Google er rangeret som en leder i Gartners Magic Quadrant for Content Collaboration Platforms (CCP), og da flere og flere virksomheder bruger deres værktøjer, besluttede Computer Business Review at se på Google Drive-sikkerheden. Her fem Google Drive-sikkerhedsfunktioner, der kan give din virksomhed ro i sindet.
Google Drive Security: 5 Things to Consider
1: Context Aware Access
Google tester og udruller løbende nye funktioner, der giver administratorer højere grad af kontrol over sikkerheden i Googles platform. En af disse funktioner er Context Aware Access-kontrol over G-suite- og Drive-adgang.
Administratorer, der bruger G-Suite, kan slå brugernes adgang til Google-applikationer som Drive til eller fra, men det er lidt af et stumpt instrument, som ikke giver nogen kontekstuelle oplysninger til sikkerhedsteamet. Med dynamisk kontrol kan administratorer administrere adgangen til drevet baseret på en brugers identitet, enhedens sikkerhedsstatus og IP-adresse.
Dette kontrolniveau giver administratorer mulighed for at etablere forskellige adgangsniveauer baseret på konteksten for brugerens anmodning. Det kan f.eks. indstilles, så kun brugere med en virksomhedsejet enhed eller med oprindelse fra en virksomheds-IP-adresse kan få adgang til data på det delte Google Drive.
Context Aware Access kan også bruges til at give en sådan kontekstbevidst adgang til Google-værktøjer som Gmail, Kalender, Drive, Docs, Sheets, Slides, Forms, Sites og Keep.
2: Kryptering
Google Drive-sikkerhed bruger to former for kryptering, når en bruger gemmer data. Det er vigtigt, at data krypteres i det øjeblik, de forlader en brugers enhed, før de når Googles servere. Først krypteres dataene ved hjælp af den almindelige TSL-standard, da Google tvinger HTTPS på alle data, der er i transit. Når data flyttes til Google Drive’s servere, dekrypterer Google Drive disse data og krypterer dem derefter igen ved hjælp af 256-bit AES-nøgler. Data i hvile er krypteret ved hjælp af 128-bit AES-nøgler.
Google Security skrev i en blog, at: “Kryptering i hvile reducerer angrebsfladen ved effektivt at “skære de lavere lag af hardware- og softwarestakken ud”. Selv hvis disse lavere lag er kompromitteret (f.eks. gennem fysisk adgang til enheder), er dataene på disse enheder ikke kompromitteret, hvis der er implementeret tilstrækkelig kryptering.”
Til nogle brugeres ærgrelse har Google ikke en mulighed for at kryptere individuelle dokumenter. Men brugerne kan kryptere dem før upload, hvis de finder det hensigtsmæssigt, f.eks. ved hjælp af krypteringsværktøjet i Microsoft Word: File > Protect Document > Encrypt with Password.
3: Opsætning af 2FA
Alle bør som udgangspunkt for Google Drive-sikkerhed iværksætte to-faktor-autentifikation (2FA). Det er ikke svært at sætte det op. https://www.google.com/landing/2step/
Med 2FA aktiveret sendes der hver gang en bruger logger ind fra en ny enhed en advarsel/anmodning til deres telefon for at bekræfte, at de forsøger at logge ind. “Hvad hvis jeg mister min telefon?”
Du kan indstille en back-up-enhed, f.eks. din linjeleders telefon, din partners telefon, IT’s telefon… Er du ikke vild med den idé? Google lader dig udskrive 10 engangskoder på gammeldags papir, som du kan opbevare i et pengeskab.
4: Avanceret beskyttelse
Google tilbyder et avanceret niveau af 2FA under sit program for “avanceret beskyttelse” for målgrupper som journalister eller CISO’er. Dette kræver en fysisk 2FA-nøgle. Admins kan gøre visse medarbejdere, som kan være særlige phishing- eller BEC-mål, til at kræve “avanceret beskyttelse” i administratorkonsollen. Titan Security Keys er i mellemtiden en 2FA-adgangsenhed, der indeholder en hardwarechip fyldt med Google-sikkerhedsfirmware, som virksomheden bruger til at fastslå nøglens integritet.
Titan-nøglen fungerer med næsten alle populære enheder og browsere og bruger protokoller, der er udviklet af FAST Identity Online (FIDO) Alliance. Med FIDO foretages godkendelsen af en klientenhed, som beviser, at den har den private nøgle.Nøglen kan enten være en USB- eller en Bluetooth-nøgle, og Google har længe fremhævet dem som den sikreste måde at stoppe phishing-angreb mod en organisation på.De er ikke skudsikre, men de hjælper..
5: Machine Learning-Powered Anomaly Detection
Google afsluttede for nylig en betakørsel af et værktøj til unormale advarselsaktiviteter til Google Drive.
Google-forskere skrev i sikkerhedsbloggen, at: “Vores maskinlæringsmodeller analyserer sikkerhedssignaler i Google Drive for at opdage potentielle sikkerhedsrisici såsom dataekfiltrering eller overtrædelse af politikker i forbindelse med usædvanlig ekstern fildeling og downloadadfærd.”
Som følge heraf vil administratorer blive advaret om sikkerhedsrisici, der sker i Google Drive. Disse advarsler sendes til Googles alarmcenter, hvor sikkerhedsmedarbejdere kan iværksætte en afbødningsindsats for at minimere risikoen for en opstået trussel.
Forvent at se erfaringerne fra dette snart blive implementeret mere bredt.