Mehr Kompetenzen für CISOs und Teams Sieben Punkte für mehr Cloud-Sicherheit in Unternehmen

Anbieter zum Thema

Fsas Technologies GmbH

netfiles GmbH

Cloudgermany.de GmbH

Die Absicherung der Cloud wird von Jahr zu Jahr schwieriger, da immer wieder neue Funktionen und Merkmale hinzukommen. Neue Technologien und Tools bieten Unternehmen viele Möglichkeiten. Wenn sie jedoch nicht angemessen und sicher eingesetzt werden, können sie mehr Schaden als Nutzen anrichten.

Auch wenn wir nicht genau sagen können, was in unserer Branche im nächsten Jahr passieren wird, haben wir viele Gespräche mit führenden Sicherheitsexperten geführt. Im Folgenden finden Sie einige der Prognosen zum Thema Sicherheit sowie Empfehlungen für Unternehmen.

1. Die Cloud wird immer komplexer

Die Komplexität der Cloud nimmt immer mehr zu, da immer mehr Anwendungen und Workloads in die Cloud verlagert werden. Diese Dynamik wird sich wahrscheinlich nie ändern. Die Cloud-Funktionen werden ständig erweitert, wobei die Workload der meisten Unternehmen bereits mehrere Generationen von Cloud-Technologien umfasst, sich oft über mehrere verschiedene Cloud-Anbieter erstreckt und immer stärker ein ganzes Netz von SaaS-Diensten von Drittanbietern einschließt. Die Cloud unterscheidet sich vom On-Premises-Betrieb und ist in vielerlei Hinsicht schwieriger zu managen.

Deshalb sollten Sicherheitstools und -prozesse so schnell wie möglich eingeführt werden. Einige Unternehmen beginnen gerade erst mit der Umstellung auf die Cloud, andere sind bereits auf dem Weg dorthin, und alle lernen die vielen Herausforderungen kennen, die mit dieser Umstellung verbunden sind. Der Fokus auf die Cloud erfordert eine Kultur der kontinuierlichen Entwicklung und des Betriebs. Denn die Cloud basiert auf häufig aktualisierten Diensten und Open-Source-Software – was wiederum die Einführung sicherer Methoden für die Softwareentwicklung und einen organisatorischen Wandel zum „Shift-Left-Ansatz“ erfordert.

2. Unternehmen können die Cloud-Sicherheit nicht allein aufbauen

Es dauert Jahre, bis Unternehmen Sicherheitsteams und -prozesse aufgebaut haben. Es ist schlichtweg nicht möglich, all dies innerhalb eines engen Zeitrahmens von Grund auf für die Cloud aufzubauen. Um schnell, aber ohne übermäßiges Risiko voranzukommen, müssen Unternehmen einen Partner für Sicherheitstechnologien wählen, der den größten Teil der Arbeit automatisieren kann. Zudem darf es sich bei dieser Technologie nicht um eine Einzellösung oder um mehrere unterschiedliche Einzellösungen handeln, die eine schwierige Integration erfordern.

Vielmehr muss die Technologie eine Plattform sein, die ein Basis-Sicherheitsniveau für die unzähligen Aspekte der Cloud des Kunden ermöglicht. Die Plattform sollte nicht nur einfach zu implementieren, sondern auch einfach zu bedienen sein, selbst für Mitarbeiter ohne tiefgreifende Sicherheitskenntnisse (z. B. DevOps). Nur so können Unternehmen sicher in die Cloud wechseln und es ihren Teams ermöglichen, schnell zu handeln und die Vorteile der Cloud voll auszuschöpfen.

3. Die Verantwortungsbereiche der CISOs werden wachsen

Die Aufgaben der CISOs haben sich in den letzten Jahren stark erweitert und werden dies auch in Zukunft tun. CISOs sind bereits dafür zuständig, die Einhaltung von Vorschriften zu gewährleisten, die richtigen Mitarbeiter einzustellen, ein starkes Threat Management zu implementieren und Schwachstellen zu beseitigen. CEOs und Vorstände geben CISOs ein noch umfangreicheres Aufgabenspektrum und fordern sie auf, die Wahrscheinlichkeit von Eindringlingen, Datenverlusten, Ransomware usw. praktisch auf null zu reduzieren.

Um dieses erweiterte Mandat zu erfüllen, benötigen CISOs nicht nur mehr Einfluss (z. B. als Teil der C-Suite), sondern auch mehr Befugnisse – was in der derzeitigen Wirtschaftslage jedoch nicht zwangsläufig mit einem höheren Budget einhergeht. Es ist äußerst schwierig, Sicherheitsverletzungen nahezu vollständig zu verhindern, und CISOs werden weder die Zeit noch die Ressourcen haben, um Lösungen aus Einzellösungen zu entwickeln. Insbesondere für neue Bereiche wie die Cloud müssen CISOs nach Technologien von Drittanbietern suchen, die große Teile des Problems abdecken und größtenteils auf Automatisierung (und nicht auf manueller Arbeit) basieren, um die Fähigkeiten und Stärken ihrer Teams zu erweitern.

4. Proaktive Risikominimierung ist erforderlich

Führungskräfte in Unternehmen äußern zunehmend den Wunsch, wirklich sicher zu sein, d. h. Sicherheitsprobleme von vornherein zu vermeiden und nicht nur eine Absicherung für den Fall zu haben, dass etwas schiefgeht. Es ist erfreulich zu sehen, dass Unternehmen motiviert sind, sich dieser anspruchsvollen Aufgabe zu stellen.

