AWS re:Inforce details over het versterken van de bedrijfsbeveiligingscultuur en tools

Sluit je aan bij leidinggevenden van 26-28 juli voor Transform’s AI & Edge Week. Luister naar topleiders die onderwerpen bespreken rond AL/ML-technologie, conversationele AI, IVA, NLP, Edge en meer. Reserveer nu uw gratis pas!

Uw gebouw moet van hout zijn – niet van papier-maché.

Dat wil zeggen: bouw je beveiligingsprogramma vanaf de grond op en zorg dat het is ingebed in operaties en gedurende de hele ontwikkelingscyclus, vertelde Amazon-chef-beveiligingsfunctionaris Stephen Schmidt deze week aan het publiek op AWS re:Inforce.

“Je wilt zichtbaarheid en dat iedereen samen roeit”, zei hij.

Het jaarlijkse re:Inforce-evenement onderstreept – zoals de naam al doet vermoeden – het belang van beveiliging en biedt best practices van Amazon Web Services (AWS) en zijn partners.

Het evenement van dit jaar omvatte bootcamps, labs en verschillende leiderschapssessies. Deze waren gericht op proactieve beveiliging; “veiligheidsbewustzijn;” gestroomlijnd identiteits- en toegangsbeheer; compliance-, governance- en beveiligingsactiviteiten op grote schaal; cryptografie; en gebruik te maken van onderzoek en innovatie op het gebied van de bescherming van klantgegevens.

“Hoewel dit evenement gericht is op beoefenaars, vond ik het leuk hoe de basisprincipes van beveiliging – zoals het blokkeren van openbare toegang en het gebruik van multifactor-authenticatie (MFA) – werden opgemerkt en verspreid in de keynote, omdat het een breder punt herhaalt: beveiliging moet deel uitmaken van elke baan voor één persoon”, vertelde keynote spreker en MongoDB CISO Lena Smart aan VentureBeat.

Geleerde lessen als beveiligingsleider

In een keynote benadrukte Schmidt het belang van toegang (of het ontbreken daarvan). Het is van cruciaal belang, zei hij, om te bepalen wie toegang heeft tot wat en waarom. Wat hebben mensen nodig voor hun werk? Hebben bouwers bijvoorbeeld live gegevens nodig om te testen, of zoals hij het uitdrukte, moeten gegevens “verdoezeld, gemaskeerd en geanonimiseerd worden waar ze ook worden opgeslagen?”

“Een overdreven toegeeflijke omgeving garandeert u hoofdpijn”, zei Schmidt.

De bouwstenen van elk beveiligingsprogramma vereisen dat in elke use-case “doordacht en nauwgezetheid” wordt toegepast. Wanneer u gegevens opslaat, moet deze “opzettelijk worden gecontroleerd, opzettelijk versleuteld en opzettelijk worden beschermd”, zei hij.

Een hele organisatie moet samenwerken aan beveiliging, zei Schmidt, erop wijzend dat AWS een gedecentraliseerde teamomgeving heeft. Het AWS-beveiligingsteam komt ook regelmatig samen met de C-Suite van het bedrijf. Hij merkte op dat als een beveiligingsteam slechts sporadisch tijd krijgt met de C-suite, “dat een probleem zal worden”.

Evenzo zijn beveiligingstools altijd sterker wanneer ze worden gebruikt als onderdeel van een holistische strategie. Beveiligingsteams moeten niet in een hokje worden geplaatst, maar eerder een ‘intieme partner’ met ontwikkelingsorganisaties. Hij onderstreepte een AWS-principe: “We zijn samen sterker.”

Smart was het daarmee eens en noemde werknemers “onze sterkste schakel en beste pleitbezorgers voor het cultiveren van een sterke beveiligingscultuur bij MongoDB.”

“Hoewel je alle tools ter wereld kunt hebben, zijn mensen uiteindelijk de sleutel tot een robuust en steeds groter wordend cyberbeveiligingsprogramma”, vertelde Smart aan VentureBeat.

Also Check:   Is Electric Bike Paradise Legit or Scam? Know Here

Dit is bewezen door het MongoDB “security champions”-programma, zei ze. Dit heeft wereldwijd meer dan 90 werknemers, waarbij leden vrijwillig hun tijd besteden om als beveiligingskanaal voor hun individuele teams te dienen.

“Het programma geeft ons ongekend inzicht in MongoDB en heeft ons geholpen ons beveiligingsprogramma en interne samenwerking te ontwikkelen”, vertelde Smart aan VentureBeat.

Meerdere verdedigingslagen

Een ‘definitief worstcasescenario’, benadrukte Schmidt, is dat de gegevens van een organisatie toegankelijk worden. Als een tegenstander toegang krijgt tot je netwerk, heb je effectieve inbraakdetectie nodig, zei hij, eraan toevoegend dat een robuust coderingsprogramma een laatste verdedigingslinie kan zijn.

