Prioritäten von IT-Security-Verantwortlichen

Die Cloudnutzung hat 2018 einen neuen Höchststand erreicht und der Wachstumstrend wird voraussichtlich weiter anhalten. Mit einer beschleunigten Bereitstellung, einer flexibleren Kostengestaltung der Services und einfacheren Arbeitsabläufen bietet sie Vorteile, auf die Unternehmen im Zuge der Digitalisierung nicht verzichten können.

Die unmittelbaren Vorteile tragen jedoch dazu bei, dass die damit verbundenen Konsequenzen für die IT-Sicherheit bei Unternehmen zunächst außer Acht gelassen werden. Die wesentliche Herausforderung für Unternehmen besteht darin, die in die Cloud ausgelagerten und genutzten Daten sicherzustellen. Für nicht wenige Organisationen bedeutet dies jedoch ein nahezu radikales Umdenken.

Zusätzlich zur Sicherung von Umgebungen und Infrastrukturen ist eine weitere Ebene erforderlich, die bei den Daten ansetzt. Wie Unternehmen sich dieser Herausforderung nähern, welche Maßnahmen sie ergreifen und welche wesentlichen nächsten Schritte sie in diesem Zusammenhang sehen, darüber gibt eine Studie von Bitglass Aufschluss.

Nur wenige Unternehmen haben das Gefühl, ihre Cloudumgebung ausreichend gesichert zu haben: 84 Prozent sind sich darüber einig, dass traditionelle Sicherheitsmaßnahmen in der Cloud höchstens beschränkte Wirksamkeit entfalten können. Dies geht aus einer Umfrage von Bitglass hervor, die in Zusammenarbeit mit der Information Security Community durchgeführt wurde. Um einen Eindruck davon zu erhalten, wie Organisationen die Herausforderung Cloud-Sicherheit angehen, wurden 570 IT- und Security-Verantwortliche befragt. Folgenden drei Aufgaben räumen die Befragten derzeit höchste Priorität ein:

Anwendungen sichern

Insbesondere die Cyberattacken in jüngster Vergangenheit werfen Sicherheitsfragen auf, denn die vernetzte Natur der Cloud ermöglicht es Malware, sich schnell auf Geräte und Anwendungen von Organisationen auszubreiten und Daten zu kompromittieren. Beispielsweise kann Malware über einen Dokumentenupload in die Cloudanwendung gelangen und sich von dort in weitere verbundene Anwendungen ausbreiten.

Bei der Sicherung von Anwendungen gibt es in zahlreichen Organisationen noch Verbesserungsbedarf, wie die Umfrage zeigt: Über zwei Drittel (69 Prozent) der befragten Organisationen überlassen den Schutz vor Malware ausschließlich Endpoint-Securitylösungen, welche jedoch keinerlei Kontrollfunktionen über Malware in Cloudanwendungen sowie Zugriffsschutz über private Endgeräte bieten können. Lediglich 15 Prozent der Befragten ist es möglich, anormales Verhalten innerhalb der von ihnen genutzten Cloudanwendungen ausfindig zu machen.

Datensicherheit schaffen und Compliance gewährleisten

Regularien zur Sicherung von sensiblen Daten, branchenspezifische Vorgaben und insbesondere die neue Datenschutzgrundverordnung, schärfen das Bewusstsein der Unternehmen für die Sicherheit der von ihnen erhobenen Daten. So gaben die Teilnehmer der Studie eine Einschätzung der nach ihrer Ansicht nach bedeutendsten Datenverlustwege ab:

Platz eins teilen sich dabei mit je 21,2 Prozent kompromittierte User Accounts sowie Infrastruktur-Schwachstellen. Diese Doppelspitze könnte unter Umständen auch dem Schock über den Uber-Hack geschuldet sein, der Ende 2017 und auch im weiteren Verlauf 2018 regelmäßig für Schlagzeilen sorgte: Cyberkriminelle hatten über einen von Uber-Entwicklern privat genutzten Github-Repo Zugangsdaten für den AWS-Speicher von Uber erlangt. Auf diese Weise gelang es den Hackern, sensible Daten von mehr als 50 Millionen Kunden zu entwenden.

