Bezpieczeństwo chmury odnosi się do procedur, polityk i technologii stosowanych przez organizacje w celu ochrony aplikacji, infrastruktury i danych opartych na chmurze przed naruszeniami danych, nieautoryzowanym dostępem i atakami cybernetycznymi.
Spis treści
Organizacje dzisiaj przechowują ogromne ilości danych i oprogramowania w chmurze—wszystko to musi być chronione przed zagrożeniami wewnętrznymi i zewnętrznymi atakami.
Nie ma jednej rzeczy, która jest "chmurą". Termin ten odnosi się do architektur chmury obliczeniowej, które łączą zasoby wielu środowisk komputerowych w celu przechowywania danych i hostowania baz danych, aplikacji oprogramowania i innych usług.
Istnieją cztery podstawowe typy środowisk chmurowych: Chmury publiczne, które każdy może używać lub subskrybować; Chmury prywatne, które są zbudowane na zamówienie dla konkretnej firmy, grupy lub organizacji; Chmury społecznościowe, które są współdzielone przez kilka powiązanych firm, agencji rządowych lub innych podmiotów; Chmury hybrydowe, które łączą dowolne dwa lub trzy z pozostałych modeli.
Ponieważ środowiska chmurowe są "rozproszone" (co oznacza, że ich komponenty są rozproszone i połączone sieciowo), potrzebują własnych unikalnych i szczególnych podejść do bezpieczeństwa.
Chmura obliczeniowa - Modele usług chmurowych
Chmura obliczeniowa to praktyka dostępu do oprogramowania, baz danych i zasobów obliczeniowych przez internet, zamiast polegać wyłącznie na lokalnym sprzęcie. Podejście to pozwala firmom na efektywne skalowanie poprzez outsourcing części lub całości zarządzania infrastrukturą do zewnętrznych dostawców chmury.
Najczęściej używane usługi chmurowe obejmują:
Infrastructure as a Service (IaaS)
Model IaaS pozwala firmie na zbudowanie własnego wirtualnego centrum danych (vDC). Wirtualne centrum danych oferuje zasoby oparte na chmurze zamiast fizycznych korzyści, jakie może zapewnić tradycyjne centrum danych. Nie ma potrzeby regularnej konserwacji, aktualizacji ani serwisowania fizycznych maszyn w przypadku wirtualnego centrum danych.
Platform as a Service (PaaS)
Model PaaS oferuje różnorodne opcje, które pozwalają klientom na udostępnianie, wdrażanie lub tworzenie oprogramowania.
Software as a Service (SaaS)
Model SaaS zapewnia klientom oprogramowanie, które nie wymaga użycia komputera lub serwera do jego budowy. Przykłady obejmują Microsoft 365 (dawniej Office 365) i Gmail. Dzięki tym opcjom klienci potrzebują tylko komputera, tabletu lub telefonu, aby uzyskać dostęp do każdej aplikacji. Firmy używają różnych terminów, aby podkreślić swoje produkty, od DRaaS (disaster recovery) do HSMaaS (hardware security module) do DBaaS (database) i, w końcu, XaaS (anything). W zależności od tego, co firma reklamuje, może być trudne określenie, czy produkt jest SaaS czy PaaS, ale ostatecznie ważniejsze jest zrozumienie obowiązków kontraktowych dostawcy chmury. Dostawcy chmury rozszerzają swoje kontrakty, aby dodać bezpieczeństwo na formacjach chmurowych poprzez usługi takie jak HSMaaS (hardware security module) lub DRMaaS (digital rights management).
Modele wdrażania chmury
Modele wdrażania chmury definiują, jak usługi chmurowe są zarządzane i dostępne w zależności od potrzeb organizacji. Każdy model ma różne poziomy kontroli, skalowalności i bezpieczeństwa, co sprawia, że wybór odpowiedniego modelu na podstawie celów biznesowych jest kluczowy.
Cztery modele wdrażania chmury to:
Chmura publiczna
Infrastruktura otwarta do użytku przez ogół społeczeństwa lub dużą grupę przemysłową, działa na modelu wielo-tenantowym; wielu użytkowników z różnych organizacji korzysta z usługi jednocześnie. Dostępna dla każdego do zakupu.
Najlepsze przykłady dzisiaj to Amazon Web Services (AWS), Microsoft Azure i Google Cloud Platform (GCP).
