Onlangs vaardigde president Biden een Cybersecurity Executive Order uit, waarin hij de kwaadaardige cyberdreigingen erkent die de publieke en private sector blijven teisteren. In een poging om het huidige dynamische dreigingslandschap te bestrijden, houdt het besluit in dat de federale regering haar benadering van cyberbeveiliging moet moderniseren, met name door de migratie van workloads naar een veilige cloud te versnellen. Met andere woorden: “We hebben u jaren geleden verteld om uw gegevens naar de cloud te verplaatsen. Doe het nu.”
Voor chief technology officers (CTO) en adviseurs van overheidsinstanties is er nu een gevoel van urgentie om over te stappen naar de cloud. Maar naar alle waarschijnlijkheid zijn er enkele goede redenen waarom veel organisaties nog niet naar de cloud zijn verhuisd. Het verplaatsen van workloads naar de cloud is moeilijk en je weet niet zeker of het veilig is. Als jij je zorgen maakt dat sommige van jouw workloads niet in een openbare cloud thuishoren, heb je waarschijnlijk gelijk. Overweeg je om over te stappen? Dan zijn dit enkel punten die je zult moeten overwegen voordat je hieraan begint.
Sharing isn’t always caring
We hebben een lange weg afgelegd in de beleving van de public cloud. Tien jaar geleden zou je er waarschijnlijk niet eens aan hebben gedacht om jouw workloads naar een openbare cloud te verplaatsen. Nu zegt de Amerikaanse regering: “Kom naar de cloud, het is veilig.” Maar public cloud is inherent gedeelde infrastructuur, wat betekent dat jouw infrastructuur zich op dezelfde box bevindt als die van iemand anders. Deze gedeelde infrastructuur kan kostenvoordelen opleveren, maar brengt enorme risico’s met zich mee. Introduceert de organisatie waar je de ruimte mee deelt bedreigingen voor de gedeelde omgeving? Beheersen ze de toegang en andere beveiligingscontroles effectief? Als ze het doelwit zijn van een geavanceerde dreigingsactor, kunnen jouw workloads dan in de cyberimpactzone terechtkomen? Deze potentiële risico’s zijn genoeg om het hoofd van een CISO te laten tollen.
Naar de cloud gaan is niet zo eenvoudig als je denkt
“We hebben veel van onze applicaties gebouwd op legacy-infrastructuur en ze werken gewoon niet op dezelfde manier in de cloud.” Dit is een veelvoorkomende – en zeer reële – uitdaging voor veel ondernemingen. En om ze te laten werken, kijk je misschien naar extra risico en een belangrijk ontwikkelingsproject.
Daarnaast ervaren veel organisaties vendor lock-in zodra ze workloads naar de public cloud hebben gemigreerd. Bovendien hebben velen last van IT-uitbreiding in openbare cloudomgevingen, waar geen protocollen zijn om nieuwe omgevingen op te starten. Je hebt een DevOps-mindset en een maturity model nodig om optimaal te profiteren van het cloud-ecosysteem. Helaas hebben niet alle organisaties dit. CTO’s moeten legacy-apps kunnen uitvoeren zonder de codebasis opnieuw te hoeven bouwen. En ze hebben de beveiliging en controle van colocatie-omgevingen nodig met de elasticiteit, wendbaarheid en schaalbaarheid van de cloud.
Toegang geweigerd
Gevoelige workloads van de overheid vereisen absolute controle over waar de datasets zich bevinden en wie er toegang toe heeft. Openbare clouds bieden niet per se het benodigde niveau van controle. Met een service zoals AWS GovCloud ga je bijvoorbeeld wel of niet akkoord met hun voorwaarden voor data- en netwerkverkeersbeheer. Er is geen middenweg.
Zonder soevereiniteit over jouw toegangsrechten en gegevens in AWS, kun je ook te maken krijgen met extra kosten voor het verwijderen van jouw gegevens uit bepaalde omgevingen. Als je naar de cloud gaat omdat je denkt dat het goedkoper is, doe je dit om de verkeerde redenen. Over het algemeen gaan gegevens de cloud in en uit. Bij de meeste cloudproviders kun je jouw gegevens gratis invoeren (inkomend), maar worden er hoge netwerkkosten in rekening gebracht om jouw gegevens elders uit de cloud te verplaatsen (uitgaand).
Als cloud geen optie is, overweeg dan Enterprise Bare Metal
Om de redenen die we hierboven hebben besproken, kan de overheid gewoon niet alles in de cloud zetten. De keerzijde van het feit dat de cloud goedkoop en flexibel is, is dat cloudserviceproviders jouw workloads moeten kunnen verplaatsen waar dit financieel het meest zinvol is. Maar als een veiligheidsauditor van de overheid vraagt: “Laat me de gegevens zien”, is de gedetailleerde zichtbaarheid die ze nodig hebben misschien niet beschikbaar.
Bare metal servers bieden organisaties een belangrijke optie in hun infrastructuurmix, waar performance en controle vereist zijn en cloud simpelweg geen optie is. Cloud-smart zijn betekent het analyseren van jouw applicatie-omgevingen om weloverwogen platformbeslissingen te nemen op basis van criteria die zakelijk zinvol zijn. Niet alle applicaties zijn hetzelfde ontwikkeld en niet alle applicaties draaien of werken goed in de public cloud. Verhuizen naar de cloud kan zowel operationeel als commercieel ontwrichtend zijn. En als het niet goed wordt gedaan, kan het intrinsieke risico’s voor het bedrijf met zich meebrengen.
De clouddiscussie heeft een lange weg afgelegd. Tien jaar geleden waren we allemaal bang om naar de cloud te gaan omdat we dachten dat het onveilig was. Nu denken mensen dat de cloud veilig is, maar zoals dat bij elke beleidsbeslissing: the devil is in the details.
Xavier Gonzalez, Vice President, Public Relations & Corporate Communications bij Cyxtera
