Cloud-Sicherheit durch Kontrolle vs. Eigenverantwortung
Cloud computing macht Auditoren erschaudern. Es ist etwas, das wir hören durchweg von enterprise-Kunden: es war hart genug, um Virtualisierung "schmackhaft" zu Rechnungsprüfern; Wolke wird noch schwerer. Durch das brechen der verbindungen zwischen Hard-und software, Virtualisierung nimmt sich die Freiheit, workloads von der physischen Einschränkungen einer einzigen Maschine. Cloud nimmt, dass ein Schritt weiter und macht den physischen Speicherort irrelevant und sogar verdecken.
Traditionell ist die Kontrolle von Informationen fließt direkt aus dem Besitz der zugrunde liegenden Plattform. In der traditionellen Sicherheits-Modell Ort bedeutet Eigentum, was wiederum bedeutet Kontrolle. Sie bauen die Schichten von Vertrauen mit der Wurzel des Vertrauens verankert, um die spezifische Stück hardware. Virtualisierung hebt die Verknüpfung zwischen Standort und Anwendung. Cloud (zumindest "public cloud") weiter bricht die Verbindung zwischen Eigentum und Kontrolle.
Als wir geprüft habe in vielen vorherigen Kolumnen sind wir rasch von einem Ort-centric security Modell, um eine weitere Identität - und Daten-zentrischen Modell. Der unaufhaltsame Kräfte der allgegenwärtige Konnektivität und Mobilität gebrochen haben, die Lage-centric security Modell-und perimeter-Strategie, und ließ uns auf der Suche für ein besseres Modell für die Sicherheit. In dem Prozess, der von bestimmten grundlegenden Annahmen haben sich ebenfalls geändert. Wenn die Sicherheit location-centric, dann Standort, Eigentum und Kontrolle ausgerichtet sind. Die logische Sicherheit-Modell fällt mit der physischen Sicherheit Modell und einem perimeter trennt vertrauenswürdigen (Eigentum, lokale), die von nicht vertrauenswürdigen (andere Fernbedienung). Wie bewegen wir uns über dieses Modell haben wir zu untersuchen, die verbindungen zwischen Standort, Eigentum und Kontrolle.
Steuern von Informationen ist in der Tat nicht angewiesen auf das gesamte Eigentum oder ein fester Standort. Ein einfaches Beispiel ist die public-key-Verschlüsselung. Ich behaupte Besitz eines privaten Schlüssels, und ich Steuern den Zugriff auf Sie. In der Regel der private Schlüssel wird an einem sicheren Ort aufbewahrt. Aber aus dem Besitz der Taste I können Sie üben die Kontrolle über die Informationen, die zimmerreserviereung, ohne das Sie selbst den rest der Infrastruktur. Ich kann bauen, einen vertrauenswürdigen VPN über eine nicht Vertrauenswürdige Infrastruktur.
Der Schlüssel hier ist, dass public-cloud-computing verlangt von uns, die Kontrolle ausüben, ohne das Eigentum an der Infrastruktur. Wir üben die Kontrolle und Sicherung der Informationen durch eine Kombination der Verschlüsselung, Verträge mit service-level-agreements und durch (vertraglich) Verhängung von minimum-security-standards auf die Anbieter. Wenn diese vorhanden sind, dann es gibt keinen inhärenten Grund, warum ein cloud-computing-Umgebung können nicht gemacht werden, sicher und konform. Wir brauchen nicht auf die eigene Vermögenswerte, um zu üben die Sicherheit, mehr, als wir brauchen, um selbst das Internet, um das Vertrauen eines VPN.
Wirtschaftsprüfer und Aufsichtsbehörden sind ständig Anpassung an neue Technologien und Geschäftsmodelle. Solange können wir anschaulich demonstrieren, Kontrolle durch Technik und Verträgen, wir sollten in der Lage sein, um eine cloud computing-Umgebung als kompatibel und sicher sind, eine in Privatbesitz befindliche Anlage.
