Governance, Risikomanagement und Compliance Continuous Compliance verringert GRC-Sorgen

Anbieter zum Thema

PROGRESS SOFTWARE GmbH

Insider Research

Cloudgermany.de GmbH

Die Entwicklung und der sichere, richtlinientreue Betrieb von Anwendungen werden durch die Komplexität und verteilte Natur von Cloud-Infrastrukturen immer schwieriger. Unternehmen müssen daher neue Wege gehen – bestenfalls mit dem CEA-Framework als Navi.

Governance, Risikomanagement und Compliance – kurz GRC – spielen im Kontext Cloud-nativer Ansätze eine immer wichtigere Rolle. Der Druck auf Unternehmen steigt daher, ihre Anwendungen zu modernisieren, um Cloud-Security- und Compliance-Anforderungen zu erfüllen, GRC-Kontrollen sowie Audits zu automatisieren und ihre Incident Response zu verbessern. Die große Herausforderung für sie ist, Sicherheit, Flexibilität, Skalierbarkeit und Compliance in der schnelllebigen, Cloud-nativen Welt in Einklang zu bringen.

GRC bedeutet auch: Geteilte Verantwortung ist nicht halbe Verantwortung

Unternehmensinterne und externe Rahmenwerke liefern im Cloud-Kontext die Vorgaben, um diese Harmonie zu schaffen. Deren Einhaltung soll sicherstellen, dass der Datenschutz und die Sicherheit gewährleistet sind. Das wohl bekannteste externe Rahmenwerk ist die Datenschutzgrundverordnung (DSGVO). Für bestimmte Branchen gibt es weitere, noch strengere Vorgaben, etwa das Patientendatenschutzgesetz (PDSG) für das Gesundheitswesen. Für die IT-Sicherheit und das Risikomanagement gibt es ebenfalls umfangreiche Regularien wie das IT-Sicherheitsgesetz in Deutschland sowie die EU-weit geltende NIS2-Richtlinie (Network and Information Security 2) für Unternehmen der kritischen Infrastruktur. Viele Unternehmen haben über die offiziellen Rahmenwerke hinaus, die die Compliance definieren, auch interne Richtlinien und Standards. Deren Vorgaben orientieren sich speziell auf unternehmensinterne Prozesse und Strukturen.

Die dynamische Natur eines Cloud-nativen Ansatzes macht es für Unternehmen besonders schwierig, diesen Rahmenwerken zu entsprechen. Eines der wichtigsten Hemmnisse in dieser Hinsicht ist die Tatsache, dass die Verantwortung für die Sicherheit der gesamten IT-Umgebung zwischen Cloud-Anbieter und Nutzer geteilt ist. Unternehmen können nicht die gesamte Verantwortung einfach an einen externen Dienstleister abtreten, auch wenn der Cloud-Provider integrierte Mechanismen für die Sicherheit der grundlegenden Cloud-Infrastruktur bereitstellt. Anwendungen und Daten müssen Unternehmen dennoch selbst schützen.

Eine weitere Herausforderung stellen komplexe Cloud-Ökosysteme mit vielen Microservices dar, die sich über verschiedene Ebenen und geografische Regionen erstrecken. Dieser Umstand in Verbindung mit deutlich schnelleren Deployment-Zyklen erschwert die Nachverfolgung von Datenflüssen, was die Einhaltung von Compliance-Richtlinien zwar nicht unmöglich, deren Überprüfung allerdings schwerer macht. Zudem erhöht die steigende Komplexität elaborierter Cloud-Ansätze die Gefahr auf fehlerhafte Konfigurationen der Ressourcen.

Transparenz ist das A und O

Doch damit nicht genug: IT-Teams müssen nämlich nicht nur die Verantwortung dafür übernehmen, dass Cloud-Anbieter die GRC-Vorgaben ihres Unternehmens einhalten. Sie müssen auch dafür Sorge tragen, dass die eigenen Anwendungen diesen Richtlinien entsprechen. Im Cloud-Zeitalter ist es ebenfalls Usus, Services von Drittanbietern zu nutzen, teils in einem sehr umfangreichen Maß. Hinzu kommen Anfragen interner Auditoren und externer Regulierungsbehörden, die in der Regel manuell beantwortet werden müssen. All diese Faktoren führen zu überlasteten IT-Verantwortlichen, was die Einhaltung der GRC-Richtlinien zunehmend erschwert.

Um ein resilientes Cloud-natives Ökosystem aufzubauen und zu betreiben, ist überdies eine robuste Incident Response entscheidend. Während einige Vorfälle nur Cloud-Umgebungen betreffen, bedrohen Sicherheitsverletzungen, Compliance-Verstöße und betriebliche Zwischenfälle jede Umgebung. Die Verwaltung solcher Incidents in einer Cloud-nativen Umgebung ist jedoch besonders herausfordernd, denn Unternehmen haben selten eine vollständige Sichtbarkeit über das gesamte Ökosystem hinweg. Die erwähnten komplexen Strukturen, die durch eine verteilte Infrastruktur entstehen, erschweren es deutlich, Transparenz herzustellen. Manche Vorfälle fallen so unter den Tisch und führen zu GRC-Verstößen, wobei auch häufige Änderungen an der Cloud-Umgebung diesen Umstand begünstigen.

