Misvattingen over cloudbeveiliging hebben de IT-sector gedomineerd sinds de cloud vijftien jaar geleden een praktische keuze werd voor het hosten van infrastructuur. Er bestaan veel Cloud Security Myths over de vraag of het haalbaar is om diensten in de cloud te hosten en tegelijkertijd beveiliging en naleving van regelgeving te waarborgen.
Sinds die beginjaren zijn de IT-sector en de cloud onherkenbaar veranderd, en het nut en de kracht van het cloud computing-model worden nu algemeen erkend.
Ondanks het feit dat de cloud is veranderd, blijven Cloud Security Myths circuleren, met name over cloudbeveiliging. Eerdere versies van cloudbeveiligingsmythes waren overdreven pessimistisch. Tegenwoordig zijn ze net zo vatbaar voor overdreven optimistische opvattingen over cloud compliance en beveiliging.
Wat is cloudbeveiliging?
Cloudbeveiliging is een verzameling procedures en tools om organisaties te beschermen tegen externe en interne dreigingen. Nu bedrijven digitale transformatie omarmen en cloudgebaseerde tools en diensten opnemen in hun infrastructuur, is sterke cloudbeveiliging cruciaal. Dit helpt gevoelige gegevens, applicaties en middelen te beschermen tegen potentiële gevaren en zorgt voor een veilige cloud computing-omgeving voor de bedrijfsvoering en het databeheer van de organisatie.
Beveiligingsrisico’s zijn complexer geworden door de snelle veranderingen in de digitale wereld, vooral voor cloud computing-bedrijven. Organisaties hebben vaak weinig controle over hoe hun gegevens in de cloud worden benaderd en overgedragen. Zonder actief te proberen de cloudbeveiliging te verbeteren, lopen bedrijven veel risico’s bij het verwerken van klantinformatie op het gebied van governance en compliance.
Wat zijn de Cloud Security Myths versus feiten?
Hier zijn enkele Cloud Security Myths:
Mythe 1: Meer beveiligingstools betekent betere beveiliging
Mensen hebben over het algemeen Cloud Security Myths dat meer tools de cloudbeveiliging verhogen.
Integendeel, meer beveiligingstools verhogen de beveiliging niet automatisch. Volgens het Oracle en KPMG Cloud Threat Report 2020 is volgens 70% van de ondervraagden te veel technologie nodig om publieke cloudomgevingen te beveiligen. Elk gebruikt gemiddeld meer dan 100 verschillende beveiligingscontroles. Meerdere beveiligingsleveranciers, diverse oplossingen en het blokkeren van verschillende aanvalskanalen veroorzaken hiaten. En die openingen bieden aanvallers toegangsmogelijkheden.
Te veel beveiligingsopties in combinatie met complexe cloudinfrastructuur en niet-samenwerkende oplossingen leiden tot een gebrek aan gedeelde intelligentie en een risicovol ontwerp.
Het implementeren van tools en middelen om het beheer van cloudbeveiliging te vereenvoudigen en de controle over beveiliging te vergroten is essentieel om deze hiaten te dichten.
Mythe 2: Alleen de CSP is verantwoordelijk voor beveiliging
Een van de grootste cloudbeveiligingsmythes is dat de cloudprovider volledig verantwoordelijk is voor beveiliging.
Als cloudklant beschermt de eindgebruikende organisatie nog steeds de gegevens die zij uploadt naar de dienst, volgens het bekende “shared responsibility model.” Omdat uw verantwoordelijkheden verschillen afhankelijk van de gebruikte diensten, is het cruciaal om precies te weten waar uw verplichtingen liggen bij het beveiligen van cloud-native infrastructuur.
Organisaties implementeren de meeste van de verschillende benaderingen om gegevens in de cloud te beschermen niet.
Mythe 3: Geslaagde inbreuken zijn het gevolg van complexe aanvallen
De Cloud Security Myths dat inbreuken het gevolg zijn van complexe aanvallen is onjuist. Hoewel er zeer geavanceerde aanvallers bestaan, zijn de meeste geslaagde aanvallen niet per se het gevolg van hun toenemende verfijning. Eindgebruikersfouten en verkeerde instellingen veroorzaken het overgrote deel van de aanvallen.
