[[422321]]

醫(yī)療保健提供商Jefferson Health公司的首席信息安全官(CISO)Mark Odom日前對醫(yī)療保健提供商如何向云優(yōu)先戰(zhàn)略的轉(zhuǎn)變進行了探討，并分享了如何創(chuàng)建更高效、更敏捷且以風險為中心的網(wǎng)絡(luò)安全方法。

Odom指出，Jefferson Health公司在網(wǎng)絡(luò)安全方面的口號是“如果我們做不好，就不會去做”。事實證明，這種方法對于Jefferson Health公司快速過渡到云優(yōu)先的遠程模型以滿足在發(fā)生新冠疫情情況下正常開展業(yè)務(wù)的需求是不可或缺的。

事實上，通過將網(wǎng)絡(luò)安全放在其云計算創(chuàng)新的前沿，該公司為一些醫(yī)院采用了一種更高效、更敏捷、更注重風險的安全方法來保護業(yè)務(wù)安全。Odom說，“幾年來，我們的戰(zhàn)略一直以云計算為中心，但我們的許多平臺都非常大，通常不會在幾個月內(nèi)更改和移動，而是需要數(shù)年才能移動。發(fā)生的疫情加速了事情的發(fā)展。”事實上，醫(yī)院龐大的數(shù)據(jù)庫涵蓋醫(yī)療保健、教育和研究業(yè)務(wù)的數(shù)據(jù)，其中一些數(shù)據(jù)庫依賴于傳統(tǒng)的遺留系統(tǒng)，這些系統(tǒng)需要向云端轉(zhuǎn)移，以實現(xiàn)更大的靈活性、成本效益和安全性。

網(wǎng)絡(luò)安全文化是云計算應(yīng)用的關(guān)鍵

Odom倡導采用網(wǎng)絡(luò)安全文化以有效地完成這一旅程，Jefferson Health公司總裁也在大力推動這種文化。Odom說，“我們得到了確切的安全信息，這讓我們專注于執(zhí)行，而不是向管理者介紹為什么需要采取安全措施。我們可以從一開始就以一種正確的方式加快發(fā)展，而不是在傳統(tǒng)的內(nèi)部部署基礎(chǔ)設(shè)施上所做的那樣落后于發(fā)展曲線。”

Odom解釋說，采用正確的安全工具可以防止員工將事情搞得一團糟，從而消除了圍繞生產(chǎn)和運營中改變系統(tǒng)以達到安全標準的艱難對話。他說，“我們采用的一種非常有條理、有計劃的方法，并從一開始就理解了安全性，這給我們帶來了很多好處。”

Odom表示，業(yè)務(wù)一致性是Jefferson Health公司實施云遷移的另一個核心文化元素，治理是將網(wǎng)絡(luò)安全定位為與更廣泛的企業(yè)動態(tài)保持一致的不可或缺的組成部分。他說，“從監(jiān)管的角度來看，我們有不同的業(yè)務(wù)，每個業(yè)務(wù)都有非常不同的使命和要求。這在很大程度上是關(guān)于了解所有這些領(lǐng)域的業(yè)務(wù)用例及其在云計算空間中的需求，然后安全團隊與云計算架構(gòu)師一起正確構(gòu)建云平臺。”

為了確保保持這種以業(yè)務(wù)為中心的心態(tài)，Odom經(jīng)常與其他利益相關(guān)者和同行一起參加安全技術(shù)研討會議和活動，以鼓勵企業(yè)之間的公開對話。

云計算擴展中的遠程工作

在疫情蔓延期間，對敏捷、遠程工作的需求加速了Jefferson Health公司向云優(yōu)先模式的轉(zhuǎn)變。他說，“我們已經(jīng)在努力為員工提供更多的遠程辦公時間，因此實際上向遠程工作模式的過渡非常順利。”他補充說，他對遇到的安全挑戰(zhàn)如此之少感到驚訝。

雖然Odom認識到新冠疫情對Jefferson Health公司構(gòu)成的威脅，例如針對其疫苗研發(fā)工作的網(wǎng)絡(luò)攻擊激增，但隨著研發(fā)團隊在更多時間在家遠程工作，網(wǎng)絡(luò)安全方面的顯著優(yōu)勢很快就顯現(xiàn)出來。他說，“在安全運營中心的幫助下，大多數(shù)員工專注自己的工作和業(yè)務(wù)。當我們遠離企業(yè)辦公室時，許多事件響應(yīng)活動變得更加有效，因為我們的員工在家里遠程工作已經(jīng)有了完整的安全設(shè)置。而網(wǎng)絡(luò)攻擊者喜歡在周五晚上或周六早上在員工不在辦公室工作的時候發(fā)動網(wǎng)絡(luò)攻擊。”