Chmura prywatna
Jest zbudowana dla jednej firmy, a sprzęt nie jest współdzielony z nikim innym. Model prywatny może być zbudowany na chmurze publicznej lub w własnym centrum danych, lub w firmie specjalizującej się w budowaniu chmur prywatnych, czyli dostawcy usług zarządzanych i jest niedostępny dla osób spoza organizacji, ponieważ działa na modelu jednego najemcy; tylko pracownicy organizacji mogą uzyskać dostęp do prywatnej chmury w różnych potrzebach operacyjnych.
Chmura społecznościowa
To koncepcja współdzielenia między firmami. Usługa może być współdzielona, lub dane mogą być współdzielone na tej usłudze. Jednym z przykładów mogą być chmury zbudowane przez rząd, współdzielone przez wiele agencji.
Chmura hybrydowa
To wykorzystanie co najmniej dwóch z trzech wymienionych powyżej modeli wdrażania: publicznej i prywatnej, prywatnej i społecznościowej, lub publicznej i społecznościowej. Na przykład, z prywatną i publiczną, pozwala to na połączenie niezawodności prywatnej chmury i pojemności na żądanie chmury publicznej.
Jest idealna dla firm, które świadczą usługi lub oferują produkty.
Bezpieczeństwo chmury vs tradycyjne bezpieczeństwo
Architektury bezpieczeństwa chmury łączą różnorodne narzędzia, środki i technologie zabezpieczeń oraz cyberbezpieczeństwa w celu ochrony zasobów i informacji związanych z chmurą obliczeniową. Te środki obejmują tradycyjne zapory ogniowe, obronę anty-malware i systemy wykrywania włamań (IDS), a także specyficzne dla chmury zabezpieczenia, takie jak systemy uwierzytelniania wieloczynnikowego (MFA), programy ochrony aplikacji natywnych dla chmury (CNAPPs), zapory ogniowe oparte na chmurze, systemy bezpieczeństwa kontenerów chmurowych i brokerzy bezpieczeństwa dostępu do chmury (CASBs).
Bezpieczeństwo chmury umożliwia organizacjom ochronę środowisk chmurowych poprzez kombinację rygorystycznych kontrol dostępu i polityk bezpieczeństwa, zaawansowanych środków wykrywania i reagowania na zagrożenia oraz najnowszych narzędzi, technologii i najlepszych praktyk w zakresie bezpieczeństwa AI i cyberbezpieczeństwa AI.
W przeciwieństwie do tradycyjnych środków bezpieczeństwa, które chronią fizyczne systemy IT na miejscu i dane, bezpieczeństwo chmury koncentruje się na zabezpieczaniu danych, usług, narzędzi i aplikacji opartych na chmurze organizacji przed szerokim zakresem zagrożeń cybernetycznych. Obejmuje to ochronę środowisk chmurowych przed zagrożeniami takimi jak:
- Próby nieautoryzowanego dostępu
- Włamania i naruszenia danych
- Ataki malware, ransomware i spyware
- Zagrożenia wewnętrzne
- Schematy phishingowe
- Rozproszone ataki typu denial-of-service (DDoS)
Jakie są kluczowe aspekty bezpieczeństwa chmury?
Chociaż platformy bezpieczeństwa chmury mogą wyglądać bardzo różnie w zależności od środowiska chmurowego, organizacji czy branży, większość rozwiązań bezpieczeństwa chmury typu all-in-one (AIO) opiera się na zestawie podstawowych funkcji, narzędzi i technologii, aby zapewnić najlepszą możliwą ochronę. Obejmują one:
- Kontrole zarządzania tożsamością i dostępem (IAM)—narzędzia do zarządzania i kontrolowania dostępu użytkowników do systemów, usług i zasobów opartych na chmurze.
- Bezpieczeństwo i ochrona danych—środki bezpieczeństwa, takie jak tokenizacja, zarządzanie kluczami zabezpieczeń i szyfrowanie danych w celu ochrony danych w chmurze zarówno w stanie spoczynku, jak i w tranzycie przed naruszeniami danych, włamaniami i innymi próbami nieautoryzowanego dostępu.
- Bezpieczeństwo infrastruktury—narzędzia takie jak zapory aplikacji internetowych (WAF), grupy bezpieczeństwa sieci (NSG) i systemy wykrywania włamań (IDS), które chronią infrastruktury chmurowe przed zagrożeniami cybernetycznymi, zagrożeniami cybernetycznymi i atakami cybernetycznymi.
