Gartner-Studie zu Cloud-Anwendern Sicherheit und Innovation in Einklang – so geht`s

Anbieter zum Thema

Gartner Deutschland GmbH

Dell GmbH

VMware Global Inc Zweigndl. Deutschland

Fujitsu Technology Solutions GmbH

Viele Cloud-Anwender tun sich schwer, ein Gleichgewicht zwischen Sicherheit und Innovation zu finden. Im Folgenden werden drei Best-Practice-Ansätze für Sicherheits- und Compliance-Kontrollen vorgestellt, die bei Unternehmen mit erfolgreicher Public-Cloud-Präsenz üblich sind. Sicherheitsverantwortliche können mit diesen Praktiken Sicherheitskontrollen implementieren, ohne Innovation und Agilität einzuschränken.

Ziel der Gartner-Studie war es, Herausforderungen, Lösungen und Best Practices von Unternehmen zu ermitteln, die über umfangreiche und erfolgreiche Erfahrungen mit der Einführung einer Public Cloud verfügen. Die Befragungen wurde von Juli bis Oktober 2021 durchgeführt. Das Gartner-Analystenteam wählte Unternehmen aus, die seit mindestens drei Jahren erfolgreich mit Public Clouds arbeiten, in erheblichem Umfang sowohl SaaS als auch integrierte IaaS und PaaS einsetzen und mindestens 500.000 US-Dollar pro Monat für integrierte IaaS und PaaS in der Public Cloud ausgeben.

Zwei gegensätzliche Ansätze

Sicherheitsbedenken oder die fehlende Modernisierung des Sicherheitskonzeptes, können zu zwei entgegengesetzten Fehlern führen. Der erste ist zu viel Kontrolle, was Innovationen hemmt und damit den wichtigsten Treiber des Cloud-Geschäfts direkt beeinträchtigt. Diese Situation führt leicht zu einem Anstieg der Schatten-IT. Der zweite ist zu wenig Kontrolle, was Angst und Misstrauen schürt. Angesichts der Komplexität und der Leichtigkeit von Fehlkonfigurationen führt diese Situation zwangsläufig zu inakzeptablen Sicherheits- und Compliance-Risiken.

Beide Ansätze, entweder zu viel Kontrolle (Sicherheit) oder zu viel Freiheit für die Entwickler, können zum Scheitern führen. Ein perfektes Gleichgewicht ist unmöglich, und die meisten befragten Unternehmen geben dem Zugang zu Innovationen den Vorrang vor einer strengen Kontrolle. Dies ist nicht überraschend, da Innovation ihr wichtigster Treiber für die Cloud war. Erfolgreiche Cloud-Anwender konzentrieren sich darauf, im Vorfeld die passende Sicherheitsgrundlage in Verbindung mit einer stärkeren Automatisierung zu schaffen. Drei Best Practices, deren Kombination bei erfolgreichen Cloud-Anwendern häufig zu beobachten ist:

Best Practice 1: Aufteilung der Umgebungen in nicht verbundene Cloud-Umgebungen für Experimente und Produktionsumgebungen mit strengeren Kontrollen

In den meisten Unternehmen fällt es den Sicherheitsteams schwer, sich von den traditionellen technischen und verfahrenstechnischen Sicherheitsansätzen zu lösen. Dies führt häufig zu Frustrationen zwischen Entwicklern, anderen Cloud-Nutzern und Sicherheitsteams. Es kann auch eine Triebfeder für Schatten-IT sein. Beide haben berechtigte Argumente: Cloud-Nutzer wollen ihre Entwicklungs- und Innovationsgeschwindigkeit und -freiheit erhöhen, die Sicherheitsteams wollen sensible Informationen und Infrastrukturen schützen. Dies verschärft sich in Unternehmen, die eine hybride Cloud nutzen, die in zwei Bereichen zusätzliche Komplexität mit sich bringt: Netzwerk (in Bezug auf Latenz/Verbindungsfähigkeit) und Sicherheit (aufgrund der Verbindung unterschiedlicher Umgebungen).

Um diese Kluft zu überwinden, definieren die Unternehmen in der Regel zwei Arten von Umgebungen:

Unverbunden: Diese Umgebung ist nicht mit der lokalen Infrastruktur und wichtigen Komponenten wie Active Directory verbunden. Infolgedessen werden nur wenige Sicherheitsrichtlinien angewandt und die Benutzer genießen eine größere Freiheit. Sie können diese Art von Umgebung für Sandboxes oder Produktionsanwendungen verwenden, die keine Interaktion mit lokalen Anwendungen erfordern.

Verbunden: Diese Umgebung ermöglicht die kontrollierte Nutzung von Verbindungen zu lokalen Anwendungen und Netzwerken. Die Sicherheit erzwingt strengere Richtlinien auf Kosten der Freiheit für den Cloud-Nutzer. Strengere Kontrolle macht die Bereitstellung in der Regel deutlich langsamer und komplexer, ermöglicht aber die Integration mit wichtigen lokalen Netzwerken, Anwendungen und Daten.

