Austausch kritischer Daten in der Cloud

Der Einsatz Cloud basierter Dienste bringt trotz der Vorteile eines erweiterten Sicherheitsnetzwerks wie geringer Kosten, einer einfachen Implementierung sowie einer bedarfsgesteuerten Nutzung auch Herausforderungen mit sich. So kann es nach dem Übergang zur Cloud für Unternehmen schwierig sein, die Einhaltung ihrer Sicherheitsrichtlinien sowie möglicherweise geltender aufsichtsrechtlicher Vorgaben nachzuweisen. Tatsächlich wechseln viele in die Cloud, ohne zuvor die Auswirkungen im Hinblick auf Compliance oder Sicherheit zu prüfen. Dadurch erhält die IT-Abteilung jedoch den Eindruck, keine Kontrolle mehr über die Standorte oder Zugangsregeln der Daten zu besitzen. Hier kommt es oft schon nach dem ersten Audit zur Projekteinstellung und das Interesse an weiteren cloudbasierten Diensten sinkt deutlich.

Deshalb ist es wichtig, dass Unternehmen vor der Auswahl eines Cloud-Anbieters ihre Unternehmenssituation prüfen, um notwendige Compliance-Linien sowie das Bestehen vor Sicherheitsaudits zu gewährleisten. Der Anbieter sollte jederzeit für den Datenstandort garantieren können. Zudem müssen die Informationen vor Diebstahl geschützt sein – sowohl bei der Archivierung als auch bei der Übertragung. Flexible Modelle für die Klassifizierung und Autorisierung ermöglichen, dass die Unternehmen bestimmen können, wer auf welche Daten zugreifen darf. Auditprotokolle zeigen, wer wann tatsächlich auf Daten zugegriffen hat.

Grundlage für jeden Dienst ist die Infrastruktur. Die Wahl einer preiswerten Daten-Hosting-Einrichtung ist keine gute Strategie, wenn die Zielkundenbasis besonders sicherheitsempfindlich oder stark reguliert ist, wie etwa bei Finanzdienstleistern oder im Bereich Biowissenschaft. Die Anbieter müssen über eine Sicherheitszertifizierung verfügen – SAS 70 Typ II oder ISO 27001 –, die den Unternehmen zur Prüfung bereitgestellt werden kann. Eine Zertifizierung fördert zudem die Anwendung optimierter Verfahren und trägt zur Erkennung von Schwachstellen bei.

Ein Anbieter sollte die Vertraulichkeit und Integrität der gehosteten Daten sicherstellen. Doch egal wie umfassend die Schutzmaßnahmen sind, es besteht immer die Gefahr von Datenlecks. Sei es aus Versehen oder aufgrund böswilliger Handlungen von Insidern. Mit Hilfe von Verschlüsselung müssen die Anbieter dafür sorgen, dass solche „verlorenen“ Daten für nicht berechtigte Benutzer unbrauchbar werden. Starke Verschlüsselungsalgorithmen und Systeme zur mehrstufigen Schlüsselverwaltung sind unerlässlich. Der Schutz von Informationen während der Übertragung erfordert gewöhnlich SSL 3.0 oder höher. Alle Chiffreblöcke unter 128 Bit müssen serverseitig deaktiviert werden.

Ungewöhnliche Aktivitäten überprüfen

Auch Mitarbeiter, die mit Kundendaten und -prozessen zu tun haben, sind in Gefahr, Opfer von Cyberattacken zu werden. Laufende Überprüfungen im Hintergrund können dazu beitragen, Schwachstellen zu beseitigen. Detaillierte Auditprotokolle helfen bei der Erkennung und Verfolgung von Datendieben. Es können sogar Datenverluste verhindern werden, da ungewöhnliche Aktivitäten eine Überprüfung auslösen.

Beim Schutz von Daten kommt es darauf an, die Angriffsfläche des Systems auf ein Minimum zu beschränken. Die Klassifizierung von Daten und das Festlegen geeigneter Autorisierungsregeln erhöhen den Sicherheitsstand weiter. Durch eine geeignete Festlegung von Benutzerrollen und die Zuweisung rollenbasierter Datenberechtigungen werden Autorisierungsmodelle vereinfacht. Auch die Benutzeradministration gestaltet sich dadurch einfacher und weniger fehleranfällig.

