Mobile-Menu

5 Empfehlungen für eine sichere Cloud So bauen Sie ein effektives ​Cloud-Security-Programm auf

Ein Gastbeitrag von Sebastian Mehle 4 min Lesedauer

Anbieter zum Thema

Varonis Systems (Deutschland) GmbH
netfiles GmbH
Insider Research
Hyland Software Germany GmbH

Die Ausbreitung der Cloud während der Pandemie vollzog sich so rasant, dass die Sicherheitsbedenken, die sie lange gebremst hatte, häufig über Bord geworfen wurden. Um dennoch ein gewisses Security-Niveau zu gewährleisten, wurden vielfach bewährte Ansätze aus der On-Premises-Zeit auf die Cloud übertragen – mit mäßigem Erfolg.

„Die“ Cloud-Sicherheitsstrategie gibt es nicht. Das Listicle von Varonis weist aber schon einmal in die Richtung, die Unternehmen zur Absicherung ihrer Cloud-Nutzung einschlagen sollten.(Bild: lucadp - stock.adobe.com)
„Die“ Cloud-Sicherheitsstrategie gibt es nicht. Das Listicle von Varonis weist aber schon einmal in die Richtung, die Unternehmen zur Absicherung ihrer Cloud-Nutzung einschlagen sollten.
(Bild: lucadp - stock.adobe.com)

Der komplette Aufbau eines Cloud-Sicherheitsprogramms kann entmutigend sein – zu groß und vielschichtig scheinen die Bedrohungen und die mit ihnen verbundenen Herausforderungen. Wie fängt man an, welche Punkte sind wesentlich und was sollten die ersten Schritte sein? Es gibt kein Patentrezept für Cloud-Sicherheit, aber diejenigen, die ein solides Fundament für ihr Programm schaffen wollen, sollten sich an den folgenden Schritten orientieren, die Sebastian Mehle, Account Manager bei Varonis Systems formuliert hat:

1. Identifizieren Sie alle im Unternehmen genutzten Cloud-Anwendungen

Der erste Schritt zu einer Cloud-Security-Strategie ist die unternehmensweite Bestandsaufnahme der genutzten Applikationen. Hierfür gibt es mehrere Möglichkeiten. Die Bestimmung der genehmigten Anwendungen kann ganz einfach sein, indem Sie sich beispielsweise mit dem Finanzteam zusammensetzen. Sie können Cloud-Anbieterverträge, Bestellungen usw. durchforsten, um SaaS- oder IaaS-Lösungen ausfindig zu machen, zu denen Ihr Unternehmen eine formelle Beziehung unterhält.

Um nicht genehmigte Anwendungen zu identifizieren, muss man einen anderen Weg einschlagen. Dazu gehört ein wenig Detektivarbeit mit dem Netzwerkteam. Fragen wie „Welches sind die 20 meistgenutzten Ziele, an die unser Unternehmen täglich Netzwerkverkehr sendet?“ können sowohl die Netflix-Gewohnheiten von Peter aus der Buchhaltung als auch sein öffentliches GitHub-Repository aufdecken.

2. Führen Sie eine Risikobewertung durch

Nachdem Sie ermittelt haben, welche Cloud-Anwendungen und -Dienste Ihr Unternehmen nutzt, müssen Sie im nächsten Schritt das Gesamtrisiko der Zusammenarbeit mit diesen verschiedenen Cloud-Anbietern bewerten. Dabei lautet die zentrale Frage: „Welche Auswirkungen hätte eine potenzielle Datenschutzverletzung auf das Unternehmen?“

Die Einstufung jeder App in die Kategorien hoch, mittel oder niedrig ist eine effektive Methode, um das Risiko jeder App zu bestimmen. Welche Anwendungen könnten den größten Schaden anrichten, wenn sie kompromittiert werden? Salesforce beispielsweise enthält sensible Informationen, regulierte Daten, geschäftskritische Informationen und Geschäftsdaten. Dies würde sicherlich eine „hohe“ Bewertung rechtfertigen. Andererseits ist eine Anwendung, die zur Veröffentlichung von Beiträgen in sozialen Medien verwendet wird, nicht so kritisch wie eine App, die persönliche Daten wie Sozialversicherungsnummern oder Geburtsdaten speichert. Diese Arten von Anwendungen können entsprechend als „mittel“ oder sogar „niedrig“ eingestuft werden.

