CSI Εργαλείο Αυτο-αξιολόγησης

Ασφάλεια στο cloud: Έλεγχος γνώσεων και πρακτικής εφαρμογής

Αυτό το σύντομο ερωτηματολόγιο έχει στόχο να σε βοηθήσει να κάνεις μια μικρή παύση και να σκεφτείς πώς κατανοείς και πώς προσεγγίζεις το cloud computing και την ασφάλεια στο cloud σε καθημερινές, πραγματικές συνθήκες.

Καθώς απαντάς στις ερωτήσεις, σκέψου τα είδη αποφάσεων που μπορεί να χρειαστεί να πάρει μια ΜΜΕ, ένας εκπαιδευτής ή ένας εκπαιδευόμενος όταν χρησιμοποιεί υπηρεσίες cloud. Κάποιες ερωτήσεις ίσως σου φανούν οικείες, ενώ άλλες μπορεί να σε κάνουν να σταματήσεις και να σκεφτείς λίγο περισσότερο - και αυτός ακριβώς είναι ο σκοπός. Δεν υπάρχουν εδώ σωστές ή λάθος στιγμές, αλλά ευκαιρίες να αναγνωρίσεις τι γνωρίζεις ήδη και ποια θέματα ίσως θέλεις να εξερευνήσεις περισσότερο.

Προχώρησε με τον δικό σου ρυθμό, εμπιστεύσου την πρώτη σου σκέψη και απάντησε με ειλικρίνεια. Στόχος δεν είναι να σε εξετάσει, αλλά να υποστηρίξει τη μάθησή σου και να σε βοηθήσει να αποκτήσεις μεγαλύτερη αυτοπεποίθηση σε θέματα ασφάλειας στο cloud.

Ασφάλεια στο cloud για ΜΜΕ

Μια ΜΜΕ θέλει να έχει πλήρη έλεγχο του λειτουργικού συστήματος και των εφαρμογών που χρησιμοποιεί, χωρίς όμως να διαχειρίζεται τον φυσικό εξοπλισμό. Ποιο μοντέλο υπηρεσιών cloud είναι το καταλληλότερο για τις ανάγκες της;

Software as a Service (SaaS)

Platform as a Service (PaaS)

Infrastructure as a Service (IaaS)

Traditional On-Premises Infrastructure (no cloud)

Στο πλαίσιο του μοντέλου κοινής ευθύνης για την ασφάλεια στο cloud, για ποιο από τα παρακάτω είναι υπεύθυνη η ΜΜΕ, ως πελάτης της υπηρεσίας, και όχι ο πάροχος cloud;

Τη φυσική φύλαξη των εγκαταστάσεων του κέντρου δεδομένων όπου βρίσκονται οι διακομιστές.

Τη διασφάλιση ότι οι χρήστες της χρησιμοποιούν ισχυρούς κωδικούς πρόσβασης και πολυπαραγοντικό έλεγχο ταυτότητας

Την εγκατάσταση ενημερώσεων και την προστασία του hypervisor στον οποίο λειτουργούν οι εικονικές μηχανές.

Τη διατήρηση της διαθεσιμότητας της υπηρεσίας μέσω εφεδρικών υποδομών στο δίκτυο του παρόχου.

Ποιο χαρακτηριστικό του cloud επιτρέπει σε μια ΜΜΕ να αυξάνει τον αποθηκευτικό χώρο ή την υπολογιστική ισχύ σε περιόδους αυξημένης ζήτησης και να τα μειώνει όταν η ζήτηση υποχωρεί;

Κοινή χρήση πόρων

Μετρήσιμη υπηρεσία

Επεκτασιμότητα και γρήγορη προσαρμογή των πόρων

Ευρεία πρόσβαση μέσω δικτύου

Απειλές και προκλήσεις για τις ΜΜΕ

Ένας πάροχος cloud κρυπτογραφεί τα δεδομένα των πελατών του, αλλά αποθηκεύει τα κλειδιά κρυπτογράφησης σε κοινόχρηστο σημείο στο οποίο έχουν πρόσβαση πολλοί χρήστες. Ποια αρχή της τριάδας CIA τίθεται σε κίνδυνο;

Ακεραιότητα

Διαθεσιμότητα

Εμπιστευτικότητα

Ανθεκτικότητα

Η χρήση προσωπικών υπηρεσιών αποθήκευσης στο cloud για αρχεία εργασίας ενέχει κινδύνους, επειδή:

Μειώνει την παραγωγικότητα.

