Cloud Security
Cloud-Anwendungen haben viele Vorteile - wenn sie sicher sind
Cloud-Anwendungen ermöglichen effizienteres Arbeiten, leichtere Administration und können auch aus wirtschaftlicher Sicht viele Vorteile bieten. Die Nutzung von Cloud-Angeboten fordert allerdings dedizierte Security-Konzepte.
Cloud ist gut, eine sichere Cloud ist noch besser. Während es sich einige wenige Unternehmen leisten, eine private Cloud aufzubauen, bei der sie die uneingeschränkte Kontrolle über Anwendungen, Speicher und Netzwerk haben, bedienen sich die meisten Unternehmen an Cloud-Angeboten, die von Cloud-Providern über das öffentliche Internet zur Verfügung gestellt werden. Für Cloud-Application-Services wird für das Jahr 2017 ein Wachstum um 20,1 Prozent auf über 46 Milliarden Dollar weltweit prognostiziert (Gartner). Doch Cloud-Angebote und SaaS (Software-as-a-Service)-Anwendungen können das Gefahrenpotenzial erhöhen. Beispielsweise können Datenverluste oder Manipulationsversuche durch Hacker und Cyberkriminelle bei Cloud-Anwendungen deutlich höher sein, da potenzielle Angriffspunkte im Gegensatz zur IT im eigenen Rechenzentrum höher sind. Um die Vorzüge von Cloud-Angeboten voll auszuschöpfen, ist ein geplantes und strategisches Vorgehen in Verbindung mit geeigneten Security- und Controlling-Maßnahmen bereits im Vorfeld der Nutzung wichtig.
Erster Schritt: Gefahrenanalyse
Unternehmen nutzen die Cloud oft und vielfältig. Weit verbreitete Anwendungsbeispiele sind Office 365 oder auch SalesForce. Aber auch Spezialapplikationen für Konstruktionen, Finanzabteilungen oder im Bereich der Human Resources liegen im Trend. Derartige Kernanwendungen lassen sich mit geeigneten Maßnahmen gut gegen Angriffe schützen, da sie geplant und mit entsprechenden Security-Maßnahmen zum Einsatz kommen. Wesentlich höher ist das Gefahrenpotenzial in der Cloud durch die weit verbreitete Schatten-IT. Einzelne Mitarbeiter oder Abteilungen nutzen öffentliche Cloud-Angebote, ohne diese zuvor mit der zentralen IT im Unternehmen zu besprechen. Dazu gehören beispielsweise File-Sharing-Produkte, mit denen sehr bequem Daten unter Mitarbeitern oder zwischen Geschäftspartnern ausgetauscht werden – leider oftmals mit völlig ungesicherten Datentransfers. Eine weitere Gefahrensituation ergibt sich in Unternehmen, die mit mobilen Geräten arbeiten. Eine Vielfalt an Apps sind auf Smartphones oder Tablets installiert und entziehen sich ohne geeignete Managementsysteme und Schutzmaßnahmen der Kontrolle und Sicherung durch die zentrale IT. Diese unkontrollierte Nutzung eröffnet Hackern ungeahnte Türen ins Unternehmen.
Um das Gefahrenpotenzial unternehmensweit zu qualifizieren, sollte ein Proof of Concept (POC) durchgeführt werden. Mit Hilfe von CASB (Cloud Access Security Broker)-Lösungen, die über eine Zeitspanne von rund 30 Tagen transparent in das Netzwerk eines Unternehmens eingebunden werden, lässt sich sehr leicht herausfinden, welche unautorisierten Cloud-Anwendungen von den Mitarbeitern zusätzlich zu den offiziell zur Verfügung gestellten Applikationen genutzt werden. Die Erfahrung hat gezeigt, dass bei einem POC weitaus mehr Cloud-Applikationen genutzt werden, die unter Security-Gesichtspunkten eine ernste Gefahr darstellen. Darunter befinden sich vielfach Consumer-Anwendungen, die Mitarbeiter aus ihrem privaten Umfeld kennen, die jedoch keinerlei Security-Standards für den geschäftlichen Bereich erfüllen.
Nach dem POC werden die die gesammelten Daten ausgewertet und die gefundenen Cloud-Anwendungen hinsichtlich ihrer Sicherheit und Unternehmensanforderungen bewertet. Erst dann kann eine Liste an Applikationen erstellt werden, die als sicher gelten und zusätzlich zu den Cloud-Kernanwendungen von Mitarbeitern genutzt werden dürfen. In den meisten Fällen ist die Liste der sicheren Apps deutlich kürzer als die im POC gefundenen Cloud-Applikationen. Gemäß der Security-Strategie werden anschließend Applikationen, die besonderes Gefahrenpotenzial bergen und nicht mit den Security-Standards des Unternehmens vereinbar sind, über die Security Gateways gesperrt. Dasselbe Vorgehen gilt bei mobilen Geräten, die über ein Mobile Device Management (MDM)-System gegen unerwünschte Apps und Gefahren abgeschirmt werden.
Bei der Definition der Cloud-Zusatzapplikationen sollten jedoch die Mitarbeiter im Unternehmen einbezogen und sensibilisiert werden. Ein schlichtes Verbot und das technische Unterbinden von frei zugänglichen Cloud-Applikationen kann dazu führen, dass Mitarbeiter neue Wege und Anwendungen finden, ihre Arbeit mit ungeeigneten Tools zu verrichten. Die Einbeziehung und das Verständnis der Mitarbeiter sind neben technischen Security-Maßnahmen enorm wichtig, um die Security in der Cloud zu erhöhen.
- Cloud-Anwendungen haben viele Vorteile - wenn sie sicher sind
- Sechs Schritte zur sicheren Nutzung der Cloud
Lesen Sie mehr zum Thema
