Microsoft Azure är en av de tre största molntjänstleverantörerna som används av organisationer idag. De andra två som huvudsakligen används av organisationer är Amazon Web Services (AWS) och Google Cloud Platform (GCP) I det rådande läget i världen flyttar många företag sina tjänster till en delvis eller helt molnbaserad plattform som Azure eller AWS. Anledningen till detta är det stora antalet hanterade tjänster som dessa molntjänstleverantörer erbjuder, liksom de mer lättanvända och tillgängliga alternativen som finns tillgängliga för webbservrar och liknande.
På senare tid har många vårdgivare gått över specifikt till Microsoft Azure. De gör detta eftersom Azure har arbetat med att uppgradera sina säkerhetssystem för att hjälpa dessa vårdgivare att HIPAA kompatibla, bland andra efterlevnadsstandarder de siktar på.
Vad innebär det att vara följsam?
När det gäller efterlevnad av regler inom olika organisationer har varje företag olika standarder och praxis som de måste följa. Dessa standarder för cybersäkerhetsefterlevnad är skrivna av en organisation som specialiserar sig på onlinesäkerhet och vet vilka typer av skydd som bör finnas på plats för de specifika typerna av organisationer. Standarderna beskriver de rutiner som bör finnas på plats, som ett minimum, för att anses vara helt efterlevande. Alla organisationer följer inte heller samma standarder.
Det finns några allmänna standarder för cybersäkerhet, såsom NIST Cybersäkerhetsramverk (CSF), som fokuserar på kritisk infrastruktur eller efterlevnadsstandarder för organisationer i specifika länder, men det finns också efterlevnadsstandarder för vissa typer av organisationer. De typer av organisationer som tenderar att ha sina egna standarder är banker eller företag som innehar kunders bank-/kreditkortsinformation, och hälsovårdsföretag.
Några av de viktigaste standarderna för vårdföretag, som du kanske har hört talas om, är Health Insurance Portability and Accountability Act (HIPAA) och Health Information Technology for Economic and Clinical Health (HITECH) Act. Dessa är viktiga för en vårdorganisation att följa för att upprätthålla korrekt säkerhet i sin miljö. Om en vårdorganisation inte följer dessa och andra standarder kommer de att ställas inför rätta och sannolikt behöva betala tusentals kronor i böter.
Hur blir en organisation kompatibel?
En organisation kan uppfylla kraven på flera olika sätt. Att följa dessa standarder till punkt och pricka och säkerställa att de har åtminstone den lägsta säkerhetsnivå som anges i dessa standarder är det viktigaste steget.
Organisationer kan också följa bästa praxis för cybersäkerhet, som de som beskrivs i NIST SP 800-30 och andra NIST-rekommendationer, för att ytterligare stärka sin säkerhet och säkerställa efterlevnad. Dessutom bör säkerhetsrevisioner av en organisations cybersäkerhetsramverk genomföras minst årligen.
Detta kommer att bidra till att säkerställa att eventuella uppdateringar av säkerhetsstandarder följs, och om de inte gör det kan detta noteras och åtgärdas i granskningen. Det finns också ett antal olika säkerhetsverktyg som används i plattformar som Microsoft Azure som hjälper organisationer att upprätthålla sin efterlevnad utan att behöva implementera lika mycket arbete. Vi kommer att beröra detta i nästa avsnitt av den här bloggen.
Vad gör Microsoft Azure för att bidra till efterlevnaden av regler och förordningar?
Microsoft har arbetat för att säkerställa att deras databaser, liksom varje annan del av deras molnsystem, kan hjälpa en vårdorganisation att nå och fortsätta följa alla vårdstandarder de måste följa. Med hjälp av något som kallas Azure Security Center kan användare hålla reda på sina olika molnsystem som används och säkerställa att de uppfyller de nödvändiga efterlevnadsstandarderna.
Detta säkerhetscenter gör det möjligt för organisationen att hålla sig uppdaterad om statusen för sin efterlevnad inom Microsoft Azure. Detta gör det också möjligt för Azure att rekommendera ändringar i sina nuvarande rutiner för att ytterligare följa standarder som HIPAA.
Microsoft tar även hand om driftsättning och underhåll av system inom Azure, vilket eliminerar besväret och den arbetskraft som krävs för organisationen. Azure erbjuder också möjligheten att genomföra tredjepartsrevisioner av de befintliga systemen för att kontrollera att de uppfyller kraven. Detta gör att säkerhetsrevisioner kan ske snabbt och enkelt, vilket ger organisationer möjligheten att hålla sig uppdaterade om säkerhetsstandarder året runt.
Organisationer kan också ladda ner efterlevnadsdokumentation via Microsoft Azure, vilket ytterligare snabbar upp revisionsprocessen och ger enkel åtkomst till dokumentationen för nyanställda. Det finns också olika verktyg tillgängliga i Microsoft Azure att använda för efterlevnadsändamål. Azure Blueprints är en tjänst som erbjuder möjligheten att skapa ramverk för tjänster som utvecklare skapar.
Dessa ramverk kan skapas av högre ledning och förinstalleras i Azure Blueprints för utvecklarnas användning. Eftersom en högt uppsatt medlem i organisationen har skapat detta ramverk vet utvecklarna som använder det att det är godkänt för användning där det behövs i organisationen.
Azure Policy fungerar på liknande sätt som Azure Blueprints, men hanterar istället policy och styrning. Genom att ställa in affärsregler och policydefinitioner i Azure Blueprints kan en användare säkerställa att efterlevnadsstandarder uppfylls. Azure Blueprints utvärderar resurser i Azure genom att jämföra egenskaperna för resurser i Azure med de affärsregler som anges i Azure Blueprints.
Slutsats
Verktyg och tjänster hos molntjänstleverantörer är ett utmärkt sätt att upprätthålla integriteten för dina data i molnet. Azure Policy och Azure Blueprints arbetar hand i hand för att ständigt säkerställa att befintlig och ny data som kommer in i molnet skyddas ordentligt. Med tiden är jag säker på att cybersäkerhetsvärlden kommer att se fler verktyg som Microsoft Azure börja rullas ut och ge ännu fler sätt att säkerställa att datasäkerhetskraven följs. Ett annat bra sätt att säkerställa efterlevnad inom en organisation är att låta experter granska dina system och dokumentation.
På Encryption Consulting erbjuder vi datasäkerhetsbedömningar för att säkerställa att era säkerhetsverktyg och metoder används korrekt. Vårt expertteam säkerställer att er infrastruktur för publika nyckelringar, hårdvarusäkerhetsmoduler och datakryptering i allmänhet uppfyller de krav som er organisation ställer.
Vi kan också hjälpa till att implementera nya datasäkerhetsrutiner om ett företags infrastruktur verkar vara bristfällig. Krypteringskonsulting kan även hjälpa organisationer att skapa ny styrningsdokumentation. För att fråga om de olika tjänster vi erbjuder, besök vår webbplats på www.krypteringskonsulting.com.
