Anzeige

Cloud Security

Die Cloud ist dank ihrer Flexibilität und Kapazität im Vergleich zu herkömmlichen Rechen- und Speichermethoden mittlerweile ein wichtiges Standbein für viele Unternehmen geworden. Doch wie bei herkömmlichen Speicher- und File-Sharing-Methoden entstehen auch durch die Cloud spezifische Datensicherheitsprobleme.

Ein pragmatischer, datenzentrierter Ansatz kann den Weg in die Wolke jedoch übersichtlich umsetzbar machen. Im Folgenden ein 7-stufiges Framework für ein effektives Cloud-Security-Programm.

1. Sicherung der Endpunkte, die Zugriff auf Cloud-Anwendungen haben

Cloud-Anwendungen befinden sich außerhalb der IT-Umgebung eines Unternehmens und damit auch außerhalb des Schutzes, den viele netzwerk- oder perimeterbasierte Sicherheitstechnologien bieten. Bevor Unternehmen Cloud-Services nutzen, ist es wichtig, die Geräte zu sichern, die für den Zugriff auf die Cloud verwendet werden. Diese Endpunkte sollten durch Sicherheitstechnologien wie Data Loss Prevention (DLP) mit Kontrollen für die Datenexfiltration, End-to-End-Verschlüsselung und den sicheren Zugriff geschützt werden. Auf diese Weise wird der unbefugte Upload sensibler Daten in die Cloud verhindert und sichergestellt, dass Daten vor dem Hochladen verschlüsselt werden.

Daten sollten in der Cloud verschlüsselt bleiben und nur dann entschlüsselt werden, wenn sie das Gerät eines autorisierten Benutzers erreicht haben. Sobald Daten in die Cloud gelangen, befinden sie sich nicht mehr unter der direkten Kontrolle des Unternehmens. Daher ist die Verschlüsselung sensibler Daten und die Verhinderung des Hochladens bestimmter Datentypen grundlegend, um unternehmenskritische Informationen vor Cyberkriminellen zu schützen.

2. Überwachung des Zugriffs auf Cloud-Daten und -Dienste

Auch die Transparenz des Datenzugriffs und deren Verwendung ist entscheidend für die effektive Daten-Security in der Cloud. Neben der Sicherung der Endpunkte, die für den Zugriff auf Cloud-Daten verwendet werden, müssen Unternehmen dafür sorgen, dass sie einen Überblick darüber haben, wer auf die Cloud zugreift und welche Daten dort hoch- oder heruntergeladen werden. Diese Transparenz erhöht die Effektivität der Endpunkt-Sicherheitskontrollen und ermöglicht es dem Sicherheitsteam, riskantes oder verdächtiges Verhalten im Zusammenhang mit Cloud-Daten schnell zu erkennen und darauf zu reagieren.

3. Nutzung von Cloud-APIs zur Ausweitung der Datensicherheit

Wenn ein Unternehmen die Nutzung von Cloud-basierten E-Mail-Services oder Storage-Dienste wie Box oder Dropbox zulässt, sollte es die APIs der Anbieter nutzen, um bestehende Datensicherheitsmaßnahmen auf diese Plattformen auszuweiten. Auf diese Weise kann die Transparenz des Cloud-Datenzugriffs optimiert und eine bessere Kontrolle durch Verschlüsselung oder Zugriffsmanagement über Daten in der Cloud ermöglicht werden. Viele Netzwerksicherheitsgeräte bieten Cloud-Integrationen über APIs an. Unternehmen sollten daher ihren Provider fragen, mit welchen Cloud-Plattformen sie integriert sind, und die Vorteile dieser Funktionen nutzen, sofern verfügbar.

4. Sicherung der Cloud-Anwendungen

Neben Endpunkten und Netzwerken hängt die Cloud-Security auch von der Sicherheit der in der Cloud laufenden Anwendungen ab. Viel zu oft tritt die Sicherheit bei der Entwicklung von Cloud-Applikationen in den Hintergrund, insbesondere bei Cloud-Apps, die von einzelnen Entwicklern oder kleinen Teams erstellt werden.

Unternehmen sollten deshalb ihre Cloud-Anwendungen auf häufig ausgenutzte Sicherheitsschwachstellen testen und Drittanbieter von Cloud-Applikationen auffordern, ihnen die Ergebnisse von Anwendungssicherheitstests (wie statische oder dynamische Analysen oder Penetrationstests) mitzuteilen. Alle Schwachstellen, die beim Testen von Anwendungen entdeckt werden, sollten vor der Verwendung der Apps sicher gepatcht werden.

