Anzeige

Cloud Computing

Es gibt kein Geheimrezept für die richtige Cloud-Sicherheit. Aber konvergente Plattformen und ein Daten-zentrierter Ansatz minimieren die Risiken erfolgreicher Cyber-Angriffe deutlich wirkungsvoller als individuelle Lösungen.

Mehr Firmen denn je nutzen Multicloud-Umgebungen, um die steigende Anzahl an Workloads zu bewältigen und immer mehr Software-as-a-Service-Anwendungen für ihre Kernprozesse zu verwalten. Diese Entwicklung rückt das Thema Cloud-Sicherheit deutlich in den Vordergrund.

Mit der Cloud steigen aber auch die Anforderungen an die IT-Sicherheit. Es mag bisher gereicht haben, eine Schutzmauer um die On-premise-IT-Umgebung hochzuziehen. In der Cloud aber geht das natürlich nicht mehr. Hier benötigen Unternehmen ein viel umfassenderes Sicherheitskonzept.

Tatsächlich sind manche IT-Administratoren der Meinung, einfache Sicherheitsmaßnahmen seien in der Cloud ausreichend. Im letzten Jahr ist es beispielsweise einer Hackerin gelungen, sich über eine fehlkonfigurierte Web-Application-Firewall Zugriff auf 100 Millionen Kundenkonten und Kreditkartenanträge des Finanzdienstleisters Capital One zu verschaffen. Offensichtlich müssen selbst die größten Unternehmen noch etwas dazulernen. Mit den folgenden Schritten können sie die Sicherheit in der Cloud verbessern:

1. Einen einheitlichen Sprachgebrauch festlegen

In Unternehmen sollten die IT-Entscheider und die IT-Abteilung eine einheitliche Sichtweise zu den Themen Infrastruktursicherheit und Informationsschutz haben, die auch Cloud-Umgebungen berücksichtigt. Ein einheitlicher Sprachgebrauch und eine klar definierte Terminologie erleichtern Diskussionen über Cloud- und Datensicherheit und sind der erste Schritt in Richtung eines gemeinsamen Verständnisses im Unternehmen.

Fortlaufende Schulungen spielen ebenso eine wichtige Rolle. Gut geschulte Mitarbeiter und Anwender sind das A und O eines Sicherheitskonzepts. Sie sind die erste und möglicherweise auch letzte Verteidigungslinie. Das Bewusstsein, dass jeder einzelne eine Rolle bei der Sicherheit spielt, muss auf jeden Fall geschärft werden.

2. Tools und Services konsolidieren

Verständlicherweise wollen CISOs die Anzahl an unterschiedlichen Tools im Unternehmen reduzieren. Dem Wunsch steht eine förmliche Explosion an Tools und Services auf Cloud-Entwicklungsseite gegenüber. Eine Vielzahl davon wird zwar als Managed Services genutzt, belastet allerdings Ressourcen und kann zusätzliche Risiken verursachen.

CISOs versuchen daher immer, individuelle Lösungen durch integrierte und konvergente Sicherheitsplattform-Lösungen zu ersetzen, die folgende Bereiche abdecken sollten:

  • Data Loss Prevention (DLP)
  • Endpoint Protection
  • Netzwerk-Sicherheit (Firewall-as-a-Service und Secure SD-WAN)
  • Cloud-Sicherheit (Cloud Access Security Broker – CASB – und Cloud Security Posture Management – CSPM – bei der Verteilung von eigenem Code)

Konvergente Sicherheitsplattformen ermöglichen die Bereitstellung konsistenter Richtlinien über sämtliche Ebenen und Standorte eines Unternehmens hinweg. Sie vereinfachen das Sicherheits-Management, bieten Sichtbarkeit auf der Datenfluß-Ebene quer über den gesamten Betrieb (vom Endpoint über das Netzwerk bis zur Cloud) sowie die Möglichkeit, Updates in Echtzeit zu installieren. Zusätzlich können die Richtlinien dann schnelle Änderungen innerhalb des Unternehmens oder des Gesetzgebers aufgreifen. Für die meisten CISOs und Datenschutzbeauftragte ist es ein Muss, sich darauf vorzubereiten.

