Die sichere Datenwolke

Unternehmen setzen zunehmend auf Multi-Cloudund Hybrid-Cloud-Strategien. Gemäss dem «2019 State of the Cloud Survey» von RightScale sind es bei einer Multi-Cloud-Strategie sogar 84 Prozent. Grosse Treiber sind hier sicherlich Office 365, Azure und Salesforce – um nur einige zu nennen. Die wenigsten Unternehmen nutzen solche Plattformen als reine Cloud-Umgebung, sondern speichern und bearbeiten die Daten auch in ihrer eigenen Infrastruktur. Genau solche hybriden Umgebungen sind eine Herausforderung; insbesondere im Hinblick auf die Data Governance und ihre DSGVO-konforme Behandlung. Zudem wissen Unternehmen oftmals gar nicht, welche Cloud-Services überhaupt im Einsatz sind.

Die Nutzung von Cloud-Plattformen bringt erhebliche betriebliche und wirtschaftliche Vorteile. Jedoch darf die Sicherheit nicht ausser Acht gelassen werden. Dabei geht es in erster Linie um das  Management von Risiken. Cloud Computing (insbesondere Hybrid Cloud) nutzt unter anderem Application Programming Interfaces (APIs), neue Datenflüsse oder auch komplexe  Netzwerkkonfigurationen. Diese Faktoren führen zu neuen Arten von Bedrohungen. Die klassische Absicherung der Netzwerkumgebung reicht dabei nicht aus. Um Multi-Cloud-Umgebungen effektiv abzusichern, ist ein plattformunabhängiger, standardisierter Sicherheitsansatz erforderlich. Hier gilt ein wichtiges Prinzip: die gemeinsame Verantwortung von Provider und Kunde. Bewährt hat sich bei SaaS das Shared-Responsibility-Modell. Der Provider und der Kunde teilen sich dabei die Zuständigkeiten auf, wobei der Provider für den Betrieb sowie die Sicherheit der physischen Umgebung zuständig ist und der Kunde für die logische Umgebung.

Nebst den klassischen Angriffsszenarien sind in Cloud-Umgebungen auch neue Sicherheitsrisiken relevant, die durch die Workload-Portabilität und die Mandantenfähigkeit hervorgerufen werden. Insbesondere Workloads erfordern dabei neue Sicherheitsstrategien, die den sich ständig weiterentwickelnden und wachsenden Bedrohungen gerecht werden. So stellt das einfache Starten und Verschieben von Workloads einen wesentlichen Vorteil der Hybrid Cloud dar, birgt jedoch sicherheitstechnisch grosse Herausforderungen. Traditionelle Sicherheitsansätze stossen hier an ihre Grenzen; nicht zuletzt durch die Nutzung von Containern und Mikroservices. Für Unternehmen, die unter anderem DevOps als Arbeitsmethode einsetzen, kann dies besonders schwierig sein. Sicherheit in einen Ansatz zu integrieren, der sich auf schnelle Entwicklung und Bereitstellung konzentriert, ist eine echte Herausforderung. Viel zu schnell wird dabei die Sicherheit «übersehen», wenn es darum geht, enge Zeitpläne einzuhalten. Der Schlüssel hier lautet DevSecOps und «Defense in Depth Security»: Also mehrschichtige Abwehrmechanismen, um wertvolle Daten und Informationen zu schützen, die den gesamten Lebenszyklus betrachten.

Bei der gemeinsamen Nutzung von Ressourcen in Clouds sind zusätzliche Anforderungen zu beachten. So müssen die Daten der verschiedenen Mandanten getrennt bleiben, auch wenn die IT-Ressourcen wie Speicherkapazitäten und Rechenleistung gemeinsam genutzt werden. Konkret umsetzen lässt sich dies etwa mit einem entsprechend fein gegliederten Berechtigungssystem und einer jeweils getrennten Verschlüsselung. Zudem dürfen sich Verfügbarkeitsprobleme, ein Datenverlust oder Sicherheitsmängel bei einem anderen Mandanten nicht auf das eigene Unternehmen auswirken.