Αυξάνει τη χρήση μη εγκεκριμένων τεχνολογικών λύσεων (shadow it) και τον κίνδυνο διαρροής δεδομένων.

Δημιουργεί περιττά αντίγραφα δεδομένων.

Βελτιώνει τη διακυβέρνηση των δεδομένων.

Ποια είναι η καλύτερη στρατηγική για την προστασία των συστημάτων cloud από επιθέσεις ransomware;

Απενεργοποίηση των ενημερώσεων λογισμικού.

Τακτική δημιουργία αντιγράφων ασφαλείας.

Άμεση πληρωμή των λύτρων για την ανάκτηση της πρόσβασης στα αρχεία.

Αποκλειστική χρήση λογισμικού προστασίας από ιούς.

Σχεδιασμός ασφαλών cloud περιβαλλόντων

Ποια είναι η βασική αρχή του μοντέλου Zero Trust σε περιβάλλοντα cloud;

Όλοι οι εσωτερικοί χρήστες θεωρούνται αξιόπιστοι από προεπιλογή.

«Ποτέ μην εμπιστεύεσαι, πάντα να επαληθεύεις».

Κρυπτογραφούνται μόνο τα ευαίσθητα δεδομένα που βρίσκονται σε αποθήκευση.

Παρέχεται πλήρης πρόσβαση στις υπηρεσίες cloud.

Στη Διαχείριση Ταυτοτήτων και Πρόσβασης (IAM) στο cloud, ο Έλεγχος Πρόσβασης βάσει Ρόλων (RBAC) εκχωρεί δικαιώματα με βάση:

Τα χαρακτηριστικά του χρήστη, τη συσκευή και την τοποθεσία του.

Προκαθορισμένους ρόλους μέσα στην υπηρεσία cloud.

Τυχαία εκχώρηση.

Την ώρα της ημέρας.

Ποια από τις παρακάτω δηλώσεις για τη Διαχείριση Πληροφοριών και Συμβάντων Ασφάλειας (SIEM) είναι σωστή;

Αντικαθιστά την ανάγκη για πολυπαραγοντικό έλεγχο ταυτότητας (MFA).

Χρησιμοποιείται μόνο ως antivirus για τερματικές συσκευές.

Χρησιμοποιείται αποκλειστικά για τη φυσική ασφάλεια.

Συλλέγει, συσχετίζει και αναλύει αρχεία καταγραφής για τον εντοπισμό απειλών.

Διακυβέρνηση ασφάλειας στο cloud

Ποια από τις παρακάτω επιλογές περιγράφει καλύτερα τη διακυβέρνηση ασφάλειας στο cloud;

Εγκατάσταση antivirus σε κάθε cloud server.

Μια οργανωμένη προσέγγιση για τη διαχείριση των κινδύνων, της συμμόρφωσης και των πολιτικών ασφάλειας στο cloud.

Ανάθεση όλων των λειτουργιών πληροφορικής σε έναν πάροχο cloud.

Χρήση πολλών διαφορετικών κωδικών πρόσβασης για την προστασία των cloud λογαριασμών.

Μια εταιρεία αποθηκεύει δεδομένα πελατών σε μια εφαρμογή cloud. Ποιο μέτρο διακυβέρνησης είναι το σημαντικότερο, ώστε τα δεδομένα να παραμένουν προσβάσιμα και αναλλοίωτα σε περίπτωση διακοπής ή προβλήματος;

Χρήση ισχυρών κωδικών πρόσβασης.

Τακτική δημιουργία αντιγράφων ασφαλείας και δοκιμή των διαδικασιών ανάκτησης.

