ใครเป็นเจ้าของ NHIs บนคลาวด์ของคุณ? ทำไมมันจึงสำคัญมากกว่าที่คุณคิด

สำหรับพนักงานทุกคนในสภาพแวดล้อมคลาวด์ของคุณ มีตัวตนที่ไม่ใช่มนุษย์อยู่มากมาย – พนักงานที่เงียบงันอยู่เบื้องหลัง บัญชีบริการ สคริปต์อัตโนมัติ และโทเค็น API อาจ มีจำนวนมากกว่าอัตลักษณ์ของมนุษย์มากกว่า 50:1. เหล่านี้ ตัวตนที่ไม่ใช่มนุษย์ (NHIs) เคลื่อนย้ายข้อมูล กระตุ้นเวิร์กโฟลว์ ปรับใช้โค้ด และขับเคลื่อนการดำเนินงานที่สำคัญ แม้ว่าพวกเขาจะสามารถเข้าถึงทรัพยากรที่สำคัญของคุณได้ แต่องค์กรส่วนใหญ่ก็ไม่สามารถตอบคำถามง่ายๆ ที่ว่า: ใครเป็นเจ้าของพวกมัน? 

หากปราศจากความเป็นเจ้าของที่ชัดเจน ก็จะไม่มีความรับผิดชอบ ไม่มีใครคอยตรวจสอบสิทธิ์ ตรวจสอบการใช้งาน หรือปิดการเข้าถึงเมื่อไม่จำเป็นอีกต่อไป และนั่นทำให้เกิดสถานการณ์ที่เหมาะเจาะสำหรับผู้โจมตี  

นั่นไม่ใช่แค่ช่องว่างในการกำกับดูแลเท่านั้น แต่มันเป็นภาระด้านความปลอดภัยอีกด้วย 

เหตุใดการเป็นเจ้าของ NHI บนคลาวด์จึงมีความสำคัญ? 

เมื่ออัตลักษณ์ได้รับการเป็นเจ้าของอย่างถูกต้อง ไม่ใช่แค่การตั้งชื่อให้เท่านั้น แต่หมายถึงการมีกระบวนการแบบครบวงจรสำหรับการตรวจสอบสิทธิ์ ติดตามการใช้งาน และตัดสินใจเกี่ยวกับวงจรชีวิตของอัตลักษณ์อย่างรอบด้าน ความเป็นเจ้าของช่วยให้สามารถมองเห็นได้ กำกับดูแล และมีแนวทางเชิงรุกในการติดตามความเสี่ยงด้านความปลอดภัย 

หากไม่มีสิ่งนี้ หากมีการกำหนดค่าข้อมูลประจำตัวไม่ถูกต้อง ได้รับอนุญาตมากเกินไป หรือถูกบุกรุก และไม่มีใครเฝ้าดู ก็จะกลายเป็นเป้าหมายที่ง่ายสำหรับผู้โจมตี 

หากไม่มีเจ้าของที่ชัดเจนก็จะมี: 

• ไม่มีการรับผิดชอบต่อการใช้งาน
  หากมีบางอย่างผิดพลาดหรือถูกใช้ประโยชน์ จะไม่มีบุคคลหรือทีมงานที่ชัดเจนที่รับผิดชอบในการสืบสวนหรือแก้ไข 

• ไม่มีใครตรวจสอบว่าจำเป็นต้องมีการเข้าถึงระดับนั้นหรือไม่
  บ่อยครั้งที่การอนุญาตไม่ได้รับการตรวจสอบ ทำให้ NHI มีสิทธิ์เข้าถึงมากกว่าที่จำเป็น บางครั้งถึงขั้นมีสิทธิ์ของผู้ดูแลระบบด้วยซ้ำ 

• ไม่มีใครเพิกถอนได้เมื่อไม่จำเป็นอีกต่อไป
  สถาบันสุขภาพแห่งชาติมักดำเนินชีวิตไปไกลเกินกว่าระบบหรือโครงการที่ถูกสร้างขึ้นโดยตั้งใจ เพื่อคงระดับการเข้าถึงแบบเดียวกันอย่างเงียบๆ หลังจากที่สิ่งที่เกี่ยวข้องเกิดขึ้น 

เมื่อไม่มีใครรับผิดชอบต่ออัตลักษณ์ใด ๆ เลย อัตลักษณ์นั้นก็กลายเป็นช่องทางที่ง่ายต่อการถูกประนีประนอม อัตลักษณ์นั้นยังคงทำงานอยู่ มีสิทธิพิเศษ แต่ไร้การตรวจสอบโดยสิ้นเชิง อัตลักษณ์เหล่านี้พัฒนาไปสู่ระบบประกันสุขภาพแห่งชาติ (NHI) ที่ไร้เจ้าของ ถูกลืมเลือนโดยองค์กรต่าง ๆ แต่ผู้โจมตีกลับมองเห็นได้ 

ความเสี่ยงของระบบประกันสุขภาพแห่งชาติแบบคลาวด์ “กำพร้า” 

ข้อมูลส่วนบุคคลที่ไม่มีเจ้าของ (NHI) คือข้อมูลส่วนบุคคลที่ไม่มีเจ้าของที่ชัดเจนอีกต่อไป โดยไม่มีใครได้รับมอบหมายให้จัดการ ตรวจสอบ หรือเพิกถอน ข้อมูลส่วนบุคคลเหล่านี้มักจะยังคงอยู่ในระบบคลาวด์นานแม้กรณีการใช้งานเดิมจะสิ้นสุดลงแล้ว โดยยังคงมีสิทธิ์การเข้าถึงในระดับเดียวกับที่ถูกสร้างขึ้นมา  

สิ่งที่ทำให้พวกเขาอันตรายเป็นพิเศษคือ พวกเขาถูกมองข้ามได้ง่ายมากไม่มีการผูกมัดกับบุคคลหรือทีม ไม่ค่อยปรากฏในการตรวจสอบการเข้าถึง และมักจะตกอยู่นอกขอบเขตของการควบคุมความปลอดภัยแบบดั้งเดิม 

และผู้โจมตีรู้ว่าต้องมองหาอะไร เครื่องมือและสคริปต์ที่ใช้ใน CI/CD pipeline หรือสภาพแวดล้อม DevOps มักทำงานภายใต้สิทธิ์การเข้าถึงที่กว้างและมีการกำกับดูแลน้อยมาก หากผู้โจมตีเจาะระบบใดระบบหนึ่งเข้าไป ก็อาจมอบกุญแจสำหรับจัดเก็บข้อมูลบนคลาวด์ ฐานข้อมูล หรือบริการภายในให้กับพวกเขาได้ โดยไม่ต้องแจ้งเตือนแบบเดิมๆ 

รายงานความไม่ปลอดภัยในเงามืด เปิดเผยว่าในหลายองค์กร กว่า 40% ของ NHI ไม่มีเจ้าของที่ทราบแน่ชัด ที่น่าตกใจยิ่งกว่านั้นคือ องค์กรส่วนใหญ่ไม่ได้ใช้งานหรือไม่เคยใช้งานเลย แต่ยังคงมีสิทธิ์การเข้าถึงข้อมูลอยู่ ตัวตนเหล่านี้อาจถูกลืม แต่ผู้โจมตีก็ยังสามารถเห็นได้