Best Practices
In neun Schritten zu mehr Cloud-Sicherheit
Die Corona-Pandemie hat den Übergang in die Cloud in den letzten Monaten stark beschleunigt. Um von deren vielfältigen Vorteilen zu profitieren, muss jedoch auch der Sicherheitsaspekt mitgedacht werden. Neun bewährte Methoden, um mehr Cloud-Sicherheit zu gewährleisten.
Die Covid-19-Krise hat dazu geführt, dass langfristige Migrationsvorhaben in vielen Unternehmen schneller als geplant vorangetrieben wurden – vorrangig, um dem gestiegenen Bedarf an Remote-Arbeit gerecht zu werden, aber auch mit dem Hintergedanken, auf lange Sicht Einsparungen zu realisieren, agiler zu werden und Innovationen voranzutreiben. Dabei darf jedoch der Sicherheitsaspekt nicht vernachlässigt werden. Dies gilt vor allem für das Zugriffsmanagement beziehungsweise Privilege Management, das den Anforderungen der Cloud-Umgebungen in vielen Fällen nicht immer gerecht wird. Tatsache ist, dass mehr als drei Viertel aller Cloud-Breaches (77 Prozent) heutzutage auf kompromittierte Berechtigungsnachweise wie Passwörter oder PINs zurückzuführen sind, wie der aktuelle Verizon Business 2020 Data Breach Investigations Report gezeigt hat.
Folgende neun Best Practices helfen IT-Abteilungen, die Sicherheit ihrer Cloud-Zugriffe zu erhöhen und das Risiko für Datenverstöße und Cyberangriffe auf diese Weise nachhaltig zu reduzieren.
Compliance-Anforderungen mit Cloud-Funktionen abgleichen
Die Erfüllung der Compliance mag vorrangig nicht das oberste Ziel von Cybersicherheitsmaßnahmen sein, dennoch liefern die Richtlinien einen wichtigen Rahmen für den Schutz der Cloud-Ressourcen. Nutzer sollten ihre Privileged Access Management-Policies deshalb konsequent mit den Compliance-Anforderungen abgleichen, die für ihr Unternehmen erforderlich sind. Unabhängig davon, ob sie das Cybersecurity-Framework von NIST, CIS Controls oder andere Sicherheitsstandards befolgen, sollten sie sicherstellen, dass sie Cloud-Schutzmaßnahmen in ihre Richtlinien aufnehmen. Sämtliche PAM-Richtlinien gilt es zu dokumentieren und diese Richtlinien mit allen zu teilen, die mit privilegierten Konten interagieren können.
Ein Cloud Business Office einrichten
Jede Cloud-Migration – egal ob schnell und radikal oder langsam und schrittweise umgesetzt – geht mit zahlreichen Fragen und Herausforderungen einher, sowohl während als auch nach dem Rollout. Eine zentrale Instanz innerhalb des Unternehmens, die Cloud-Aktivitäten beaufsichtigt, Ansprechpartner für jegliche Cloud-Fragen ist und gleichzeitig sicherstellt, dass Unternehmensrichtlinien und behördliche Vorgaben eingehalten werden, kann hier hilfreich sein. Immer mehr Unternehmen entscheiden sich deshalb für die Einrichtung eines sogenannten Cloud Business Office (CBO). Das CBO ist dabei zwar innerhalb der IT-Abteilung angesiedelt, repräsentiert aber eigentlich ein funktions- und abteilungsübergreifendes Team, einschließlich Cloud-Architekten, Cloud Engineers, Entwicklern, Betriebsleitern, Sicherheitsteams, Compliance- beziehungsweise. Risikomanagern etc.
Verantwortlichkeiten für die Cloud-Sicherheit kennen
Für Cloud-Fehlkonfigurationen sowie inkonsistente Kontrollen sind in der Regel die Kunden selbst verantwortlich, eher selten liegt die Schuld bei den Cloud-Anbietern. Amazon Web Services und andere Cloud-Plattformen stellen viele Best-Practice-Leitfäden bezüglich der Einrichtung von Root-Konten für Server, der Konfiguration von S3-Buckets und anderen Einstellungen zur Verfügung. Nutzer sollten sicherstellen, dass sie diese Anleitungen kennen und befolgen sowie regelmäßig Kontrollen durchführen, um sicherzustellen, dass alle Einstellungen korrekt sind.
Die Unternehmen selbst – und nicht der Anbieter – tragen die Verantwortung dafür, dass Zugriffe auf Cloud-basierte Systeme, egal ob durch eine Person oder einen Non-Human-User, angemessen verwaltet und abgesichert werden. Dies beinhaltet kritische Anwendungen oder Datenbanken, die in der Cloud gespeichert sind, Cloud-Plattformen für die Anwendungsentwicklung aber auch Tools, die von Teams, aber auch Drittanbietern eingesetzt werden. Für Cloud-Zugriff müssen dieselben PAM-Prozessen gelten wie für On-premises-Zugriffe.
Granulare Kontrollen über alle Arten von Cloud-Plattformen hinweg implementieren
Beim Umsetzen umfassender granularer Cloud-Zugriffskontrolle scheitert der Großteil der Unternehmen nach wie vor. Zwar richten IT-Abteilungen immer öfter flächendeckende rollenbasierte Zugriffskontrollen (RBAC) für Cloud-Infrastrukturen wie AWS oder Azure ein, vernachlässigen dabei jedoch meist die verschiedenen Zugriffsebenen, die mit Webanwendungen verbunden sind. Helfen können hier PAM-Tools, die speziell für die Cloud designt wurden, und den Security-Verantwortlichen volle Kontrolle darüber geben, was die User innerhalb der verschiedenen Cloud-Plattformen, einschließlich Datenbanken und Webanwendungen, sehen und tun können.
- In neun Schritten zu mehr Cloud-Sicherheit
- Der Cloud-Status im stetigen Wandel
Lesen Sie mehr zum Thema
