Mange kunder tror at IT-sikkerhet i skytjenester er en del av løsningen som er innbakt og bare fungerer. Ja, til en viss grad er dette også tilfelle, men avhenger av type skytjeneste, som kunden har og abonnerer på. I denne sammenheng spiller Shared-Responsibility modell en særs viktig rolle og ansvaret for IT-sikkerheten ligger derfor utelukkende hos kunden. Partnere kan imidlertid redusere både kundens og egen risiko ved å hjelpe kunden med å forstå og ivareta de ulike mekanismene innenfor IT-sikkerhet slik at kunden samtidig utvikler og forbedrer sin virksomhet.
Et tydelig eksempel der kunden har eget ansvar for en viktig del av sikkerheten gjelder konfigurasjon av skytjenester, hvem som får tilgang til dem og hva det gis tilgang til. Dette er spørsmål som er langt fra enkle, spesielt når antall skymiljøer vokser hos kunden. Samtidig er IT-sikkerhet viktigere enn noensinne før i en digitalisert verden der selve eksistensen av bedrifter i SMB sektoren kan stå på spill hvis det blir utsatt for et angrep.
Dersom en kunde går konkurs på grunn av kostnader knyttet til et angrep, kan det være IT-partneren som kan bli sittende som svarte per i form av ertatningsansvar både til distributøren og til leverandøren av skytjenestene. En viktig årsak til denne erstatningen er fordi disse kostnadene vanligvis faktureres i etterkant. Derfor har både sluttkunden og deres IT-partner et sterkt incitament til å etablere et absolutt minimum når det kommer til et nivå av IT-sikkerhet, som fungerer som en grunnleggende hygiene og eliminerer de mest sårbare risikoene i skytjenester.
Kundenes økende IT-sikkerhetsbehov skaper i tillegg samtidig nye forretningsmuligheter for mange IT-partnere.
Oscar Kjellberg; løsningsarkitekt i Microsofts partnerteam med fokus på IT-sikkerhet, forklarer mer:
Hvorfor er IT-sikkerhet så vanskelig?
– Det handler om mange ulike sikkerhetskontroller og mange forskjellige, skiftende miljø og mekanismer. Bedrifter har ofte mange forskjellige skyleverandører og mange forskjellige skytjenester samtidig som det er mye virr varr med nye brukere som legges til og gamle forsvinner, og kanskje konsulenter og andre som midlertidig bør ha tilgang til tjenester og systemer. Testmiljøer og lignende er også ofte satt opp som kunden kanskje ikke holder styr på slik som som i produksjonsmiljøer.
" For større bedrifter med en hel avdeling som kan jobbe med dette, er det kanskje ikke lie utfordrende på samme måte som for en liten kunde, som ofte sitter uten interne ressurser. De litt større kan selvfølgelig ofte ha et mer komplekst miljø å administrere, mens et lite eller mellomstort selskap kanskje ikke trenger å gå så dypt, må de likevel ofte dekke et bredt spekter med færre ressurser og mindre kompetanse tilgjengelig internt.
Hva er konsekvensene?
– Hos Microsoft har vi innsett at kundenes miljø ofte ikke er tilstrekkelig beskyttet, noe som kan påvirke dem gjennom et sikkerhetsbrudd og ting som ransomware eller såkalt krypto-jacking, der selskapenes skyressurser kapres for bitcoin mining av kryptovaluta på andres vegne. Selv for en partner er det stor risiko hvis ting går galt fordi kunden kan gå konkurs og ikke gjøre opp for seg. I dette tilfellet vil da partner fortsatt måtte dekke ansvaret og gjøre opp for betalingen med hensyn til ressursene som er brukt i skytjenestene (skyforbruk), noe som kan være dyrt.
Hvordan få kontroll?
– For å oppnå bedre kontroll, tilbyr Microsoft ulike såkalte sikkerhetscore (Secure Score) for våre skymiljøer. Dette er et verktøy som samler inn data fra tjenester og sjekker om de er riktig konfigurert i henhold til beste praksis for det sikkerhetsmiljøet. For eksempel, innebærer det å bruke multifaktorautentisering (MFA) en nødvendighet, for å få tilgang til tjenester og systemer, at operativsystemer er oppdaterte og at ingen nettverksporter er åpne som ikke burde være det. Tjenesten vurderer deretter sikkerheten til en ressurs med en poengsum fra 0 til 100, gir anbefalinger og instruksjoner på grunnlag av hvilke nødvendige tiltak som kan utføres.
TD SYNNEX arrangerer nå seminarer rundt Mission 65, hva handler det om?
– For å hjelpe kundene våre med å oppnå et minimum av cybersikkerhetshygiene. Dette kan skildres gjennom en sikkerhetsscore (Secure Score) på minst 65 prosent. Selvfølgelig bør målet være en Secure Score på 100 prosent, men samtidig er det noen skymiljøer slik som dev, hvor det er mindre sikkerhetsutsatt. Dersom du ikke har nådd 65 prosent på sikkerhetsscore, er du ikke engang på minimumsnivå. . I tillegg er det en forretningsrisiko for partneren i dette, ikke bare når det gjelder ansvar i tilfelle konkurs, men også når det gjelder omdømmet.
Koster dette penger for sluttkunden?
– I Azure, er det en basis del, som er inkludert i tjenesten i Defender for Cloud som er det vi kaller for Cloud Security Posture Management, CSPM. Denne styrer konfigurasjonen av sikkerheten i ressursene og gir blant annet en Secure Score per ressurs. Det er også mulig å få et aggregert bilde av hele kundens miljø. I tillegg kan man få tilsvarende overblikk av enkelte utvalgte skytjenester også fra andre tredjepartsleverandører.
– Også er det en viktig ting du må huske på. Hvis du ønsker å oppnå det høyeste beskyttelsesnivået, er det også tilleggstjenester som medfører en kostnad, men det er mulig å nå opptil 65 prosent ved hjelp av inkluderte konfigurasjonsanbefalinger i Defender for Cloud. Så ekstra sikkerhet må også sees opp mot økt kost-nytte analyse.
"Cybersikkerhet har aldri vært mer på agendaen enn den er idag, men det er mangel på kompetanse og ressurser, så det kan derfor være et potensielt vekstområde for partnere, spesielt ettersom det er mulig å automatisere og skalere opp ulike deler av IT-sikkerhetsworkload. .
Så hva skal jeg ta tak i som partner for å komme videre?
– Til å begynne med, må du få innsikt i hvordan det ser ut for dine sluttkunder, ikke minst fordi du som partner som sagt løper risiko på egen hånd hvis ikke du iveksetter Sahred-Responsibility modell i praksis. Du bør derfor kontinuerlig gå gjennom kundene dine. Som partner må du være 100% sikker på at leveransen din inkluderer grunnleggende sikkerhetsfunksjoner som MFA og sikker konfigurasjon av skyressurser, det vil si det som gir dine kunder minimum 65 prosent i sikkerhetsscore (Secure Score). Da ser du også muligheter for mersalg innen IT-sikkerhet, spesielt for dine kunders produksjonsmiljø. Dette er basis i hva TD SYNNEX Mission 65-initiativet handler om.
Ta en titt på vår Tech Break-seksjon der vi forteller deg mer...