Mythe 4: Cloudzichtbaarheid is eenvoudig en gemakkelijk
Nog een van de cloudbeveiligingsmythes is dat zichtbaarheid in de cloud eenvoudig en gemakkelijk is. U moet volledig op de hoogte zijn van alle relevante details, zoals hoeveel accounts u heeft, of uw ontwikkelaars nieuwe functies hebben uitgebracht, of het correct is ingesteld, welke kwetsbaarheden er zijn, enzovoort.
Helaas is het bijhouden van al deze informatie veel moeilijker dan de meeste mensen denken. U kunt afwijkingen in het gedrag van middelen niet opmerken als u niet weet hoe ze zich zouden moeten gedragen. Dreigingen zijn uiterst moeilijk tijdig te herkennen en erop te reageren zonder gecentraliseerde dashboards.
Mythe 5: Naleving is gegarandeerd wanneer u cloudbeveiligingsdiensten gebruikt
Nog een van de cloudbeveiligingsmythes die we vandaag bespreken is dat naleving gegarandeerd is wanneer u een cloudbeveiligingsdienst gebruikt. Veel cloudserviceproviders prijzen de naleving van hun diensten met informatiebeveiligingswetten aan.
Zo heeft de S3-opslagdienst van Amazon certificering ontvangen voor naleving van SOC, PCI DSS, HIPAA en andere wettelijke vereisten. Maar wat betekent dat? Het betekent niet dat een op S3 gebaseerd gegevensopslagsysteem automatisch aan die normen voldoet. S3 kan worden gebruikt als onderdeel van een PCI-conform systeem dankzij de PCI-naleving, maar daarvoor is een juiste configuratie vereist. Elk systeem dat op S3 is gebouwd, kan door een eenvoudige configuratiefout niet-conform worden, en het is de verantwoordelijkheid van de gebruiker om ervoor te zorgen dat dit niet gebeurt.
Het goede nieuws is dat als u de cloudbeveiligingstool van SentinelOne gebruikt, deze u kan helpen compliant te zijn.
Mythe 6: Een cloudbeveiligingsaudit is niet nodig voor u.
CSPM en kwetsbaarheidsbeheer of scanmogelijkheden zijn in de praktijk een soort cloudbeveiligingsaudit. Maar ze zijn niet voldoende en missen andere gebieden. Voor een breder perspectief moet u de beste cloudbeveiligingspraktijken implementeren. Toonaangevende cloudbeveiligingstools en -platforms kunnen de mogelijkheid bieden om grondige audits effectief uit te voeren. U moet beveiligingsaudits als geheel bekijken en niet alleen kwetsbaarheidsbeheer of compliance overwegen. Er zijn verschillende gebieden of elementen die cloudbeveiligingstools en -technologieën aanpakken. Voor het beste resultaat is het dus belangrijk om topbeveiligingsoplossingen te combineren met de beste beveiligingsmaatregelen en -praktijken.
Mythe 7: Serverless functies en containers zijn inherent veiliger
Cloud Security Myths dat serverless functies en containers fundamenteel veiliger zijn, zijn onjuist. Het vluchtige karakter van containers, serverless functies en hun neiging tot korte levensduur verhogen de beveiliging. Aanvallers vinden het moeilijk om een blijvende aanwezigheid in uw systeem te vestigen.
Hoewel deze stelling in wezen klopt, bieden event-based triggers uit veel bronnen aanvallers toegang tot meer doelwitten en aanvalsmogelijkheden. Deze cloud-native technologieën kunnen de beveiliging verhogen wanneer ze correct zijn geconfigureerd, maar alleen als dit goed gebeurt.
Mythe 8: De cloud is over het algemeen veiliger
Deze in Cloud Security Myths is meer een feitje—een combinatie van enige waarheid en enige fictie.
In het algemeen zijn cloudproviders betrouwbaarder in operaties zoals het patchen van servers. Het aan hen overlaten is logisch, en cloudserviceproviders genieten terecht een hoog vertrouwen.
