Cloud Security
Spagat zwischen Sicherheit und Compliance meistern
Fortsetzung des Artikels von Teil 1
Den Status feststellen
Nachdem die Anforderungen ermittelt wurden, folgt die Analyse des aktuellen Security-Status. In hybriden Cloud-Infrastrukturen bedeutet das, zu prüfen, welche bestehenden Sicherheitsmaßnahmen sich auf die Cloud erweitern lassen. Sinnvoll ist es außerdem, eine Übersicht der genutzten Cloud-Anwendungen zu erstellen, insbesondere zur Erfassung und Regulierung der Schatten-IT. Denn in vielen Unternehmen nutzen Fachabteilungen ohne Wissen der IT bereits Cloud-Services, um ihre Aufgaben schneller und effizienter zu erledigen. Da diese jedoch in der Regel nicht durch die eingesetzten Security-Maßnahmen des Unternehmens abgesichert sind, lauern hier erhebliche Sicherheitsgefahren.
Wer Platform as a Service (PaaS) oder Software as a Service (SaaS) nutzen möchte, sollte folgende Bereiche prüfen: Identitäts-, Lifecycle-, Access-, Schlüssel- und Log- Management, Cloud-Anti-Malware, Container- und Datenverschlüsselung, Audit und Compliance sowie Data Loss Prevention. Bei Infrastructure as a Service (IaaS) kommen außerdem Netzwerksicherheit, DDoS-Schutz, Schwachstellen-Management, Load Balancing und Web Application Firewall hinzu.
Risiken einschätzen
Neben der Ermittlung von Security- und Compliance-Anforderungen müssen Unternehmen auch das Risiko einer Cloud-Nutzung analysieren. Wer darf auf welche Dienste für welche Zwecke zugreifen? Was kann im schlimmsten Fall geschehen, wenn die Identifizierungs- und Authentifizierungsmaßnahmen umgangen werden?
Um zuverlässige Aussagen über die Gefahren der Cloud-Nutzung zu erhalten, sind Risiko-Assessments sinnvoll. Diese bewerten für jeden neuen digitalen Service das Sicherheitsrisiko in Abhängigkeit von der genutzten Cloud-Plattform, bevor der Service produktiv
geschaltet wird. Auf dieser Basis lässt sich entscheiden, wie mit den festgestellten Risiken umgegangen wird – ob zum Beispiel eine andere Cloud-Plattform verwendet oder der Service doch besser in der eigenen Umgebung aufgebaut wird. Zusätzlich sollten Unternehmen bestehende Services einer regelmäßigen Risikoanalyse unterziehen oder idealerweise Konzepte implementieren, die eine Risikobewertung in Echtzeit ermöglichen.
Inzwischen setzen fast alle großen Provider umfassende und zuverlässige Sicherheitsmaßnahmen für ihre Dienste ein. Dennoch lohnt sich ein Blick ins Kleingedruckte, insbesondere bei speziellen Anforderungen wie etwa einer Datenspeicherung in Deutschland aufgrund entsprechender Compliance-Anforderungen. Dies kann zum Beispiel bei sensiblen Daten von Behörden oder Finanzdienstleistern gefordert sein. Auch die Einhaltung verschiedener Sicherheitsstandards wie ISO 27018 oder des Cloud Security Alliance Frameworks sollte sicherheitshalber bei jedem potenziellen oder aktuellen Cloud-Partner angefragt werden. Natürlich dürfen Sicherheitsmaßnahmen weder die Flexibilität der Cloud-Plattformen noch deren einfache Benutzung oder die Performance beeinflussen. Die gute Nachricht ist, dass sich diese Anforderung leicht erfüllen lässt und Unternehmen dazu sogar bereits bestehende Sicherheitskonzepte und -lösungen in der Cloud weiter nutzen können. Sie müssen meist nur um den „Faktor Cloud“ ergänzt werden. Die Maßnahmen können durch integrierte Cloud-Services erweitert werden, um Funktionen wie automatische Reaktionsfähigkeiten auf Vorfälle oder selbstständiges Entdecken und Melden von Anomalien zu optimieren. Auch ein flexibles Lizenzmanagement sowie eine eigenständige Auditierung und Compliance sind aufgrund der zunehmenden Komplexität und Skalierbarkeit wichtig.
Dies gilt nicht nur für die technischen Lösungen, sondern auch für die Mitarbeiter. So wird das bestehende Know-how des IT-Betriebs durch Cloud-Wissen erweitert. Ergänzend dazu finden neue Sicherheitskonzepte, die die Automatisierung und Orchestrierung von Sicherheit in den Vordergrund rücken, immer mehr Anklang. Teilweise werden damit alte Sicherheitsdisziplinen, wie der Prozess des Schwachstellen-Managements, vollständig abgelöst.
Die Sicherheitsanforderungen an Cloud-Infrastrukturen ändern sich im Vergleich zu klassischer Office-IT kaum. Mit einem Hybrid-Cloud-Ansatz sind Unternehmen bestens aufgestellt, dieser ermöglicht ihnen eine sanfte Migration hin zu Cloud-Services.
Hauke Moritz ist Lead Consultant Cloud Security bei Computacenter
- Spagat zwischen Sicherheit und Compliance meistern
- Den Status feststellen
- Expertenkommentar: DSGVO geht alle etwas an
- Checkliste: Schritt für Schritt zur Hybrid-Cloud-Security
Lesen Sie mehr zum Thema
