Das muss in die Cloud-Sicherheitsstrategie Wie Financial Services ihre (Multi)-Cloud-Umgebung sicher gestalten

Anbieter zum Thema

Insider Research

Financial Services als Teil der Kritischen Infrastruktur müssen ihre Cyber-Resilienz ausbauen. Laut der neuesten Ausgabe des IT-Sicherheitsberichts des Bundesamts für Sicherheit in der Informationstechnik erfordert die dynamische Bedrohungslage eine strategische Neuaufstellung zur Erhöhung des Cyber-Sicherheitsniveaus.

Zu Beginn der Reise in die Cloud sollte sich jedes Institut zunächst überlegen, welche Ziele es mit der Transformation erreichen und welche Anwendungen und Daten es dort künftig bereitstellen möchte. Ist das definiert, können zwei sicherheitsrelevante Fragen beantwortet werden.

Die erste lautet: Welcher Ansatz ist der passende: Public Cloud, Private Cloud oder eine Hybrid Cloud? Die Entscheidung für eines dieser Modelle wirkt sich unmittelbar auf die Zuständigkeiten für die Sicherheit aus. Während bei der Private Cloud die Gesamtverantwortung für Sicherheits- und Governanceprozesse ausschließlich beim jeweiligen Unternehmen liegt, kommt bei der Public Cloud ein Shared Responsibility Model zum Einsatz, unabhängig davon, ob es sich bei dem verwendeten Cloud Service um z. B. IaaS, PaaS oder SaaS handelt.

Grundsätzlich ist der Cloud-Anbieter für die physische Sicherheit der Rechenzentren, der Netzwerk- und Virtualisierungsinfrastruktur und bei Bedarf auch für die Sicherheit der Anwendung(en) verantwortlich. Die Financial-Services-Unternehmen verantworten die Datensicherheit, die vergebenen Berechtigungen und die Zugriffe auf die Daten.

Die zweite grundlegende Frage dreht sich um den passenden Cloud-Anbieter. Das ist aus zwei Gründen relevant: Erstens bieten die Hyperscaler zahlreiche Out-of-the-Box-Tools zur Überwachung an, die in der Sicherheitsstrategie berücksichtigt werden müssen. Und zweitens brauchen Financial-Service-Unternehmen zwingend eine Exitstrategie und ein Notfallmanagement. Nur so kann sichergestellt werden, dass der Zugriff auf die Daten immer gewährleistet ist und diese im Ernstfall auf eigene Systeme zurücktransferiert werden können.

Weg von Silos, hin zum holistischen Ansatz

Der Weg in die Cloud ist mehr als eine reine Digitalisierungmaßnahme – er verlangt auch eine organisatorische Transformation. Die Transformation beinhaltet das Vernetzen von Geschäftsbereichen und darüber hinaus die Agilisierung der Teams und Organisationsbausteine. Ein bewährtes Werkzeug zur Orchestrierung der Maßnahmen ist ein Cloud Target Operating Model (CTOM).

Ausgehend von der Strategie, die das „Was“ und „Warum“ beschreibt, definiert und etabliert das CTOM anhand entsprechender Umgebungen, Prozesse und Rollen auch das „Wie“. Zu dieser organisatorischen Neuordnung gehört, bisher getrennte Zuständigkeiten für Entwicklung, IT-Security-Betrieb sowie die Nutzer- und Rechteverwaltung zusammenzuführen und miteinander zu vernetzen.

Die Transformation in die Cloud ist gleichzusetzen mit dem Ziel, eine zentrale und holistische Plattform zu konzipieren. Kurz: Die Landing Zone. Bei diesem Vorhaben ist es von Bedeutung, die Risiken des Vorhabens zu identifizieren und Prozesse zu etablieren, die diese mitigieren.

Die gängigsten Risiken, die hierbei zu berücksichtigen sind, sind u. a. die Providerauswahl, Bewertung der Abhängigkeiten, Standort der Datenzentren des Cloud Providers, Datenintegrität und Datensicherheit.

Laut der Studie „Von Cyber Security zu Cyber Resilience“ konzentrieren sich die Top- 3-Risiken der Finanzdienstleistungsbranche auf:
1. Angriffsvektoren,
2. Systemausfälle,
3. Schwächen im Berechtigungsmanagement.