Unternehmen sind also gut beraten, der Informationssicherheit in Cloud-Umgebungen das nötige Gewicht beizumessen. Ein systematischer Sicherheitsansatz ist somit das A und O erfolgreicher Cyber Security. Dabei müssen sowohl das Risikomanagement, der Schutz der Informationen, die Erkennung und Reaktion auf Sicherheitsvorkommnisse als auch die Wiederherstellung und Optimierung berücksichtigt werden. Internationale Standards wie die «ISO 27 000 Familie» oder das NIST Cyber Security Framework bieten anerkannte Modelle für die Errichtung, Umsetzung, Überprüfung und kontinuierliche Verbesserung der eigenen Cyber Resilience. Bei spezifischen Sicherheitsherausforderungen im Zusammenhang mit der Cloud können natürlich auch Technologien unterstützen. So helfen beispielsweise Cloud Access Security Broker (CASB), die unbefugte Nutzung von Cloud-Diensten (Shadow IT) zu identifizieren und zu unterbinden. Somit wird der Zugriff auf nicht genehmigte Cloud-Anwendungen via Policy blockiert und Daten werden vor einer Übermittlung geschützt.

Aber egal, ob in der Cloud oder On-Premise: Heutzutage ist die Erkennung, Analyse und Reaktion auf Cyberattacken genauso wichtig wie technische Sicherheitsmauern. Zur Erkennung möglicher Bedrohungen eignen sich dabei insbesondere Systeme, die das Verhalten der User analysieren. Eine solche Verhaltensanalyse, User and Entity Behavior Analytics (UEBA), erhöht die Sicherheit und reduziert False Positives bei der Erkennung von Sicherheitsbedrohungen. Zudem hilft ein dediziertes CSIRT und ein klar definierter Incident-Response-Plan, die Dauer eines Sicherheitsvorfalls und den dadurch verursachten Schaden zu minimieren sowie den Business Impact drastisch zu reduzieren.

Gleichzeitig werden aber auch die Compliance-Anforderungen immer strenger. Aufgrund der Datenschutz-Grundverordnung (DSGVO) und anderer gesetzlicher Regelungen müssen Unternehmen alle Daten kennen und jederzeit in der Lage sein, jene mit sensiblen und personenbezogenen Informationen zu finden. Um diese Daten effektiv zu schützen und die Compliance-Anforderungen einhalten zu können, müssen Daten zunächst entsprechend klassifiziert werden. Es gilt, diese Klassifizierung in hybriden Cloud-Umgebungen auf lokale Datenspeicher auszuweiten. Es muss aber auch nachgewiesen werden, dass die Koordinationsfähigkeiten zwischen den Clouds gewährleistet und sicher sind. Durch ein Privilegienmodell auf Basis der minimalen Rechtevergabe wird sichergestellt, dass nur die berechtigten Personen Zugriff auf die Daten haben. Der Einbezug der Datenverantwortlichen in den Prozess der Berechtigungsbewirtschaftung (Vergabe, Mutation, Entzug und Prüfung) ist entscheidend und bietet den Vorteil, dass diese genau wissen, wer welchen Zugriff hat.

Da sich die Risikosituation aber laufend verändert, ist die Cyber Resilience keine einmalige Angelegenheit. Unternehmen müssen die aktuelle Bedrohungslage beobachten und entsprechend ihr Sicherheitsdispositiv optimieren sowie kontinuierlich verbessern. Eine gute Cyber Resilience baut auf wichtigen Elementen auf wie Risk Assessments, organisatorischen Audits, System Security Testing, simulierten Cyberattacken und Vulnerability Scans. All dies hilft letztlich, die Cyber Resilience zu stärken sowie den Schutz der Unternehmenswerte – auch im Zeitalter der zunehmenden Digitalisierung und des Einsatzes von Cloud Computing – zielgerichtet und nachhaltig zu verbessern.