Warum es mehr Dialog und weniger Technikfokus braucht

Viele Firmen schützen ihre IT nicht adäquat. Das lässt auf Fehlannahmen schließen.

Cloud-Provider kümmern sich um IT-Sicherheit: Wer Cloud-basierte Dienste von einem Hyperscaler bezieht, ist dennoch gefordert, Data Governance sicherzustellen, Endgeräte zu schützen sowie Zugriffs- und Nutzungsrechte zu verwalten.

Mit Cloud-Lösungen verschwinden IT-Silos: Hält etwa das Marketing auf einer Cloud-Plattform konsolidierte Assets vor, profitiert nur diese Abteilung. Ohne Anbindung an abteilungsfremde Systeme entstehen neue Datensilos.

IT-Experten sind Security-Experten: Wer glaubt, IT-Experten seien Security-Experten, der irrt. Weil die Cloud-Adaption sehr komplex und vielschichtig ist, sollten Unternehmen einen Dienstleister ins Boot holen. Er begleitet Firmen in die Cloud, definiert Tool-seitige Security-Regeln, wählt Detection-Sensoren aus und erbringt MDR-Services.

Mitarbeiter gehen verantwortungsvoll mit Daten um: Schnell sind sensible Informationen preisgegeben, Daten in einen ungeprüften Cloud-Speicher hochgeladen, Online-Käufe per Firmenkreditkarte bezahlt, riskante Passwörter wie „123456“ verwendet oder kostenlose PDF-Converter genutzt, bei denen Anbieter die Inhalte auswerten. Darum gilt: nur sichere Tools freischalten und die Belegschaft befähigen, Cloud-Dienste reflektiert zu nutzen.

Cloud-Migration ohne Sicherheitsrisiken

Vor diesem Hintergrund gibt es laut Arvato verschiedene Lösungsansätze.

Standardlösungen individualisieren: Die Lösungen der etablierten Hyperscaler bieten viele Tools und Konfigurationsmöglichkeiten. Wer diese Tools anpasst oder generell Cloud-Lösungen entwickelt, sollte auf Infrastructure as Code (IaC) setzen. IaC ermöglicht, Security-Features im Quellcode zu hinterlegen und sichere Infrastruktur-Templates zu duplizieren.

Cloud Security als Geschäftsprozess verstehen: Zudem sind Assets und Systeme lückenlos zu inventarisieren. Nur, wer den Status aller Cloud-Anwendungen kennt, kann Cloud-Sicherheit als Businessprozess verstehen, der zu modellieren, zu steuern, zu überwachen, zu optimieren und zu auditieren ist.

Alles und jeden verifizieren: Schutzmechanismen wie eine Firewall sind unzureichend, wenn Daten und Systeme in der Cloud liegen. Vielmehr sind alle Systeme und Endgeräte abzusichern – gemäß Zero-Trust-Konzept: „Vertraue niemandem außerhalb und innerhalb deiner Organisation. Und verifiziere jeden.“ Aber Achtung: Als Designprinzip ist Zero Trust individuell umzusetzen.

Schutzziele definieren: Als Schutzziel sieht die Multi-Faktor-Authentifizierung für die Bereitstellung von Software-as-a-Service-Lösungen (SaaS) ein zweites Authentifizierungsmerkmal an allen Endpoints vor – eine SMS, eine App, ein Anruf oder ein Gerät. Zudem dürfen private Endgeräte nicht mit dem Netzwerk verbunden sein, wenn sie die Security-Vorgaben nicht erfüllen. Ebenso muss das Patch Management im Homeoffice funktionieren.

All diese Maßnahmen verbindet zwei Fragen: Was darf mit Assets passieren? Und wer darf das tun? Auf einem Control Panel personenbezogen hinterlegt, machen diese Informationen unautorisierte Zugriffe erkennbar. Ebenso wichtig ist XDR. XDR ermöglicht, Daten auf Security-Ebenen wie E-Mails, Geräten, Servern, Cloud-Workloads und Netzwerken automatisch zu erfassen und zu korrelieren. So können Firmen Bedrohungen schneller identifizieren und unmittelbar reagieren.

Obwohl IT-Abteilungen um diese Aspekte wissen, sind viele Firmen auf dem Security-Auge blind. Manchmal weiß der CEO nicht, wie wichtig Cloud Security für den Geschäftsbetrieb ist. Und IT-Experten gelingt es zuweilen nicht, die Auswirkungen von Cyberattacken zu vermitteln. Darum sollte bei Gesprächen die Technik zunächst außen vor bleiben. Es geht darum, den Möglichkeiten der Cloud und der Komplexität von Cloud Security bewusst zu begegnen. Ist ein Service in die Cloud zu migrieren, ist zu entscheiden: Soll das bisherige On-Premises-Konzept in der Cloud abgebildet werden – einschließlich Wartung und Updates? Oder wäre es nicht sinnvoller, das digitale Produkt als SaaS bereitzustellen und adäquat abzusichern? Wer Cloud Security ernsthaft angeht, muss gängige Vorurteile ausräumen: Cloud-Sicherheit ist kein IT-Thema. Cloud Security ist strategisch zu verankern und erst dann praktisch umzusetzen.

Bildquelle: Pixabay / ambercoin