Um die hier genannten Risiken frühzeitig zu bewerten, zu kategorisieren und mithilfe von Maßnahmen zu verhindern, brauchen die Unternehmen eine durchdachte Sicherheitsstrategie, die den aktuellen Anforderungen der Regulatorik und Bedrohungslage gerecht wird. Mit der Veröffentlichung des Digital Operational Resilience Act (DORA) wird dieses Level des Cyber-Resilienz-Niveaus ohnehin erwartet und begründet somit „warum“ die Maßnahmen erforderlich sind. Jedoch gilt zugleich das „Wie“ zu beantworten und das in einem priorisierten, mit der Cloud- und Sicherheitsstrategie integrierten, Maßnahmenplan.

Zielbetriebsmodell: Von der Idee zur Integration

Der erste Meilenstein für eine ausgeprägte Widerstandsfähigkeit der Cloud ist das Sicherheitszielbetriebsmodell. Seinen Kern bilden die vier Säulen „People“, „Processes“, „Technology“ und „Standards“. „People“ benennt alle Stakeholder des Unternehmens, die in Sicherheitsaspekte eingebunden sind. „Processes“ beschreibt die Bestandteile, die zur Erkennung von Bedrohungen nötig sind. Dazu zählen unter anderem Richtlinien, Abläufe, die Sicherheitsarchitektur sowie Assessments. Die Säule „Technology“ definiert alle Systeme, mit denen auf Angriffe reagiert werden kann. Darunter fallen Tools wie beispielsweise das SIEM oder das IAM. Die vierte Säule „Standards“ umfasst sämtliche Vorgaben, die aus Compliance-Sicht einzuhalten sind. Das sind unter anderem: Die Mindestanforderungen an das Risikomanagement (MaRisk), die Bankaufsichtlichen Anforderungen an die IT (BAIT), die DORA sowie die Richtlinie über Maßnahmen für ein hohes gemeinsames Cyber-Sicherheitsniveau in der gesamten Union (NIS2-Richtlinie).

Umgeben wird der Kern des Zielbetriebsmodells auf der einen Seite von den Techniken und Prozessen, die von Security Frameworks vorgegeben sind. Sie bilden den Status quo ab und beinhalten Präventivmaßnahmen. Auf der anderen Seite steht die tatsächliche Umsetzung, beginnend auf organisatorischer Ebene, weiterführend zur Dokumentationsebene (Richtlinien, Standards, Prozeduren & Kontrollen), bis hin zur Anwendungsschicht auf Systemebene (Landing Zone, Tools & Applikationen).

Identifikation potenzieller Gefahren zur Früherkennung von Risiken

Um die Widerstandsfähigkeit zu erhöhen, braucht es aber auch proaktive Maßnahmen. Hierzu zählen unter anderem Threat-Intelligence-Plattformen, Multi-Cloud-Ansätze und Überwachung, bspw. über CNAPP und Security by Design. Security by Design ist ein in der Hard- und Softwareentwicklung angewendetes Konzept und sieht vor, dass IT-Sicherheitsfragen bereits bei der Entwicklung von Produkten und Software-Lösungen sowie beim Aufbau der IT-Infrastruktur systematisch berücksichtigt werden.

EU-Verordnung für einheitliches Rechts- und Aufsichtsrahmenwerk im Finanzwesen

Was ist der „Digital Operational Resilience Act“ (DORA)?

Unter dieser Maßgabe benötigen die Entwickler Transparenz und Visibilität in die Sicherheitsarchitektur, sowie der vorherrschenden Bedrohungslandschaft. Dabei helfen Threat-Intelligence-Plattformen (TIP) sowie die Cloud Native Application Protection Plattform (CNAPP). Die Stärke der TIP ist eine nahtlose Integration in bestehende SIEM-/SOC-Prozesse sowie die Aufbereitung einer menschenlesbaren, nachvollziehbaren Cyber Kill Chain. Sie bietet Funktionen zur proaktiven Erkennung und Bewältigung strategischer und taktischer Cyber-Bedrohungen.