- Wykrywanie i reagowanie na zagrożenia—narzędzia takie jak rozwiązania zarządzania informacjami i zdarzeniami bezpieczeństwa (SIEM), systemy wykrywania włamań (IDS) i szybkie strategie reagowania na incydenty, które monitorują środowiska chmurowe pod kątem oznak słabości, ciągle skanują podejrzane lub złośliwe działania i proaktywnie bronią zasoby chmurowe przed atakami cybernetycznymi w czasie rzeczywistym.
- Zgodność regulacyjna—frameworki bezpieczeństwa chmury, które chronią informacje wrażliwe, poufne i własnościowe i zapewniają, że wszelkie dane wrażliwe przechowywane w chmurze są w pełni zgodne ze wszystkimi obowiązującymi przepisami branżowymi i rządowymi.
- Bezpieczny rozwój oprogramowania—proces integracji narzędzi i technologii bezpieczeństwa chmury w całym cyklu życia rozwoju oprogramowania (SDLC), aby chronić i zabezpieczyć programy i aplikacje oparte na chmurze przed kradzieżą, infiltracją lub korupcją.
- Bezpieczeństwo kontenerów—narzędzia takie jak zaawansowane skanowanie obrazów, kontrola dostępu oparta na politykach i wykrywanie i reagowanie na zagrożenia w czasie rzeczywistym w celu ochrony aplikacji bezpieczeństwa kontenerów natywnych dla chmury, w tym platform, warstw aplikacji i hostów runtime.
- Zarządzanie postawą bezpieczeństwa chmury (CSPM)—rozwiązania zapewniające ciągłą i kompleksową widoczność zasobów i zasobów chmurowych, aby oznaczyć wszelkie potencjalne luki, podatności lub błędne konfiguracje dla zespołów bezpieczeństwa do rozwiązania i pomóc w wzmocnieniu postawy bezpieczeństwa chmury organizacji.
- Zarządzanie uprawnieniami infrastruktury chmurowej (CIEM)—narzędzia, które centralizują zarządzanie tożsamością chmury, uprawnienia użytkowników i kontrole dostępu w jednym rozwiązaniu w celu zwiększenia bezpieczeństwa chmury i zmniejszenia ryzyka przypadkowych i celowych zagrożeń wewnętrznych.
- Brokerzy bezpieczeństwa dostępu do chmury (CASB)—mechanizmy monitorujące, kontrolujące dostęp do i egzekwujące polityki bezpieczeństwa firmy dla usług chmurowych w celu zwiększenia widoczności środowisk chmurowych i ochrony wszelkich danych przechowywanych w chmurze.
Włączenie tych środków jako część kompleksowej strategii bezpieczeństwa chmury może pomóc w ochronie kluczowych zasobów, usług i danych opartych na chmurze przed złymi aktorami oraz chronić relacje biznesowe i reputację organizacji.
Jakie są główne ryzyka i wyzwania związane z bezpieczeństwem chmury?
Pomimo ostatnich postępów w bezpieczeństwie chmury i wielu korzyści oferowanych przez chmurę obliczeniową, istnieje wiele ryzyk i wyzwań, które organizacje muszą wziąć pod uwagę podczas zabezpieczania swoich środowisk chmurowych. Obejmują one:
- Większa i bardziej złożona powierzchnia ataku—środowiska chmurowe mają znacznie większą i bardziej zintegrowaną powierzchnię ataku niż fizyczne sieci komputerowe, co może przedstawiać złym aktorom liczne podatności do wykorzystania, być trudne do obrony i ogólnie nie mają wyraźnie zdefiniowanej granicy do ochrony.
- Brak widoczności i kontroli—usługi przechowywania danych przez strony trzecie mogą być podatne na ataki cybernetyczne, awarie zasilania i inne zakłócenia, które mogą zagrozić widoczności organizacji, dostępowi do i kontroli nad własnymi danymi chmurowymi.
- Ryzyko naruszeń danych—naruszenia danych w chmurze mogą prowadzić do znacznych strat finansowych, utraty produktywności, długoterminowego uszczerbku na reputacji i możliwych konsekwencji prawnych.
