Multicloud-Umgebungen: Fünf Tipps für Datensicherheit

Die richtige Cloudstrategie ist ein Wettberwerbskriterim

Von unserem Gastautor Michael Scheffler, Regional Director CEEU, Bitglass

[datensicherheit.de, 07.03.2019] Die Vielzahl an Cloudservices eröffnet zahlreiche Möglichkeiten, einzelne Geschäftsprozesse zu optimieren. Die richtige Cloudstrategie hat sich damit längst zu einem Wettbewerbskriterium entwickelt. Viele Unternehmen setzen auf eine Multicloud-Strategie, um bei eventuellen Ausfällen den Geschäftsbetrieb aufrecht erhalten zu können und nicht von nur einem Anbieter abhängig zu sein. Die Nutzung von Cloudservices sollte umfassend geplant werden. Bei lediglich punktuellen Migrationen einzelner Prozesse besteht das Risiko, dass das Optimierungspotential nicht vollständig genutzt wird. Doch neben dem Faktor Performance hat auch die Datensicherheit mittlerweile geschäftskritische Relevanz erreicht. Regulatorische Standards sollten daher frühzeitig in das Multicloud-Konzept einfließen, die Auswahl der Anbieter mitbestimmen und durch geeignete Sicherheitsmaßnahmen flankiert werden.

Foto: Bitglass

Michael Scheffler, Regional Director CEEU, Bitglass

Vielfältige Gründe für die Auswahl von Cloud-Tools für eine Multicloud-Strategie

Die Gründe, die bei der Auswahl von Cloud-Tools für eine Multicloud-Strategie sprechen, sind vielfältig: Werden Services von mehreren Cloud Service-Providern genutzt, lassen sich Kosten einsparen, das Risiko von Anwendungsausfällen reduzieren und bestimmte Datenarten entsprechend regulatorischer Vorgaben innerhalb nationaler Grenzen speichern. Weiterhin legen viele Unternehmen Wert darauf, die jeweils am besten geeigneten Plattformen für bestimmte Prozesse zu wählen, Skalierbarkeit sicherzustellen und nicht ausschließlich von einem Anbieter abhängig zu sein. Da Multicloud-Umgebungen eine größere Angriffsfläche für verschiedene Bedrohungen darstellen, gestaltet sich auch die Entwicklung einer geeigneten IT-Sicherheitsstrategie deutlich komplexer. Damit potenzielle Sicherheitslücken gar nicht erst entstehen, sollte eine übergreifende Top-Down-Securitystrategie implementiert werden. Um eine Multicloud-Umgebung erfolgreich zu verwalten und sicherzustellen, dass jederzeit ein einheitlicher Sicherheitsstatus gewährleistet ist, sollte zunächst überprüft werden, wie Daten, Anwendungen und Workflows zwischen Cloud-Diensten und den verbundenen Geräten zusammenhängen. So kann ermittelt werden, welche Maßnahmen erforderlich sind, um die Sicherheit der Daten gewährleisten zu können.

Die folgenden fünf Tipps können Unternehmen dabei unterstützen, eine Sicherheitsstrategie zu entwickeln, die potenziellen Herausforderungen von Multicloud-Umgebungen gewachsen ist:

