"כולם עוברים לענן, זו כבר עובדת חיים. אין ספק שהמעבר הזה מספק יתרונות טכנולוגיים רבים, ובראשם האפשרות להריץ תשתיות גדולות מאוד גם בארגון שאין לו משאבי ענק, תוך חיסכון כספי. ואולם, לא כולם עוצרים לחשוב על המשמעות של אבטחת מידע בעידן הענן, ועל כך שהפתרונות המסורתיים, כבר לא מתאימים במציאות הנוכחית", אומר דרור דווידוף, מנכ"ל חברת אבטחת המידע אקווה סקיוריטי (Aqua Security). לדברי דווידוף, "כיום המגמה היא לא להעביר תשתיות ואפליקציות לענן - אלא לבנות אותן מראש בהתאמה מלאה לענן, כדי לנצל את מלוא היתרונות הגלומים בו. יישומי קלאוד נייטיב, קונטיינרים, קוברנטיס, Serverless - כל אלה נולדו לעבוד בענן ולספק גמישות, מהירות, חיסכון בעלויות ויכולת תגובה מיידית לשינויים בשוק. "האפליקציות שרצות בענן פועלות בסביבת ,DevOps-בעוד שבעבר היתה הפרדה בין המפתחים של האפליקציות לאנשים שהריצו אותן. בעולמות ה-DevOps יש המון טכנולוגיות חדשות, הכל רץ בענן וזה מאפשר לעסקים גמישות, יכולת התאמה מהירה וסקיילביליות, אבל מציב אתגרי אבטחה חדשים שלא ניתן לתת להם מענה עם כלי אבטחה מיושנים שלא מותאמים לקצב המהיר של עדכון יישומים וליכולת להריץ את אותם יישומים בכל תשתית ענן פרטית או ציבורית".
אקווה סקיוריטי, שנוסדה לפני חמש שנים על ידי דווידוף ואמיר ג'רבי, יצאה למסע לפיתוח כלי אבטחה חדשים, שממנפים את היתרונות הרבים של הענן כדי להעמיד פתרון מקיף ודינמי, בהתאמה מלאה לסביבות DevOps. "כיום יש קטגוריה חדשה, של DevSecOps - אנשים שאחראים על האבטחה בDevOps", מסביר דווידוף. "המטרה שלנו היא לספק להם פלטפורמה מלאה להגנה על האפליקציות שרצות בענן. "קהל היעד שלנו הוא למעשה כל חברה שרוצה לפעול בענן, מחברות גדולות בתחומי הבנקאות, הביטוח והמדיה, ועד סטארטאפים צעירים - כולם זקוקים לפתרונות אבטחה מותאמים. עבור הארגונים הגדולים, שעומדים בפני רגולציה כבדה עם דרישות אבטחה רבות, ונתונים תחת לא מעט מתקפות, בנינו את המוצר המתקדם ביותר בשוק זה. "שישה מעשרת הבנקים הגדולים בעולם, ושלוש מחמש חברות המדיה הגדולות בעולם הם לקוחות שלנו. אנחנו עובדים עם הארגונים הגדולים בתחומם שנמצאים במעבר לענן, ומבינים שאבטחה היא לא רק כדי לסמן וי על הדרישות, אלא שבלעדיה הם לא יכולים לעבור לענן בקצב הרצוי להם ולשמור על היכולת התחרותית שלהם. האבטחה היא חלק מהאסטרטגיה העסקית שלהם, והם מבינים שכללי המשחק באבטחת הענן הם שונים. "בעבר, אם היתה לי אפליקציה שנתנה שירות לארגון או ללקוחות, היא ישבה בחוות השרתים תחת ניהולי והיתה לי שליטה מלאה עליה. בניתי הגנה היקפית בעיקרה, דאגתי להגדיר מי יכול לגשת לאן, ממש כמו חומה פיזית. כיום, האפליקציה יכולה לרוץ בכמה עננים במקביל, וכוח העבודה או הלקוחות שלי פזורים בעולם. ההגנה ההיקפית כבר פחות