Die meisten erfolgreichen Cloud-Anwender implementieren einen formalen Prozess, um standardisierte Cloud-Sandboxen anzufordern, damit ihre Entwickler mit Innovationen in einer risikoarmen, abgekoppelten Umgebung experimentieren können. Die Aufteilung von Umgebungen trägt dazu bei, ein Gleichgewicht zu schaffen. Es wird eine dedizierte, wenig kontrollierte Umgebung für die Entwicklung und das schnelle Prototyping bereitgestellt, statt langwierige Prozesse aufzuerlegen, um das höchste Sicherheitsniveau zu erreichen.

Best Practice 2: Einbindung von Sicherheit und Compliance bei der Einführung von Anwendungen durch Einbeziehung von Sicherheits- und Compliance-Bewertungen und -Anforderungsprozessen

Nahezu alle befragten Unternehmen verfügen über einen formalisierten Anwendungseinführungsprozess, bevor Anwendungen in die Cloud überführt werden. Dieser Prozess wird in der Regel durch ein selbst entwickeltes Tool mit einem Fragebogen unterstützt. Die Fragen beziehen sich auf Nähe, Latenz, Integration, Gesamtbetriebskosten und Architektur. Sicherheit und Compliance haben ebenfalls einen starken Einfluss auf den Anwendungseinführungsprozess. Dabei geht es beispielsweise um Datenresidenz und -klassifizierung, Integration, Sicherheitsarchitektur und technische Sicherheitskontrollen. Interessanterweise wird der Fragebogen zum Anwendungs-Onboarding nicht dazu verwendet, um zu entscheiden, ob eine Anwendung in die Cloud verlagert werden soll oder nicht. Er soll vor allem den Verbraucher darüber informieren, wie er die Risiken für diese spezifische Anwendung verwalten kann. Ob eine Anwendung in die Cloud migriert werden soll oder nicht, wird in der Regel bereits in einem formalisierten Schritt der Anwendungsbewertung entschieden.

Die meisten Unternehmen haben bereits neue Stellen für spezielle Cloud-Sicherheitsspezialisten geschaffen. Einige dieser Spezialisten wurden in verschiedene Teams integriert (z. B. Produkt oder DevOps) und sind nicht mehr nur Teil eines isolierten Sicherheitssilos. Cloud-Sicherheitsspezialisten werden in das Onboarding von Anwendungen einbezogen, um die Einhaltung bewährter Sicherheitsverfahren im Vorfeld zu gewährleisten.

Neben der Einbindung von Sicherheit und Compliance während des Anwendungs-Onboardings führen viele Unternehmen explizite Tests durch, um eine Anwendung für die Bereitstellung zu genehmigen, insbesondere im Hinblick auf Sicherheitslücken. Es ist auch üblich, Penetrationstests für solche Anwendungen durchzuführen.

Fazit: Die frühzeitige Einbindung der Sicherheit in den Onboarding-Prozess und die Einbindung von Sicherheitsexperten in die Tests und den Betrieb stellen sicher, dass die Rechtekontrollen implementiert werden, ohne die Innovationsmöglichkeiten zu behindern.

Best Practice 3: Implementierung von Cloud-Plattform-Operationen, die automatisch Sicherheitsregeln und -kontrollen als Teil des Bereitstellungsprozesses anwenden

Aus den Interviews geht hervor, dass viele Unternehmen Governance und Cloud-Betrieb auf der Grundlage eines Plattformansatzes eingeführt haben. In den befragten Unternehmen besteht dieser aus einer Reihe von Regeln, Richtlinien und Prozessen zur Nutzung von Diensten eines Hyperscale-Anbieters. Die Unternehmen haben ein Cloud-Plattform-Betriebsteam eingerichtet, das wie ein Produktteam arbeitet. Erfolgreiche Cloud-Anwender automatisieren in der Regel die Anforderung und Bereitstellung von Landing Zonen in Form von AWS-Konten, Azure-Abonnements und GCP-Projekten.

Die Sicherheitspraxis wird mit gleichem Augenmerk auf die proaktive Vorab-Bereitstellung der Sicherheitsrichtlinien und die reaktive Nachbereitungsphase (Überwachung) eingerichtet. Die meisten Unternehmen nutzen wenig Automatisierung bei der Behebung von Sicherheitsproblemen. Die Behebung von Sicherheitslücken ist nach wie vor ein weitgehend manueller Prozess, an dem verschiedene Gruppen beteiligt sind.

Zusammenfassend lässt sich sagen, dass eine vollständige Sicherheitsautomatisierung über den gesamten Lebenszyklus von Cloud-Anwendungen für die meisten Unternehmen zwar erstrebenswert ist, die Automatisierung von Sicherheitsrichtlinien mithilfe eines Plattformansatzes jedoch eine bewährte Praxis darstellt. Er ermöglicht die Implementierung von Sicherheitskontrollen zum Zeitpunkt der Bereitstellung, ohne die Geschwindigkeit und Agilität der Infrastrukturautomatisierung zu beeinträchtigen.

(ID:48733416)