Cloud-Sicherheit umfasst Lösungen für eine wachsende Anzahl an Anforderungen. Dazu gehören DLP, Web-Sicherheit, CASB und Next-Generation-Firewalls. Diese Lösungen sollten durch Verhaltensanalysen ergänzt werden: damit können Benutzerzugriffe besser gesteuert werden, zumal bei dynamischen und verteilten Systemen. Indicators of Behavior (IoBs) helfen zudem festzustellen, wie Benutzer mit Firmendaten, Systemen oder Apps interagieren.

Aus diesem Grund werden konvergente Dienste bei der Cloud-Sicherheit eingesetzt. Sie sind wichtig, um die Tools für maximale Effizienz zu konsolidieren und die operative Last zu reduzieren.

3. Eine Daten-zentrierte Sicht einnehmen

Die Cloud ist wegen ihrer zahlreichen Vorteile weiter auf dem Vormarsch: Unternehmen gewinnen in Bezug auf Kosten und Effizienz, während Arbeitnehmer mehr Flexibilität genießen und ihrer Tätigkeit überall nachgehen können.

Die Cloud zu nutzen, bedeutet auch, dass Unternehmensdaten sich dynamischer zwischen Nutzern, Apps und Cloud-Umgebungen bewegen. Daraus resultiert die Notwendigkeit eines Daten-zentrierten Ansatzes bei Sicherheitsprotokollen. Bei der Entscheidung, Workloads zu migrieren oder neue Cloud-Anwendungen zu nutzen, ist eine klare Strategie in Sachen Cloud-Sicherheit und Informationsschutz wichtig. Sonst wird es schwierig, entsprechende Rechte und Richtlinien festzulegen.

Auch das Testen von Sicherheits-Frameworks muss angepasst werden. In der Vergangenheit hat es vielleicht ausgereicht, einmal im Monat einen Penetrationstest auszuführen. Häufige und schnelle Änderungen an cloudbasierten Apps verlangen jedoch nach einer vermehrten Überprüfung von Schwachstellen und Angriffsflächen.

Für die richtige Cloud-Sicherheit gibt es kein Geheimrezept – aber ein umfassender Ansatz bietet einen besseren Schutz. Cyber-Hygiene bleibt nach wie vor notwendig und es ist empfehlenswert, ein Unternehmen aus der Datenschutzperspektive zu betrachten. Sowohl die Implementierung von DLP und Verhaltensanalysen als auch eine gemeinsame Terminologie in Bezug auf Cloud-Sicherheit stellen wichtige Schutzmechanismen dar.

Nicolas Fischbach, Chief Technology Officer
Nicolas Fischbach
Chief Technology Officer, Forcepoint

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

VPN

Worauf kommt es bei einem VPN-Dienst an?

Vieles spricht dafür, einen VPN-Dienst zu buchen. Viele User nutzen ihn, um sicherer im Internet zu surfen. Andere wollen Geo-Blocking umgehen und wieder andere wollen damit Datenkraken entgehen. Die Auswahl an Anbietern ist groß. Doch was ist wirklich…
Schwachstelle

Die vier Mythen des Schwachstellen-Managements

Schwachstellen-Management hilft, Software-Lecks auf Endpoints zu erkennen und abzudichten. Viele Unternehmen verzichten jedoch auf den Einsatz, weil sie die Lösungen für zu teuer oder schlicht überflüssig halten – schließlich wird regelmäßig manuell gepatcht.
Zoom

Zoom: So lässt sich die E2E-Verschlüsselung aktivieren

Seit kurzem bietet Zoom eine Ende-zu-Ende (E2E) Verschlüsselung an. Das Feature stand lange auf der Wunschliste zahlreicher Nutzer, die immer wieder das Fehlen einer Verschlüsselung moniert hatten.
Security

Die Nutzung sicherer Kennwörter ist nicht genug

Dass Unternehmen verstärkt versuchen, ihre Infrastruktur und ihre Mitarbeiter bestmöglich abzusichern, verwundert angesichts der sich rapide verschärfenden Bedrohungssituation in Sachen IT-Sicherheit kaum. Auch um regulatorischen Vorgaben wie der DSGVO…
Security Schild

Zero Trust

Der Begriff „Zero Trust“ zeigt in aktuellen Studien, Marktanalysen, IT-Sicherheitsstrategien und Fachbeiträgen eine gewisse Dauerpräsenz. Ob es nun das „Zero Trust Maturity Model“ ist, ein „Zero Trust Network Access (ZTNA)“ oder das „Continous Adaptive Risk…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!