Wie sicher sind Geschäftsdaten in der Cloud?

ITM: Herr De Bos, immer mehr Unternehmen gehen den Weg in die Cloud. Viele Anwender haben trotzdem Sicherheitsbedenken und fürchten einen unberechtigten Zugriff. Wie sicher sind sensible Geschäftsdaten in der Cloud?
Tony De Bos: Grundsätzlich sind Daten in der Cloud nicht weniger sicher, als wenn sie On-Premises gespeichert werden. Allerdings gibt es einige Aspekte, die Verantwortliche auf der Agenda haben sollten. Zunächst sollten Anwender bei der Auswahl ihrer Partner und Dienstleister in puncto Sicherheit gründliche Background-Checks durchführen. Ein guter Cloud-Service-Anbieter (CSA) verfügt in der Regel über Zertifizierungen wie ISO 27001 und ist somit von unabhängigen Auditoren zertifiziert. Diese stellen sicher, dass die Kontrollen zum Schutz der Vertraulichkeit und Integrität der Kundendaten aufseiten des Dienstleisters wirksam funktionieren. Zudem sollten Anwender bei Vertragsabschluss sicherstellen, dass die Datensicherheit mit einer entsprechenden Klausel gewährleistet wird. Es sollte darüber hinaus beachtet werden, dass Entscheider und vor allem das Management immer für die Wahrung der Vertraulichkeit und Integrität der Daten verantwortlich sind, die ihre Organisation kontrolliert. Leider ist es nicht möglich, die Verantwortung wie bei anderen IT-Dienstleistungen auszulagern. Aus diesem Grund sollte sichergestellt werden, dass während der Cloud-Migration Sicherheitskontrollen und -meilensteine implementiert werden, um die Sicherheit der Unternehmensdaten zu gewährleisten. Diese sollten den Standards entsprechen, die schon bei der lokalen Speicherung der Daten angesetzt wurden.

ITM: Was sind die größten Sicherheitsbedrohungen in der Cloud?
De Bos: Momentan stellen vor allem unbefugte Zugriffe und Datenlecks die größte Bedrohung für Unternehmen jeder Größe dar. Multitenancy ist ein Konzept, mit dem CSAs Effizienz und Rentabilität sicherstellen. Es bedeutet, dass eine einzige Software-Instanz auf einem Server läuft und mehrere Kunden bedient. Auf diese Weise konzipierte Systeme basieren auf Shared Use und schonen Ressourcen. Wenn es bei der Konfiguration der Nutzer zu Fehlern kommt, kann es passieren, dass ein Kunde auf die Daten eines anderen Nutzers zugreift und Dateien in die falschen Hände fallen. CSAs sollten ihre Architektur von vornherein so gestalten, dass solche Leaks vermieden werden, und sie müssen Kontrollinstanzen implementieren, die dies sicherstellen. Ein weiterer Punkt, den Verantwortliche beachten sollten, sind Zugriffsrechte. Im Rahmen von Administratoraufgaben kann es vorkommen, dass Mitarbeiter des CSA Zugriff auf sensible Daten erhalten. Kunden sollten daher von Beginn an festlegen, wer auf welche Daten zugreifen kann.

ITM: Wie lassen sich Sicherheitsrisiken bei der Cloud-Nutzung gering halten? Wann sind Security-Maßnahmen notwendig?
De Bos: Die Sicherheitsrisiken können – genau wie in traditionellen Umgebungen – auf ein Minimum reduziert werden. Allerdings verändert sich die Verantwortlichkeit. Je weiter man sich von On-Premises hin zu SaaS wegbewegt, desto mehr liegt die Verantwortung für die Sicherheitsmaßnahmen beim Dienstleister. Welche Maßnahmen dabei notwendig sind, hängt von der Risikobereitschaft der Unternehmen ab. Es hat sich bewährt, ein Risiko-Audit durchzuführen, um festzustellen, welche Angriffsflächen es gibt und welche Maßnahmen implementiert werden sollten, um dem Sicherheitsanspruch gerecht zu werden.

ITM: Wo speichert ein professioneller Cloud-Anbieter die Daten? Wie lässt sich ein sicherer Transport der Daten gewährleisten?
De Bos: CSAs speichern die Kundendaten auf eigenen gesicherten Servern im Block- oder Objektformat. Bei der Objektspeicherung werden die Daten in Links verwaltet, die mit Metadaten verbunden sind. Der Schlüssel zum sicheren Speichern liegt in starken Kontrollen des Identitäts- und Zugriffs-Managements. Dabei sollten die Unternehmen stets im Besitz der Kodierungsschlüssel sein und die Verantwortung dafür übernehmen. So lässt sich das Risiko eines Fremdzugriffs reduzieren. Zudem sollten Daten, die transportiert werden oder sich in Bewegung befinden, verschlüsselt werden, um Vertraulichkeit zu gewährleisten. Dies sollte für die gesamte Datenkette gelten, über die die Daten transportiert werden, also End-to-End.

ITM: Sind Cloud-Dienste überhaupt stabil und zuverlässig?
De Bos: Ja und nein. Sie sollten so konzipiert sein, dass sie stabil und zuverlässig verfügbar sind. Allerdings hängt die Stabilität in der Realität stark von den Ansprüchen der Unternehmen und von den Fähigkeiten der CSAs ab. Cloud-Dienste, die eine größere Stabilität und Zuverlässigkeit gewährleisten, benötigen eine Reihe fortschrittlicher verfahrenstechnischer Maßnahmen, um genau dies zu gewährleisten. Diese Maßnahmen sind mit Kosten verbunden. Daher ist es wichtig, dass Entscheider genau wissen, welche Anforderungen sie an Stabilität und Zuverlässigkeit stellen und welches Budget sie dafür zur Verfügung haben.

ITM: Was ist mit der Sicherheit der Endgeräte, die einen Zugriff auf die Cloud haben?
De Bos: Endbenutzer und Endgeräte, sogenannte Endpoints, werden häufig von Angreifern ins Visier genommen, um Zugang zu teils sensiblen Unternehmensdaten zu erhalten. Daher ist es wichtig, dass sie angemessen geschützt werden. Wir beobachten jedoch, dass durch den Wandel der Arbeitswelt immer mehr Endnutzer mit privaten Geräten aus öffentlichen Netzwerken auf die Unternehmensdaten zugreifen. Diese Geräte entziehen sich der Kontrolle des Unternehmens und dadurch vergrößert sich das Risiko. Um das Gerät und die Cloud zu schützen, empfiehlt es sich, eine Reihe von technischen Kontrollen zu entwickeln und umzusetzen. Im Fall von Geräten, die dem Unternehmen gehören, können Sicherheitsrichtlinien mithilfe einer Lösung zur Verwaltung mobiler Endpunkte implementiert werden. Diese müssen erfüllt werden, sonst wird der Zugriff verweigert.

Bildquelle: Kudelski Security