Anzeige

Cloud 2020

Mit Beginn eines neuen Jahres ziehen viele Unternehmensabteilungen Bilanz über den Verlauf der vergangenen zwölf Monate. Was lief gut, wo gibt es Verbesserungsbedarf und wofür sollten im kommenden Jahr mehr Ressourcen aufgewendet werden? Eine Diskussion, die in der geschäftskritischen IT-Abteilung überaus intensiv geführt wird.

Insbesondere in der Security setzen sich die Verantwortlichen mit Fragen wie diesen auseinander: Wie sah die Bedrohungslage im vergangenen Jahr aus? Mit welchen Maßnahmen sind wir diesen entgegengetreten? Gab es Vorkommnisse, die die Notwendigkeit zusätzlicher Maßnahmen nahelegen?

Was jedoch die Bewertung von Sicherheitsrisiken und das daraus folgende frühzeitige Ergreifen geeigneter Maßnahmen anbelangt, haben IT-Abteilungen mitunter mit einigen Widrigkeiten innerhalb ihres Betriebs zu kämpfen. Dabei trifft es häufig die Absicherung der Cloud. Zu den typischen Faktoren, die Fehleinschätzungen begünstigen und zu suboptimalen Ergebnissen in der Organisation der Cloud-Security führen, zählen beispielsweise die folgenden:

  • Knappe Budgets: Für die Anschaffung neuer Security-Lösungen müssen IT-Teams stets stichhaltig begründen, warum die dafür anfallenden Ausgaben getätigt werden sollten. Geht es um die Absicherung der Cloud, stoßen sie häufig auf stärkeren Widerstand. Viele Unternehmen haben große Investitionen in die lokale Infrastruktur getätigt. Auf Grund von Missverständnissen, dass die bestehenden On-Premises-Maßnahmen auch für Cloudumgebungen ausreichend Schutz bieten, werden weitere Mittel für zusätzliche, notwendige Cloud-Sicherheitslösungen oft nur zögerlich bewilligt.
     
  • Fehleinschätzung der Bedrohungssituation: In manchen Unternehmen hält sich hartnäckig die Vorstellung, für Hacker kein lohnenswertes Ziel darzustellen. Dies mündet in der Schlussfolgerung, man könne Cybersecurity mit geringerem Aufwand betreiben, als vermeintlich interessantere Unternehmen. Diese falsche Auffassung mag dadurch geprägt sein, dass Sicherheitsvorfälle in bekannten Unternehmen mit einer Vielzahl an Kunden die größte Medienaufmerksamkeit erlangen. Es lässt allerdings nicht den Umkehrschluss zu, dass mittelständische Betriebe weniger gefährdet wären. Für Hacker sind Unternehmen mit sensiblen Daten und schwachen Sicherheitsmaßnahmen stets ein interessantes Ziel.
     
  • Mangel an Fachpersonal: Fehlende Expertise kann sich unmittelbar auf die Qualität der IT-Security auswirken. Diese Tatsache wird leider gern übersehen, solange alles scheinbar problemlos läuft. Verstärkte Rekrutierungsbemühungen werden meist erst unternommen, wenn im Betriebsalltag der Mangel an personellen Ressourcen bereits spürbar geworden, oder es zu Datenverlusten gekommen ist.

Wie der aktuelle Cloud Security Report von Bitglass zeigt, ist der Frust, der infolgedessen bei IT-Verantwortlichen entsteht, keinesfalls unberechtigt: Einfache Sicherheitsmaßnahmen wie Single-Sign-On (SSO) und Data Loss Prevention (DLP) werden beispielsweise lediglich von einem Fünftel der Cloud-nutzenden Unternehmen eingesetzt. Dabei sind die Risiken für Datenverlust bei der Cloudnutzung vielfältig: Malware, kompromittierte Nutzeraccounts, Fehlkonfigurationen, der Zugriff über nicht-verwaltete Endgeräte sowie die nicht-gestattete Nutzung von Cloudanwendungen sind nur einige davon.

Um im neuen Jahr nicht erst nach einem tatsächlichen Sicherheitsvorfall aktiv werden zu müssen, kann es für IT-Abteilungen daher hilfreich sein, die folgenden guten Vorsätze für ihre Cloud-Security zu beachten:

1. Schwächen gewissenhaft aufdecken

Egal ob kleinere Pannen innerhalb des Unternehmens oder Datenverluste aus den internationalen Schlagzeilen den Anlass geben: Es lohnt sich, die eigenen Maßnahmen und Abläufe gewissenhaft auf den Prüfstand zu stellen. Für Unternehmen, die beispielsweise Infrastruktur-as-a-Service-Plattformen nutzen, bedeutet dies den Einsatz von Tools, die Fehlkonfigurationen in Cloud-Umgebungen, die Daten exponieren können, proaktiv identifizieren und beheben. Es kann sehr sinnvoll sein zusammen mit einem externen Dienstleister einen Pen-Test durchzuführen.

