Законопроектът Common-Sense Cloud Security Act предвижда актуализирани стандарти за облачна сигурност, доброволна сертификация на доставчиците и по-строг контрол върху интеграциите с външен софтуер. Сред основните акценти са наблюдението на вътрешния мрежов трафик, защитата на цифровите идентичности и използването на ИИ за откриване на подозрителна активност.

Републиканският конгресмен от щата Джорджия Рич Маккормик представи в Конгреса на САЩ законопроекта Common-Sense Cloud Security Act, насочен към засилване на защитата на данните и инфраструктурата в облачни среди. Предложението възлага на Националния институт за стандарти и технологии (NIST) да разработи актуализирани стандарти, методологии и препоръки за сигурността на облачните услуги.

Инициативата обхваща както информацията, съхранявана в облака, така и механизмите, чрез които потребители, приложения и автоматизирани системи получават достъп до нея. В обхвата попадат чувствителни финансови и медицински данни, информация за националната сигурност и системи от критичната инфраструктура.

Важно уточнение е, че става дума за предложен закон, а не за вече въведени задължителни изисквания. Предвидените мерки ще зависят от приемането му и последващото разработване на стандартите.

От защита на периметъра към контрол върху достъпа и вътрешния трафик

Една от съществените особености на законопроекта е акцентът върху атаките, които се развиват вътре в облачната среда. Освен предотвратяването на неоторизиран достъп, предложението предвижда препоръки за предотвратяване, откриване и ограничаване на т.нар. intracloud attacks – атаки срещу ресурси и услуги в рамките на една облачна инфраструктура.

Специално внимание се отделя на неразрешения трафик изток-запад (east-west traffic) – комуникацията между системи, приложения и работни натоварвания в самата среда. Ако атакуващ получи достъп до един компонент, недостатъчният контрол върху този трафик може да му позволи да се придвижи към други услуги, да разшири привилегиите си или да достигне до по-чувствителни данни.

Предвиждат се насоки за наблюдение на този трафик, инспекция на мрежовите комуникации и прилагане на политики за филтриране. Практическата цел е да се ограничи възможността компрометиран акаунт или приложение да се превърне в отправна точка за по-мащабен пробив.

„Радиусът на поражение“ като измерим риск

Друг ключов елемент е методология за определяне на blast radius – обхвата на щетите, които могат да възникнат при компрометиране на облачна среда. Понятието се отнася до ресурсите, системите, данните и услугите, до които нападателят би могъл да достигне вследствие на първоначалния пробив.

Законопроектът предвижда доставчиците да разполагат с метод за оценяване на този обхват, а при актуализирането на федералната програма FedRAMP да се изисква от частните компании, предоставящи облачни услуги на федералното правителство, да разкриват обобщена информация за своя blast radius.

Това може да промени начина, по който се оценяват облачните доставчици. Вместо анализът да се ограничава до наличието на определени защитни механизми, организациите ще имат основание да разглеждат и потенциалните последствия от успешна атака: колко системи могат да бъдат засегнати, какви данни са достъпни и доколко бързо може да се ограничи разпространението.

По-строг контрол върху приложенията и външните интеграции

Законопроектът поставя акцент и върху приложенията на трети страни и софтуера като услуга (SaaS), интегрирани в облачните среди. Предвиждат се препоръки за проверка, разрешаване и непрекъснато наблюдение на тези интеграции, така че предоставените им права да съответстват на действителните им функции.

Този подход адресира риск, който често остава извън традиционния контрол върху инфраструктурата. Външно приложение може да разполага с достъп до файлове, пощенски кутии, потребителски профили или корпоративни данни. Ако интеграцията е неправилно конфигурирана или бъде компрометирана, разрешенията ѝ могат да осигурят път към ресурси, които не са били пряка цел на първоначалната атака.

При актуализирането на FedRAMP се предвижда и разкриване на обхвата и нивата на достъп на интеграциите с външни приложения. За бизнеса това подчертава необходимостта от редовен преглед на предоставените разрешения, премахване на неизползваните връзки и непрекъсната оценка на риска от доставчиците.

