Public Cloud ohne Risiken: Tipps für mehr Datensicherheit

Die schnelle Bereitstellung von Unternehmensanwendungen ist für die Einführung neuer, verbesserter Geschäftsabläufe zentral. Für viele Unternehmen ist die Auslagerung von Workloads in die Public Cloud dafür das Mittel der Wahl. Hochverfügbarkeit, Skalierbarkeit sowie Kosteneffizienz eröffnen die Möglichkeit, innovative betriebliche Entwicklungen mit geringem Aufwand umzusetzen. Was die Risikoeinschätzung für die dort gespeicherten Daten anbelangt, müssen viele Unternehmen jedoch umdenken.

Mit zunehmender Beliebtheit sind auch sensible Informationen in der Public Cloud zu finden: Kundendaten werden von 45 Prozent der Unternehmen dort gelagert, gefolgt von Mitarbeiterdaten (42 Prozent) und geistigem Eigentum (24 Prozent). Diese Werte wurden im Rahmen einer Studie von Bitglass ermittelt, für die 674 IT-Security-Experten befragt wurden.

Nicht zuletzt auf Grund der Tatsache, dass große Cloud-Anbieter enorme Ressourcen für die Sicherheit aufwenden, ist die Vorstellung verbreitet, dass auch automatisch alle Daten in der Cloud sicher sind. Zwar trägt der Anbieter Sorge für die Sicherung der Umgebung, jedoch obliegt es den Anwendern, Datensicherheitsrisiken zu eliminieren, die im Zuge der Nutzung entstehen. Diese Risiken entstehen insbesondere durch:

• Datei-Uploads,
• Datei-Downloads und
• der Kommunikation zwischen verbundenen Anwendungen.

Die Absicherung der Umgebung ist in der Cloud also nicht gleichbedeutend mit der Sicherheit der Daten. Wollen Unternehmen ihre Daten in der Cloud schützen, müssen sie vor allem dafür Sorge tragen, dass die Nutzung der Umgebung sicher erfolgt. Dies erfordert zusätzliche Maßnahmen auf unterschiedlichen Ebenen:

• Sicherer Zugriff mit Identity and Access Management (IAM): Die Cloud ermöglicht prinzipiell den autorisierten Zugriff auf die dort abgelegten Daten von beliebigen Standorten und Endgeräten. Die ausschließliche Sicherung von Cloudanwendungen über die Zugangsdaten ist jedoch anfällig für Sabotageakte und sollte durch Identity and Access Management (IAM) verstärkt werden. Unter Berücksichtigung verschiedener Faktoren kann die Art des Zugriffs für jede Nutzeridentität auf das minimal erforderliche beschränkt werden. Beispielsweise kann festgelegt werden, dass der Login eines Mitarbeiters nur von bestimmten geographischen Standorten, gesicherten Netzwerkverbindungen, über gewisse Endgeräte und innerhalb der Arbeitszeiten zulässig ist. Eine weitere Sicherheitsebene wird geschaffen, indem er lediglich Zugriff auf die für seine Position und Tätigkeit benötigten Dokumente erhält.
• Kontrolle behalten mit DLP und Datenverschlüsselung: Die Kontrolle über sämtliche verarbeitete Daten ist für Unternehmen vor allem in rechtlicher Hinsicht von großer Bedeutung. Data Loss Prevention (DLP)-Funktionen sichern auf verschiedenen Ebenen Datenverlustwege in allen Cloudanwendungen und erlauben es IT-Administratoren, einzuschreiten. Eine Verschlüsselung von Daten im Ruhezustand sorgt außerdem dafür, dass sie für Dritte nutzlos sind, falls diese unbefugt Zugang zu Anwendungen oder Dateien erhalten haben.
• Dedizierte Cloud Security-Lösungen gegen APTs: Um gegen Advanced Persistent Threats (APTs) gewappnet zu sein, ist der Einsatz zusätzlicher Lösungen ratsam. Security-Tools, die automatisiert in Echtzeit alle Cloud-Daten scannen und anhand verhaltensbasierter Merkmale eine Risikoeinschätzung vornehmen können, ermöglichen es, auch unbekannte Bedrohungen zu identifizieren. Um ein einheitliches Schutzniveau zu etablieren, sollte sichergestellt werden, dass keine potenziell gefährlichen Daten sich von den Endpoints in die Cloud – und umgekehrt – bewegen können. Cloud-Malware-Schutz, der den Upload riskanter Dateien verhindert, sollte mit der installierten Endpoint-Security-Lösung daher kompatibel sein.
• Von Angriffszielen zu Verteidigern – aufgeklärte Nutzer: Angriffe, die Social Engineering nutzen, haben deutlich zugenommen, da diese Taktik relativ hohe Erfolgsaussichten besitzt. Gelingt die erfolgreiche Kompromittierung nur eines Endpoints, ist der Weg in Cloudanwendungen für die Angreifer nicht mehr weit. Die Wachsamkeit der Benutzer kann unter Umständen also die entscheidende Schutzbarriere für Unternehmensdaten darstellen. Die Förderung eines Bewusstseins für Datensicherheit und zielgerichtete Angriffsmethoden ist somit ein wichtiger Bestandteil des Datensicherheitskonzepts. Die Aufklärung über aktuelle Betrugsversuche und die Erläuterung entsprechender Verhaltensregeln sollte daher in regelmäßigen Abständen erfolgen.

Sicherheit auf der Datenebene umsetzen

Mit dem Wechsel in die Public Cloud vollzieht sich auch ein Bedeutungswandel typischer Sicherheitsvorstellungen. Eine sichere Umgebung allein ist nicht mehr gleichbedeutend mit umfassender Sicherheit, da durch die vernetzte Natur der Cloud in der täglichen Nutzung zahlreiche neue Datenverlustwege entstehen.

Gelingt es Unternehmen jedoch, Sicherheit aus der Perspektive der Daten zu betrachten, können sie entsprechende Maßnahmen entwickeln und die Vorteile der Public Cloud ohne Risiken für sich nutzbar machen.

Anurag Kahol ist CTO bei Bitglass.

Bitglass