IntelyCare

一間 SAAS 醫療保健科技創新公司如何運用 Tenable Cloud Security 實現自動化風險緩解及最低權限管理

挑戰

IntelyCare 是一間雲端原生醫療保健科技企業，其採用數個 AWS 帳戶發展和經營業務。 由於近期客戶和使用者數量激增，外加醫療保健資料的使用，使得企業的雲端平台成為惡意攻擊者入侵的安全破口。

IntelyCare 資訊科技部門總監 Larry Viviano 解釋：「因為我們的遠距醫療照護員工會上傳各式敏感資料，如病患的新冠病毒檢測、疫苗注射和病歷等受保護的個人資訊，這讓我們成為身分盜竊者下手的頭號目標。」

Viviano 對於如何保護其雲端基礎架構有著明確的願景，首先是與網際網路安全中心 (CIS) 指標保持一致。 「CIS 最先要評定的項目之一就是軟硬體庫存情況。」 為了因應此需求，Viviano 設法取得可洞悉其複雜雲端環境中所有庫存組成的能見度。 他還打算要自動化風險緩解作業流程。 「我最看重的是自動化。 我們是一個日理萬機的小團隊，因此我得善用工具來補足人力空缺並提高生產力。」

不過，Viviano 表示：「多年來，我被很多自動化工具搞得筋疲力竭，這些工具根本做不到其原本宣稱的功能，而且還造成生產中斷。 DevOps 也因此怪罪資安從業人員，不想再讓安全防護措施破壞他們的系統。」 為了實現他的目標，Viviano 希望所有的雲端安全利害關係人都能參與其中，他要尋求大家的信任。

解決方案

Recalled Viviano 回憶道：「我開始研究我過去任職的某間公司所採用 [Tenable Cloud Security] 解決方案，發現它能提供通常只有 DevOps、工程或基礎架構相關人員才看得到的存取和權限能見度。[Tenable] 讓我得以深入瞭解，並向各方利害關係人展示我們如何幫助他們減輕工作負擔，這是第一個解方，你們表現的十分出色。」

IntelyCare 安全團隊剛開始先將 Tenable Cloud Security 部署在前置作業環境中，著重處理平台依嚴重性排定為最高風險的漏洞。「[Tenable] 會找出風險並提供解決之道，這種指導式方法最棒的地方在於，它非常適合用來向許多不同群體解釋他們該怎麼做，」Vivano 這麼解釋。「我們的安全信心漸長，足以有把握地說出：『我們可以開始修復一些 AWS 風險問題。』 透過使用 [Tenable Cloud Security]，我們先後移除了 IAM 使用者和服務的所有過高權限設定，並在兩個月內完成所有可行的自動修復。 這並未造成任何破壞，所以我們一鼓作氣繼續處理其他問題，消除了更多風險。」

Viviano 接著說到： 「由於安全人員不像我們如此頻繁使用 AWS，因此我們使用 [Tenable] 做為協作工具，把明確的修復教戰守則傳送給相關各方，以便他們輕鬆執行。 我們在 [Tenable Cloud Security] 中開啟安全工單，並將它指派給 Jira 工作流程，這樣就大功告成了。」

此平台支援 IntelyCare 的安全策略。 Noted Viviano 表示：「我們必須確保我們的每個 CIS 指標都能達標。 這就是 [Tenable] 派上用場的地方，它不只讓我們一窺雲端身分識別，更能深入洞察對指標產生影響而需修復的錯誤設定，進而協助我們著手修復。」 此外，IntelyCare 最近推行多因素驗證作為其 CIS 指標計畫的一部份，這是 Tenable 追蹤到的另一個風險。

IntelyCare 目前正在擴展 Tenable Cloud Security 的部署範圍，以涵蓋整個 AWS 環境，包括 Kubernetes 及生產環境。 Explained Viviano 解釋道：「[Tenable Cloud Security] 是幫助我們瞭解自身 AWS 環境使用情況的關鍵。 其他作法都十分耗費人力，比如去跟 DevOps 索討弱點管理清單，然後再設法找出風險及因應的安全措施。」 他接著表示： 「[Tenable] 在幾分鐘內展現的能見度和執行的工作，以往需要兩到三個安全人員耗時數個月才能完成。 坦白說，我認為 [Tenable] 給予的投資回報就在於：它能夠將這些過程自動化並提供快照式的能見度。」

Viviano 總結道： 「我們接下來會開始採用 [Tenable Cloud Security] 建議的安全原則。 我們是一間亟需實行最低權限原則的公司，而 [Tenable] 可以幫助我們做到這一點。[Tenable] 提供的解方是其他雲端安全解決方案都無法比擬的：提供能見度、讓安全團隊博得 DevOps 的信任並促成雙方及與其他團隊間的協作，以利緩解身分風險。這就是我為公司實現安全目標的方式。」