Zwischen Zero-Trust und ungehinderter Produktivität Hybride Arbeitsumgebungen: Gefährliche Kompromisse bei der Cloud-Sicherheit

Anbieter zum Thema

Snow Software GmbH

netfiles GmbH

Cloudgermany.de GmbH

Yorizon GmbH & Co. KG

Durch die Corona-Pandemie und den daraus resultierenden Lockdowns waren viele Unternehmen dazu gezwungen, ihre Mitarbeiter ad hoc ins Homeoffice zu schicken. Im Zuge dessen veränderte sich die IT-Landschaft in vielen Bereichen drastisch und viele Unternehmen verlagerten innerhalb kürzester Zeit Geschäftsprozesse, Systeme und Daten in die Cloud.

Der Wechsel zur Cloud wird dabei immer wichtiger werden, was auch die Entwicklung zeigt. Generell lässt sich beim Cloud-Computing über die vergangenen Jahre ein rapider Zuwachs verzeichnen, der auch zukünftig anhält: Nach Schätzungen des Berliner Beratungshauses Berlecon Research werden die Umsätze allein in Deutschland mit Public-Cloud-Computing bis 2025 von derzeit fast 650 Millionen Euro auf über 20 Milliarden Euro anwachsen.

Risiken des Fernzugriffs

Doch die Cloud-Initiativen zu Beginn der Pandemie gingen mit einigen Herausforderungen für die IT-Abteilungen einher. Im Zuge einer schnellen Umstellung kamen zeitaufwändige Kontrollprozesse bei der Integration oft zu kurz und IT-Teams mussten Kompromisse bei IT-Sicherheit und Datenschutz zugunsten der Geschäftskontinuität eingehen. Während ein Mindestschutz für die Verarbeitung personenbezogener Daten wie etwa über eine VPN-Verbindung zwar meist sichergestellt war, bewegten sich andere Anwendungen, wie beispielsweise die lokale Speicherung von Daten auf Mitarbeiterlaptops, in einer Grauzone.

Solche Sicherheitslücken müssen jedoch langfristig beseitigt werden, auch angesichts der steigenden Bedrohungslage, welche in der Pandemie ein neues Niveau erreicht hat. Sicherheits- und Risikomanagement muss deswegen einen hohen Stellenwert einnehmen und immer wieder neu gedacht werden. Andernfalls können sich Angreifer durch Sicherheitslücken Zugang auf sensible Daten eines Unternehmens verschaffen.

Dazu sollten zunächst unnötige Programme entfernt und Sicherheitsupdates, Service Packs und Patches auf den neuesten Stand gebracht werden. Zudem müssen IT-Verantwortliche die Layer ihres Cloud-Stacks genau überprüfen und sich vergewissern, wer welchen Zugriff auf Ressourcen und Unternehmensinformationen hat und Altlasten evaluieren, die durch die hastige Integration entstandenen sind.

Die Notwendigkeit sicherer Abhängigkeitsketten

Für einen großen Teil der Arbeitnehmer ist Remote-Arbeiten angesichts der Pandemie zu einer Selbstverständlichkeit geworden. Eine vollständige Rückkehr zum traditionellen Arbeitsmodell, wo ausschließlich vom Firmenbüro gearbeitet wird, ist immer unwahrscheinlicher. Umso wichtiger werden Apps und Plattformen, die in Kombination den Arbeitsfluss aufrechterhalten, zur Arbeitserfahrung beitragen oder sogar für eine höhere Produktivität sorgen können.

Die Integration vieler verschiedener Systeme in ein Unternehmen, seien es Dienste verschiedener Anbieter und eventuell auch einige Open-Source-Komponenten, kann jedoch eine Gefahr darstellen, wenn nicht alle Segmente der Cloud-Infrastruktur sicherheitsgeprüft sind. Da all diese Systeme voneinander abhängen, sind sie nur so sicher wie das schwächste Glied in der Kette von Diensten und Cloud-Anbietern. Unternehmen sollten ihre Dienste neu evaluieren und aufbauend auf den Anforderungen an ein hybrides Arbeitsplatzmodell die Aufgaben der gesamten Infrastruktur neu definieren.

