+++ 15.01.2021 | 11:09
Google schließt Fitbit-Übernahme ab
+++ 14.01.2021 | 12:04
Chinas mächtiger Milliardär verschwunden
+++ 13.01.2021 | 12:03
Twitter sperrt 70.000 QAnon-Accounts
+++ 12.01.2020 | 10:18
China: Bestrafung für Huawei-Bann
+++ 06.01.2021 | 12:01
Weißer Ring warnt vor bloßstellenden Posts
Eine Sicherheitslösung ist ähnlich wie ein Flugschreiber aufzusetzen.
Immer mehr sensible Daten liegen in der Cloud, ob von der IT bereit gestellt oder durch Mitarbeiter und Abteilungen selbst angeschafft. In vielen Fällen ist eine derartige Schatten-IT durchaus wünschenswert und produktiv – solange das Risiko überschaubar ist. Die Bewertung des Risikos ist allerdings nur möglich, wenn das Unternehmen schützenswerte Daten identifizieren kann: Art, Ort, Status und Zugriff auf die Daten gilt es zu kennen.
Wichtige Informationen lassen sich dabei mit Technologien wie CASB- (Cloud Access Security Broker) und DLP-Lösungen (Data Loss Prevention) erfassen. DLP-Lösungen können aufwendige Datenklassifizierungen weitgehend ersetzen. Etwa durch vom Hersteller zur Verfügung gestellte Regelwerke, mit denen länderspezifisch Daten erkannt werden, die gesetzlichen Regelungen unterliegen. Ob im Sharepoint der Entwicklungsabteilung oder Fileshare der Personalabteilung, auch wenn der genaue Inhalt nicht bekannt ist, können DLP und CASB verhindern, dass diese Daten abfließen.
Transparenz über Cloud-Applikationen und Devices kann eine Lösung mit Cloud-Access-Security-Broker-Funktionen liefern. CASB ist zwischen dem Nutzer und dem Netzwerk der Cloud-Dienste zwischengeschaltet. Dadurch lassen sich die eigenen Richtlinien über die eigene Infrastruktur hinaus überwachen. Auch an ein Frühwarnsystem sollte gedacht werden. User and Entity Behavior Analytics (UEBA) erkennen Anomalien sofort. Ein kompromittierter Account fällt sonst nur durch Zufall oder entstandenen Schaden auf.
Mitarbeiter haben ein berechtigtes Interesse daran, dass ihre Daten und Bewegungen im Firmennetzwerk nicht pauschal überwacht werden. Gleichzeitig muss aber auch gewährleistet sein, dass geistiges Eigentum im Unternehmen bleibt. Eine Sicherheitslösung ist also ähnlich wie ein Flugschreiber aufzusetzen. Erstens wird vorab festgelegt, welche Daten erfasst werden sollen. Zweitens sind Informationen zum Nutzerverhalten immer pseudonymisiert. Alle Daten können nur bei einem konkreten Verdacht einem bestimmten Mitarbeiter zugeordnet werden. Hier ist die Zustimmung eines autorisierten Gremiums einzuholen, etwa aus Betriebsrat, Geschäftsführung und IT-Leiter.
Alle Sicherheitslösungen sollten in einer Plattform integriert sein. So stehen alle Informationen durchgängig zur Verfügung und können über Dashboards kontrolliert werden. Nun gilt es für die Arbeit essentielle Applikationen zu definieren und freizugeben. Außerdem lassen sich Zugriffsrechte für verschiedene Devices an die Firmenrichtlinien anpassen. Auf Basis des User-Verhaltens lassen sich Richtlinien zudem automatisiert für die Benutzung von Cloud-Anwendungen und für den Zugriff von extern erstellen und anwenden.
Schulung und Aufklärung über Informationssicherheit sowie die eingesetzten Cloud-Systeme ist das A und O. Sicherheit funktioniert nur, wenn sich auch jeder dafür verantwortlich fühlt. Mit Mitarbeitern sollten aktuelle Trends und Gefahren besprochen werden. In kritischen Bereichen sind zusätzlich realitätsnahe Trainingssituationen hilfreich. Bei besonders schützenswerten Benutzerkonten, den sogenannten privilegierten Nutzern bzw. Administratoren, ist außerdem eine verpflichtende Zwei-Faktor-Authentifizierung ratsam. Der Einsatz einer Lösung sollte dabei stets transparent den Mitarbeitern kommuniziert werden und in Zusammenarbeit mit dem Betriebsrat und der Personalabteilung erfolgen. Der beste Schutz ist es schließlich, den Mitarbeitern Verhaltensrichtlinien an die Hand zu geben, die nicht unnötig einschränken.
Dies ist ein Artikel aus unserer Print-Ausgabe 4/2019. Bestellen Sie ein kostenfreies Probe-Abo.
Eine Sicherheitsstrategie für Cloud-Umgebungen kann in sechs grundlegende Schritte münden:
Bildquelle: Getty Images/iStock