Να επιτρέπεται στο προσωπικό να εργάζεται μόνο από το γραφείο.

Αγορά περισσότερου αποθηκευτικού χώρου.

Σε μια προσομοιωμένη επίθεση στη ΜΜΕ σας, παραβιάζονται τα στοιχεία σύνδεσης ενός εργαζομένου. Ποια προσέγγιση διακυβέρνησης θα βοηθούσε τον οργανισμό να ανταποκριθεί αποτελεσματικά και να αποτρέψει παρόμοια περιστατικά στο μέλλον;

Να βασιστεί στον πάροχο cloud για να επιλύσει το πρόβλημα.

Να αλλάξει τον κωδικό πρόσβασης του εργαζομένου και να συνεχίσει κανονικά τη λειτουργία.

Να διαθέτει καταγεγραμμένο σχέδιο αντιμετώπισης περιστατικών, με σαφείς ρόλους, βήματα κλιμάκωσης και αξιολόγηση μετά το περιστατικό.

Να αγνοήσει το περιστατικό, αφού δεν χάθηκαν δεδομένα.

Ανάπτυξη δεξιοτήτων των παρόχων Επαγγελματικής Εκπαίδευσης και Κατάρτισης (ΕΕΚ)

Η διαδικασία ανάπτυξης δεξιοτήτων τονίζει ότι η αξιολόγηση πρέπει να απομακρυνθεί από τις καθαρά θεωρητικές προσεγγίσεις. Σε ποιου είδους τεχνικές πρέπει να δοθεί μεγαλύτερη έμφαση;

Σε μεθόδους που αξιολογούν κυρίως την απομνημόνευση ορισμών και νομοθεσίας.

Σε τεχνικές που δίνουν έμφαση στην επίδειξη πρακτικών δεξιοτήτων, ώστε να αξιολογείται κατά πόσο έχουν αποκτηθεί ουσιαστικές ικανότητες στην ασφάλεια του cloud.

Σε τυποποιημένες γραπτές εξετάσεις, ώστε όλοι οι εκπαιδευτές ΕΕΚ να αξιολογούν με τον ίδιο τρόπο.

Σε ερωτηματολόγια αυτοαξιολόγησης που συντάσσονται αποκλειστικά από ειδικούς του κλάδου.

Ο βασικός στόχος της δημιουργίας σταθερών συνεργασιών με τη βιομηχανία και τις ΜΜΕ είναι η συνεχής ανταλλαγή ανατροφοδότησης και η παροχή ευκαιριών πρακτικής εμπειρίας στους εκπαιδευομένους, όπως πρακτική άσκηση και συμμετοχή σε πραγματικά έργα. Με αυτόν τον τρόπο, η κατάρτιση παραμένει ευθυγραμμισμένη με τις σύγχρονες πρακτικές του κλάδου.

Σωστό

Λάθος

Ποιος συνδυασμός καινοτόμου διδακτικής προσέγγισης και προσαρμογής στο προφίλ των εκπαιδευομένων θεωρείται σημαντικός, ώστε το σύνθετο θέμα της ασφάλειας στο cloud να γίνει πιο ενδιαφέρον και αποτελεσματικό;

Παραδοσιακές διαλέξεις και ανάλυση του επαγγελματικού υπόβαθρου των εκπαιδευομένων.

Καινοτόμες μέθοδοι, όπως η μάθηση βάσει σεναρίων ή η παιχνιδοποίηση, και προσαρμογή του περιεχομένου στα διαφορετικά επίπεδα και υπόβαθρα των εκπαιδευομένων, από αρχάριους στην πληροφορική έως έμπειρους επαγγελματίες.

Σύνθετες θεωρητικές εξετάσεις και κατηγοριοποίηση των ΜΜΕ ανάλογα με το μέγεθός τους.

Εσωτερικά προγράμματα καθοδήγησης από συναδέλφους και ορισμός ενός Υπεύθυνου Προστασίας Δεδομένων (DPO) πλήρους απασχόλησης για κάθε εκπαιδευόμενο.