Auf Platz drei der bedeutendsten Datenverlustwege sehen die befragten IT-Verantwortlichen Malware (13,5 Prozent), gefolgt von Fehlkonfigurationen und nicht verwalteten Anwendungen (je 12 Prozent) sowie nicht verwaltete, private Geräte von Mitarbeitern. Die Sicherheitsmechanismen für Daten sind bei den Befragten Unternehmensvertretern jedoch noch verbesserungsfähig: 65 Prozent der Befragten verlassen sich vor allem auf Zugriffskontrollen. Jedoch sind die Fähigkeiten der Lösungen meist nicht granular genug, um ein ausreichendes Maß an Sicherheit zu bieten. 59 Prozent nutzen außerdem Verschlüsselung und Tokenisierung für die Sicherung von Cloud-Daten.

Mobile Endgeräte absichern

Mitarbeiter nutzen ihre persönlichen Geräte keineswegs nur privat. Der schnelle Zugriff auf Unternehmensdaten auch im Außendienst oder auf Geschäftsreise bietet ihnen angenehmen Komfort und die Arbeitgeber profitieren von nahtlosen Workflows. Jedoch geht dies zu Lasten der Kontrolle über die Unternehmensdaten. Cloudapps ermuntern ihre Nutzer schließlich auch dazu, all ihre Konten und Daten auf sämtlichen Endgeräten zu synchronisieren.

Nicht zuletzt deshalb, weil Apps auf den einzelnen Endgeräten auch Daten untereinander austauschen, ist nicht abzusehen, welche Wechselwirkungen sich ergeben und welche Datenverlustwege dadurch bestehen könnten. Die Notwendigkeit von Sicherheitsmaßnahmen haben die Beteiligten daher längst erkannt:

Um Daten auch auf mobilen Endgeräten schützen zu können, installieren 38 Prozent spezielle Verwaltungssoftware auf den Geräten. 24 Prozent setzen auf das Modell „Trusted Devices“, in dessen Rahmen nur unternehmenseigenen Geräten Zugriff auf Unternehmensanwendungen gewährt wird. 11 Prozent jedoch haben dabei keinerlei Zugriffskontrollen in Betrieb, womit allen Smartphones oder Tablets mit den korrekten Anmeldeinformationen der Zugang zu Unternehmensdaten möglich ist.

Zusammenfassend lässt sich festhalten, dass Unternehmen für die Anforderungen der Cloud-Sicherheit durchaus sensibilisiert sind. Ebenso hat sich auch die Mehrheit bereits mit geeigneten Maßnahmen auseinandergesetzt, wie die Befragten abschließend bekannt gaben:

Lösungen, die das Vertrauen der Befragten in Cloud-Sicherheit stärken, sind Verschlüsselung (49 Prozent), Sichtbarkeits- und Prüffähigkeiten sowie die Möglichkeit, Richtlinien über Cloudanwendungen hinweg auf- und durchzusetzen.

Was sich insgesamt aus den erhobenen Daten der Studie auch schließen lässt, ist, dass über all die teilnehmenden Unternehmen hinweg das Sicherheitsniveau dennoch überaus heterogen ist. Dies kann dem Umstand geschuldet sein, dass Unternehmen Schwierigkeiten haben, Cloud-Security-Lösungen zu finden, die sich einfach in ihre bestehenden Sicherheitsumgebungen, die vornehmlich auf das Netzwerk fokussieren, einfügen lassen. Die IT-Security zentral an den Daten auszurichten und wirksamen Schutz für Daten in der Cloud zu bieten bleibt somit auch für die nähere Zukunft eine Herausforderung, die gemeistert werden will.

Michael Scheffler, Regional Director Central and Eastern Europe, Bitglass

www.bitglass.com