IT системүүд улам хөгжихийн хэрээр клауд системийн аюулгүй байдал мөн чухал болж байна. Бизнесүүд өөрсдийн асар их хэмжээний мэдээллийг клауд орчинд зөөн байршуулж байгаа нь халдагч этгээд мэдээллийг ашиглах, улмаар барьцаалан их хэмжээний мөнгө нэхэх зэрэг аюулгүй байдлын эрсдэлийг нэмэгдүүлж байна. Кибер халдлага нь байгууллагад их хэмжээний мөнгөн хохирлоос гадна нэр хүндийн хүнд цохилт өгдөг. Цар тахлаас өмнө хийгдсэн урьдчилсан таамгаар нэг жилийн дотор кибер аюулгүй байдлын хохирол 20 тэрбум доллар хүрч болзошгүйг Cybercrime Magazine онцолжээ.

Клауд системийн аюулгүй байдалд тулгарч буй хамгийн нийтлэг 10 эрсдэл:

• Буруу тохиргоо: Клауд сүлжээний орчны хандалтыг хамаагүй нээснээр тухайн мэдээлэлд хандах ёсгүй янз бүрийн хортой програмуудад боломж олддог. Ингэснээр халдагч этгээд нь хамгийн муу хамгаалалттай аль нэг хэсгээр нь дамжин амархан нэвтрэх эрсдэл үүснэ.
• Хамгаалалтгүй мэдээллийн урсгал: Чухал мэдээллийг дотоод сүлжээний серверүүд болон клауд сервер, аппликэйшнд хадгалах нь ажилчдыг их хэмжээний мэдээлэл нааш цааш зөөвөрлөхөд хүргэдэг. Энэ зөөвөрлөх урсгалын аюулгүй байдлыг анхаарахгүй бол мэдээлэл алдах эрсдэлийг үүсгэдэг.
• Эрх хулгайлах: Хар-малгайт хакерууд технологи хөгжихийн хэрээр өөрсдийн чадварыг сайжруулсаар байдаг. Эрх хулгайлах гэдэг нь хакерууд хэрэглэгчийн нэвтрэх мэдээллийг хулгайлан системд нэвтрэх боломжтой болохыг хэлнэ.
• Боловсон хүчний дутагдал: Дийлэнх байгууллагын хувьд технологийн хөгжил, аюулгүй байдлын заналхийллийн хувьсал, олон тооны IT системүүдтэй ажиллах чадвартай мэргэжилтэн ажилд авах боломж хомс байдаг. Мөн түүнчлэн байгууллагууд зөв хүн ажилд авах, ажилчдаа шинэ чадварт сургах, туршлагатай хүн олох зэрэгт хангалттай төсөв байдаггүй. Боловсон хүчний ийм хомсдол нь байгууллагыг шууд бусаар эрсдэлд оруулж байдаг.
• Эрхийн удирдлагын хангалтгүй байдал: Эрх болон хандалтын зохистой удирдлагагүй, менежментгүй байх нь клауд дээр томоохон эрсдэлийг үүсгэж байдаг. Мэдээллийн хандалтыг хязгаарлах зохистой дүрэм, журамгүй байх нь тухайн нууцлал бүхий мэдээллийг санаатай болон санаандгүй задруулж байгууллагыг халдлагад өртөхөд хүргэдэг гол эрсдэл юм.
• Хяналтын эрсдэл: Байгууллагуудад зориулан гаргасан HIPAA, PCS-DSS, GDPR гэх мэт олон төрлийн мэдээллийн хяналтын журмууд байдаг. Хамааралтай журмыг дагаж мөрдөхгүй байх нь байгууллагыг хяналтын эрсдэлд оруулж, их хэмжээний зардал гарах нөхцөлийг үүсгэдэг.
• Мэдээллийн алдагдал: Байгууллагууд мэдээлэл зохицуулалтын удирдлага болон бодлогогүй байх нь мэдээлэл алдагдах нөхцөлийг бүрдүүлдэг. Ө.х мэдээлэл санамсаргүйгээр устгагдах буюу буцаах боломжгүйгээр өөрчлөгдөх, шифрлэсэн түлхүүр өөрчлөгдөх зэргээр мэдээлэлд дахин хандах боломжгүй болохыг мэдээлэл алдагдах гэнэ. Тогтмол мэдээллийн нөөцлөлт хийгээгүй үед энэ эрсдэл маш ноцтой хохирол дагуулна.
• Ажилчдын хайнга байдал: Клауд хэрэглээнд тулгарах аюулгүй байдлын эрсдэлүүдийн нэг нь ажилчдын хайнга байдалтай холбоотой байдаг. Ажилчид санамсаргүйгээр өөрийн хувийн мэдээллийг задруулах (Жишээ нь: Бүх эрхдээ нэг ижил нууц үг ашиглах гэх мэт), мөн тодорхой давтамжтай хяналт хийгээгүй, шинэчлээгүй байгааг халдагч этгээд ашиглан нэвтрэх эрхийг нь хулгайлж болзошгүй.
• Хоцрогдсон галт хана (firewall): Аюулгүй байдлын эрсдэлүүд нэмэгдэхийн хэрээр хамгаалалтын дэд бүтцээ байнга сайжруулах шаардлага үүсэж байна. Галт хана нь аюулгүй байдлыг хамгаалж, болзошгүй эрсдэлийг илрүүлэн өгч, засварлахад шаардлагатай мэдээллүүдийг өгдөг. Гэтэл энэ нь хоцрогдвол ямар ч хамгаалалтгүй болсонтой ижил эрсдэлийг дагуулна.
• Хамгаалалтгүй API-ууд: Харилцагчид, хамтрагчид болон дотоод багууд клауд систем руу API -аар дамжуулан ханддаг нь халдлагын бас нэгэн том бай болж байдаг. Эрсдэлийн менежментийн стратеги нь API хамгаалалт болон бүх API gateway -ийн хамгаалалтыг агуулах ёстой байдаг.