Цифрови идентичности, устройства и автоматизирани акаунти

Друг приоритет е управлението на цифровите идентичности. Предвидени са стандарти за свързване на идентификационните данни за достъп с конкретни устройства. Текстът обхваща и акаунти, използвани от агентни системи – автоматизирани системи, които могат да изпълняват задачи и да взаимодействат с услуги от името на потребител или организация.

Това е особено важно в среди, където достъпът не се осъществява само от служители, а и от приложения, програмни интерфейси и автоматизирани агенти. Ако тези идентичности имат прекомерни права или не са достатъчно добре обвързани с конкретен контекст на използване, компрометирането им може да създаде значителен риск.

Предложението включва и механизми, чрез които доставчиците да наблюдават и обработват сигнали за сигурност, неоторизиран достъп и злонамерена активност. Използването на изкуствен интелект (ИИ) за откриване на необичайно поведение също е сред областите, по които трябва да бъдат формулирани препоръки. Това не означава, че ИИ автоматично ще се превърне в задължителен компонент на всяка облачна услуга.

Доброволна сертификация и промени във FedRAMP

Законопроектът предвижда създаването на доброволна програма за сертификация на облачната сигурност. До една година след публикуването на окончателните стандарти директорът на NIST, координирано с Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA), трябва да изгради програмата.

Съответствието ще се оценява от независими, акредитирани лаборатории от частния сектор. Предвидени са различни нива на сертификация и публична база данни с издадените сертификати. Лабораториите ще трябва да вземат решение по заявленията в срок до 90 дни от получаването им.

Програмата ще обхваща съответствието със стандартите, включително по отношение на обхвата на потенциалните щети, атаките в облачната среда, интеграциите с външни приложения и идентичностите на работните натоварвания.

Паралелно с това законопроектът предвижда актуализиране на FedRAMP – федералната програма за оценяване и разрешаване на използването на облачни услуги от американската администрация. В рамките на същия едногодишен срок Службата за управление и бюджет на Белия дом, в координация с CISA и Администрацията за общи услуги, трябва да приведе програмата в съответствие с новите стандарти.

Срокове, консултации и отчетност пред Конгреса

Предвидената процедура включва няколко етапа. До 180 дни след влизането на закона в сила трябва да бъде събрано обществено мнение за съществуващите стандарти и необходимите промени. До 50 дни след началото на тази процедура трябва да бъде публикуван предварителен вариант на стандартите, методологиите и препоръките за ново обществено обсъждане. Окончателната версия трябва да бъде публикувана до 135 дни след появата на проекта.

При разработването ѝ трябва да бъдат консултирани Министерството на отбраната, националният директор по киберсигурността, CISA, доставчици на облачни услуги, оператори на критична инфраструктура, представители на съответните отрасли и експерти от академични и нестопански организации.

До една година след публикуването на окончателните стандарти NIST трябва да представи доклад пред съответните комисии в Камарата на представителите и Сената. Документът ще разглежда прилагането на стандартите от федералните ведомства, както и трудностите и пропуските, с които частният сектор се сблъсква при внедряването им.

Какво означава инициативата за организациите

Common-Sense Cloud Security Act очертава посока към по-детайлна оценка на облачния риск – от идентичностите и разрешенията до вътрешния трафик, външните интеграции и възможния мащаб на един пробив. Ако бъде приет и приложен, законопроектът може да повлияе пряко върху изискванията към доставчиците, работещи с федералната администрация, и косвено върху практиките на по-широкия облачен пазар.

За организациите е разумно още отсега да прегледат кои приложения и автоматизирани акаунти имат достъп до облачните им ресурси, как се наблюдава комуникацията между услугите и дали могат бързо да установят кои системи биха били засегнати при компрометиране на даден компонент.

Доброволната сертификация сама по себе си няма да премахне риска. Стойността ѝ ще зависи от конкретните критерии, независимостта на оценяването и това доколко резултатите от проверките отразяват реалните права за достъп и възможностите за ограничаване на атака. Към момента описаните мерки са част от законодателно предложение и не следва да се приемат като вече действащи задължения.