Sprechen Sie mit Ihrem Prüfer über Ihr Verständnis von Risiko in Bezug auf Standort, Eigentum und Kontrolle. Sobald Sie klar getrennte Konzepte, die Sie vielleicht finden es einfacher zu haben, die Diskussion.
Datum der Veröffentlichung: Traditionell ist die Kontrolle von Informationen fließt direkt aus dem Besitz der zugrunde liegenden Plattform. In der traditionellen Sicherheits-Modell Ort bedeutet Eigentum, was wiederum bedeutet Kontrolle. Sie bauen die Schichten von Vertrauen mit der Wurzel des Vertrauens verankert, um die spezifische Stück hardware. Virtualisierung hebt die Verknüpfung zwischen Standort und Anwendung. Cloud (zumindest "public cloud") weiter bricht die Verbindung zwischen Eigentum und Kontrolle.
Als wir geprüft habe in vielen vorherigen Kolumnen sind wir rasch von einem Ort-centric security Modell, um eine weitere Identität - und Daten-zentrischen Modell. Der unaufhaltsame Kräfte der allgegenwärtige Konnektivität und Mobilität gebrochen haben, die Lage-centric security Modell-und perimeter-Strategie, und ließ uns auf der Suche für ein besseres Modell für die Sicherheit. In dem Prozess, der von bestimmten grundlegenden Annahmen haben sich ebenfalls geändert. Wenn die Sicherheit location-centric, dann Standort, Eigentum und Kontrolle ausgerichtet sind. Die logische Sicherheit-Modell fällt mit der physischen Sicherheit Modell und einem perimeter trennt vertrauenswürdigen (Eigentum, lokale), die von nicht vertrauenswürdigen (andere Fernbedienung). Wie bewegen wir uns über dieses Modell haben wir zu untersuchen, die verbindungen zwischen Standort, Eigentum und Kontrolle.
Steuern von Informationen ist in der Tat nicht angewiesen auf das gesamte Eigentum oder ein fester Standort. Ein einfaches Beispiel ist die public-key-Verschlüsselung. Ich behaupte Besitz eines privaten Schlüssels, und ich Steuern den Zugriff auf Sie. In der Regel der private Schlüssel wird an einem sicheren Ort aufbewahrt. Aber aus dem Besitz der Taste I können Sie üben die Kontrolle über die Informationen, die zimmerreserviereung, ohne das Sie selbst den rest der Infrastruktur. Ich kann bauen, einen vertrauenswürdigen VPN über eine nicht Vertrauenswürdige Infrastruktur.
Der Schlüssel hier ist, dass public-cloud-computing verlangt von uns, die Kontrolle ausüben, ohne das Eigentum an der Infrastruktur. Wir üben die Kontrolle und Sicherung der Informationen durch eine Kombination der Verschlüsselung, Verträge mit service-level-agreements und durch (vertraglich) Verhängung von minimum-security-standards auf die Anbieter. Wenn diese vorhanden sind, dann es gibt keinen inhärenten Grund, warum ein cloud-computing-Umgebung können nicht gemacht werden, sicher und konform. Wir brauchen nicht auf die eigene Vermögenswerte, um zu üben die Sicherheit, mehr, als wir brauchen, um selbst das Internet, um das Vertrauen eines VPN.
Wirtschaftsprüfer und Aufsichtsbehörden sind ständig Anpassung an neue Technologien und Geschäftsmodelle. Solange können wir anschaulich demonstrieren, Kontrolle durch Technik und Verträgen, wir sollten in der Lage sein, um eine cloud computing-Umgebung als kompatibel und sicher sind, eine in Privatbesitz befindliche Anlage.
Sprechen Sie mit Ihrem Prüfer über Ihr Verständnis von Risiko in Bezug auf Standort, Eigentum und Kontrolle. Sobald Sie klar getrennte Konzepte, die Sie vielleicht finden es einfacher zu haben, die Diskussion.
Autor: Keylogger.Org Team