Als weiteres Mittel zur Überwachung und Verhinderung von Fehlkonfigurationen dient die CNAPP. Hiermit haben Anwendungsverantwortliche und IT-Security-Mitarbeiter jederzeit die Möglichkeit, sich über den aktuellen Sicherheitsstatus (Security Posture) in Echtzeit zu informieren. Die Entwickler werden toolgestützt dazu befähigt, ihre in der Entwicklung befindlichen Anwendungen kontinuierlich auf Code-Sicherheit und/oder Schwachstellen zu überprüfen, um eine möglichst sichere Anwendung bereitstellen zu können. Dabei ist zu betonen, dass Security by Design ein integrativer Ansatz ist, welcher die erforderlichen Personal-, Prozess-, Technologie- und Governance-Schnittstellen vereint, um ein ganzheitliches Sicherheitsniveau zu etablieren.

Security Monitoring bringt Licht ins Dunkel

Um im Falle eines Cyber-Angriffs den Schaden möglichst gering zu halten, müssen Attacken frühzeitig erkannt und Abwehrmaßnahmen eingeleitet werden. Ein bewährtes Instrument ist ein leistungsfähiges Security Operations Center (SOC). Security-Spezialisten überwachen dort rund um die Uhr die gesamte IT-Landschaft des Unternehmens und ziehen dabei insbesondere Events und Protokolldaten aus Log-Quellen heran. Diese werden im Security Information and Event Management (SIEM) korreliert, welches bei Anomalien einen Alarm generiert.

Durch automatisierte Runbooks werden bei einem Sicherheitsvorfall erforderliche und angemessene Gegenmaßnahmen eingeleitet. Dies gelingt nur, wenn die Cloud-Landschaft in das zentrale Security Monitoring des Hauses integriert wird. Die „Lünendonk & Hossenfelder und KPMG“-Studie offenbart hier Nachholbedarf: Nur 38 Prozent der befragten Finanzdienstleister gaben an, ein zentrales Security Monitoring zu haben.

Vertragslawine rollt an

DORA: Risiken mit ITK-Drittdienstleistern prüfen

Rechte sicher verwalten

Zu den größten Cyber-Bedrohungen für Unternehmen zählt der Diebstahl von digital gespeicherten Identitäten und der Kontrollverlust über Berechtigungen und Zugängen, die zu den „Kronjuwelen“ zählen. Eine wichtige Komponente der Sicherheitsstrategie ist daher die Steuerung der Zugriffsrechte. Hier kommt das Privileged Access Management (PAM) ins Spiel: Es dient dazu, hoch privilegierte Benutzerkonten wie beispielsweise Systemadministratoren und die damit verbundenen Berechtigungen in IT-Systemen sicher zu organisieren und zu verwalten.

Allerdings sollten Banken Cloud-Lösungen nicht als eigenständiges System, sondern als Erweiterung ihrer bestehenden IT-Systeme verstehen. Von Vorteil ist daher ein übergreifendes Identity und Access Management (IAM), zu dem auch das PAM zählt. Das IAM wird zentral aufgehängt und bietet eine übersichtliche Struktur, die den Verantwortlichen die Steuerung erleichtert und den regulatorischen Vorgaben gerecht wird. Wenn im Rahmen eines IAM sämtliche Cloud-Anwendungen in die bestehende IT-Infrastruktur eingebunden werden, lassen sich zudem Lücken im Berechtigungsmanagement schließen und damit das Risiko von Cyber-Angriffen signifikant verringern

Der Gefahr stets voraus sein

Immer häufiger kommt es zu Angriffsszenarien und erheblichen Bedrohungslagen in der IT- und Cloud-Infrastruktur. Es gibt jedoch Mittel, diese zu verhindern und rechtzeitig Maßnahmen zu ergreifen, um dem Angreifer einen Schritt voraus zu sein. Von wesentlicher Bedeutung ist das Zielbild der Sicherheitsarchitektur sowie der Maßnahmen mit den Geschäftszielen zu vereinheitlichen.

Somit lässt sich ein „Bottleneck“ an organisatorischen Prozessen im Notfall vermeiden und durch eine klare Verantwortungsteilung orchestrieren. Die Betonung liegt hierbei auf dem „Wie“, also: „Wie sorge ich vor“ und „Wie setze ich um“. Dafür bedarf es eindeutiger Risikobewertungen und eines darauf ausgerichteten Maßnahmenplans.

(ID:49895243)