Dieser Trend scheint das Ergebnis neuer, strengerer Vorschriften zur Offenlegung von Sicherheitsdaten, größerer Besorgnis über die betriebliche Stabilität angesichts zunehmender Sicherheitsvorfälle, wie z. B. Ransomware, und eines neuen Verständnisses (sogar auf Vorstandsebene) zu sein, dass das Vermeiden von Sicherheitsproblemen kosteneffektiver sein kann als das reine Einhalten von Vorschriften. Infolgedessen werden Unternehmen nach Sicherheitstechnologien und -plattformen suchen, die nicht nur Monitoring und Reporting bieten, sondern auch präventive Maßnahmen wie die Sperrung des Netzwerks oder die Unveränderbarkeit von Software.

5. Ein „Shift-Left“ wird unumgänglich sein

Im kommenden Jahr werden die Unternehmen verstärkt darauf angewiesen sein, die Zusammensetzung und das Verhalten der in ihrem Unternehmen eingesetzten Software zu verstehen, vor allem aber sollten sie erkennen, wo Schwachstellen sind. Der Begriff „Shift Left“ beschreibt, wie die Sicherheit in frühere Phasen des Softwareentwicklungszyklus integriert werden kann. Diese Verschiebung nach links ist besonders wichtig für Cloud-Software, die in der Regel ständig weiterentwickelt wird, sei es aufgrund von neu entdeckten Sicherheitslücken oder aufgrund neuer Funktionen.

Selbst wenn die eigenen Entwickler keine Fehler machen, besteht aufgrund der ständigen Weiterentwicklung von Open-Source-Software und Cloud-Diensten immer die Möglichkeit, dass neue Schwachstellen und Sicherheitsprobleme in den neuesten Software-Build aufgenommen werden. Auf höchster Ebene ist das Risiko der gesamten Software-Lieferkette ein Thema, mit dem sich die Softwarebranche noch immer schwertut. Je früher (d. h. je weiter links) solche Risiken gemindert werden können, desto wahrscheinlicher ist ein gutes Ergebnis in Sachen Sicherheit.

6. Sicherheitsverantwortliche und Entwickler müssen als Team zusammenarbeiten

Entwickler von Cloud-Software sind ständig in Sorge, dass sie etwas kaputt machen, wenn sie den Code in die Produktionsumgebung übertragen. Wenn Sicherheitsteams zusammenarbeiten, um als Sicherheitsnetz zu fungieren, welches DevOps-Fehler frühzeitig auffängt, kann sich die Beziehung zwischen den Teams erheblich verbessern. Dies führt dazu, dass Entwickler den Sicherheitsaspekten ihres Codes mehr Aufmerksamkeit schenken. Verfügen die Sicherheitsteams über richtigen Technologien, sind sie auch in der Lage, den Entwicklern zu helfen, die Auswirkungen ihrer Code-Änderungen zu verstehen, z. B. aus der Sicht der Sicherheit, wie der Code tatsächlich in der Produktionsumgebung verwendet wird.

Wenn Sicherheitsteams einem Entwickler nicht nur dabei helfen können, zu verstehen, dass sein Code ein SQL-Injection-Problem hat, sondern auch Einblick in die Tatsache erhalten, dass dieser Code in großem Umfang auf Front-End-Diensten ausgeführt wird, auf die beliebige Benutzer zugreifen, ist es für den Entwickler viel wahrscheinlicher, dass er den Fehler behebt, bevor er zum Problem wird. Umgekehrt kann das Sicherheitsteam DevOps dabei helfen, zu verstehen, dass gefährdeter Code nur auf einem bestimmten Back-End-System mit geringem Datenverkehr verwendet wird, auf das nur autorisierte Administratoren Zugriff haben. Auf diese Weise können die Entwickler ihre Arbeit effizienter priorisieren. Der Einblick des Sicherheitsteams in die tatsächlichen Vorgänge im Betrieb ist der Schlüssel für bessere Beziehungen zwischen Sicherheit und Entwicklern – und dafür, dass sie lernen, sich gegenseitig zu unterstützen und zu helfen.

7. Umfassende Transparenz für die Absicherung des Cloud-Betriebs

Soll die Cloud tatsächlich abgesichert werden, ist ein umfassender Einblick in den Cloud-Betrieb vonnöten. In diesem Sinne bedeutet Transparenz nicht nur das Sammeln aller sicherheitsrelevanten Aufzeichnungen und Protokolle über Assets und Verhaltensweisen. Transparenz bedeutet vielmehr, eine zusammenfassende Übersicht über die Cloud-Umgebung zu erstellen, die sowohl von den Sicherheitsteams als auch von der Entwicklungsabteilung verstanden werden kann. So können sie die Architektur verstehen und Abweichungen sowie unerwartete Änderungen erkennen.

Und die Sichtbarkeit erfordert das Sammeln aller relevanten Kontexte über Assets und Ressourcen, deren Standort, Konfiguration, Zugänglichkeit usw., da sowohl Sicherheitsteams als auch DevOps diesen Kontext benötigen, um Vorfälle oder Warnungen schnell untersuchen und beheben zu können. Wenn die Transparenz nicht umfassend ist, gibt es blinde Flecken, und die Sicherheitsteams sind nicht in der Lage, Risiken richtig zu quantifizieren, zu priorisieren oder zu verwalten.

(ID:49235636)