Risiko Keamanan Cloud yang Dihadapi Setiap Perusahaan
Menurut analisis para ahli, pada tahun 2020 pasar komputasi awan di seluruh dunia diproyeksikan akan berkembang menjadi $191 miliar dengan margin yang lebar jika dibandingkan dengan $91 miliar pada tahun 2015. Ada beberapa manfaat pembuatan komputasi awan seperti waktu pemasaran yang lebih cepat, peningkatan produktivitas karyawan, dan biaya yang lebih rendah, membuat banyak industri beralih ke data mereka ke cloud.
Pelanggaran keamanan data cloud adalah masalah utama yang dapat memengaruhi perusahaan mana pun, dan menghalangi beberapa perusahaan untuk mengadopsi cloud untuk Departemen Teknologi Informasi mereka.
Setelah pelanggaran profil tinggi platform cloud Slack, Adobe Creative Cloud, LastPass, dan Evernote, para peneliti telah mengidentifikasi beberapa risiko cloud yang harus dikhawatirkan oleh departemen TI. Pelanggaran cloud di LastPass adalah yang paling kritis karena layanan menyimpan semua kata sandi dan situs web layanan cloud pengguna. Penjahat dunia maya dapat memulai serangan brutal terhadap infrastruktur perusahaan jika dipersenjatai dengan kata sandi, terutama kata sandi milik Admin dengan akses tanpa gangguan. Sebagian besar perusahaan tidak menyadari ketika keamanan cloud mereka telah dilanggar, dan akan membutuhkan layanan profesional TI dengan sertifikasi keamanan cloud setelah pelatihan keamanan cloud yang gencar.
Apa itu Keamanan Cloud
Keamanan cloud adalah serangkaian kebijakan, aplikasi, kontrol, dan teknologi yang digunakan untuk melindungi data virtual, IP, layanan, aplikasi, dan infrastruktur terkait komputasi awan.
Pencurian atau Kehilangan Kekayaan Intelektual &Data Sensitif
Perusahaan semakin banyak menyimpan data sensitif di cloud, data sensitif yang paling umum ditemukan di cloud adalah data pribadi, mencapai 47% dari data yang disimpan di cloud. Data yang dapat diidentifikasi secara pribadi berada di urutan kedua (28,1%), data pembayaran (13,6%), sedangkan data laporan kesehatan terenkripsi memiliki 11,3% dari data yang disimpan di cloud. Menurut statistik, 21% file yang disimpan di layanan cloud berisi data sensitif dan kekayaan intelektual. Jika ada pelanggaran dalam layanan cloud tertentu, penjahat dunia maya akan mendapatkan akses penuh ke semua data sensitif ini.
Kontrol longgar atas tindakan pengguna akhir
Beberapa pekerja mungkin menggunakan layanan cloud di perusahaan tanpa disadari oleh perusahaan, karyawan tersebut mungkin melakukan apa saja tanpa pengawasan. Misalnya, tenaga penjualan yang akan meninggalkan perusahaan dapat mengambil laporan dari semua kontak pelanggan, menyimpannya di layanan penyimpanan data cloud pribadi mereka, dan menggunakan informasi tersebut setelah mereka dipekerjakan oleh pesaing lain. Ini adalah contoh dari apa yang dikenal sebagai ancaman orang dalam yang umum.
Autentikasi Rusak, Akun yang Diretas, dan Kredensial yang Disusupi
Jika Anda memiliki manajemen kata sandi yang buruk, kata sandi yang lemah, dan langkah-langkah otentikasi yang mudah, data cloud Anda selalu terbuka untuk disusupi. Perusahaan sering kesulitan mengelola identitas mereka, jadi mereka mencoba merekrut profesional dengan sertifikasi keamanan cloud untuk menangani pekerjaan. Mereka terkadang lupa menghentikan akses pengguna saat pengguna meninggalkan organisasi atau fungsi pekerjaannya berubah. Pengembang dengan pelatihan keamanan cloud dapat membuat sistem otentikasi multi-faktor seperti otentikasi ponsel, kata sandi yang kedaluwarsa setelah satu kali digunakan (kata sandi satu kali OTP), dan kartu pintar untuk membantu melindungi layanan cloud. Beberapa pengembang sampai membuat kesalahan umum dengan meletakkan kunci enkripsi dan kredensial dalam kode sumber proyek mereka dan membagikannya di repositori publik seperti GitHub.
