Hoe uw Cloud beschermen  

Zoals hierboven vermeld, heeft het gebruik van de Cloud veel voordelen, maar het brengt ook risico’s met zich mee voor je bedrijf, je diensten en je gegevens. Maar je kunt oplossingen implementeren om deze risico’s te vermijden of te verminderen.  

Auditeer uw bronnen  

Voordat je ze kunt beschermen, moet je weten wat je resources zijn. De eerste essentiële stap is het identificeren van de gegevens die u bezit en de applicaties die u gebruikt.   

Zo kunt u het kritieke niveau van uw gegevens en toepassingen bepalen, zonder welke u uw activiteiten niet kunt uitvoeren. Zo weet u ook of uw gegevens gevoelig zijn of onder specifieke wetgeving vallen. Het is essentieel om deze gegevens nog strikter te controleren.   

Toegang beheren  

Het is essentieel dat uw bedrijf de toegang tot gegevens en applicaties correct beheert. U moet het principe van “least privilege” respecteren. Werknemers mogen alleen toegang hebben tot wat ze nodig hebben om hun werk te doen.   

Dit voorkomt interne bedreigingen en beperkt de gevolgen als een account wordt gecompromitteerd door een aanvaller.   

Het is essentieel dat deze toegang al is gedefinieerd voordat een werknemer voor je bedrijf begint te werken. Ook wanneer een werknemer vertrekt, moet zijn account gedeactiveerd worden of zelfs verwijderd.   

U moet ook het gebruik van generieke accounts zoveel mogelijk vermijden (bijv. HR, financiën, communicatie, enz.). Met individuele accounts is het mogelijk om de acties van elke gebruiker te volgen.   

Tot slot moeten de meest gevoelige accounts, zoals beheerdersaccounts, profiteren van een extra niveau van bescherming. Idealiter wordt multifactorauthenticatie geïmplementeerd, zoals het invoeren van een code die per sms wordt ontvangen. Dit biedt een hoog beveiligingsniveau omdat het niet voldoende is om het wachtwoord van de account te achterhalen om deze te compromitteren. 

Implementeer een wachtwoordbeleid  

Op bedrijfsniveau moet je ervoor zorgen dat je werknemers geen zwakke wachtwoorden kunnen gebruiken. Dit betekent dat je een minimum van 12 tekens moet opleggen, een combinatie van kleine letters, hoofdletters, cijfers en speciale tekens. Het is ook een goede gewoonte om de meest gebruikte wachtwoorden te verbieden.  

Dit is essentieel om te voorkomen dat wachtwoorden te gemakkelijk te achterhalen zijn door aanvallers die een wachtwoord proberen te raden door meerdere pogingen achter elkaar te doen. 

Schaduw-IT ontdekken en bewaken  

Shadow IT verwijst naar het gebruik van Cloud-diensten door uw medewerkers zonder dat uw IT-afdeling hiervan op de hoogte is. Dit gedrag kan leiden tot datalekken of beveiligingslekken, omdat je de kwaliteit van de applicatie niet hebt gecontroleerd. Daarom is het belangrijk om je werknemers bewust te maken van het feit dat ze alleen applicaties mogen gebruiken die door je bedrijf zijn gevalideerd.  

Typisch is dat het belangrijk is om ervoor te zorgen dat medewerkers geen privéclouds zoals Google Drive of Dropbox gebruiken om bedrijfsinformatie op te slaan, omdat je geen controle hebt over wat de leverancier met deze informatie doet.   

Contractuele relaties  

Het is belangrijk dat de verantwoordelijkheden tussen serviceproviders en uw bedrijf duidelijk worden vastgelegd in contracten. Deze contracten maken het met name mogelijk om een Service Level Agreement (SLA) op te stellen, waarin de beschikbaarheid en kwaliteit worden gedefinieerd die de serviceprovider belooft na te leven. Dit verplicht de leverancier om een dienst die niet meer werkt zo snel mogelijk te herstellen.  

Bewustmaking van werknemers  

Tot slot is het belangrijk om te beseffen dat bij de meeste aanvallen de menselijke factor een belangrijke rol speelt, vaak als gevolg van slechte praktijken van werknemers. Het is daarom essentieel om uw personeel regelmatig te wijzen op de risico’s die dit met zich meebrengt. Belangrijke boodschappen om over te brengen zijn onder andere:  

• De gevaren van phishing en hoe het te herkennen;  

• Het belang van een sterk wachtwoord;  

• Gebruik geen diensten die niet door het bedrijf zijn gevalideerd;  

• Het belang om andere medewerkers en/of de IT-afdeling te waarschuwen bij verdachte activiteiten op hun computer.