Ziele der Cloud Security

Was Cloud-Resilienz und Cloud-Sicherheit unterscheidet

CEA macht das GRC-Chaos beherrschbar

Da die Einhaltung von GRC-Vorgaben mit der Modernisierung von Anwendungen einhergehen muss, benötigen Unternehmen Unterstützung, die es in Form sogenannter Modernisierungs-Frameworks gibt. Eines der bewährtesten ist das CEA-Framework, dessen Name sich aus den drei Grundpfeilern Codify, Embed und Automate herleitet.

Bei der Codifizierung geht es vorrangig darum, GRC-Richtlinien, -Policies und -Vorgaben in ausführbaren Programmcode zu übersetzen. Sicherheits- und Compliance-Anforderungen sind somit nicht nur als Handbuch im PDF-Format vorhanden, das von Menschen gelesen werden kann, sondern eben als Datei, deren Quellcode auch von der Maschine verstanden wird. Die wohl am weitesten verbreitete Sprache für diesen „Policy as Code“- oder „Compliance as Code“-Ansatz ist YAML, da die Auszeichnungssprache relativ leicht von Menschen und Maschinen gleichermaßen verstanden wird. Um den Aufwand der Codifizierung gering zu halten, empfiehlt es sich, wiederverwendbare Templates anzulegen.

Policy as Code erleichtert es allerdings nicht nur, GRC-Richtlinien durchzusetzen. Unternehmen können auch via Compliance-Scans, die auf branchenweit anerkannten Benchmarks basieren, ihre GRC-Bemühungen mühelos bewerten. Die CIS-Benchmarks vom Center for Internet Security enthalten Best Practices zur Absicherung verschiedener Technologien wie Cloud-Services oder Container-Umgebungen und geben spezifische Empfehlungen für Angebote der großen Hyperscaler. Die STIGs (Security Technocal Implementation Guides) der Defense Information Systems Agency (DISA) bieten detaillierte Anleitungen zur sicheren Konfiguration von Systemen und Anwendungen in Cloud-nativen Umgebungen.

Da die Ergebnisse der GRC-Scans ebenfalls für Mensch und Maschine gleichermaßen verständlich sind, können Unternehmen Abweichungen leichter beheben (Remediation) oder in speziellen Fällen Ausnahmen erteilen. Es gibt zudem Tools, mit denen Unternehmen Remediation-Vorgänge auf Basis der CIS- und DITA-STIG-Scanergebnisse automatisieren können. Konfigurationsmanagement-Tools, die auf den Prinzipien von Infrastructure as Code aufbauen, helfen ihnen dabei, Fehlkonfigurationen ihrer Cloud-Umgebungen zu vermeiden.

Embedding stärkt Compliance

Durch die Codifizierung ergibt sich auch die Möglichkeit, sogenannte Continuous Compliance zu implementieren. Codifizierte Scans und Konfigurationen integrieren IT-Teams so in ihre CI/CD (Continuous Integration und Continuous Deployment)-Pipelines. Änderungen im Stack oder Code überprüfen entsprechende Tools dann sofort auf Compliance.

Ultimativ bedeutet das, dass Unternehmen die Prüfung auf GRC-Kompatibilität von Anwendungen weiter in Richtung der Entwicklung verschieben (Shift Left). Mit Hilfe codifizierter Remediations im Automatisierungs-Workflow ist es sogar möglich, Vorfälle praktisch ohne Auswirkungen zu beheben.

Automation beschleunigt Reaktionszeit

Durch den Einsatz automatisierter Prozesse lassen sich Compliance-Audits und die Beweiserfassung effizienter gestalten, wenn Richtlinien sowohl von Maschinen als auch Menschen lesbar abgebildet werden können. Dadurch werden Workflows optimiert und der manuelle Aufwand deutlich reduziert. Ergänzend sorgt ein intelligentes, automatisiertes Alerting dafür, dass passende Tools Anomalien entsprechend ihrer Kritikalität gezielt an die richtigen Personen über die passenden Kanäle melden.

Dieses Vorgehen wirkt der sogenannten Alert Fatigue (Alarmmüdigkeit) entgegen, die entsteht, wenn zahlreiche Warnungen und Benachrichtigungen IT-Teams überlasten. Der positive Nebeneffekt ist eine erhöhte Reaktionsfähigkeit der IT-Teams. Auf dieser Grundlage ermöglicht eine automatisierte Remediation, erkannte Schwachstellen mithilfe vordefinierter, codifizierter Maßnahmen schneller zu beheben und so die Mean Time to Recovery (MTTR) signifikant zu verkürzen.

Continuous Compliance für Cloud-native Ansätze

Das CEA-Framework ist das Fundament auf dem Continuous Compliance steht und ermöglicht die nahtlose Integration von GRC-Anforderungen in klassische DevOps-Prozesse. Das hat auch positive Auswirkungen auf die Zusammenarbeit zwischen DevOps-, IT-Security- und Audit-Teams. Entwickler und Administratoren können GRC-Kontrollen frühzeitig und automatisiert in ihre Pipelines einbinden, wodurch sie die Notwendigkeit späterer Anpassungen reduzieren und Releases beschleunigen können. IT-Security-Teams erhalten kontinuierlich Daten über den Compliance-Status und können so Abweichungen frühzeitig erkennen sowie priorisiert beheben. Auditoren wiederum profitieren von automatisierter Nachweisführung und stets aktuellen, nachvollziehbaren Daten.

Auf diese Weise entfallen aufwändige manuelle Dokumentationen. Das Ergebnis ist eine gemeinsame Datenbasis, die Transparenz schafft, Reaktionszeiten verkürzt und die Zusammenarbeit zwischen allen Abteilungen verbessert.

(ID:50615564)