met een breed beveiligingsplatform dat eenvoudige taken automatiseert, wordt de complexiteit van de hybride omgeving al overzichtelijker. 78 procent van de bevraagden in het Cloud Security-rapport geeft aan op zoek te zijn naar zo’n oplossing die de totale infrastructuur behelst.
Specialisten en partners
Je hebt natuurlijk nog steeds de juiste mensen nodig om de omgeving te configureren en te reageren wanneer er iets schort. Dat is niet vanzelfsprekend en vandaag eigenlijk ook niet de kerntaak van de meeste firma’s. “Omring je met de juiste mensen met de juiste expertise”, zegt Bismans. “Je kan geen expert aannemen voor alle niches van je omgeving maar je kan wel aankloppen bij de juiste partners.” Zo’n beveiligingspartner kan het beheer van de omgeving deels voor z’n rekening nemen, bijvoorbeeld via een security operations center (SoC).
Je kan geen expert aannemen voor alle niches van je omgeving maar je kan wel aankloppen bij de juiste partners.
Jeroen Bismans, Systems Engineer Fortinet
De evolutie naar consumptiegebaseerde IT helpt organisaties volgens de expert om hun beveiligingspostuur op te krikken. “Beveiliging puur on-premises werd historisch gezien als een grote capex-investering. Dat kregen beveiligingsteams soms moeilijk verkocht. Nu de cloud een belangrijk onderdeel van ieders infrastructuur wordt, wint het pay-as-you-go-model aan belang en staan firma’s meer open voor managed oplossingen. Ook bij Fortinet zien we steeds meer SaaS-varianten van onze producten. De flexibele consumptiemodellen helpen bij de budgettering voor beveiliging. Wanneer je met de hoed moet rondgaan voor budget, stel je management bovendien gerust dat de beveiliging via een maandelijkse aanpak kan groeien en krimpen op maat van de organisatie en de economie.”
Uitdagend maar boeiend
Hoeveel het kost om een omgeving te beveiligen, is natuurlijk erg variabel. “Zeker wanneer de cloud in het spel is, bestaan er zoveel verschillende producten en workloads dat ieder beveiligingspakket uniek is”, weet Bismans. “Bedrijven moeten zelf een belangrijke oefening maken: welke assets hebben ze, welke zijn het belangrijkst, en hoeveel ben je bereid om te investeren om die assets veilig te houden.”
De tools, mensen en producten om een complexe hybride multicloudomgeving te beveiligen, bestaan dus. “De cloud, en bij uitstek hybride en multicloud, is een uitdagende maar boeiende omgeving. De reis ernaartoe is niet zonder risico’s, maar ze is erg interessant. Kies de juiste tools en omring je door mensen met ervaring, zo houd je zelfs de meest complexe omgevingen veilig.”