Kontrolle über Cloud-Umgebungen behalten

Guideline Kontrolle über Cloud-Umgebungen behalten

09.10.2019Autor / Redakteur: Frank Limberger / Marlene Mahlo |

Die Ansprüche an vernetztes Arbeiten steigen: Mitarbeiter nutzen verschiedene Cloud-Anwendungen, greifen zu jeder Zeit und von jedem Ort aus auf Unternehmensdaten zu - und das mobil über private Endgeräte. Was bedeutet das für die IT-Security?

Anbieter zum Thema

Schneider Electric GmbH

NetModule AG

TXOne Networks

Forcepoint Deutschland GmbH

Sensible Daten liegen immer mehr in der Cloud, ob von der IT bereit gestellt oder durch Mitarbeiter und Abteilungen selbst angeschafft. Diese gilt es zu schützen.
(Bild: gemeinfrei / CC0 )

Eine Sicherheitsstrategie für Cloud-Umgebungen lässt sich in sechs grundlegenden Schritten etablieren:

1. Wissen, was zu schützen ist

2. Art, Ort und Status der Daten bestimmen

3. Transparenz über Cloud-Anwendungen schaffen

4. Interesse an Informationssicherheit und Datenschutz ausgleichen

5. Regularien aufsetzen

6. Bewusstsein für IT-Sicherheit stärken

1. Schützenswertes identifizieren

Sensible Daten liegen immer mehr in der Cloud, ob von der IT bereit gestellt oder durch Mitarbeiter und Abteilungen selbst angeschafft. In vielen Fällen ist eine derartige Schatten IT durchaus wünschenswert und produktiv – solange das Risiko überschaubar ist. Die Bewertung des Risikos ist allerdings nur möglich, wenn das Unternehmen schützenswerte Daten identifizieren kann: Art, Ort, Status und Zugriff auf die Daten gilt es zu kennen.

2. Daten analysieren

Wichtige Informationen lassen sich dabei mit Technologien wie Cloud Access Security Broker- (CASB) und Data Loss Prevention- Lösungen (DLP) erfassen. DLP-Lösungen können aufwändige Datenklassifizierungen weitgehend ersetzen. Etwa durch vom Hersteller zur Verfügung gestellte Regelwerke, mit denen länderspezifisch Daten erkannt werden, welche gesetzlichen Regelungen unterliegen. Ob im Sharepoint der Entwicklungsabteilung oder Fileshare der Personalabteilung, auch wenn der genaue Inhalt nicht bekannt ist, können DLP und CASB verhindern, dass diese Daten abfließen.

3. Transparenz schaffen

Transparenz über Cloud-Applikationen und Devices liefert eine Lösung mit Cloud-Access-Security-Broker-Funktionen. CASB ist zwischen dem User und dem Netzwerk der Cloud-Dienste zwischengeschaltet. Dadurch lassen sich die eigenen Richtlinien über die eigene Infrastruktur hinaus überwachen. Auch an ein Frühwarnsystem sollte gedacht werden. User and Entity Behavior Analytics (UEBA) erkennen Anomalien sofort. Ein kompromittierter Account fällt sonst nur durch Zufall oder entstandenen Schaden auf.

4. Informationssicherheit und Datenschutz ausgleichen

Mitarbeiter haben ein berechtigtes Interesse daran, dass ihre Daten und Bewegungen im Firmennetzwerk nicht pauschal überwacht werden. Gleichzeitig muss aber auch gewährleistet sein, dass geistiges Eigentum im Unternehmen bleibt. Eine Security-Lösung ist also ähnlich wie einen Flugschreiber aufzusetzen. Erstens wird vorab festgelegt, welche Daten erfasst werden sollen. Zweitens sind Informationen zum User-Verhalten immer pseudonymisiert. Alle Daten können nur bei einem konkreten Verdacht einem bestimmten Mitarbeiter zugeordnet werden. Hier ist die Zustimmung eines autorisierten Gremiums einzuholen, etwa aus Betriebsrat, Geschäftsführung und IT-Leiter.

Nahtlose Integration von Edge- und Cloud-Computing (Krones AG (Tochterunternehmen: Syskron))

5. Regularien aufsetzen

Alle Security-Lösungen sollten in einer Sicherheitsplattform integriert sein. So stehen alle Informationen durchgängig zur Verfügung und können über Dashboards kontrolliert werden. Nun gilt es für die Arbeit essentielle Applikationen zu definieren und freizugeben. Außerdem lassen sich Zugriffsrechte für verschiedene Devices an die Firmenrichtlinien anpassen. Etwa für den kontrollierten Einsatz von Bring Your Own Device (BYOD). Auf Basis des User-Verhaltens lassen sich Richtlinien zudem automatisiert für die Benutzung von Cloud-Anwendungen und für den Zugriff von extern erstellen und anwenden.

6. Bewusstsein für IT-Sicherheit stärken

Schulung und Aufklärung über Informationssicherheit sowie die eingesetzten Cloud-Systeme ist das A und O. Sicherheit funktioniert nur, wenn sich auch jeder dafür verantwortlich fühlt. Mit Mitarbeitern sollten aktuelle Trends und Gefahren besprochen werden. In kritischen Bereichen sind zusätzlich realitätsnahe Trainingssituationen hilfreich. Bei besonders schützenswerten Benutzerkonten, den sogenannten privilegierten Usern bzw. Administratoren, ist außerdem eine verpflichtende Zwei-Faktor-Authentifizierung ratsam. Der Einsatz einer Lösung sollte dabei stets transparent den Mitarbeitern kommuniziert werden und in Zusammenarbeit mit dem Betriebsrat und HR erfolgen. Der beste Schutz ist es schließlich, den Mitarbeitern Verhaltensrichtlinien an die Hand zu geben, die nicht unnötig einschränken.