אבטחת מידע ארגונית
ענן מוצפן – הגיע הזמן לגישות חדשות
מאת: רון זלקינד*.
אבטחת מידע בעידן הענן, ובמיוחד לאפליקציות SaaS, הפכה להיות אחריות משותפת לספקי הענן ברמת תשתיות המחשוב והארגונים האחראים להגדרה ואכיפה של מדיניות אבטחה פנים-ארגונית. כמו כן, לאור העובדה כי משתמשי הקצה נהנים מנגישות, יכולת הפצה ויצירת חומר נגיש בתדירות גבוהה, הם זכו במקום של כבוד בעולם אבטחה המידע.
אך במקביל צריך לדבר על נקודה משמעותית נוספת בסל הכלים של אבטחת המידע: ההצפנה.
הצפנה היא שיטה נוקשה של שליטה במשתמשים ובמידע – מחסום. בעת המעבר לענן ולאפליקציות SaaS, הצפנה במובן המסורתי והנוקשה יכולה לסרבל ולהקשות על המשתמשים ולהאט את קצב אימוץ הענן או לצמצם את יתרונות השימוש באפליקציות Saas לארגון. עולה מכך שיש לשקול מחדש את שיטת ההצפנה תוך יישום תפיסה חדשה המותאמת לענן.
מדוע יש צורך בגישה חדשה?
נפח מידע – הענן הוביל לגידול מסיבי בהיקף המידע. מחקר שערכנו ב CloudLock מראה גידול שנתי של 10X, כאשר המשתמשים יכולים ליצור, לערוך ולשתף את המידע תוך שניות. אך רק אחוז קטן של המידע הוא רגיש וצריך להיות מוגבל.
הצפנה של כל מסמך או תיקייה משבשת את ביצועי אפליקציות SaaS ואת הפונקציולניות המובנית של האפליקציה – מהלך יקר, בזבזני ולא הכרחי משום שלא כל המידע הוא בעל אותו רמת סיכון ורגישות. הצפנת כל המידע בארגון משולה לעיטוף כל רהיטי הבית בניילוני בועות, במקום להתמקד באותם רהיטים שבירים. במקום זאת, יש למקד את המאמץ במידע החשוב והרגיש. באמצעות מערכות אוטומטיות או אחרות יש לסווג ולתעדף רק את המידע הרגיש.
ניידות המשתמש – בעידן הסייבר בו השימוש באמצעים ניידים בבית ובמקום העבודה הפכו לדבר שבשיגרה, הניסיון לשלוט במשתמש באמצעים רגילים מבוססי רשת VPN אינם מעשיים ומציאותיים. משתמשים מתחברים לאפליקציות SaaS מחוץ לרשת הארגונית ונהנים מסטנדרט חדש של זמינות וביצועים. נסיונות ניתוב של משתמשים הניגשים לאפליקציות דרך הרשת הארגונית והצפנת המידע דרך encryption gateways מאיטים ומגבילים את המשתמש, משבשים את יכולות האפליקציה ולפעמים אף מונעים יכולות שיתוף מחוץ לארגון.
יכולות שיתוף – השימוש בענן מאפשר למשתמשים יכולות שיתוף מידע ופעולה חסרי תקדים, הן במקום העבודה ומחוץ לה. אם הארגון מצפין את כל המידע או כופה על המשתמש לעשות זאת באמצעות VPN, הדבר פוגע ביכולות השיתוף בין משתמשים. סביבות מבוססות ענן הנמצאות בהישג יד של כל אחד, מאפשרות למשתמש בקלות למצוא דרכים אלטרנטיביות לעבוד ובכך לעקוף למעשה מרכיבי פיקוח והגנה של הארגון ולחשוף מידע.
לכן, יש לבחון גישה המשלבת בין הצורך לשתף גורמים חיצוניים לבין הצורך לשמור על מידע רגיש בצורה מוצפנת.
שימור יכולות הענן הבסיסיות – בענן, להצפנה יש את הפוטנציאל לפגוע ביכולות של אפלקציות Saas. לדוגמא, כאשר המידע מוצפן הוא אינו מאפשר לבצע חיפוש ומגביל את השימוש במידע לבניית דוחות, או תהליכים עסקיים.
גישה חדשה – הגישה להצפנת המידע בענן צריכה לאמץ את יתרונות אפליקציות Saas. מכיוון שרק אחוז קטן של המידע הארגוני רגיש ומחייב הצפנה, גישה סלקטיבית מוכוונת סיכון מאפשרת רמת אבטחת מידע חזקה מבלי לשבש את יכולות שיתוף המידע וחווית המשתמש.
לתפישתנו הצפנה על בסיס מערכות אוטומטיות שמאתרות מידע רגיש, בשיתוף עם המשתמשים, שכאוצרי המידע יכולים גם הם לאתר מידע רגיש, תפחית את העומס על קבוצות IT ותשפר את אבטחת הארגון.
מודל זה של הצפנה סלקטיבית ובמיוחד שילוב משתמשים מייצגת התפתחות מהותית במודל אבטחת המידע.
*הכותב הוא מייסד שותף ו-CTO ב–CloudLock, המתמחה בפיתוח פתרונות הגנה על יישומים ארגוניים מבוססי ענן
