Voor de derde keer is het CISO View verschenen, een jaarlijks onderzoeksrapport waarvoor 1000 CISO’s (Chief Information Security Officer) wereldwijd worden gevraagd naar hun praktijkervaringen met security-strategieën en best practices. Het onderzoek is een initiatief van CyberArk en wordt uitgevoerd door onderzoeksbureau Robinsons Insight onder CISO’s van onder andere American Express Company, Carlson Wagonlit Travel, ING Bank, Lockheed Martin, NTT Communications, Pearson, Rockwell Automation en Starbucks. In deze editie is met name gekeken naar de beveiliging van DevOps-processen.
Security-strategieën moeten gericht zijn op privileged access, ofwel controle op het gebruik van gebruikersaccounts met extra rechten, en het afschermen van deze accounts, secrets en andere gevoelige informatie. Daarbij is het van belang dat de strategie wel aansluiting vindt bij de DevOps-cultuur en bijbehorende methodes om te voorkomen dat ze de snelheid en wendbaarheid van productontwikkeling in de weg staat. Dat dit nog in de kinderschoenen staat, blijkt uit ander onderzoek van CyberArk, het Threat Landscape Report 2018. Dit wijst uit dat zo’n 73 procent van de organisaties nog geen strategie heeft ontwikkeld om accounts met extra toegangsrechten tot DevOps te beschermen.
Het rapport wordt samengevat in vijf aanbevelingen, gebaseerd op de praktijkervaringen van de deelnemende CISO’s.
1. Maak het security-team een DevOps-partner.
Zorg ervoor dat security-specialisten en ontwikkelaars over de juiste kennis en kunde beschikken. Hierdoor is het voor ontwikkelaars makkelijker om rekening te houden met beveiligingsprincipes, wordt samenwerking gestimuleerd en kunnen agile DevOps-methodes ook binnen security worden toegepast.
2. Focus op het beveiligen van DevOps tools en infrastructuur.
Stel beleidsregels op (en zorg dat ze nageleefd worden) ten aanzien van de te gebruiken tools en hun configuratie, voer toegangscontrole bij DevOps tools in, gebruik het ‘least privilege’ principe en bescherm en monitor de infrastructuur.
3. Stel bedrijfsbreed eisen op voor de bescherming van login-gegevens en secrets.
Maak het centraal beheer van secrets verplicht, breidt de auditing en monitoring mogelijkheden uit, verwijder credentials in tools en applicaties en ontwikkel herbruikbare code-modules.
4. Verander processen om applicaties te testen.
Het automatische testen van code moet geïntegreerd worden, ontwikkelaars moeten via een ‘break the build’ methode verplicht worden security-issues te repareren, en overweeg een bug bounty programma, waarin ontdekkers van kwetsbaarheden worden beloond.
5. Evalueer de resultaten van DevOps security.
Test de invoer van tools voor secrets management, meet resultaten, stimuleer verbeteringen en train auditors.
“Het CISO View rapport geeft concrete ervaringen weer van directeuren en topmanagers die DevOps omarmen, zonder security uit het oog te verliezen”, aldus Renske Galema, regional director van CyberArk. “Voor organisaties die midden in digitale verandertrajecten zitten, is het van belang security en risico’s altijd langs nieuwe tools en technologie te leggen. Door de organisatie- en operationele uitdagingen te begrijpen, kunnen security-teams effectiever meepraten op het niveau van zowel topmanagement, security als ontwikkelaars.”
Het CISO View rapport ‘Protecting Privileged Access in DevOps and Cloud Environments’, en de eerdere edities zijn te downloaden op
https://www.cyberark.com/cisoview/.
Over CyberArk
CyberArk is het enige security-bedrijf dat gericht is op de meest geavanceerde internetbedreigingen: degene die gericht zijn op het gebruik van privileged accounts om het hart van de onderneming te raken. CyberArk wil aanvallen platleggen voordat ze bedrijven platleggen. Hiertoe beschermen ze bedrijven proactief, voordat aanvallen onherstelbare schade aanrichten. Het bedrijf mag bijna de helft van de Fortune 100 tot de klanten rekenen, waarvoor het gegevens, infrastructuren en applicaties beschermt. Het hoofdkantoor staat in in Petach Tikvah, Israël en er zijn andere kantoren in de VS, EMEA, Azië en Japan.
Voor meer informatie, bekijk de site
www.cyberark.com en volg ons op Twitter
@CyberArk en op Facebook
https://www.facebook.com/CyberArk.