Amazon cerca di spostare le appliance di sicurezza nel cloud, dice CISO

Amazon Web Services (AWS) sta cercando di espandere le proprie offerte di sicurezza con appliance di protezione intrusioni ospitate e altro estese funzionalità di crittografia, poiché sembra aumentare il livello di protezione che gli utenti possono ottenere nel cloud.

Per Amazon, dimostrare che la sua piattaforma di cloud computing può offrire lo stesso livello di sicurezza di hardware e software tradizionali è stata una sfida continua.

È difficile per le aziende soddisfare i propri requisiti di sicurezza esistenti nel cloud è un malinteso comune, secondo Stephen Schmidt, responsabile della sicurezza delle informazioni presso Amazon Web Services.

[Furt la sua lettura: Come rimuovere malware dal PC Windows]

"Ad esempio, sono preoccupati per il controllo degli accessi; controllo del dispositivo perimetrale di rete; e la capacità di costruire reti in modo coerente con i loro particolari requisiti di conformità o applicazione. Nella maggior parte dei casi scopriamo che non solo possono fare ciò che stanno facendo in questo momento nel cloud, ma hanno anche controlli più granulari ", ha detto Schmidt.

C'è anche un equivoco sulla separazione delle risorse di calcolo nel cloud, secondo Schmidt.

"Alcune persone hanno scritto articoli accademici che affermano che è teoricamente possibile, ad esempio, avere un canale secondario tra gli hypervisor … dove è possibile passare informazioni tra macchine virtuali. La cosa importante è che quelli sono documenti accademici ambientati in un ambiente di laboratorio, a differenza del mondo reale ", ha detto Schmidt.

Il servizio Virtual Private Cloud, che consente agli utenti di configurare una sezione logicamente isolata del cloud di Amazon, nega completamente tale minaccia, secondo Schmidt.

Dispositivi di sicurezza nel cloud

La società sta ora collaborando con i partner per consentire alle aziende di spostare le appliance di sicurezza nel cloud, incluse le appliance virtuali per il rilevamento e la prevenzione delle intrusioni. Il passaggio al cloud sarà un vantaggio per le aziende che si preoccupano degli attacchi denial-of-service che si basano sull'utilizzo di molta larghezza di banda, secondo Schmidt.

"Ovviamente le singole aziende non possono permettersi di avere quel tipo di connettività a Internet che possiamo Inoltre, non hanno necessariamente le competenze di rete per mitigare gli attacchi su larga scala, mentre lo facciamo ", ha detto.

Amazon si espanderà sui modi in cui la crittografia può essere utilizzata per proteggere le informazioni, oltre

" Penso a breve termine ci vedremo abilitare la crittografia su parti di dati più piccole e più granulari ", ha detto Schmidt.

La strada di Amazon per migliorare la funzionalità di crittografia è già iniziata con la recente aggiunta di Oracle Transparent Data Encryption al suo servizio di database relazionale (RDS) e con l'introduzione di CloudHSM, un servizio che utilizza un'appliance separata per proteggere le chiavi crittografiche utilizzate per la crittografia.

"Puoi vedere che c'è un tema qui. Offri ai clienti gli strumenti per creare un'infrastruttura di crittografia che consenta loro di garantire che solo le persone che desiderano, che siano nella loro organizzazione o nella nostra, abbiano accesso a tali dati ", ha detto Schmidt.

Certificazioni

Una parte fondamentale degli sforzi di sicurezza di Amazon ha ottenuto vari tipi di certificazioni.

"Per alcuni settori è un must assoluto. Ad esempio, per Amazon.com passare a AWS dovevamo essere conformi PCI, a causa dei volumi delle transazioni con carta di credito. Affinché le organizzazioni governative statunitensi si trasferissero in AWS, dovevamo essere conformi alle loro regole e ai loro regimi e per il governo del Regno Unito dovevamo essere conformi ai loro ", ha detto Schmidt.

Per le organizzazioni in cui la conformità non è un obbligo quindi le certificazioni, compresa la ISO 27001, continua a funzionare come un modo per loro di capire come Amazon esercita la sicurezza, secondo Schmidt.

Una certificazione su cui Amazon sta ancora lavorando è Federal Risk and Authorization Management Program (FedRAMP), un programma governativo che mira a standardizzare la valutazione della sicurezza, l'autorizzazione e il monitoraggio continuo dei servizi cloud, secondo Amazon.

"È un processo in evoluzione. Il governo degli Stati Uniti non ha ancora deciso cosa vuole fare con FedRAMP, e continua a cambiare alcuni dei criteri di valutazione, ma si spera che presto si risolveranno perché non vediamo l'ora che arrivi ", ha detto Schmidt.

Le organizzazioni e le agenzie governative possono fare affidamento su FedRAMP invece di fare le proprie valutazioni, con conseguenti risparmi sui costi e valutazioni uniformi. Oggi alcune organizzazioni sono più capaci di eseguire una buona revisione di altre, ma il programma FedRAMP appianerà le differenze e innalzerà la barra di sicurezza nello spazio governativo, secondo Schmidt.