Cloud Sicherheit

Cloud Security: Was Sie beachten sollten

Nach einem aktuellen Verizon-Bericht (PDF-Download) schätzen 94% aller Firmen, dass mehr als ein Viertel ihrer Arbeitslast innerhalb von zwei Jahren in der Cloud liegen wird. Der Einsatz und die Erbringung von IT-Services für Firmen findet aus unterschiedlichen Motiven immer häufiger mit einem Cloud-Modell statt: IT-Organisationen können besser auf geschäftliche Anforderungen eingehen, indem sie nach Belieben skalieren, sich auf ihre Kernkompetenzen fokussieren (in der Regel nicht auf den Rechenzentrumsbetrieb) und die langfristigen Kosten um mehr als 65 % senken als mit herkömmlichen ITModellen.

Der zehnte Jahrestag des Cloud-Angebots von Amazon Web Services ist eine gute Gelegenheit, darüber nachzudenken, was der Handel im ersten Jahrzent des Cloud Computing über Sicherheit erfahren hat und was Firmen bedenken müssen, wenn sie sich auf den Weg in die Cloud machen. Für die Planungen der Umstellung auf die Cloud ist es von Bedeutung zu wissen, dass die Sicherheitskonzepte für SaaS ("Software as a Service") und IaaS ("Infrastructure as a Service") grundsätzlich unterschiedlich sind.

Auch wenn diese beiden Arten von Diensten oft zusammen in die Public Cloud geraten, sind Datensouveränität, Verschlüsselungsmanagement und Servicezugang bei beiden Cloud-Diensten völlig verschieden. SaaS-Lösungen sind zwar in der Regel leichter zu verbrauchen als IaaS-Produkte, da keine Notwendigkeit besteht, die Anwendungsschicht zu verwalten, aber sie sind nicht so zuverlässig wie die individuellen IaaS-Lösungen.

Diese Architekturunterschiede sind entscheidend dafür, wie Dritte auf Ihre Informationen zugreifen können. Es gibt auch einige sehr wohl bekannt gewordene Beispiele, in denen Cloud-Sicherheit nicht von einem Einsatzfall auf einen anderen umsetzbar ist. Das Beispiel zeigt, wie nutzergenerierte Sicherheits-Codes den Zugang zu Informationen unterbinden können und hat auch zu einer der renommiertesten staatlich geförderten Hacking-Kampagnen aller Zeiten beigetragen.

In diesem Falle hat Apple alle über seinen iCloud SaaS-Service verwalteten Informationen über San Bernadino-Angreifer voll und ganz an die Ermittler weitergegeben - und das könnte daran liegen, dass das Untenehmen die Souveränität über seine Benutzerdaten hat. Eines wird immer deutlicher: Wenn Sie nicht die Souveränität über Ihre Dienste und Informationen haben, gibt es immer die Chance, dass ein Anbieter so agiert, wie Sie es nicht erwartet haben und vor denen Sie sich nicht so leicht absichern können.

Das Speichern von Unternehmensdaten in einem einzelnen Rechner war schon immer eine entscheidende Sicherheitslücke in Public und Private Clouds. Die Zahl der Nutzer einer Public Cloud SaaS-Lösung steht in direktem Verhältnis zu ihrer Anziehungskraft für Angreifer - je grösser die Nutzerzahl, umso grösser die Datenmenge für diese.

Angesichts dieser Zunahme von Sicherheitslücken empfiehlt der Sicherheitsverantwortliche die Trennung der Daten, die Reduzierung des Volumens der höchst wünschenswerten Vermögenswerte und die Erstellung sicherer, verschlüsselter Clients mit der höchstmöglichen Auflösung für die Anwender. Das Generieren von Verschlüsselungsschlüsseln durch Dritte vergrößert die Verwundbarkeit und ist daher für den Einsatz in modernen Firmen nicht tauglich.

"Das Speichern von Informationen in einem einzelnen Computer war schon immer eine entscheidende Sicherheitslücke für öffentliche und nicht-öffentliche Clouds. "Benutze eine Privatwolke. Virtuelle Privatwolken sind so sicher wie bisher die Sicherheit privater RZ. So können sich Unternehmen ganz auf das Erlebnis der Cloud einlassen, ohne die Anwendungs- und Informationssicherheit zu beeinträchtigen.

Unterteilen Sie Ihre Anwender, Fachabteilungen und Informationen in verschiedene Bereiche, um den Bedrohungsradius zu minimieren. Mit skalierbaren Systemen, die eindeutige Verschlüsselungsschlüssel erzeugen und von jedem Cloud-Client isolierte Informationen bereitstellen, kann sichergestellt werden, dass potenzielle Sicherheitslücken auf den Anwender, die Applikation oder das Segment begrenzt sind.