1. Kontrolle über alle Unternehmensdaten gewinnen
   Im Gegensatz zu reinen On-Premise-Umgebungen stellt die Cloud unmittelbar dort Daten zur Verfügung, wo sie gebraucht werden – an mehreren Standorten, für verschiedene Benutzer, Anwendungen und Geräte. Darüber hinaus werden sich die Arbeitsabläufe dynamisch weiterentwickeln, je nachdem, wie sich Anwendungen oder Anforderungen der Endbenutzer ändern. Die Fähigkeit, Einblick in jede Cloud-Instanz zu haben, ist daher von entscheidender Bedeutung, um ungewöhnliche Verhaltensweisen zu identifizieren und den Datenverkehr während des Betriebs im Netzwerk zu überwachen.
   Mit der Einführung weiterer Cloud-Dienste wird die Überwachung dieser Datenströme exponentiell schwieriger, aber auch unerlässlich. Unternehmen müssen darauf vertrauen können, dass sie Geräte und Daten – in einer sich ständig verändernden Umgebung – verfolgen, Richtlinien anwenden und pflegen können, wenn sich die Dinge im Laufe der Zeit ändern.Wichtige Fähigkeiten in diesem Zusammenhang sind:
   • Anwendungsübergreifende Aktivitätsprotokolle: Diese geben einen umfassenden Überblick aller Benutzer- und Dateiaktivitäten, erleichtern IT-Audits und eine Gesamteinschätzung der Datenintegrität.
   • Verschlüsselung: Verschlüsselungsfunktionen sollten sowohl auf Daten- als auch Dateiebene erfolgen. Damit die Workflows von Anwendern nicht beeinträchtigt werden, sollte die Verschlüsselungssoftware auch Funktionen wie Suchen und Sortieren bieten.
   • Kontrolle über Schatten-IT: Nicht verwaltete Anwendungen, durch die Daten verloren gehen könnten, müssen ermittelt und unter Kontrolle gebracht werden.
2. Geeignete Identitäts- und Autorisierungskontrollen nutzen
   Viele Unternehmen machen den Fehler, davon auszugehen, dass die Sicherheit bei der Ausführung ihrer Workloads in der Cloud in der alleinigen Verantwortung des Cloud-Anbieters liegt. Während Cloud-Provider für die Bereitstellung bestimmter Sicherheits- und Datenschutzniveaus in ihren Angeboten verantwortlich sind, liegt die Verantwortung für die Kontrolle, wer auf diese Daten zugreifen darf, beim Unternehmen.
   Dies bedeutet, dass das Unternehmen über geeignete Tools verfügen muss, um sich vor Bedrohungen wie kompromittierten Anmeldeinformationen und bösartigen Insidern zu schützen. Folglich müssen Unternehmen wissen, wo sich ihre Daten befinden, wohin sie gehen und wer berechtigt ist, auf sie zuzugreifen. Mit robusten Authentifizierungsfunktionen legen Unternehmen einen wichtigen Grundstein für ihre IT-Sicherheit.Erforderliche Kontrollmechanismen zur Unterstützung der oben genannten Punkte sind:
   • Verhinderung der Datenexfiltration von einem genehmigten – zu einem nicht genehmigten Cloud-Service.
   • Authentifizierung von Benutzern in allen Cloud-Anwendungen.
   • Erkennung von Anomalien bei der Benutzeranmeldung.
3. Datenschutz während der Übertragung und im Ruhezustand
   Um Datenverlust in Multicloud-Umgebungen vorzubeugen, benötigen Unternehmen leistungsstarke, Cloud-basierte Tools, die die Kontrolle über den Datenzugriff ermöglichen, das Online-Verhalten der Benutzer in Echtzeit überwachen, den Zugriff von nicht-verwalteten Endgeräte regeln und die Dateifreigabe steuern können.Folgende Funktionen sollten die Sicherheitstools bieten:
   • Unterscheidung zwischen persönlichen und geschäftlichen Instanzen von Cloud-Anwendungen und entsprechende Durchsetzung verschiedener Richtlinien.
   • Kontextabhängige Zugriffssteuerung: Für den Zugriff auf Dateien müssen neben den Anmeldeinformationen weitere Parameter, wie unter anderem die Position im Unternehmen, der Standort und das Gerät des Nutzers herangezogen werden, um sicherzustellen, dass sensible Informationen für Unbefugte nicht zugänglich sind.
   • Data Loss Prevention (DLP): DLP-Funktionen wie Digital Rights Management, die zum Beispiel für die Anzeige von bestimmten Dokumenten Anmeldeinformationen erfordern oder lediglich schreibgeschützten Zugriff gestatten, helfen, das Datenverlustrisiko zu reduzieren.
4. Endpoint Security
   Da immer mehr Mitarbeiter mit ihren privaten Geräten auf Cloud-Ressourcen im Unternehmen zugreifen, steigt das Risiko eines Verlustes sensibler Daten exponentiell an. Um Benutzer und Unternehmen zu schützen, ist es wichtig, dass Unternehmen einen sicheren mobilen Zugriff der Mitarbeiter auf die benötigten Daten ermöglichen können.
   Für Unternehmen, die Bring-Your-Own-Device (BYOD) eingeführt haben, lässt sich durch agentenlose Sicherheitslösungen mit geringem Verwaltungsaufwand ein hohes Sicherheitsniveau herstellen: Diese schützen Daten während des Zugriffs, nutzen Verschlüsselungstechnologien, nehmen erforderliche Geräteeinstellungen vor und ermöglichen im Fall von Verlust oder Diebstahl die Entfernung der Daten auf dem Gerät per Fernzugriff.
5. Sicherstellung der Interoperabilität zwischen allen Security-Tools
   Um einen ausreichenden Daten- und Bedrohungsschutz, Transparenz und Zugriffssicherheit über die gesamte Cloud-Umgehung eines Unternehmens hinweg zu erzielen, müssen Unternehmen sicherstellen, dass sich die von ihnen eingesetzten Cloud-Sicherheitslösungen nahtlos ineinander und mit bestehenden Tools vor Ort integrieren lassen. Eine unzusammenhängende IT-Umgebung kann zu inkonsistenter Cybersicherheit und damit zu Schwachstellen führen. Beispielsweise müssen Cloud-Sicherheitslösungen eine Erweiterung der lokalen DLP-Richtlinien auf die Cloud und die Integration mit SIEM-Tools (Security Information Management) für das Sicherheitsinformations- und Vorfallmanagement bieten.

Ganzheitlicher Sicherheitsansatz nötig

Die erfolgreiche Umsetzung einer Multicloud-Strategie erfordert einen ganzheitlichen Sicherheitsansatz, der die Sicherheit sensibler Informationen in jeder Cloud-Anwendung und auf jedem Gerät gewährleistet – rund um die Uhr. Das bedeutet, dass Unternehmen Daten jenseits ihrer klassischen Infrastruktur verwalten und schützen müssen, um langfristig ihre Wettbewerbsfähigkeit zu stärken.

Weitere Informatinen zu Thema:

datensicherheit.de, 03.3.2019
Zscaler Cloud Security Insights Report: Anstieg der Phishing-Angriffe um 400 Prozent

datensicherheit.de, 21.02.2019
Cyberkriminalität: Druck auf Cloud-Anbieter nimmt zu

datensicherheit.de, 03.10.2018
Multi-Cloud: Umdenken bei der Planung von IT-Budgets erforderlich