12.04.2019 6 Sicherheitstipps

Stets die Kontrolle in der Cloud behalten

Von: Carsten Hoffmann

In immer mehr Unternehmen nutzen die Mitarbeiter verschiedene Cloud-Anwendungen. Um die Sicherheit für vernetztes Arbeiten zu gewährleisten, sollte man laut Carsten Hoffmann, Manager Sales Engineering bei Forcepoint, die folgenden Tipps beherzigen.

Eine Sicherheitslösung ist ähnlich wie ein Flugschreiber aufzusetzen.

1. Schützenswertes identifizieren

Immer mehr sensible Daten liegen in der Cloud, ob von der IT bereit gestellt oder durch Mitarbeiter und Abteilungen selbst angeschafft. In vielen Fällen ist eine derartige Schatten-IT durchaus wünschenswert und produktiv – solange das Risiko überschaubar ist. Die Bewertung des Risikos ist allerdings nur möglich, wenn das Unternehmen schützenswerte Daten identifizieren kann: Art, Ort, Status und Zugriff auf die Daten gilt es zu kennen.

2. Daten analysieren

Wichtige Informationen lassen sich dabei mit Technologien wie CASB- (Cloud Access Security Broker) und DLP-Lösungen (Data Loss Prevention) erfassen. DLP-Lösungen können aufwendige Datenklassifizierungen weitgehend ersetzen. Etwa durch vom Hersteller zur Verfügung gestellte Regelwerke, mit denen länderspezifisch Daten erkannt werden, die gesetzlichen Regelungen unterliegen. Ob im Sharepoint der Entwicklungsabteilung oder Fileshare der Personalabteilung, auch wenn der genaue Inhalt nicht bekannt ist, können DLP und CASB verhindern, dass diese Daten abfließen.

3. Transparenz schaffen

Transparenz über Cloud-Applikationen und Devices kann eine Lösung mit Cloud-Access-Security-Broker-Funktionen liefern. CASB ist zwischen dem Nutzer und dem Netzwerk der Cloud-Dienste zwischengeschaltet. Dadurch lassen sich die eigenen Richtlinien über die eigene Infrastruktur hinaus überwachen. Auch an ein Frühwarnsystem sollte gedacht werden. User and Entity Behavior Analytics (UEBA) erkennen Anomalien sofort. Ein kompromittierter Account fällt sonst nur durch Zufall oder entstandenen Schaden auf.

4. Informationssicherheit und Datenschutz ausgleichen

Mitarbeiter haben ein berechtigtes Interesse daran, dass ihre Daten und Bewegungen im Firmennetzwerk nicht pauschal überwacht werden. Gleichzeitig muss aber auch gewährleistet sein, dass geistiges Eigentum im Unternehmen bleibt. Eine Sicherheitslösung ist also ähnlich wie ein Flugschreiber aufzusetzen. Erstens wird vorab festgelegt, welche Daten erfasst werden sollen. Zweitens sind Informationen zum Nutzerverhalten immer pseudonymisiert. Alle Daten können nur bei einem konkreten Verdacht einem bestimmten Mitarbeiter zugeordnet werden. Hier ist die Zustimmung eines autorisierten Gremiums einzuholen, etwa aus Betriebsrat, Geschäftsführung und IT-Leiter.

5. Regularien aufsetzen

Alle Sicherheitslösungen sollten in einer Plattform integriert sein. So stehen alle Informationen durchgängig zur Verfügung und können über Dashboards kontrolliert werden. Nun gilt es für die Arbeit essentielle Applikationen zu definieren und freizugeben. Außerdem lassen sich Zugriffsrechte für verschiedene Devices an die Firmenrichtlinien anpassen. Auf Basis des User-Verhaltens lassen sich Richtlinien zudem automatisiert für die Benutzung von Cloud-Anwendungen und für den Zugriff von extern erstellen und anwenden.

6. Bewusstsein für IT-Sicherheit stärken

Schulung und Aufklärung über Informationssicherheit sowie die eingesetzten Cloud-Systeme ist das A und O. Sicherheit funktioniert nur, wenn sich auch jeder dafür verantwortlich fühlt. Mit Mitarbeitern sollten aktuelle Trends und Gefahren besprochen werden. In kritischen Bereichen sind zusätzlich realitätsnahe Trainingssituationen hilfreich. Bei besonders schützenswerten Benutzerkonten, den sogenannten privilegierten Nutzern bzw. Administratoren, ist außerdem eine verpflichtende Zwei-Faktor-Authentifizierung ratsam. Der Einsatz einer Lösung sollte dabei stets transparent den Mitarbeitern kommuniziert werden und in Zusammenarbeit mit dem Betriebsrat und der Personalabteilung erfolgen. Der beste Schutz ist es schließlich, den Mitarbeitern Verhaltensrichtlinien an die Hand zu geben, die nicht unnötig einschränken.