SMBクラウドセキュリティプレイブック

この中小規模ビジネス（SMB）クラウドセキュリティプレイブックの最初のルールは、勝つために私たちが取り組んでいることです。 近づかない、またはコーヒーを買うために十分な小額の現金を節約するため、または群衆に従うためではありません。 それは会社を新しいレベルに押し上げ、同時にお金を節約し、セキュリティを強化することです。 クラウドへの移行からこれらの利点のすべてを期待していない場合、あなたは間違ったゲームにいます。

クラウドへの移行は戦略的で有益です。 クラウドへの移行を後付けとして扱わないでください。 パートタイムのインターンではなく、優秀で経験豊富な労働者を配置してください。

主な事業内容が自動車部品、イベントプランニング、さらにはコンピューターソフトウェアであっても、このプレイブックの目標は、中心的なビジョンに集中できるようにすることです。 ほとんどの場合、コンピューターの操作は気を散らすだけです。 ITプロビジョニングは今や日常的に行われているので、自分のスタッフがすべてをやろうとするのではなく、外部のベンダーに信頼するほうがよいでしょう。 クラウドを適切に選択することで、組織は資本コストを節約し、運用上のセキュリティを確保し、機敏性と応答性を高めます。

自分を知る機会

企業はクラウドセキュリティを心配するのは当然です。 Anthem、Ashley Madison、CVS、Experian、Scottrade、Target、Trump Hotel Collectionなどの企業における最近のデータ侵害の直接的および間接的なコストは、驚異的です。 この失敗は、クラウドの脆弱性に起因するものではありません。 それらは、企業内の基本方針と実行の内訳でした。

「クラウド」は、膨大な製品をカバーしています。 ある会社では、労働者のタイムカードをネットワーク化されたツールに置き換える簡単なオンラインサービスを採用することは、ゲームチェンジャーかもしれません。 別の企業は、サービスとしてのデータセンター全体（DCaaS）、サービスとしてのデスクトップ（DaaS）を介してアクセスされ、サービスとしての災害復旧（ DRaaS）、すべてが施設外に移動しました。 3番目の企業は完全にクラウドに飛び込むかもしれませんが、法的規制に準拠した物理的な場所にあるプライベート企業です。

クラウドセキュリティの詳細はこれらの例では異なりますが、基本的なものの多くは同じです：

1.すべての従業員に自分のログインを与えます。

2.従業員が退職したときにアカウントを退職するための標準手順を作成します。

3.バックアップアクセスとクラウドサポートに関する管理者向けの指示書を提供します。

4.緊急事態が発生する前に、組織とクラウドセキュリティベンダーの間にビジネス関係を作成します。

5.ユーザーとプロバイダーは、停止頻度や停止アクションプランなど、サービスレベル契約（SLA）の期待について、わかりやすく明示的な同意を得る必要があります。

正式なビジネスプランが組織全体を最大限に活用するのに役立つように、ワークフロー、長​​所、短所を網羅した明示的なIT要件をまとめておくと役立ちます。 重要な計画面の1つは、組織内の主要なワークロードの所有者にインタビューして、ビジネスがビジネスを遂行する方法の正確な詳細を確認することです。 実際のワークロードは、過去に覚えていたものではなく、必ず移行してください。

また、移行の明示的なシーケンスを計画します。 垂れ下がった果物を探します。 簡単に持ち運び可能で、リスクが低く、収益性の高いワークフローを最初に移行します。 早期の移行から学習し、より不確実なまたは危険な移行に移行するときに移行パターンを更新します（または、経験に基づいて特定のワークフローをクラウドから除外することを決定します）。

初めて要件を作成するとき、それは完璧ではありません。 計画を開始し、それをすべて把握したと思い、クラウドサービスに依存し始めてから、物事が快適ではないと結論付けることは問題ありません。 最初の契約の大きな価値は、何が効果的かを学ぶことかもしれません。 早い段階でプロバイダーを切り替えることに恥はありません。 多くの見出しに値するデータ侵害は、組織がよく意図されているが不適合な標準を「回避」することが日常的になったときに発生します。 ほとんどのクラウドサービスは、1か月程度の試用期間を明示的に提供します。 これらの「テストドライブ」を活用してください。