3. Bestimmen Sie Ihre Sicherheitslage

Nachdem Sie ein Inventar Ihrer Cloud-Anwendungen erstellt und das Gesamtrisiko eingeschätzt haben, sollten Sie die Sicherheitslage jeder Anwendung überprüfen. Indem Sie mit dem „Besitzer“ oder Administrator jeder Anwendung im Unternehmen zusammenarbeiten, können Sie sich einen besseren Überblick über die Einstellungen und Konfigurationen der einzelnen Anwendungen verschaffen und die Stärke Ihrer aktuellen Sicherheitslage ermitteln.

Hierauf basierend sollte man eine tiefergehende Analyse durchführen: Entspricht der aktuelle Stand den Anforderungen des Unternehmens? Sollten oder müssen Änderungen an den Einstellungen vorgenommen werden? Gibt es im Unternehmen einen übermäßigen Zugriff auf Daten und Ressourcen?

4. Automatisieren, automatisieren, automatisieren!

Die Grundlagen sind gelegt. Ein Inventar wurde erstellt, ein Risk Assessment durchgeführt und die Sicherheitslage bestimmt, um so herauszufinden, was als zuerst in Angriff genommen werden muss. Allerdings sind diese Schritte kein einmaliger Prozess: Die kontinuierliche Überwachung und Aktualisierung sind entscheidend für den dauerhaften Erfolg der Sicherheitsstrategie.

Hierbei wird auch die Bedeutung der Automatisierung deutlich. Die ständige Wartung der Cloud-Anwendungen würde ein ganzes Team von Mitarbeitenden erfordern, das sich um die Inventarisierung, Risikobewertung und Kontrolle der Sicherheitslage der SaaS-Anwendungen kümmert. Deshalb ist die Automatisierung dieser Aufgaben der Schlüssel zum Schutz der Daten in diesen Cloud-Anwendungen, ohne dass das Sicherheitsteam überlastet wird.

eBook zum Thema

Cloud-Identitäten

eBook Cloud-Identitäten
(Bildquelle: CloudComputing-Insider)

Identity and Access Management (IAM) ist für die Nutzung jedes IT-Systems von großer Bedeutung. Das ist auch bei Cloud Computing nicht anders. In diesem eBook erfahren Sie, warum IAM für die Cloud trotzdem kein Selbstläufer ist.
Highlights dieses eBooks:

  • Besonderheiten von Cloud-Identitäten
  • Der Weg zu sicheren und nutzerfreundlichen Cloud-Identitäten
  • IAM für Cloud und On-Premises
Jetzt eBook „Cloud-Identitäten“ downloaden

5. Vergessen Sie die Compliance nicht

Wenn Sie die oben genannten Aufgaben erfüllen, erhalten Sie ein solides Cloud-Sicherheitsprogramm, das Ihnen bei internen und externen Audits zugutekommen wird. Sie sind in der Lage, die Einhaltung von Vorschriften nachzuweisen, die ein umfassendes Verständnis sowohl des Datenbestands als auch des Risikos und der Sicherheitslage in Ihren Cloud-Anwendungen erfordern.

Einer der größten Vorteile der Cloud ist ihre Flexibilität. Diese erfordert jedoch auch eine kontinuierliche Überwachung sowie die Identifizierung neuer Anwendungen. Manuell ist dies kaum zu bewerkstelligen, gerade in Zeiten des Fachkräftemangels und knapper Ressourcen. Durch Automatisierung können jedoch Risiken von Drittanbieteranwendungen im Auge behalten, Compliance-Audits vorbereitet und Sicherheitsrisiken in der gesamten Cloud vorgebeugt werden. Dies schafft eine mehr als solide Basis für weitere Schritte in Richtung Cloud-Resilienz.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

(ID:49751102)

Weiterführende Inhalte