Het beveiligen van alles over meerdere clouds omvat echter een aantal stappen, waaronder identiteitsbeheer, toegangsbeveiliging en regelmatige audits. Door de toenemende verspreiding van workloads over meerdere publieke en private clouds ontbreekt het aan end-to-end context voor risico. De beveiligingslekken die onvermijdelijk zijn bij inconsistente oplossingen verergeren deze problemen alleen maar.
Mythe 9: Criminelen vermijden het aanvallen van de cloud
Cybercriminelen richten zich op de cloud omdat:
- Het een nieuwe technologie is, dus er bestaan beveiligingslekken. De cloud is niet standaard of per ontwerp veilig.
- Cloudinfrastructuren kunnen steeds complexer worden. Organisaties schalen op en af. Ze kunnen nieuwe of bestaande clouddiensten huren of verwijderen. Het onderling verbonden karakter van de cloud in combinatie met de omvang van de organisatie maakt het extra kwetsbaar.
- Aanvallers geven niet per se om oppervlakken. Ze geven om hun missie. Ze proberen de middelen van een klant te misbruiken, toegang te krijgen tot gevoelige gegevens en hen indirect (of direct) te manipuleren om vertrouwelijke informatie prijs te geven. En in het jaar 2025 zal dit waarschijnlijk steeds vaker voorkomen, of het nu op publieke of private clouds is.
Mythe 10: Bedrijven verlaten de publieke cloud
De cloudbeveiligingsmythes dat workloads terugkeren uit de cloud zijn vooral afkomstig van legacy-leveranciers die er financieel baat bij hebben als dit waar zou zijn. De meeste bedrijven hebben workloads niet teruggezet uit de cloud, in werkelijkheid. De meeste teruggekeerde workloads komen uit SaaS, colocatie en outsourcers in plaats van uit cloudinfrastructuur (IaaS).
Dit betekent niet dat alle cloudmigraties succesvol zijn. In plaats van hun cloudstrategie te verlaten en applicaties terug te verplaatsen naar hun oorspronkelijke locatie, lossen bedrijven problemen liever op zodra ze zich voordoen.
CNAPP Koopgids
Leer alles wat u moet weten over het vinden van het juiste Cloud-Native Application Protection Platform voor uw organisatie.
LeesgidsMythe 11: Om goed te zijn, moet je een cloud zijn.
Cloud-washing, of het verwijzen naar dingen die geen cloud zijn als cloud, kan onbedoeld zijn en het gevolg van geldige verwarring. Maar om geld op te halen, de verkoop te verhogen en te voldoen aan vaag gedefinieerde cloudverwachtingen en -doelstellingen, verwijzen IT-bedrijven en leveranciers naar een breed scala aan producten als “cloud.” Dit leidt tot cloudbeveiligingsmythes dat een IT-dienst of product in de cloud moet zijn om effectief te zijn.
Noem dingen zoals ze zijn in plaats van te vertrouwen op cloud-washing. Virtualisatie en automatisering zijn slechts twee voorbeelden van de vele andere mogelijkheden die zelfstandig kunnen functioneren.
Mythe 12: Alles moet in de cloud worden gedaan
De cloud is een uitstekende keuze in sommige use cases, zoals zeer variabele of onvoorspelbare workloads of situaties waarin selfservice-provisioning cruciaal is. Niet alle workloads en applicaties zijn echter geschikt voor de cloud. Het verplaatsen van een legacy-applicatie is bijvoorbeeld meestal geen goed use case, tenzij er aantoonbare kostenvoordelen kunnen worden gerealiseerd.
Niet alle workloads profiteren in gelijke mate van de cloud. Wees niet bang om, waar passend, niet-cloudalternatieven voor te stellen.