- Podatność na błędne konfiguracje—błędne konfiguracje w usługach chmurowych i ustawieniach bezpieczeństwa, takie jak niebezpieczne hasła lub przestarzałe uprawnienia użytkowników, mogą narazić wrażliwe lub poufne dane chmurowe na nieautoryzowany dostęp lub kradzież, i pozostawić środowiska chmurowe podatne na ataki malware, schematy phishingowe, ataki DDoS i inne zagrożenia cybernetyczne.
- Ryzyko niezgodności—środowiska chmurowe stanowią kolejny kluczowy obszar, który musi być chroniony i zabezpieczony, aby zapobiec utracie danych, złagodzić ataki cybernetyczne i naruszenia oraz zapewnić zgodność ze wszystkimi obowiązującymi przepisami dotyczącymi prywatności danych.
- Zagrożenia wewnętrzne—czy przypadkowe, czy celowe, zagrożenia wewnętrzne mogą narazić dane organizacji i stanowić poważne ryzyko dla bezpieczeństwa chmury.
Dlaczego bezpieczeństwo chmury jest ważne?
Większość organizacji dzisiaj polega na chmurze jako niezbędnym elemencie prowadzenia działalności—do tworzenia kopii zapasowych ważnych dokumentów, rozwijania i testowania oprogramowania, wysyłania i odbierania e-maili, czy obsługi klientów. W rezultacie, dla firm niemal w każdej branży kluczowe jest zapewnienie odpowiednich środków bezpieczeństwa chmury, aby chronić swoje dane, utrzymać zgodność z regulacjami oraz zapobiegać wszelkiego rodzaju cyberatakom.
Ochrona wrażliwych danych w chmurze
W miarę jak coraz więcej organizacji przechowuje większe ilości poufnych, wrażliwych i własnościowych danych w chmurze, liczba, częstotliwość i zaawansowanie cyberataków wymierzonych w te dane rośnie w tempie wykładniczym.
Środki bezpieczeństwa chmury, takie jak technologie zapobiegania utracie danych (DLP), uwierzytelnianie wieloczynnikowe oraz szyfrowanie danych, są niezbędnym sposobem ochrony danych w chmurze i utrzymania ich poza zasięgiem cyberprzestępców.
Utrzymanie zgodności z regulacjami
Aby uniknąć zarzutów niezgodności lub ryzyka wysokich kar, organizacje przechowujące wrażliwe lub prywatne informacje w chmurze muszą zawsze pozostawać zgodne ze wszystkimi przepisami i regulacjami dotyczącymi sposobu przechowywania, zabezpieczania i ochrony tych danych przed kradzieżą.
Proaktywna strategia bezpieczeństwa chmury jest kluczowa dla zapewnienia zgodności chmury ze wszystkimi odpowiednimi organami regulacyjnymi, w tym amerykańską ustawą o przenoszeniu i ochronie ubezpieczenia zdrowotnego (HIPAA), Sarbanes-Oxley – ochrona danych finansowych w USA (SOX), standardem bezpieczeństwa danych w branży kart płatniczych (PCI DSS) oraz ogólnym rozporządzeniem o ochronie danych (GDPR) Unii Europejskiej.
Ograniczanie zakłóceń w ciągłości biznesowej
Cyberataki i naruszenia danych w chmurze mogą również powodować poważne zakłócenia w operacjach biznesowych i ciągłości działania, a potencjalnie kosztować organizacje miliony dolarów w utraconej produktywności, utraconych sprzedażach i uszczerbku na reputacji.
Solidny system bezpieczeństwa chmury może pomóc w łagodzeniu tych ryzyk, obronie przed obecnymi i przyszłymi zagrożeniami cybernetycznymi oraz umożliwić firmom kontynuowanie normalnej działalności zarówno na miejscu, jak i w chmurze.
Wspieranie transformacji cyfrowej
Ponadto, elastyczność, skalowalność i stosunkowo niższe koszty początkowe bezpieczeństwa chmury sprawiają, że jest ona niezbędnym elementem fali transformacji cyfrowej.
Oprócz oferowania organizacjom efektywnego i ekonomicznego sposobu wspierania, ulepszania i ochrony ich działań związanych z transformacją cyfrową, gdy przenoszą więcej swojej działalności i danych do chmury, rozwiązania bezpieczeństwa chmury pomagają również tworzyć bezpieczne i zaufane środowiska chmurowe, które sprzyjają płynnej współpracy między pracownikami, umożliwiają więcej opcji pracy zdalnej i hybrydowej, napędzają innowacje oraz zwiększają zarówno rentowność, jak i efektywność operacyjną.