Odom表示，通過開展遠程工作，響應(yīng)時間減少了25%，團隊整體生產(chǎn)力提高了20%。他說，“我們確實從遠程工作中獲益，而且已經(jīng)能夠?qū)㈩~外的生產(chǎn)力應(yīng)用于疫情帶來的其他挑戰(zhàn)。”

然而Odom表示，需要解決控制、政策和教育問題，以確保遠程工作不會妨礙Jefferson Health公司更廣泛的日常運營的安全性。他說，“基于網(wǎng)絡(luò)的安全工具已經(jīng)轉(zhuǎn)向端點控制，考慮云優(yōu)先策略是一個正確的發(fā)展方向。如果真正的目標是云計算模型，那么就不會關(guān)注網(wǎng)絡(luò)級別的控制——其控制或者必須在應(yīng)用程序級別，或者必須在端點級別。”

Odom指出，隨著企業(yè)提供的IT設(shè)備取代在家遠程工作的員工的個人IT設(shè)備，可接受的使用政策也得到了加強。

他說，“隨著時間的推移，我們認為員工采用企業(yè)設(shè)備和個人設(shè)備的界限有些模糊，因此我們需要阻止許多未經(jīng)授權(quán)的工作站點，例如Google Drive。”

他補充說，并非所有工作和基本服務(wù)都受到疫情的影響，但他和他的團隊需要務(wù)實地工作，以評估那些最有可能受到疫情影響的服務(wù)。他說，“對于最終用戶群體來說，這顯然并不總是令人滿意，但需要回到他們獲得、理解和適應(yīng)的文化中。毫無疑問，其中的一個因素是更加關(guān)注網(wǎng)絡(luò)安全意識培訓，以應(yīng)對新的遠程工作風險。作為對遠離企業(yè)辦公室的員工的直接反應(yīng)，我們將安全意識培訓的次數(shù)增加了一倍。”

通過云優(yōu)先的方法增強風險管理

考慮到云計算轉(zhuǎn)型和引入更流暢的遠程工作模式如何影響Jefferson Health公司的網(wǎng)絡(luò)安全地位，Odom指出需要采用風險管理的多元化方法。他說，“通過采用云優(yōu)先的遠程工作方式，我們已經(jīng)消除了很多風險，因為它迫使企業(yè)對運行環(huán)境進行細分。”

Odom說，“云計算的風險指標已經(jīng)被證明是風險管理新方法的關(guān)鍵。如果想要獲得良好的結(jié)果，必須進行衡量。然而衡量結(jié)果的勞動會降低整體價值，需要花費更多時間提供補救措施。Zscaler公司為我們提供了從一開始就獲得自動化指標和衡量的機會，因此不會花費質(zhì)量信息安全專業(yè)人員的時間來衡量結(jié)果。”

通過改進指標，Odom已經(jīng)能夠從年度數(shù)據(jù)泄露損失的角度來量化風險的變化，例如關(guān)于勒索軟件的威脅。他說，“當我們在內(nèi)部部署數(shù)據(jù)中心運行業(yè)務(wù)時，勒索軟件攻擊發(fā)生的可能性為2%到3%。隨著我們更多地將業(yè)務(wù)遷移到云端，其成本曲線顯著降低，因為勒索軟件攻擊不會影響整個運營環(huán)境，在某些情況下，它可能只會影響單個服務(wù)線。這意味著可能只有400萬到500萬美元的損失。雖然我們處理這些事件的周期性比率較高，但影響較小。”

對于尋求采用以云計算為中心、不依賴網(wǎng)絡(luò)的安全方法的其他首席信息安全官來說，Odom主張盡早采取措施。他說，“過去很多人說云計算不安全，但這根本不是一個準確的說法。使用云計算技術(shù)，我們不會繼承內(nèi)部部署數(shù)據(jù)中心的一些遺留實踐，只需要適當?shù)囊?guī)劃，它讓我們的業(yè)務(wù)更安全，我們需要與一些不良的安全習慣作斗爭，而企業(yè)越早實施安全措施就會越安全。”