覚えておいてください：あなたにとって本当に重要なことをより明確に理解するほど、それを受け取る可能性が高くなります。 要約すると、モバイルセキュリティー、消費者グレードのファイル共有とバックアップから、会計、在庫、エンタープライズリソースプランニング（ERP）などの基幹業務（LOB）機能まで、クラウドプロバイダーにすべてを求めることができます。 自分の優先順位がどうあるべきかを最もよく知っています。 提供されているものだけをとるのではありません。 あなたのビジネスの利益を考えてください。

データを知る

現代の企業は、データに特別な注意が必要であることを認識しています。 大部分、ビジネスの他の部分を置き換えたり、外部委託したりできます。 しかし、顧客、従業員、プロセス、およびプロパティに関する重要なデータは、企業のユニークな価値を形成します。

したがって、移行計画には、明確で具体的な用語で、自分が何をするのか、クラウドでどのように行うのかだけでなく、企業情報の重要な部分をどのように安全に保つかを含める必要があります 電子メールはクラウドに移行するための一般的な負荷です。 電子メールには多くの場合、独自の情報が豊富に含まれていますが、それは成熟したテクノロジーでもあり、クラウドがうまく機能します。 複数の独立したアナリストは、クラウドでのメールのホスティングは、社内でのメールサービスの管理よりも一般的に安全であると結論付けています。 ただし、特別な電子メール要件（特定の管轄区域での保管に関する法的制限など）がある場合は、これを考慮して計画を調整する必要があります。

顧客との取引や産業プロセスを具体化するカスタマイズされたプログラムは、逆のプロファイルを提示します。 独自のサービスを提供するクラウドベンダーは存在しません。 一方、最も珍しく、独自の、プライベートなソフトウェアでさえ、クラウドからレンタルされた仮想マシン（VM）で実行できます。 組織内にデー​​タストレージを保持することはできますが、データを操作するにはクラウドに依存します。 これにより、購入サーバーの資本支出（CAPEX）が調整可能な運用支出（OPEX）に変わります。

欲しいものを尋ねる

コンピューターの操作は大部分が日常的ですが、それらを取り巻くビジネスモデルはまだ完全には完成していません。 クラウドの一部は完全に標準化されています。 たとえば、毎日、数千人がGoogle、Microsoft、Yahooなどから新しい無料のメールアカウントを受け取ります。 人間は介入しません。

ただし、より専門的なクラウドサービスは通常、サポートスタッフによって支援されます。 質問をすることができますし、すべきです。 特定のクラウドサービスが、会計システムに一致する形式のレポートを提供しないことを除き、適切に見える場合は、プロバイダーに提示します。 多くの場合、彼らは自分の公開ページに表示されない配置を行うことができます。

大部分、クラウドの質問は「採用すべきか？」ではありません。 従業員は、気づいているかどうかにかかわらず、すでにクラウドサービスを使用しています。 より適切なクラウドの質問は、「どのベンダーが最適か？」です。 健康保険の携行性と責任に関する法律（HIPAA）またはSarbanes-Oxley法（SOX）に準拠するために業務を監査する必要がある場合は、そう言います。 不正侵入のログを読むことで安心できる場合は、尋ねてください。 ほとんどのプロバイダーは、優れた顧客が長期的な関係を形成し、合理的な要求に協力することを理解しています。 クラウド依存の大きな利点の1つは、世界クラスの専門家があなたのために働くことができることです。 これを最大限に活用してください。

優勝チャンピオンを割り当てる

クラウドでの会社の成功の責任を有資格者に割り当てます。 理想的な候補者は、いくつかの特定の品質を示す必要があります。

1.社内の高い地位。

2.クラウドがもたらす機会について熱狂的。

3.セキュリティ上の懸念に敏感。

4.プロジェクト管理および運用の能力。

5.野心的（良い意味で）。

すべての資格を満たす候補者を見つけることはまずありませんが、これらの属性のうち少なくとも2つまたは3つを持つチャンピオンを特定することは価値があります。 チャンピオンは、認定クラウドセキュリティの専門家である必要はなく、フルタイムのIT責任を負う必要さえありません。 熱意と勤勉さがより重要な資質です。