Beveiligingsonderscheidende factoren zijn onder meer een schema met minimale bevoegdheden en betrouwbare actieve logboekregistratie die niet door aanvallers kan worden verwijderd. Controles moeten in alle diensten worden geïntegreerd, zodat geen enkel aspect van een beveiligingsprogramma voor alles in een defensieportfolio in het gedrang komt, zei Schmidt.

Evenzo is het hebben van services die elkaar aanvullen van fundamenteel belang voor het zero trust-proces. Hij suggereerde dat organisaties systemen zo bouwen dat er meerdere dingen fout moeten gaan voordat ze tot een slecht resultaat leiden.

“De enkele controles zullen mislukken”, zei Schmidt. “Je moet meerdere verdedigingslagen hebben als het gaat om je beveiligingsprogramma.”

Een cultuur van veiligheidsbewustzijn bevorderen

AWS Vice President en Chief Information Security Officer CJ Moses onderstreepte het belang van eigendom tussen teams – omdat eigendom niet alleen zou moeten draaien om winst en verlies en zakelijk succes of falen.

“Het is een mechanisme dat onze veiligheidscultuur versterkt”, zei Moses. “Dat is het soort mentaliteit dat je wilt hebben en dat je wilt hebben doorgegeven.”

Het is net zo belangrijk om een ​​vergaderruimte te hebben vol met meerdere mensen met verschillende visies, zei hij. Dit omvat zowel introverte als extraverte mensen, evenals mensen met verschillende achtergronden of culturen. Het gaat over “het hebben van meerdere gezichtspunten en achtergronden, want diversiteit brengt diversiteit”, zei hij.

Ook kunnen nieuwe medewerkers een team veel duidelijkheid bieden, omdat ze geen jarenlange vooringenomenheid of ‘groepsdenken’ hebben.

Best practices komen uiteindelijk neer op “wat je cultuur in staat stelt om anders naar de dingen te kijken en elkaar uit te dagen”, zei Moses.

Diepgaande verdedigingsmechanismen

Wat betreft de beveiligingstools zelf: de tools die geautomatiseerd en ingebed zijn en mensen in staat stellen om het juiste te doen – en gemakkelijk – zijn van het grootste belang, zei Moses.

“Je wilt niet dat beveiliging iets wordt dat mensen meer werk oplevert”, zei hij. “Ze zullen er gewoon manieren omheen vinden – we weten allemaal dat dat waar is.”

Hij benadrukte ook het belang van ‘least privilege’, het rapporteren van kwetsbaarheden en het beperken van ransomware. Het proces van het intrekken van toegang tot nieuwe software – of het verlenen van beheerderstoegang – moet regelmatig worden geoefend.

Also Check:   Is Pro Bike Supply Legit or Scam? Know Here

“Omdat elke overdreven toegeeflijke toegang een kans is voor een tegenstander”, zei Moses. “Als je op vakantie bent, zou je toegang ook zijn.”

Daarnaast moeten er interne en externe manieren zijn om kwetsbaarheden te melden, zei hij. Geef klanten een contactplatform dat automatisch tickets opent, zelfs als ze niet zeker weten of het een bonafide beveiligingsprobleem is of niet. En als het op ransomware aankomt, valideer dan uw kritieke processen en voer regelmatig oefeningen uit.

“Je wilt niet te weten komen over een kritieke fout in het plan tijdens een echt probleem”, zei Moses.

Het is ook belangrijk om een ​​uitgebreide inventaris van software te hebben en hoe deze wordt gebruikt, zei hij, terwijl je altijd producten van derden analyseert om ervoor te zorgen dat ze worden bijgewerkt naar de nieuwste versies en patchniveaus.

Ook benadrukte Moses: “Loggen, loggen, loggen, loggen – had ik al gezegd dat het loggen was?”

Versleuteling en geautomatiseerd redeneren

Uiteindelijk betekent de komst van kwantumcomputing in de komende decennia dat professionals in de beveiligingsruimte ook de codering moeten heroverwegen, merkte Kurt Kufeld, vice-president van het AWS-platform, op.

“De opkomst van kwantumcomputing betekent dat sommige coderingsalgoritmen onveilig zullen zijn”, zei hij, eraan toevoegend dat het National Institute of Standards and Technology (NIST) en de cryptografische gemeenschap hebben samengewerkt en normen hebben aangekondigd voor de post-quantumcryptowereld.

AWS heeft ook een hybride post-quantumsleuteluitwisseling geïmplementeerd en die beschikbaar gemaakt in open source, zei Kufeld. Het biedt kwantumveilige algoritmen en opties voor TLS-verbindingen (Transport Layer Security). Verder werkt AWS samen met de Internet Engineering Task Force (IETF) om een ​​quantum key-overeenkomst en hybride technologie te definiëren.

Dit gebied van informatica past redeneren in de vorm van logica toe op computersystemen. Door hiervan gebruik te maken, kunnen gebruikers “aantoonbare beveiliging” inschakelen en universele uitspraken doen, zoals “is deze emmer open voor het publiek?”

Geautomatiseerde redenering werd toegepast op Amazon S3 om ervoor te zorgen dat het “sterk consistent” was, legde Kufeld uit, en dit onthulde randgevallen die in het verleden niet waren verschenen.