Mythe 13: Cloudinbreuken beginnen altijd met cloudkwetsbaarheden
Het is een veelvoorkomende misvatting dat cloudinbreuken altijd beginnen met cloudkwetsbaarheden. In werkelijkheid beginnen de meeste grote inbreuken niet in de cloud zelf. Aanvallen beginnen vaak met een gecompromitteerd endpoint, een gestolen identiteit of een blootgesteld geheim—ongeacht waar de middelen worden gehost. Spraakmakende incidenten blijven de krantenkoppen halen, niet vanwege inherente gebreken in cloudinfrastructuur, maar doordat aanvallers hiaten in digitale beveiliging in hybride omgevingen, endpoints en identiteiten uitbuiten. Traditionele beveiligingstools kunnen deze dreigingen missen, waardoor zelfs kleine zwakke plekken toegangspunten voor kwaadwillenden worden. Effectieve cloudbeveiliging moet niet alleen cloudworkloads beschermen, maar de gehele omgeving. Ze stoppen aanvallen waar ze ook beginnen en bieden uniforme, geautomatiseerde verdediging die zich aanpast aan dreigingen waar ze ook opduiken.
Mythe 14: In vergelijking met on-premises infrastructuur is de cloud minder veilig
Deze cloudbeveiligingsmythes zijn vooral een perceptiekwestie omdat er zeer weinig beveiligingsinbreuken zijn geweest in de publieke cloud – de meeste inbreuken blijven on-premises omgevingen betreffen.
Elk IT-systeem is slechts zo veilig als de maatregelen die zijn genomen om het veilig te houden. Omdat het hun kernactiviteit betreft, kunnen cloudservicebedrijven gemakkelijker investeren in robuuste beveiliging en een betere infrastructuur bouwen.
Mythe 15: Multi-tenant (publieke) clouds zijn minder veilig dan single-tenant (private) clouds
Deze mythe in cloudbeveiligingsmythes klinkt logisch: omgevingen die door één toegewijde tenantorganisatie worden gebruikt, zijn veiliger dan omgevingen die door meerdere organisaties worden gebruikt.
Dit is echter niet altijd het geval. Multi-tenant systemen “bieden een extra laag contentbescherming… zoals huurders in een appartementencomplex die één sleutel gebruiken om het gebouw binnen te komen en een andere om hun individuele appartement te betreden, vereisen multi-tenant systemen uniek zowel perimeter- als ‘appartementniveau’-beveiliging,” zoals vermeld in een CIO-artikel over mythes rond cloudbeveiliging. Dit maakt het voor externe aanvallers moeilijker om toegang te krijgen tot uw systeem.
Waarom SentinelOne voor cloudbeveiliging?
Het huidige cloudlandschap vereist een uniforme, AI-gedreven benadering van beveiliging, en SentinelOne’s Singularity™ Cloud Security voldoet aan deze uitdaging met zijn AI-aangedreven, agentloze CNAPP. Het is één platform dat diepgaand inzicht biedt in uw volledige omgeving—containers, Kubernetes, VM’s en serverless workloads—waardoor securityteams bedreigingen in realtime kunnen detecteren en neutraliseren. Met agentloze CSPM kunt u binnen enkele minuten implementeren, misconfiguraties elimineren en multi-cloud compliance waarborgen, terwijl AI-SPM u in staat stelt AI-pijplijnen en -modellen te ontdekken en AI-diensten te beoordelen met geavanceerde configuratiecontroles en Verified Exploit Paths™. Maar dat is nog maar het begin.
- CWPP biedt actieve AI-gedreven verdediging in elke cloud- of on-premises omgeving, terwijl CDR gedetailleerde forensische telemetrie en aanpasbare detectie levert voor snelle containment en deskundige incident response service. CIEM stelt u in staat om rechten te beperken en het lekken van secrets te voorkomen, EASM ontdekt onbekende assets en automatiseert extern attack surface management, en Graph Explorer correleert visueel meldingen over uw cloud-, endpoint- en identity-assets om de impact van dreigingen in één oogopslag te beoordelen. Door naadloos te integreren met CI/CD-pijplijnen, handhaaft SentinelOne shift-left-beveiliging vanaf het begin. Het monitort en detecteert continu dreigingen met meer dan 1.000+ kant-en-klare en aangepaste regels. KSPM zorgt voor continue bescherming en compliance voor container- en Kubernetes-omgevingen.
- SentinelOne gebruikt no-code hyperautomatisering, wordt geleverd met een AI-beveiligingsanalist en biedt wereldklasse threat intelligence.
- Eén platform. Alle oppervlakken. Geen blinde vlekken. Nul false positives.