Przykłady najlepszych praktyk w zakresie bezpieczeństwa chmury
Aby zapewnić najlepszą możliwą ochronę danych, zasobów i aplikacji opartych na chmurze, istnieje szereg najlepszych praktyk, które organizacje powinny przyjąć podczas opracowywania lub wdrażania strategii bezpieczeństwa chmury. Obejmują one:
- Ciągłe monitorowanie i wykrywanie zagrożeń—przyjęcie polityki ciągłego, zawsze włączonego monitorowania i wykrywania zagrożeń w środowiskach chmurowych może pomóc organizacjom zapobiegać większości cyberataków zanim się wydarzą, oraz umożliwić zespołom bezpieczeństwa szybkie, zdecydowane i skuteczne reagowanie na wszelkie incydenty.
- Silne kontrole dostępu—wdrażanie proaktywnych środków bezpieczeństwa, takich jak uwierzytelnianie wieloczynnikowe, ograniczony dostęp do wrażliwych lub poufnych informacji oraz zestaw kompleksowych procedur zarządzania dostępem specyficznych dla ról, może zmniejszyć ryzyko naruszeń danych i cyberataków oraz chronić środowiska chmurowe.
- Bezpieczeństwo typu zero-trust—izolowanie wszystkich krytycznych zasobów i aplikacji od sieci chmurowych może utrzymać prywatność i niedostępność obciążeń roboczych oraz pomóc w egzekwowaniu polityk bezpieczeństwa chmury.
- Regularne oceny i audyty bezpieczeństwa—przeprowadzanie regularnych ocen i audytów bezpieczeństwa, w tym skanowania podatności, ćwiczeń red-teaming i cyfrowych bliźniaków oraz testów penetracyjnych, może pomóc w identyfikacji wszelkich luk lub słabości w infrastrukturze bezpieczeństwa chmury organizacji i wzmocnieniu jej postawy bezpieczeństwa chmury.
- Ciągłe szkolenia i świadomość pracowników—prowadzenie ciągłych programów szkoleniowych i świadomości dla pracowników może utrzymać ich na bieżąco z najnowszymi zagrożeniami, ryzykami, politykami firmy i najlepszymi praktykami dotyczącymi bezpieczeństwa chmury, zmniejszyć prawdopodobieństwo błędów ludzkich oraz stworzyć kulturę opartą na wzmacnianiu obecnych i przyszłych środków bezpieczeństwa chmury.
Jakie są najnowsze trendy w bezpieczeństwie chmury?
Dziedzina bezpieczeństwa chmury rozwija się niemal codziennie. Trzy kluczowe trendy, które wydają się szczególnie kształtować przyszłość bezpieczeństwa chmury i cyberbezpieczeństwa, to: wzrost architektur zero-trust; rosnąca integracja sztucznej inteligencji (AI) i uczenia maszynowego w rozwiązaniach bezpieczeństwa chmury; oraz ciągła ewolucja frameworków bezpieczeństwa chmury.
Wzrost architektur zero-trust
Architektury zero-trust odzwierciedlają podejście do cyberbezpieczeństwa, które ma na celu zminimalizowanie ryzyka zagrożeń cybernetycznych do absolutnego minimum, zakładając, że każdy zasób, połączenie lub użytkownik jest podejrzany, dopóki nie zostanie zweryfikowany.
W miarę jak naruszenia danych i cyberataki w chmurze stają się coraz bardziej powszechne i podstępne, podejście zero-trust do bezpieczeństwa chmury może obejmować środki takie jak ciągłe monitorowanie zasobów i aplikacji opartych na chmurze w celu identyfikacji luk lub słabości, podział sieci chmurowych na oddzielne, niezależnie zabezpieczone "strefy", aby zapobiec rozprzestrzenianiu się naruszeń danych i cyberataków w całym środowisku chmurowym, lub wymaganie od użytkowników ciągłego uwierzytelniania i autoryzacji przed uzyskaniem dostępu do danych lub usług chmurowych organizacji.