Клауд системийн аюулгүй байдлын эрсдэл нь бизнест хэрхэн нөлөөлөх вэ?

Кибер аюулгүй байдлын халдлагын тоо 2020 оны эхэн үеэс буюу цар тахалтай холбоотой хөл хорионд орж, дийлэнх байгууллагууд виртуал ажлын горимд хүчээр шилжсэнтэй холбоотой огцом өссөн. Дан ганц 2020 оны эхний улиралд л гэхэд кибер халдлагын тоо 17%-аар өссөн. Энэхүү өсөлтийн чиг хандлага нь КОВИД-ын үеийн виртуал ажлын горим түр зуурын биш байнгын болж хувирсантай холбоотой цаашид ч хэвээр хадгалагдана гэсэн таамаглалтай байна.

Байгууллагууд мэдээллээ алдсанаар санхүүгийн хувьд удаан үргэлжлэх, бүр байнгын үр дагаварт хүргэж болзошгүй ноцтой эрсдэлд орж байна. Түүнчлэн санхүүгийн дарамтаас гадна байгууллагын нэр хүндэд ч мөн ижил хэмжээний хор хөнөөлтэй үзүүлэх нь бий.

Байгууллагад учирч болзошгүй санхүүгийн бус эрсдэлүүд:

• Брэндийн имиж алдагдах /Damaged brand image/: Амжилттай кибер халдлага нь тухайн бизнесийг тодорхой хугацаанд (хэдэн цаг, өдөр эсвэл хэдэн долоо хоног) үйл ажиллагааг нь зогсоодог. Ингэснээр харилцагч төлбөр төлсөн эсвэл төлөх гэж буй бүтээгдэхүүн, үйлчилгээгээ авах боломжгүй болох, цаашлаад тухайн байгууллагын хэрэглэгч байхаа больдог. Энэ нөхцөл байдал нь байгууллагын брэндийн имиж-д маш ноцтой хохирол учруулдаг.
• Итгэл алдалт /Lost trust/: Их хэмжээний мэдээлэл урсах дижитал эдийн засагт харилцагчид нь байгууллагуудад итгэж байгаа учраас өөрийн хувийн мэдээллээ  даатгаж хариуцуулсан байдаг. Гэтэл кибер халдлагад өртсөнөөр харилцагчид өөрсдийн мэдээллийг тухайн системд байх нь аюултай гэж үзэхэд хүргэдэг.
• Байгууллагын эмх замбараагүй байдал /Organization disruption/: Ихэнх тохиолдолд халдлагаас урьдчилан сэргийлэх боломжууд байдаг. Гэхдээ халдлага гарвал аль нэг багт эсвэл багийн гишүүнд хариуцлагыг үүрүүлэх шаардлага тулгардаг. Ажлаас халж, эсвэл өөр хүнээр сольдог. Гэтэл энэ нь тухайн байгууллагад бий болсон тогтолцоонд томоохон хэмжээний эмх замбараагүй байдлыг үүсгэдэг.
• Хүчээр хаалгаа барих /Forced closures/: Зарим тохиолдолд аюулгүй байдлын халдлага нь тухайн байгууллагад нөхөж баршгүй хохирол учруулан, тэднийг үйл ажиллагаагаа эрс багасгах буюу бүр мөсөн хаахад хүргэдэг. Энэ нь ховор боловч учрах боломжтой эрсдэл юм.