2. Sich mit neuen Cloud-Technologien befassen

Für sämtliche Unternehmensbereiche gibt es spezielle Softwaretools, die Arbeitsabläufe vereinfachen und die Produktivität verbessern sollen. Allerdings werden Entscheidungen für Applikationen oft ohne die notwendige Rücksprache mit den IT Abteilungen getroffen, wodurch diese die Kontrolle über die sensitiven Daten des Unternehmens verlieren. Die enge Abstimmung mit dem CTO eines Unternehmens oder der intensive Austausch mit der Belegschaft über ihre Belange gibt Aufschluss darüber, welche neuen Technologien in naher Zukunft für das Unternehmen in Frage kommen. Damit herrscht auch Klarheit darüber, welche Sicherheitsanforderungen berücksichtigt werden müssen, um die künftige Implementierung zu ermöglichen. Auf diese Weise ist sichergestellt, dass neue Technologien nur mit den erforderlichen Sicherheits-Rahmenbedingungen eingesetzt werden.

3. An den Grundlagen arbeiten und Mitarbeiter ausbilden

Zumindest sollte jedes Unternehmen alle notwendigen Software-Updates und Patches installieren, sobald sie verfügbar sind – und zwar auf allen Geräten der Mitarbeiter. Diese grundlegenden Schritte können bestehende Sicherheitslücken schließen und damit dazu beitragen, die Wahrscheinlichkeit eines Datenverlustes zu verringern.
Eine der besten Methoden zur Verbesserung der Sicherheit ist der Aufbau einer "security-first"-Mentalität in der gesamten Unternehmensorganisation. Diese organisatorischen Standards sollten von den IT-Verantwortlichen klar kommuniziert werden und deren Durchsetzung in allen Abteilungen kontinuierlich geprüft werden. Durch zusätzliche, regelmäßige Schulungen zu Themen wie dem Erkennen von Phishing-E-Mails und dem sicheren Austausch von Daten können Unternehmen die Wahrscheinlichkeit einer Verletzung deutlich reduzieren.

4. Best Practice-Sicherheitstools einführen

Die Anforderungen an Cloud-Security-Lösungen unterscheiden sich zwar in Einzelfällen, doch zu den wesentlichen Funktionen gehören die folgenden: Data Loss Prevention (DLP), User and Entity Behavior Analytics (UEBA), durchsuchbare Verschlüsselung und Multi-Faktor-Authentifizierung (MFA). Da die Liste sehr umfangreich sein kann, sollten Unternehmen umfassende, robuste Sicherheitslösungen wählen, die sämtliche notwendigen Schutzmaßnahmen bieten können, um die Sicherheit ihrer Daten in Echtzeit zu gewährleisten.

5. Fachkräfte rekrutieren und Kompetenzen ausbauen

Die Anforderungen an die Cloud-Sicherheit werden sich ändern, genauso wie die Struktur der Belegschaft. Um mit den Veränderungen Schritt halten zu können, sollte eine langfristige Planung erfolgen, damit die Rekrutierung von Nachwuchs- und Führungskräften nicht erst bei akutem Bedarf vorgenommen werden muss. Gleichzeitig sollte darüber nachgedacht werden, welche weiterführenden Qualifikationen für die Mitglieder des IT-Teams in naher Zukunft nutzbringend sein könnten.

Der Aufbau einer umfassenden Cloud-Security kann sich in einigen Betrieben durchaus schwierig gestalten. Dies wird IT-Verantwortlichen meist erst dann bewusst, wenn sie auf das vergangene Jahr zurückblicken. Gute Vorsätze können den Blick für weitere benötigte Sicherheitsmaßnahmen schärfen und somit die Planung der Security-Strategie erleichtern. Sind IT-Verantwortliche sich darüber hinaus der bisherigen Widerstände bewusst, können sie diese in künftigen Lösungsvorschlägen berücksichtigen. Auf diese Weise sind für die Security im Rahmen einer Cloud First-Strategie für das neue Jahr die besten Voraussetzungen geschaffen.

Michael Scheffler, Regional Director Central and Eastern Europe
Michael Scheffler
Regional Director Central and Eastern Europe, Bitglass, Inc.
Michael Scheffler blickt auf mehr als 20 Jahre Erfahrung in leitenden Positionen im Bereich Security zurück: Vor seinem Wechsel zu Bitglass war Scheffler für den Netzwerksecurityanbieter A10 Networks als Area Vice President Central Europe tätig. Davor hatte er Positionen als Regional Director bei den Websecurity-Unternehmen Proofpoint und Websense inne, wo er jeweils für die CEMEA- und DACH-Region verantwortlich war. Beruflicher Ausgangspunkt war für ihn das Unternehmen Clearswift, das er als Leiter der DACH-Vertriebsregion sowie als Geschäftsführer von 1999 bis 2009 entscheidend mitgeprägt hatte.

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Social Engineering

Social Engineering-Angriffe mit Analytik schneller identifizieren

Social Engineering war für jeden Internetnutzer, sowohl als Einzelperson oder als Teil eines Unternehmens, schon immer eine große Bedrohung. Cyberkriminelle wissen, dass der Mensch selbst das schwächste Glied in der Sicherheitskette ist und setzen verstärkt…
CyberSecurity Radar

Oktober – der Cybersecurity-Monat

Der Oktober ist ein durchaus interessanter Monat. Als „National Cybersecurity Awareness Month“ in den USA und „European Cybersecurity Month“ in, nun, Europa, stehen seine 31 Tage ganz im Zeichen der Cybersicherheit, bevor er dann in der Nacht zum 1. November…
Industrie - Tablet

Stormshield bringt neue Industrie-Firewall auf den Markt

Stormshield erweitert sein Lösungsportfolio mit der Ankündigung der neuen Industrie-Firewall für die Absicherung von OT-Umgebungen, deren Einsatz keiner Änderung der bestehenden Infrastruktur bedarf.

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!