5. Implementierung von Richtlinien und Kontrollen für BYODs

Wenn Unternehmen den Zugriff auf Cloud-Daten über mitarbeitereigene mobile Geräte (Laptops, Smartphones oder Tablets) zulassen möchten, ist es unbedingt erforderlich, dass sie zunächst eine BYOD-Richtlinie erstellen und Kontrollen implementieren, um den ordnungsgemäßen Datenzugriff durch BYOD-User durchzusetzen. Unternehmen sollten die Verwendung von Zwei-Faktor-Authentifizierung, End-to-End-Verschlüsselung und MDM-Software (Mobile Device Management) erwägen, um die BYOD-Nutzung in der Cloud zu sichern. Die Zwei-Faktor-Authentifizierung hilft, unbefugten Zugriff zu verhindern, während die Verschlüsselung sicherstellt, dass sensible Cloud-Daten, auf die BYOD-Benutzer zugreifen, nur für autorisierte Personen sichtbar sind. Die Verwaltungssoftware für mobile Geräte ist eine gute letzte Verteidigungslinie, wenn ein Gerät verloren geht oder gestohlen wird, da MDM es IT-Abteilungen ermöglicht, den Zugriff auf BYODs einzuschränken oder bei Bedarf die Daten auf dem Gerät aus der Ferne zu löschen.

6. Regelmäßige Backups der Cloud-Daten

Da Cloud-Anbieter und -Anwendungen zunehmend im Visier von Cyber-Angriffen stehen, müssen sich Unternehmen auf das Worst-Case-Szenario einstellen: den permanenten Verlust von Cloud-basierten Daten. Obwohl dies nicht vor Konsequenzen wie finanziellen Verlusten oder rechtlichen Sanktionen schützt, stellt die Durchführung regelmäßiger Backups zumindest sicher, dass alle kritischen Daten wiederhergestellt werden können, die bei einem Cloud-Datenverstoß, einem Ransomware-Angriff oder einer destruktiven Malware-Infektion verloren gehen.

7. Sicherheitsschulungen der Mitarbeiter

Unabhängig davon, wie sicher Endgeräte, Anwendungen und Netzwerkverbindungen sind, hängt deren Sicherheit auch von den Mitarbeitern ab, die sie nutzen. Social-Engineering-Taktiken wie Spear-Phishing gehören nach wie vor zu den häufigsten, einfachsten und erfolgreichsten Methoden von Cyberkriminellen. Regelmäßige Schulungen sind entscheidend, um sicherzustellen, dass Mitarbeiter Social-Engineering-Angriffe effektiv erkennen und sichere Web-Gewohnheiten aufbauen können. Unternehmen sollten deshalb regelmäßig simulierte Social-Engineering-Angriffe durchführen, um die Fähigkeit ihrer Mitarbeiter zu testen, Schwachstellen zu erkennen und zu beseitigen.

Dank der zahlreichen Vorteile wird die Cloud-Migration auch zukünftig weiter steigen – jedoch damit auch die Sicherheitsbedrohungen. Durch die oben genannten Sicherheitsschritte, bestehend aus datenzentrierten Technologien und Security Best Practices, können Unternehmen ihre Daten in der Wolke jedoch effektiv vor Angreifern schützen.

Christoph M. Kumpa, Director DACH & EE
Christoph M. Kumpa
Director DACH & EE, Digital Guardian

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Artikel zu diesem Thema

Hacked
Jul 31, 2020

Cyberangriffe auf Unternehmen und Behörden in Österreich

Die Sicherheitsexperten des Cybersecurity-Unternehmens Proofpoint konnten im April dieses…
BYOD
Jul 21, 2020

BYOD-Sicherheitsmaßnahmen sind oft unzureichend

Cloud-Sicherheitsanbieter Bitglass hat seinen BYOD Report 2020 veröffentlicht, in dem die…
Cloud Computing
Jun 30, 2020

Wie sich Daten in Cloudanwendungen sichern lassen

Die Sicherheit von Cloudanwendungen wird maßgeblich definiert durch die Sicherheit der…

Weitere Artikel

Cyber Crime

Cybersicherheit im Jahr 2020

Jedes Jahr erstellt Cybersecurity-Hersteller Stormshield eine Analyse der Tendenzen, die sich für das angebrochene Jahr abzeichnen. Auf den Prüfstand werden selbst schwache Angriffssignale aus dem Vorjahr gestellt, die jüngsten Branchenanalysen und die…
Cloud Security

Peer-to-Peer-Austausch von Threat Intelligence in der Cloud

Ab sofort bietet der Cloud-Security-Spezialist Netskope mit Cloud Threat Exchange (CTE) eine Cloud-basierte Lösung für die Erfassung, Verfolgung und den Austausch von Bedrohungsdaten in Echtzeit an.
Cloud Security

Auswirkungen von „as a Service“ auf die Cybersicherheit

Auf die eine oder andere Art haben praktisch alle Unternehmen Berührungspunkte mit der Cloud, selbst wenn es vielen nicht unbedingt direkt bewusst sein mag. Je nach Art und Umfang der Cloud-Nutzung entstehen dadurch direkte Folgen für die Cybersicherheit, die…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!