Тэгвэл байгууллагууд клауд аюулгүй байдлын эрсдэлийг бууруулахын тулд юу хийж чадах вэ?

Байгууллагуудад аюулгүй байдлаа хангахын тулд хэрэгжүүлж болох олон аргууд байгаа. Эдгээрээс хамгийн үр дүнтэй аргыг дурдвал:

Нууц үгийн хамгаалалт /Password protection/

Фишинг /Phishing/ нь хамгийн түгээмэл бөгөөд үр дүнтэй кибер халдлагын хэлбэр байдаг. Энэ нь халдагч хувийн мэдээлэл болон нууц үгийг олж авч (ихэвчлэн хэрэглэгчээс өөрөөс нь олж авдаг) мэдээллийг нь шифрлэн барьцаалах халдлагын хэлбэр юм. Байгууллагууд ажилчдадаа илүү хүчтэй нууц үг (том жижиг үсэг, тоо, тусгай тэмдэгт орсон) ашиглах болон тогтмол сольж байхыг анхааруулах хэрэгтэй.

Клауд аюулгүй байдлын шийдэлд хөрөнгө оруулах /Invest in a cloud security solution/

Клауд тооцоолол нь бизнесийн хүртээмж болон чадамжийг их хэмжээгээр нэмэгдүүлдэг боловч зөвхөн уламжлалт галт ханын хамгаалалтыг ашиглах нь хангалттай хэмжээний хамгаалалт болж чадахгүй гэдгийг ойлгох хэрэгтэй. Хэрэглэгч нь сүлжээ болон системд дурын төхөөрөмж болон байршлаас хандах боломжтой байгаа нь хакеруудын халдлагын орон зайг тэр хэмжээгээр нэмэгдүүлж байдаг. Байгууллагууд холимог экосистемийн аюулгүй байдлыг бүрэн хангах клауд аюулгүй байдлын програм хангамжид зайлшгүй хөрөнгө оруулах шаардлага тулгарч байна.

Аюулгүй байдлын аудит тогтмол хийх /Conduct regular security audits/

Дотоод халдлага, мэдээлэл алдагдах болон хайнга ажилтан зэрэг нь клауд системийн аюулгүй байдлын гол эрсдэлүүд юм. Эдгээр болон бусад эрсдэлтэй тэмцэхийн тулд, байгууллагууд мэдээлэлд хандах эрхийг зайлшгүй шаардлагатай нэгэнд л өгдөг байх хэрэгтэй. Мөн аюулгүй байдлын аудитыг тогтмолжуулснаар хэн ямар мэдээлэлд хандаж байгааг хянаж, шаардлагатай өөрчлөлтүүдийг хийх боломжтой болдог.

Системийн шинэчлэлтийг тогтмол хийх /Regular systems updates/

Хакерууд мэдээллийн аюулгүй байдал сайжрахын хэрээр өөрсдийн чадварыг сайжруулж байдаг. Зарим байгууллага өөрсдийн аюулгүй байдлын програмын хуучин хувилбар нь одоогийн болон шинэ эрсдэлүүдээс хамгаална гэж итгэсээр байдаг боловч үгүй юм. Байгууллагууд аюулгүй байдлын програм хангамжаа тогтмол шинэчлэн, шинээр гарч буй эрсдэлүүдийг илрүүлэх чадамжтай байх хэрэгтэй.

Нэвтрэх тест /Penetration test/

Pen test хийх чадвартай хөндлөнгийн байгууллагаар клауд системээ шалгуулж, дүгнэлт бичүүлэн авах үйлчилгээ байдаг. Энэ үйлчилгээг ашигласнаар гуравдагч нарийн мэргэжлийн байгууллагаар дүгнэлт гаргуулж, аюулгүй байдлын эрсдэлээ бууруулах алхмуудыг мэдэж авах боломжтой байдаг.

Эх сурвалж: Interprise solutions 2022. №1