Infeksi Malware yang melepaskan Serangan Tertarget
Layanan cloud juga digunakan sebagai pembawa untuk mengkonversi ekstraksi data. Teknik konversi dan ekstraksi data baru yang digunakan oleh peretas telah ditemukan, penyerang mengkodekan data sensitif ke dalam file video dan audio dan membagikannya di YouTube. Ada juga malware yang dapat mengekstrak data sensitif menggunakan akun Twitter pribadi dengan 140 karakter sekaligus. Dalam kasus malware bentuk Dyre, peretas dapat menggunakan layanan berbagi file untuk mengirim virus ke target melalui serangan phishing.
API dan Antarmuka yang Diretas
Hampir semua aplikasi dan layanan cloud sekarang menawarkan API, staf TI menggunakan API dan antarmuka untuk berinteraksi dan mengelola dengan layanan cloud termasuk yang memberikan manajemen, penyediaan, pelacakan, dan orkestrasi cloud.
Ketersediaan dan keamanan layanan cloud biasanya bergantung pada seberapa aman API, semakin banyak API yang Anda miliki, semakin rentan Anda terhadap serangan. Peretas biasanya menargetkan API untuk menyusup ke sistem dan mengendalikannya. Meskipun Anda mungkin tidak dapat menghapus API sepenuhnya, pelatihan keamanan cloud profesional dapat membantu Anda mengurangi risiko yang ditimbulkannya.
Pelanggaran Kontrak Antara Klien atau Mitra Bisnis
Seringkali, kontrak antara mitra bisnis membatasi bagaimana data ditangani dan siapa yang memiliki akses resmi ke sana. Tanpa orientasi yang tepat, karyawan dapat memindahkan data terbatas ini ke cloud tanpa izin, yang mengarah pada pelanggaran kontrak dan tindakan hukum dapat diambil terhadap perusahaan. Contoh yang baik adalah layanan cloud yang memiliki hak tertulis dalam syarat dan ketentuan mereka untuk membagikan semua data yang diunggah ke layanan mereka dengan perusahaan pihak ketiga, sehingga mereka diizinkan untuk melanggar perjanjian kerahasiaan yang dibuat antara perusahaan dan penggunanya.
Parasit APT
APT adalah singkatan dari Advanced Persistent Threat. Ini adalah mode serangan senyap di mana peretas mendapatkan akses tidak sah ke sistem Anda, memanfaatkan data Anda, dan tetap berada di sana tanpa sepengetahuan Anda.
APT bergerak secara lateral melalui jaringan dan berintegrasi dengan lalu lintas normal, sehingga sulit dideteksi jika Anda memilikipelatihan keamanan cloud . Penyedia cloud teratas menggunakan teknik canggih untuk memblokir ATP agar tidak menembus infrastruktur mereka. Pengguna cloud harus rajin mendeteksi komitmen APT di akun cloud.
Kehilangan Data Permanen
Sangat jarang melihat kasus kehilangan data permanen karena cloud telah menjadi sangat maju. Namun demikian, peretas jahat dapat secara permanen menghapus data dari cloud untuk mengganggu pusat data dan bisnis. Biaya pencegahan kehilangan data bukanlah tanggung jawab tunggal penyedia layanan cloud, karena klien juga harus bekerja sama dengan penyedia. Jika klien mengenkripsi data sebelum mengunggahnya ke cloud, klien harus berhati-hati melindungi kunci enkripsi.
Kurang Memahami Awan
Perusahaan yang menggunakan layanan cloud tanpa pelatihan keamanan cloud yang tepat atau tidak memiliki staf dengan sertifikasi keamanan cloud mungkin menghadapi sejumlah besar risiko keuangan, komersial, hukum, kepatuhan, dan teknis.
Perusahaan-perusahaan ini disarankan untuk mempekerjakan orang-orang dengan sertifikasi keamanan cloud yang memahami semua konsep dan kompleksitas mendasar yang terkait dengan teknologi cloud.