組織が十分に小さい場合、クラウドチャンピオンは、財務部門または購買部門から来ている可能性があります。コンサルタントは、計画をレビューして結果を監査するコンサルタントを連れてきます。 ビジネス用語で成果を明確に表現できるコンサルタントを探します。 これらは、手間のかかったファッショナブルなテクノロジーだけでなく、軽減したワークロードと処理時間を定量化できるものです。

連絡を取り合う

あなたの会社に献身的な人はあなたのプロバイダーと連絡を取り合うべきです。 定期的に電話をかけ、プロバイダーのブログやプレスリリースを読んで、新しいサービスについて尋ねてください。 おそらく、詰め替え石鹸で特売品を探すポイントを持っているか、銀行のどのレジ係が預金の認識を促進できるかを知っている従業員がいるでしょう。 重要な会社のデータセキュリティは、少なくとも細部にまで注意を払うに値します。

圧倒的な負担になる必要はありません。 週に1時間でも、プロバイダーの運営方法とその意味についての洞察を劇的に改善できます。 多くの場合、プロバイダーは、新しいセキュリティの脅威、それらを軽減する方法、クラウドをより適切に使用する方法（場合によっては低コスト！）、今後1年間に発生する可能性のある変更などに関するトレーニングを提案できます。 戦略的パートナーになるべきものを最大限に活用します。

信頼するが検証する

プロバイダーにある程度依存する必要がありますが、過度に脆弱なままにしないでください。 プロバイダーの損失を予測するDR計画を作成します。 詳細は、クラウドが提供するものによって異なります。 DRは、ロックボックスからバックアップZIPドライブを引き出すことから、完全に装備されたDRaaSインストールへのホットスイッチオーバーまで、あらゆることを意味する場合があります。 優れたプロバイダーは、少なくとも計画の一部を支援できますが、バックアップとDRは独立したコンサルタントがレビューする必要があります。

DR計画には逆の要素を含める必要がありますか？ 意味は、クラウドが完全に利用できなくなったり、インターネットがばらばらになっても継続し続ける方法ですか？ この質問は、簡単な答えを出すために哲学に行き渡っていますが、企業ができることは、極端な出来事と計画内のさまざまな対策に関連するコストを明示的に考慮することです。 あなたの会社は、インターネットに頼らずに安価なDR計画を立て、保護する価値があると判断するかもしれません。 ほとんどの組織は、比較的原始的なDR計画を立て、日常業務の優先順位を決定します。 ただし、少なくともDR演習を開始することは、教育的でやりがいのある経験です。

リアルに保つ

現実的なクラウドセキュリティの期待がある場合、あなたは成功のために最高の立場にいます。 はい。地元のビッグボックスストアで、驚異的な低価格でテラバイトのストレージを購入できます。 クラウドサービスの毎月のサブスクリプションを支払う場合、ディスクの価値だけでなく、自動的にバックアップされ、換気され、インターネットバックボーンへの高速接続で実行され、セキュリティ上の危険がないかをスクラブして監視されていることを忘れないでください。 ハードウェアは、ほぼすべてのクラウド製品の費用のわずかを占めています。

クラウドに移行した後でも、コンピューターの最大の脅威である窃盗やその他の従業員の犯罪は社内に残ります。 プロバイダーは運用の監視を支援できますが、最終的には、自社の企業文化がクラウドを介した旅行の運命の大部分を決定します。 次の8つの手順を実行すると、クラウドの移行が成功します。

1.勝つためにプレイし、高い目標を定め、セキュリティの向上、コストの削減、応答性の向上を期待します。

2.独自の要件を理解し、それらを書面に記載します。

3.特定のデータセキュリティプロファイルを理解します。

4.賢明に交渉し、必要なものを尋ねます。

5.勝つクラウドチャンピオンを割り当てます。

6.連絡を取り合う。

7.信頼するが、プロバイダーの損失を防ぐために検証する。

8.真実を保ち、期待を調整します。