“De kracht van universele uitspraken is verbazingwekkend als het om veiligheid gaat”, zegt Kufeld.

Verbeterde AWS-mogelijkheden

Naast een reeks verbeterde beveiligingsfuncties, heeft AWS tijdens re:Inforce ook verschillende nieuwe tools aangekondigd. Waaronder:

Amazon GuardDuty Malware Protection: deze nieuwe service helpt bij het detecteren van kwaadaardige bestanden die zich op een instantie of containerworkload bevinden die op Amazon EC2 draait zonder dat beveiligingssoftware of agenten hoeven te worden ingezet. Het voegt bestandsscanning toe voor workloads met behulp van Amazon EBS-volumes om malware te detecteren die bronnen in gevaar kan brengen. Wanneer er problemen worden gedetecteerd, stuurt de service automatisch beveiligingsbevindingen naar AWS Security Hub, Amazon EventBridge en Amazon Detective. Bestaande klanten kunnen de functie inschakelen in de GuardDuty-console of via de GuardDuty API. AWS Wickr: een nieuw, veilig samenwerkingsproduct op ondernemingsniveau dat end-to-end versleutelde (E2EE) berichtenuitwisseling, bestandsoverdracht, schermdeling, locatiedeling en spraak- en videoconferentiemogelijkheden biedt. Het omvat ook het verstrijken van berichten en inhoud, perfecte voorwaartse geheimhouding, het oproepen en verwijderen van berichten, en administratieve controles ter ondersteuning van informatiebeheer en naleving. Nieuwe categorieën van AWS-beveiligingscompetentiepartners: Acht extra competentiecategorieën omvatten identiteits- en toegangsbeheer; detectie en reactie van bedreigingen; infrastructuurbeveiliging, gegevensbescherming; naleving en privacy; applicatie beveiliging; omtrekbeveiliging; en kernbeveiliging. De service helpt klanten bij het identificeren van software- en servicepartners die expertise hebben in specifieke beveiligingscategorieën. AWS Level 1 MSSP-competentiespecialisatiecategorieën: Zes nieuwe categorieën omvatten bewaking van identiteitsgedrag; beheer van gegevensprivacygebeurtenissen; moderne compute-beveiligingsmonitoring voor containers en serverloze technologieën; beheerde applicatiebeveiligingstests; ondersteuning voor digitaal forensisch onderzoek en incidentrespons; en bedrijfscontinuïteit en paraatheid voor ransomware om te herstellen van mogelijk verstorende gebeurtenissen. Het doel van de laatste twee implementaties, volgens Ryan Orsi, global partner practice team lead voor security consulting en MSSP bij AWS, is om klanten te helpen partneroplossingen te ontdekken die zijn gevalideerd door AWS-beveiligingsexperts en om 24/7 monitoring- en responsdiensten te bieden. Deze nieuwe tool “laat zien hoe we ernaar streven klanten te ontmoeten waar ze zich bevinden en het beveiligen van deze omgevingen gemakkelijker te maken”, vertelde Orsi aan VentureBeat. “We maken een one-stop-shop-ervaring mogelijk waar (klanten) beveiligingssoftware kunnen vinden die specifiek is voor hun behoeften, evenals de expertise die nodig is om deze correct te implementeren.” AWS Marketplace Vendor Insights: een nieuwe tool om derde- risicobeoordelingen van partijsoftware door beveiligings- en compliance-informatie te verzamelen in een uniform dashboard. Dit helpt het inkoopproces te stroomlijnen door kopers toegang te verlenen tot bewijsmateriaal dat beschikbaar is gesteld door AWS Marketplace-verkopers met betrekking tot gegevensprivacy en verblijfplaats, applicatiebeveiliging en toegangscontrole. Kopers kunnen meldingen ontvangen over beveiligingsgebeurtenissen, zoals het verlopen van het nalevingscertificaat van een leverancier, en kunnen doorlopend inzicht hebben in de beveiligingsstatus van hun producten van derden.

Also Check:   Is The Guitar Shop Sale Legit or Scam? Know Here

Dit onderstreept uiteindelijk de toewijding van AWS aan zijn “partnerecosysteem” en gestroomlijnde inkoopprocessen, zei Chris Grusz, algemeen directeur van wereldwijde ISV Alliances and Marketplace bij AWS.

“Niet alleen doorlopen klanten het inkoopproces zonder vertraging”, vertelde Grusz aan VentureBeat, “maar partners kunnen meer en sneller deals sluiten.”

De missie van VentureBeat is om een ​​digitaal stadsplein te zijn voor technische besluitvormers om kennis op te doen over transformatieve bedrijfstechnologie en transacties. Leer meer over lidmaatschap.

This post AWS re:Inforce details over het versterken van de bedrijfsbeveiligingscultuur en tools
was original published at “https://venturebeat.com/2022/07/27/aws-reinforce-details-how-to-fortify-enterprise-security-culture-and-tools/”

Leave a Comment