מתאימה, כי הגבולות הרבה פחות מוגדרים. "כלומר, יש צורך בשינוי גישה - לאבטחה נקודתית, גרנולרית, שיודעת לזוז יחד עם האפליקציה, מענן לענן ומסביבת עבודה אחת לשנייה. כלי ההגנה המודרניים שאנחנו מפתחים נולדו לעולם של הענן. אנחנו ניצבים כל הזמן מול אתגרים חדשים, למשל של פרטיות, גישה לנתונים והפרדה בין התשתית לאפליקציה, וממשיכים לשפר את המוצרים שלנו כדי שייתנו מענה". דווידוף מסביר כי כיום, מקובל בקרב ספקי הענן הקונספט של אחריות משותפת - Shared Responsibility. "הספק אומר ללקוח - אנחנו יודעים לשמור על התשתיות שלך עד לנקודה מסוימת, וממנה והלאה אתה אחראי לאבטחה. אנחנו מספקים את הפלטפורמה ששומרת על האפליקציות בענן, במקומות שהם באחריותו של הלקוח. "חשוב לזכור שכיום התוקפים הפכו למתוחכמים, נועזים ומאורגנים הרבה יותר, ולא פעם מדובר בארגונים עם משאבים עצומים, אפילו מדינות. הדבר מצריך בנייה של הגנה שיודעת להתמודד עם איומים בסדר גודל עצום, שמשתנים כל הזמן. לכן בכל ארגון יש כמה שכבות של הגנה, כאשר אקווה מספקת את הכלים לשמירה על האפליקציות שרצות בענן כבר משלב הפיתוח ובזמן ההרצה".
דווידוף: "בעבר, אם היתה לי אפליקציה שנתנה שירות לארגון או ללקוחות, היא ישבה בחוות השרתים תחת ניהולי והיתה לי שליטה מלאה עליה. בניתי הגנה היקפית בעיקרה, דאגתי להגדיר מי יכול לגשת לאן, ממש כמו חומה פיזית. כיום, האפליקציה יכולה לרוץ בכמה עננים במקביל, וכוח העבודה או הלקוחות שלי פזורים בעולם. ההגנה ההיקפית כבר פחות מתאימה, כי הגבולות הרבה פחות מוגדרים"
ממשיכים להתרחב - גם בתקופת הקורונה דווידוף מספר כי התרבות הארגונית באקווה סקיוריטי מוכוונת DevOps באופייה. "אנחנו מכירים את הטכנולוגיות הכי חדשות בענן, ועובדים במחשבה על העולמות האלה, במיוחד בפיתוח. יש לנו יותר מ-400 לקוחות בעולם, ומערכת היחסים שלנו איתם לא מסתכמת במכירה חד-פעמית של המוצר, אלא היא ארוכה ומתמשכת, כשמדובר בשיתוף פעולה אמיתי. אנחנו עוברים איתם את המסע, הם גדלים וכל הזמן יש להם צרכים חדשים. "צוות מחקר מיוחד הפועל בתוך החברה עוסק אך ורק באיתור פגיעויות וחולשות שיש בטכנולוגיות החדשות, והתקפות בענן, כדי שנזהה אותן לפני השוק ונפתח פתרון אבטחה לפני כל השאר. אנחנו פעילים מאוד בעולמות ה-Open Source וה-Cloud ולא פעם משתפים בקוד פתוח פרויקטים שלנו שיכולים להיטיב עם כולם - גם עם חברות שלא רוכשות את המוצר שלנו, במטרה לעזור לשפר את האבטחה". לאקווה סקיוריטי מטה ישראלי ובו כ-120 מפתחים, לצד מרכז פיתוח בהודו ומשרד שיווק ומכירות ראשי בבוסטון. לאחר התרחבות מואצת בשנים האחרונות, החברה ממשיכה במגמה זו, ודווידוף מעריך כי "בשנה הקרובה נגייס 50-60 עובדים בישראל. אתגרי אבטחת המידע בענן לא עוצרים לרגע - וגם אנחנו לא".
לפרטים נוספים: www.aquasec.com
