Falsches Gefühl der Sicherheit?

ITD: Herr Schumacher, viele Geschäftsführer setzen On-Premises-Architektur immer noch mit erhöhter Sicherheit gleich. Wieso hält sich diese Annahme so hartnäckig?
Thomas Schumacher: On-Premises-Architekturen erlauben einem Unternehmen, die eigenen Daten unter dem eigenen Dach zu lagern, was zu einem falschen Gefühl der Sicherheit führt. Denn unmittelbare Nähe ist nicht gleichzusetzen mit Kontrolle und damit einhergehend auch nicht mit Sicherheit. Security-Initiativen im Stil der großen Cloud-Anbieter sind für einzelne Unternehmen finanziell nicht zu stemmen. Microsoft beispielsweise investiert jährlich rund 1 Mrd. US-Dollar in die eigene Cyber-Security und die Sicherheit seiner Cloud-Dienste. Lösen sich Unternehmen von ihrem Bauchgefühl und gehen die Zusammenarbeit mit einem globalen Anbieter ein, so können sie unmittelbar von dessen etablierten Strukturen profitieren.

ITD: Welche Gefahren werden beim lokalen Betrieb einer Software am häufigsten übersehen?
Schumacher: Der lokale Betrieb von Software war in der Vergangenheit und ist noch heute die meistgenutzte Form, die eigenen Geschäftsabläufe applikationsbasiert abzubilden. Mit der damit einhergehenden Ausweitung von Cyberangriffen wurde die Agenda der Betreiber allerdings um ein zusätzliches Handlungsfeld erweitert, dessen potenzielle Auswirkung zum Teil erheblichen Einfluss auf den Geschäftserfolg der Unternehmen haben kann. Umso besser ist es für die Unternehmen, wenn sie auf das Ökosystem eines großen Cloud-Anbieters zurückgreifen können. Hier ist man nicht nur im Fall eines Ausfalls abgesichert, sondern kann von den automatisierten IT-Prozessen profitieren. Zusätzlich kann man sich die Mehrwertdienste der Cloud-Anbieter zunutze machen, die man sehr einfach zubuchen und verwenden kann, wie z. B. von der Mehr-Faktor-Authentifizierung bis zum schnelleren Erkennen von Anomalien. Dies wäre in einem On-Site-Szenario für jede Applikation des Unternehmens individuell, ggf. sogar mit unterschiedlichen Lösungsansätzen, zu implementieren.

ITD: Der Wechsel in die Cloud ist ebenfalls mit Risiken behaftet. Worauf gilt es beim Umstieg zu achten?
Schumacher: Mit dem Wechsel in die Cloud treten keine komplett neuen Risiken auf, sondern die bestehenden Risiken hinsichtlich Daten, Identitäten und Zugriffskanälen verschieben sich. Bei den eigenen Daten geht es darum, diese entsprechend zu klassifizieren und zu entscheiden, welche geschützt werden müssen. Aus dieser Analyse müssen technische Schutzmaßnahmen abgeleitet werden. Das können eigene oder auch Cloud-native Mechanismen sein.
Bezüglich der Identitäten steht die Frage nach den Anwendern im Vordergrund: Wer sind die Anwender und welchen Zugriff benötigen sie? Die Identifikation und entsprechende Autorisierung der Nutzer sollten durch einen geregelten Prozess bewerkstelligt werden.

Der Zugriffskanal der Anwender spielt in einem Cloud-Szenario eine größere Rolle. Während Applikationen im firmeneigenen Umfeld in der Regel von Firmenrechnern aus dem Firmennetzwerk gestartet werden, sind die Zugriffsarten in einem Cloud-basierten Umfeld oft sehr viel flexibler, da Daten über diverse Endgeräte abgerufen werden. Die Sicherheitsmechanismen müssen also über die Grenzen der Cloud hinausgehen und verschiedene Endgeräte einschließen.

ITD: Wie etabliert man ein zuverlässiges Rollen- und Rechtesystem samt sicherer User-Authentifizierung für die Cloud-Infrastruktur?
Schumacher: In einer digitalisierten Welt werden Identitäten zunehmend wichtiger. Dabei verschwinden die Grenzen zwischen einer On-Premises-Infrastruktur und der Cloud. Grundsätzlich gilt es, Rollen und Rechte dem dahinter liegenden Risiko anzupassen und dafür zu sorgen, dass alleine durch die Vergabe von Rechten keine toxischen Risikosituationen entstehen (Segregation of Duties). Durch die zunehmende Komplexität der Infrastruktur und der Applikationslandschaften können hier zukünftig lernende Algorithmen unterstützen – beispielsweise bei besonders privilegierten Rechten. Regulatoren achten auch zunehmend darauf, dass Kontrollen auf der Nutzung von Rechten liegen. Algorithmen können ebenso als Werkzeug dienen, um Anomalien in der Rechtenutzung aufzuspüren, so wie wir das heute schon bei der Kreditkartennutzung kennen. Eine Karte kann beispielsweise nicht in Deutschland zum Geldabheben genutzt und wenige Minuten später auf einem anderen Kontinent verwendet werden.

ITD: Die Compliance gilt bei einem Umzug in die Cloud ebenfalls als kritischer Aspekt. Was muss hier berücksichtigt werden?
Schumacher: Beim Thema Compliance geht es in erster Linie darum, welche regulatorischen Anforderungen für das Unternehmen gelten. Diese Anforderungen müssen in Betracht gezogen werden, wenn entschieden wird, welche Cloud-Umgebung genutzt werden kann und welche Bausteine für die eigene Compliance notwendig sind. So lässt sich eruieren, in welcher Form und welchem Umfang man sinnvollerweise Cloud-Dienste einsetzen kann. Viele Cloud-Anbieter unterstützen dabei mit verschiedenen Tools, so beispielsweise u. a. zur Einordnung der Unternehmung in die regulatorische Landschaft sowie zur Feststellung der Compliance und möglicher Maßnahmen zur Einhaltung der Standards. Für deutsche Unternehmen sind je nach Branche insbesondere Themen zur Datenhaltung wichtig.

Bildquelle: Accenture