Mengapa Attestation Hanyalah Satu Bagian dari Program Keamanan Cloud Anda
Steven Murray
5 Jul 2017
1 min read
Intisari Utama
Attestations alone don’t guarantee security. They confirm that certain standards are met, but not that controls are functioning or monitored properly.
Operational readiness matters more than certification. A company can pass an audit while its security tools—like IDS/IPS systems—are nonfunctional.
Auditors often verify existence, not performance. Many attestations assess whether systems exist, not whether they are configured correctly or actively maintained.
A strong cloud security program blends compliance with continuous monitoring. Attestations provide a compliance baseline, but ongoing testing and evaluation ensure true protection.
Third-party penetration tests reveal real vulnerabilities. They offer deeper insights than surveys or checklists, validating that security measures work under real-world conditions.
Vendor evaluations should consider data access and risk exposure. Partners handling sensitive information deserve stricter scrutiny and regular review.
Effective security requires transparency. Mature organizations willingly share policies, incident response frameworks, and vulnerability management procedures.
Q&A Highlights
Why aren’t attestations a reliable measure of security maturity?
Because they only prove that required controls exist, not that they work. True security maturity involves ongoing validation, monitoring, and responsiveness to threats.
What’s a common failure in relying solely on compliance checks?
Organizations may deploy tools just to “check the box.” For example, an IDS may be installed but not actually configured to detect or alert on threats.
What should you review beyond attestations when evaluating a vendor?
Always examine the full findings report (not just the summary), ask about annual penetration testing, and request access to core security documentation.
How can third-party testing improve a security program?
Penetration tests simulate real-world attacks, revealing weaknesses that compliance audits overlook, ensuring that defenses function as intended.
What defines a mature cloud security program?
A balanced approach combining attestations, continuous monitoring, data protection strategies, incident response readiness, and proactive vulnerability management.
How should you assess vendors’ security postures?
Evaluate based on the sensitivity of data they access—vendors handling customer data should meet higher security standards and undergo regular reviews.
Orang sering bertanya kepada saya apa yang membuat program keamanan yang baik. Sebanyak saya ingin menunjuk ke satu aspek dari batas keamanan saya untuk digunakan sebagai contoh, ada beberapa hal yang perlu disoroti.
Attestasi Tidak Selalu Mengukur Postur Pertahanan Anda
Sebuah attestation, by definition, adalah sebuah indikasi yang membuat sesuatu menjadi jelas. Dalam kasus keamanan, khususnya program keamanan, ini berarti untuk mengesahkan secara resmi.
Orang sering bertanya kepada saya apa yang membuat program keamanan yang baik. Meskipun saya ingin menunjuk satu aspek dari perimeter keamanan saya sebagai contoh, ada beberapa hal yang perlu disoroti. Industri mengandalkan attestation dan sertifikasi untuk mengukur pertahanan keamanan Anda. Insinyur dan operator akan memberi tahu Anda bahwa perimeter keamanan aktual dan kemampuan penilaian ancaman Anda mendefinisikan program keamanan Anda. Saya akan memberitahu Anda bahwa ini adalah kedua attestation kepatuhan sebagai ukuran dan kemampuan operasional tim keamanan Anda yang mendefinisikan program Anda. Meskipun attestation saja bukanlah tolok ukur yang akurat untuk mengukur sebuah program.
Attestation adalah kebutuhan industri untuk memastikan kepatuhan dengan undang-undang federal, lokal, dan negara bagian serta praktik terbaik industri. Standar ISO, NIST, atau DoD membentuk dasar dari sebagian besar attestation. NIST, misalnya, menerbitkan seperangkat standar dan panduan teknis untuk membantu organisasi membangun pertahanan perimeter yang dianggap "dapat diterima" oleh pemerintah. Namun, seperti yang akan saya jelaskan, hanya karena standar ditetapkan tidak berarti implementasi selalu hebat.
Penerapan sebuah Alat Tidak Berarti itu Memberikan Nilai
Evaluasi Program Keamanan Cloud Secara Keseluruhan
Pertama, Anda harus meninjau minimal atestasi dan laporan temuan, bukan ringkasan eksekutif. Itu akan memberi Anda gambaran umum tentang program yang ditinjau oleh pihak ketiga. Selain itu, program keamanan yang komprehensif harus mencakup strategi perlindungan data yang kuat seperti prosedur cadangan dan pemulihan database untuk memastikan kelangsungan bisnis dan integritas data selama insiden keamanan. Kedua, Anda pasti harus meninjau apakah perusahaan menjalani tes penetrasi pihak ketiga atau program bug bounty. Secara pribadi, saya bukan penggemar bug bounty, tetapi saya adalah penggemar uji penetrasi pihak ketiga setiap tahun. Pentesting memberi Anda uji terstruktur dari pertahanan Anda dan umpan balik nyata tentang kerentanan. Akhirnya, tinjau dokumen keamanan (biasanya daftar isi) yang digunakan perusahaan sebagai dasar untuk implementasi. Ini termasuk (tetapi tentu saja tidak terbatas pada) kebijakan keamanan, tanggapan terhadap insiden, dan manajemen kerentanan. Tim keamanan yang berpengalaman akan menawarkan untuk berbagi dokumen dan artefak tersebut sebagai bagian dari bisnis normal.
Saya menjadikannya kebiasaan untuk mengevaluasi setiap vendor dan mitra dari perspektif akses ke data perusahaan. Artinya, jika mitra atau vendor mengelola data perusahaan, mereka mendapatkan pengawasan lebih ketat daripada vendor yang tidak. Ingat tujuan bisnis saat mengevaluasi program keamanan. Saya meninjau tujuan bisnis dan jenis informasi yang terlibat, kemudian mengevaluasi dari perspektif itu, daripada menangani semua mitra dan vendor sama. Saat ragu, selalu minta informasi lebih lanjut.