AI-gestuurde cloud workload-bescherming (CWPP) voor servers, VM's en containers, die runtime-bedreigingen in realtime detecteert en stopt.
Conclusie
Leidinggevenden die verantwoordelijk zijn voor cloud computing-beveiliging moeten de veelvoorkomende misvattingen rond cloudbeveiliging begrijpen. Degenen die feiten van Cloud Security Myths kunnen onderscheiden, halen aanzienlijk meer voordeel uit cloud computing en kunnen het veilig en duurzaam inzetten om hun bedrijf vooruit te helpen en hun klanten te ondersteunen.
Bedrijven die cloudtechnologieën adopteren, moeten de juiste beveiligingsoplossing bouwen om zich te verdedigen tegen cloudgebaseerde risico’s en het totale cloudoppervlak, gegevens en assets te beschermen.
Veelgestelde vragen over cloudbeveiligingsmythes
Nee. Cloudplatforms investeren veel in het beveiligen van infrastructuur—fysieke datacenters, hypervisors en netwerken. Hun teams patchen systemen 24/7. Veel publieke clouds voldoen zelfs aan hoge assurance-standaarden zoals ISO 27001 en SOC 2. De sleutel is hoe u die diensten configureert en gebruikt; misconfiguraties, niet de cloud zelf, veroorzaken de meeste datalekken.
Helemaal niet. Volgens het shared-responsibility model beveiligen providers de onderliggende infrastructuur, terwijl u data, identiteit en configuratie beheert. U kiest encryptiesleutels, toegangsbeleid en netwerkcontroles. Bij correcte inrichting behoudt u volledige controle over wie uw data kan inzien of wijzigen, zelfs als deze buiten het eigen netwerk staat.
Nee. Providers beveiligen de “of the cloud”-componenten—hardware, host-OS en virtualisatielagen. U bent verantwoordelijk voor “in the cloud”: uw workloads, data, gebruikersrechten en netwerkconfiguraties. Het negeren van uw deel van het model laat gaten achter die aanvallers kunnen misbruiken, dus u moet nog steeds beveiligingsmaatregelen en continue monitoring toepassen.
Wachtwoorden helpen, maar zijn slechts één laag. Multi-factor authenticatie is essentieel om diefstal van inloggegevens te voorkomen. U heeft ook rolgebaseerde toegangscontrole, just-in-time rechten en sessiemonitoring nodig om gecompromitteerde accounts te beschermen. Continue zichtbaarheid op inlogpatronen en anomaliedetectie maken de verdediging compleet.
Nee. Compliance-raamwerken geven verplichte controles en audits aan, maar het behalen van compliance betekent niet dat u beschermd bent tegen nieuwe dreigingen. U heeft nog steeds realtime monitoring, kwetsbaarheidsbeheer en incidentrespons nodig. Compliance is een basis; beveiliging is een continu proces dat zich aanpast aan veranderende aanvalstechnieken.
Logs en meldingen zijn cruciaal, maar ze zijn van nature reactief. U heeft proactieve maatregelen nodig—configuratieverharding, geautomatiseerde scans op misconfiguraties en continue posture management—om incidenten te voorkomen. Meldingen moeten gekoppeld zijn aan XDR- of SOAR-playbooks die dreigingen indammen en isoleren voordat ze escaleren.
Cloud-native beveiligingstools hanteren vaak pay-as-you-go-tarieven, waardoor ze betaalbaar zijn voor mkb’s. U vermijdt hoge initiële kosten voor hardware of software. Veel providers bieden ingebouwde beveiligingsfuncties—zoals IAM, encryptie en basisdreigingsdetectie—zonder extra kosten. Door deze te benutten en gericht uit te breiden, blijven de kosten beheersbaar.
Shift-left security is net zo relevant in de cloud. Door beveiligingscontroles in infrastructure-as-code-templates en CI/CD-pijplijnen te integreren, ontdekt u misconfiguraties voordat resources worden uitgerold. Zo voorkomt u dure hotfixes in productieomgevingen en zorgt u dat nieuwe diensten vanaf dag één veilig worden gelanceerd.