Integracja AI i uczenia maszynowego w bezpieczeństwie chmury
AI odnosi się do każdego systemu lub komputera, który wykorzystuje zaawansowane technologie obliczeniowe, takie jak głębokie uczenie, uczenie maszynowe (ML) i sieci neuronowe, aby naśladować sposób, w jaki ludzki mózg rozwiązuje problemy, podejmuje decyzje i wykonuje zadania. W miarę jak aplikacje AI nadal się rozwijają i stają się bardziej zaawansowane, aplikacje AI i ML będą prawdopodobnie znacznie bardziej zintegrowane z bezpieczeństwem chmury.
Oprócz zwiększenia szybkości i efektywności technologii cyberbezpieczeństwa w chmurze, rozwiązania bezpieczeństwa chmury oparte na AI mogą wykorzystać moc sztucznej inteligencji do analizy i oceny ogromnych ilości danych w czasie rzeczywistym, automatyzować szeroki zakres środków wykrywania zagrożeń i reagowania oraz umożliwić organizacjom różnej wielkości proaktywną obronę swoich zasobów chmurowych, danych i aplikacji przed zagrożeniami cybernetycznymi.
Ewolucja frameworków bezpieczeństwa chmury
Frameworki bezpieczeństwa chmury to szczegółowe zestawy polityk, wytycznych, kontroli dostępu i najlepszych praktyk, które organizacje przyjmują w celu ochrony danych opartych na chmurze, zabezpieczenia aplikacji i usług chmurowych oraz ochrony środowisk chmurowych przed atakami.
Niektóre z obecnie wiodących w branży frameworków bezpieczeństwa chmury obejmują Cybersecurity Framework (NIST CSF) Narodowego Instytutu Standaryzacji i Technologii, framework bezpieczeństwa chmury MITRE ATT&CK, Krytyczne Kontrole Bezpieczeństwa Centrum Bezpieczeństwa Internetowego (CIS), framework Security, Trust, Assurance and Risk (STAR) Cloud Security Alliance (CSA) oraz standardy ISO/IEC 27001 dotyczące systemów zarządzania bezpieczeństwem informacji (ISMS).
W miarę jak organizacje nadal przyjmują lub stosują te i inne emerging frameworki, będą lepiej przygotowane do zabezpieczenia swoich środowisk chmurowych, ochrony swoich zasobów i danych opartych na chmurze przed naruszeniami lub cyberatakami oraz zapewnienia zgodności ze wszystkimi krajowymi i międzynarodowymi przepisami i regulacjami.
Gdzie mogę uzyskać pomoc w zakresie bezpieczeństwa chmury?
Platforma Trend Vision One™ Cloud Security to potężne rozwiązanie bezpieczeństwa chmury typu all-in-one, które pozwala organizacjom zwiększyć widoczność swoich środowisk chmurowych, kontrolować dostęp do danych chmurowych, automatyzować i wzmacniać swoje obrony bezpieczeństwa chmury i cyberbezpieczeństwa oraz proaktywnie chronić swoje zasoby chmurowe, aplikacje i usługi przed nowymi i emerging zagrożeniami cybernetycznymi, cyberatakami i naruszeniami danych.
Między innymi, Cloud Security oferuje ciągłe monitorowanie w czasie rzeczywistym i ocenę ryzyka powierzchni ataku we wszystkich obciążeniach roboczych, kontenerach, API i zasobach chmurowych. Zapewnia wiodącą w branży ochronę dla środowisk chmurowych, multi-cloud i hybrydowych poprzez wykrywanie i reagowanie na zagrożenia w czasie rzeczywistym, automatyczne skanowanie podatności, zaawansowane możliwości szyfrowania oraz kompleksowe zapewnienie zgodności i egzekwowanie. Daje organizacjom widoczność i kontrolę, której potrzebują, aby maksymalizować swoją postawę bezpieczeństwa chmury i chronić swoje zasoby chmurowe przed stale ewoluującymi zagrożeniami, atakami i cyberprzestępcami.
Powiązane artykuły
Verizon's data breach report & unsecured cloud storage
Shared Responsibility for Cloud Security
You're One Misconfiguration Away from a Cloud-Based Data Breach
Microsoft Azure Well-Architected Framework
Using Shift-Left to Find Vulnerabilities Before Deployment
AWS Well-Architected
Safe, Secure and Private, Whatever Your Business
National Institute of Standards and Technology (NIST)