Diese Maßnahmen bilden die „Grundausstattung“ für den Start eines öffentlichen cloudbasierten Dienstes für Unternehmen oder Regierungsbehörden. Eine solide Basis an implementierten Sicherheitsfunktionen, wie Verschlüsselung und granulare Autorisierungsmodelle für hochgradig segmentierte Daten, verschafft professionellen Cloud-Anbietern einen Vorsprung, um zusätzliche Funktionen für maximale Sicherheit schneller und effektiver zu implementieren.

Die meisten Online-Anwendungen erfordern nur eine Benutzer-ID und ein Passwort für die Anmeldung. Dies ist nicht allein technisch bedingt, denn es ist relativ einfach, einen Multifaktorauthentifizierungsserver zu integrieren. Das Problem liegt vielmehr in der Handhabung zusätzlicher Faktoren. Aus diesem Grund sollten nur sensible Daten und Vorgänge durch hohe Sicherheitsstufen geschützt werden.

Dafür gibt es zwei Möglichkeiten: Entweder es wird vorab bestimmt, welche Daten und Anwendungen ein erhöhtes Maß an Sicherheit benötigen. Oder der Dateninhaber gibt an, welche Informationen komplexen Sicherheitsbestimmungen unterliegen. Dies ist zwar schwieriger zu implementieren, macht aber vor allem für von mehreren Stellen genutzte Anwendungen Sinn: Denn so kann jeder Teilnehmer eigene Sicherheitsrichtlinien und Datenklassifizierungsregeln anwenden. Damit werden die sicherheitsrelevanten Entscheidungen den Personen überlassen, die am meisten mit den Daten vertraut sind.

In puncto Kontrolle über den Datenbestand kommt das Bereitstellen eines Dokuments im Internet nahezu dem Versand einer physischen Kopie gleich. In hochgradig sicheren Onlinesystemen kann die Bereitstellung einer elektronischen Kopie jedoch sogar sicherer sein, da es Technologien gibt, die eine strenge Zugriffskontrolle und sogar eine Vernichtung des Dokuments per Fernzugriff erlauben.

Zu diesem Zweck implementieren hochgradig sichere Cloud-Systeme einen Datenschutz, wobei Inhalte stets verschlüsselt werden. Alle Kopien auf der Festplatte des Benutzers sind auch verschlüsselt. Der Leser kann sie ohne den dazugehörigen Schlüssel nicht öffnen. Wenn der Inhaber des Dokuments die Zugriffsberechtigung für einen bestimmten Benutzer zurückzieht, wird der Schlüssel zerstört. Dies bedeutet die digitale Vernichtung eines Dokuments per Fernzugriff. Für noch mehr Sicherheit ist in manchen Systemen ein Diffie-Hellman-Schlüsselaustausch implementiert, bei dem der Schlüssel nie an die Client-Seite gesendet oder dort gespeichert wird – er wird stattdessen vor jeder Benutzung neu berechnet.

Sicherheit für die Cloud
Wenn ein Unternehmen sensible Daten über das Internet übermittelt, sind strenge Kontrollen nötig, um die Sicherheit, Vertraulichkeit, Verlässlichkeit und Integrität sowie die Einhaltung gesetzlicher Vorschriften zu gewährleisten. Die Cloud bietet hier die perfekte Plattform, über die kritische Informationen sicher ausgetauscht werden können. Voraussetzung ist jedoch, dass die Infrastruktur und die Anwendungen mit integrierten Sicherheitsfunktionen konzipiert wurden. Diese reichen von grundlegenden Modellen für Verschlüsselung und granulare Autorisierung bis zu einer Multifaktorauthentifizierung von in Verwendung befindlichen geschützten Inhalten. Die IT-Abteilung kann diese Systeme verwalten und die Kontrolle über die Sicherheit zurückerlangen, indem sie sich mit den Sicherheitsgrundsätzen der Cloud vertraut macht und deren strikte und beständige Einhaltung durch ihre Cloud-Anbieter verlangt.
Im Internet: www.intralinks.com

Bildquelle: © iStockphoto.com/remsan