National Australia Bank продолжает совершенствовать свои методы корпоративной безопасности, чтобы справиться со своим облачным прогнозом, недавно создав инструмент, который может определить пробел в безопасности и развернуть новый элемент управления, чтобы исправить его за 45 секунд.
Архитектор безопасности Иван Секулич рассказал AWS re:Invent 2018 в Лас-Вегасе, что команда облачной безопасности банка недавно объединила усилия с AWS Professional Services “для создания непрерывного комплаенс-решения в рамках NAB”.
“Это решение позволяет нам систематически и непрерывно проверять соответствие требованиям безопасности каждой рабочей нагрузки AWS”, — сказал Секулич.
“Это позволяет кому-то вроде меня определить риск или пробел в решении, сформулировать контроль безопасности, построить его в виде кода и доставить очень быстро.
“Это дает нам представление о соблюдении требований безопасности в реальном времени по всему предприятию и позволяет нашим командам разработчиков работать так быстро, как они хотят, не будучи вынужденными использовать дополнительные плоскости управления или API-брокеров.”
По словам Секулича, это решение, которое использует собственные сервисы AWS, позволяет “обновлять систему безопасности всего предприятия одним нажатием кнопки” и позволяет банку “сократить время развертывания системы контроля безопасности предприятия с 19 дней до 45 секунд, что составляет разницу в 35 000 раз.”
Он привел это решение в качестве примера растущего потенциала NAB в области ИТ-безопасности, поскольку банк быстро наращивал свои облачные амбиции в течение всего 2018 года.
Ранее в этом году NAB объявила, что она претерпит новую эволюцию своей системы контроля безопасности и подхода к облачной безопасности — и теперь банк раскрыл результаты этого процесса.
Секулич сказал, что капитальный ремонт необходим, потому что больше разработчиков, чем когда-либо прежде, создают приложения на облачных сервисах.
Подпитывает это облачная гильдия NAB, учебная программа, которая охватила 3000 разработчиков NAB (и около 400 из них сертифицированы AWS).
“В NAB на порядок больше разработчиков AWS приходят в результате внутренних обучающих программ, таких как NAB cloud guild”, — сказал Секулич.
“Таким образом, в результате этого в облаке создается на порядок больше приложений.
“Без изменения нашего подхода не было никакого способа масштабировать практику безопасности для удовлетворения такого рода требований.”
Секулич сказал, что NAB “вложила значительные средства в автоматизацию и децентрализацию”, чтобы удовлетворить требования к масштабированию.
“Наша цель-автоматизировать все, что мы можем. Мы заменили все централизованные модели на децентрализованные, и мы поняли ценность автоматизации как нашего мультипликатора силы”, — сказал он.
“Команда архитектуры безопасности, частью которой я являюсь … пришлось усвоить, что наши требования безопасности, которые мы предоставляем, должны быть сформулированы достаточно хорошо, чтобы их можно было выразить в виде кода, что позволило нашим командам разработчиков встроить его в свои приложения, а нашим руководящим командам-проверить его.”
Секулич сказал, что новая стратегия облачной безопасности NAB “щедро украла” у AWS cloud adoption framework (CAF) и AWS well-architected framework.
“Исходя из этого, мы разработали некоторые из наших собственных ключевых направлений деятельности”, — сказал он.
Секулич перечислил несколько областей, на которых команды безопасности NAB сосредоточились при пересмотре своих возможностей облачной безопасности.
“Наша первая ключевая область внимания заключалась в том, что мы знали, что нам нужно расширить наши существующие службы безопасности до облака. Все наши команды безопасности должны были установить свою собственную компетентность в AWS”, — сказал он.
“Это позволило нашим командам безопасности присутствовать там, когда наши технологические команды создавали и разрабатывали приложения, и позволило нам создать собственные возможности безопасности для использования облака для защиты облака.”
Организация безопасности также хотела быть “безопасной по умолчанию и обеспечивать безопасность на каждом уровне”. Большая часть этой структуры была раскрыта НАБ в начале этого года.
В-третьих, NAB security хотела улучшить свое внимание к непрерывному управлению безопасностью, что в конечном итоге привело к разработке нового решения для непрерывного соблюдения требований.
“Для нас это означало создание панелей мониторинга самообслуживания и предоставление отчетности и видимости текущего состояния средств контроля безопасности нашим командам разработчиков, чтобы дать им полное понимание того, что у них есть, и позволить им взять на себя ответственность за безопасность”,-сказал он.
“Это должно было быть непрерывное управление, всегда обновляемое в реальном времени.”
