AWS Security: Skydda din molnmiljö med rätt strategi

Regulatorisk efterlevnad – NIS2, MSB och GDPR

Svenska organisationer inom samhällsviktig verksamhet – energi, transport, hälso- och sjukvård, digital infrastruktur – träffas av NIS2-direktivet som trädde i kraft i oktober 2024. Direktivet ställer krav på riskanalys, incidentrapportering, tillgänglighetsåtgärder och leverantörskedjesäkerhet. AWS-miljöer som inte är korrekt konfigurerade kan medföra att verksamheten inte uppfyller dessa skyldigheter.

MSB (Myndigheten för samhällsskydd och beredskap) publicerar riktlinjer och metodstöd för informationssäkerhetsarbete som är direkt tillämpliga på molnmiljöer. För verksamheter med koppling till SAQA-ramverket (Säkerhetsskyddslagen) tillkommer ytterligare krav på datahantering och behörighetskontroll.

AWS tillhandahåller stöd för dessa ramverk via AWS Artifact – en portal för efterlevnadsdokumentation och granskningsrapporter – samt via fördefinierade regelpaket i AWS Config som mappar mot CIS Benchmarks, NIST SP 800-53 och ISO 27001. Opsios Bangalorekontors ISO 27001-certifiering möjliggör att leveransprocesser mot svenska kunder sker under ett dokumenterat ledningssystem för informationssäkerhet.

Vanliga fallgropar i AWS-säkerhetsarbetet

Även mogna organisationer gör återkommande misstag i sina AWS-miljöer. De mest frekventa är:

• Alltför breda IAM-policyer: Användning av AdministratorAccess eller wildcard-resurser i produktionsmiljöer är en av de vanligaste rotorsakerna till dataintrång.
• Okrypterade S3-buckets med offentlig åtkomst: Trots att AWS numera blockerar publik åtkomst som standard kan äldre miljöer och dåliga Terraform-moduler fortfarande skapa exponerade buckets.
• Avsaknad av MFA på privilegierade konton: Root-kontot och IAM-användare med hög behörighet ska alltid skyddas med multifaktorautentisering.
• Loggning inte aktiverad: CloudTrail, VPC Flow Logs och S3-åtkomstloggar är avstängda i standardkonfigurationer på äldre konton och måste aktiveras explicit.
• Drift utan patchhantering: EC2-instanser och containrar som inte uppdateras regelbundet ackumulerar kända sårbarheter som Amazon Inspector identifierar men som ingen åtgärdar.
• Ingen segmentering av miljöer: Brist på separation mellan utvecklings-, test- och produktionskonton ökar explosionsradien vid ett eventuellt intrång.

En genomgång med AWS Security Hub mot CIS AWS Foundations Benchmark ger ett kvantitativt mått på hur många av dessa brister som finns i en given miljö och prioriterar åtgärder baserat på allvarlighetsgrad.

Utvärderingskriterier – så väljer du rätt säkerhetsstrategi och partner

När en organisation utvärderar sin AWS-säkerhetsstrategi, eller väljer en partner att genomföra den med, bör följande kriterier vägas in:

• AWS-partnerstatus: En AWS Advanced Tier Services Partner med specifika kompetenser som AWS Migration Competency indikerar verifierad erfarenhet och att ingenjörernas certifieringar granskats av AWS.
• Certifieringsdjup: Ingenjörer bör inneha relevanta AWS-certifieringar (Solutions Architect, Security Specialty) samt – för containertunga miljöer – CKA och CKAD.
• Dygnet-runt-täckning: Säkerhetsincidenter inträffar inte bara kontorstid. En partner med 24/7 NOC kan agera på GuardDuty-fynd och CloudWatch-larm oavsett klockslag.
• Infrastructure-as-Code-mognad: Säkerhetskonfigurationer som hanteras via Terraform eller AWS CDK är reproducerbara, granskningsbara och versionshanterade – en förutsättning för efterlevnad.
• Erfarenhet av regulatorisk miljö: Partnern bör förstå NIS2, GDPR och MSB:s riktlinjer och ha genomfört liknande uppdrag i Sverige.
• Tydliga SLA:er: En uptime-garanti på 99,9 % och definierade svarstider för incidenter ger förutsägbarhet och minskar affärsrisken.

Opsios erbjudande inom AWS security

Opsio är ett moln- och managedservicebolag med huvudkontor i Karlstad och ett leveranscenter i Bangalore. Som AWS Advanced Tier Services Partner med AWS Migration Competency har Opsio en verifierad kapabilitet att designa, migrera och driva säkra AWS-miljöer för svenska B2B-kunder.

Teamet består av 50+ certifierade ingenjörer, varav ett flertal innehar CKA- och CKAD-certifieringar för Kubernetes-arbetsbelastningar. Sedan 2022 har Opsio genomfört 3 000+ projekt, vilket ger en bred erfarenhetsbas av AWS-miljöer i varierande mognadsgrad och bransch.

Konkreta differentiatorer i Opsios AWS security-erbjudande:

• Säkerhetsbaslinje med IaC: All konfiguration levereras som Terraform-moduler, granskningsbara och reproducerbara i enlighet med DevSecOps-principer.
• Aktivering och tuning av GuardDuty och Security Hub: Opsio aktiverar, konfigurerar och integrerar hotdetekteringstjänsterna med kundens SIEM-lösning – inklusive Microsoft Sentinel för kunder i hybridmiljöer.
• 24/7 NOC: Opsios driftcentral i Bangalore övervakar larm och eskalerar incidenter dygnet runt, inklusive helger och svenska helgdagar.
• NIS2- och GDPR-anpassad dokumentation: Opsio tar fram och underhåller den dokumentation som krävs för att uppfylla regulatoriska krav, inklusive stöd för AWS Artifact och revisionsloggar via CloudTrail.
• Kubernetes-säkerhet: För EKS-miljöer implementerar Opsio nätverkspolicyer, poddsäkerhetsstandarder, Falco-integration och Velero-baserade säkerhetskopieringsrutiner.
• 99,9 % uptime SLA: Garanterad tillgänglighet för managedservice-uppdrag med definierade svarstider och eskaleringsvägar.

Opsio är dessutom partner med Microsoft och Google Cloud, vilket innebär att kunder i multi-cloud-miljöer kan hantera säkerheten konsekvent över plattformsgränserna – utan att behöva anlita separata leverantörer för varje molnplattform.

En AWS-miljö är aldrig färdigsäkrad – hotbilden förändras, tjänster uppdateras och verksamheten växer. Det kräver en kontinuerlig process snarare än ett engångsprojekt. Med rätt teknisk grund, rätt verktyg och en partner med djup AWS-expertis och lokal förankring i Sverige kan din organisation möta både dagens säkerhetskrav och morgondagens regulatoriska utmaningar.