Dazu gehört der abgesicherte Zugriff auf alle externen und internen Anwendungen, der auf dem Prinzip des Least Privileged Access aufgebaut werden sollte. Um Sicherheit unabhängig vom Standort des Anwenders umzusetzen, müssen Zugriffsrichtlinien zudem dem Benutzer folgen und immer identisch umgesetzt werden.

Von Zero Trust zu einer neuen Welt der Sicherheit

Sicherheitsprobleme haben sich in den vergangenen zehn Jahren stark verändert, weshalb gezielte Maßnahmen bei der Minimierung von Cyberrisiken beim hybriden Arbeiten notwendig geworden sind. Nicht nur die Verwendung neuester Technologie ist von entscheidender Bedeutung, sondern auch, dass IT-Manager über die allerneuesten durch die Cloud bedingten Bedrohungen wie Phishing-Angriffe, Fehlkonfigurationen bei Sicherheits- und Datenschutzeinstellungen sowie Sicherheitslücken in SaaS-Anwendungen informiert sind und wissen, wie sie darauf reagieren sollten.

Sicherheitsansätze wie Zero Trust, einem von Forrester entwickelten Konzept, können traditionellere Sicherheitskonzepte von verschiedenen IT-Sicherheitsumgebungen für den Remote- und On-Premises-Zugriff ablösen und so den Administrationsaufwand reduzieren. Der datenzentrische Ansatz, beruht dabei auf einem konstanten Monitoring aller Akteure, die versuchen auf Unternehmensdaten zuzugreifen, was zu einer deutlichen Risikominimierung in der digitalen Arbeitsumgebung beitragen kann.

Auch wenn dieser Ansatz aus Perspektive der Sicherheit effektiv funktioniert, entstehen durch das Konzept Hürden, die für IT-Mitarbeiter und Nutzer unerfreulich und für eine produktive Arbeitsmethode nur bedingt förderlich sind. Denn nicht alle der bereits existierenden Netzwerke sind für ein Zero-Trust-Modell ausgelegt, wodurch sich die Integration in ältere Systeme als zeitaufwendig und herausfordernd darstellen kann. Bei der Implementierung ergibt sich grundsätzlich die Problematik, dass keine umfassende, einheitliche End-to-end-Lösung und keine durchgängigen Standards existieren, da das Angebot auf dem Markt fragmentiert ist, weshalb eine Zero-Trust-Umsetzung gründlich überlegt werden sollte.

Risiko und Produktivität in Einklang bringen

Eine zweckmäßige Cloud-Strategie von CIOs spielen in einem Unternehmen daher eine zentrale Rolle. Es gilt, Transparenz über alle Clouds, Netzwerke, Anwendungen und Daten hinweg herzustellen. Zudem ist die Aus- und Weiterbildung der Mitarbeiter von entscheidender Bedeutung, um sicherzustellen, dass die Unternehmen mit den sich schnell verändernden Technologien, neuen Architekturen und Nutzungsmodellen zurechtkommen. Dadurch werden regelmäßige Sicherheitsschulungen hoch qualifizierter Mitarbeiter für die Wartung und Schutz des Cloud-Stacks ein zunehmend wichtiger Bestandteil der gesamten IT-Sicherheitswelt.

Die Aufgabe des IT-Leiters und von Cloud-IT-Teams innerhalb eines Unternehmens ist es, einerseits die Sicherheitsrisiken einzuschätzen und zu bewerten und gleichzeitig die Datenverarbeitungsanforderungen der Mitarbeiter zu decken. Eine große Herausforderung für CIOs von heute: technologische Ressourcen verwalten und die Schnittstelle zum Benutzer so einfach wie möglich zu halten.

Denn der Einsatz von zahlreichen Systemen innerhalb eines Unternehmens soll das Arbeitsleben, sowohl innerhalb als auch außerhalb des Büros, so einfach und produktiv wie möglich machen. Mit der richtigen Kombination aus technologischen Werkzeugen, Prozessen und qualifizierten Mitarbeitern ist es möglich, eine sichere Umgebung für ein Unternehmen zu schaffen, damit es in dieser neuen Ära des Cloud-Computing erfolgreich bleiben und wachsen kann.

* Der Autor Jesse Stockall ist Chief Architect bei Snow Software.

(ID:48458138)