Mit Beginn eines neuen Jahres ziehen viele Unternehmensabteilungen Bilanz über den Verlauf der vergangenen zwölf Monate. Was lief gut, wo gibt es Verbesserungsbedarf und wofür sollten im kommenden Jahr mehr Ressourcen aufgewendet werden? Eine Diskussion, die in der geschäftskritischen IT-Abteilung überaus intensiv geführt wird. Insbesondere in der Security setzen sich die Verantwortlichen mit Fragen wie diesen auseinander: Wie sah die Bedrohungslage im vergangenen Jahr aus? Mit welchen Maßnahmen sind wir diesen entgegengetreten? Gab es Vorkommnisse, die die Notwendigkeit zusätzlicher Maßnahmen nahelegen?
Was jedoch die Bewertung von Sicherheitsrisiken und das daraus folgende frühzeitige Ergreifen geeigneter Maßnahmen anbelangt, haben IT-Abteilungen mitunter mit einigen Widrigkeiten innerhalb ihres Betriebs zu kämpfen. Dabei trifft es häufig die Absicherung der Cloud. Zu den typischen Faktoren, die Fehleinschätzungen begünstigen und zu suboptimalen Ergebnissen in der Organisation der Cloud-Security führen, zählen beispielsweise die folgenden:
- Knappe Budgets: Für die Anschaffung neuer Security-Lösungen müssen IT-Teams stets stichhaltig begründen, warum die dafür anfallenden Ausgaben getätigt werden sollten. Geht es um die Absicherung der Cloud, stoßen sie häufig auf stärkeren Widerstand. Viele Unternehmen haben große Investitionen in die lokale Infrastruktur getätigt. Auf Grund von Missverständnissen, dass die bestehenden On-Premises-Maßnahmen auch für Cloudumgebungen ausreichend Schutz bieten, werden weitere Mittel für zusätzliche, notwendige Cloud-Sicherheitslösungen oft nur zögerlich bewilligt.
- Fehleinschätzung der Bedrohungssituation: In manchen Unternehmen hält sich hartnäckig die Vorstellung, für Hacker kein lohnenswertes Ziel darzustellen. Dies mündet in der Schlussfolgerung, man könne Cyber Security mit geringerem Aufwand betreiben, als vermeintlich interessantere Unternehmen. Diese falsche Auffassung mag dadurch geprägt sein, dass Sicherheitsvorfälle in bekannten Unternehmen mit einer Vielzahl an Kunden die größte Medienaufmerksamkeit erlangen. Es lässt allerdings nicht den Umkehrschluss zu, dass mittelständische Betriebe weniger gefährdet wären. Für Hacker sind Unternehmen mit sensiblen Daten und schwachen Sicherheitsmaßnahmen stets ein interessantes Ziel.
- Mangel an Fachpersonal: Fehlende Expertise kann sich unmittelbar auf die Qualität der IT-Security auswirken. Diese Tatsache wird leider gern übersehen, solange alles scheinbar problemlos läuft. Verstärkte Rekrutierungsbemühungen werden meist erst unternommen, wenn im Betriebsalltag der Mangel an personellen Ressourcen bereits spürbar geworden, oder es zu Datenverlusten gekommen ist.
Wie der aktuelle Cloud Security Report von Bitglass zeigt, ist der Frust, der infolgedessen bei IT-Verantwortlichen entsteht, keinesfalls unberechtigt: Einfache Sicherheitsmaßnahmen wie Single-Sign-On (SSO) und Data Loss Prevention (DLP) werden beispielsweise lediglich von einem Fünftel der Cloud-nutzenden Unternehmen eingesetzt. Dabei sind die Risiken für Datenverlust bei der Cloud-Nutzung vielfältig: Malware, kompromittierte Nutzeraccounts, Fehlkonfigurationen, der Zugriff über nicht-verwaltete Endgeräte sowie die nicht-gestattete Nutzung von Cloudanwendungen sind nur einige davon.
Um im neuen Jahr nicht erst nach einem tatsächlichen Sicherheitsvorfall aktiv werden zu müssen, kann es für IT-Abteilungen daher hilfreich sein, die folgenden guten Vorsätze für ihre Cloud-Security zu beachten:
- Schwächen gewissenhaft aufdecken: Egal ob kleinere Pannen innerhalb des Unternehmens oder Datenverluste aus den internationalen Schlagzeilen den Anlass geben: Es lohnt sich, die eigenen Maßnahmen und Abläufe gewissenhaft auf den Prüfstand zu stellen. Für Unternehmen, die beispielsweise Infrastruktur-as-a-Service-Plattformen nutzen, bedeutet dies den Einsatz von Tools, die Fehlkonfigurationen in Cloud-Umgebungen, die Daten exponieren können, proaktiv identifizieren und beheben. Es kann sehr sinnvoll sein zusammen mit einem externen Dienstleister einen Pen-Test durchzuführen.
- Sich mit neuen Cloud-Technologien befassen: Für sämtliche Unternehmensbereiche gibt es spezielle Softwaretools, die Arbeitsabläufe vereinfachen und die Produktivität verbessern sollen. Allerdings werden Entscheidungen für Applikationen oft ohne die notwendige Rücksprache mit den IT-Abteilungen getroffen, wodurch diese die Kontrolle über die sensitiven Daten des Unternehmens verlieren. Die enge Abstimmung mit dem CTO eines Unternehmens oder der intensive Austausch mit der Belegschaft über ihre Belange gibt Aufschluss darüber, welche neuen Technologien in naher Zukunft für das Unternehmen in Frage kommen. Damit herrscht auch Klarheit darüber, welche Sicherheitsanforderungen berücksichtigt werden müssen, um die künftige Implementierung zu ermöglichen. Auf diese Weise ist sichergestellt, dass neue Technologien nur mit den erforderlichen Sicherheits-Rahmenbedingungen eingesetzt werden.
- An den Grundlagen arbeiten und Mitarbeiter ausbilden: Zumindest sollte jedes Unternehmen alle notwendigen Software-Updates und Patches installieren, sobald sie verfügbar sind – und zwar auf allen Geräten der Mitarbeiter. Diese grundlegenden Schritte können bestehende Sicherheitslücken schließen und damit dazu beitragen, die Wahrscheinlichkeit eines Datenverlustes zu verringern. Eine der besten Methoden zur Verbesserung der Sicherheit ist der Aufbau einer „Security First“-Mentalität in der gesamten Unternehmensorganisation. Diese organisatorischen Standards sollten von den IT-Verantwortlichen klar kommuniziert werden und deren Durchsetzung in allen Abteilungen kontinuierlich geprüft werden. Durch zusätzliche, regelmäßige Schulungen zu Themen wie dem Erkennen von Phishing-E-Mails und dem sicheren Austausch von Daten können Unternehmen die Wahrscheinlichkeit einer Verletzung deutlich reduzieren.
- Best Practice-Sicherheits-Tools einführen: Die Anforderungen an Cloud-Security-Lösungen unterscheiden sich zwar in Einzelfällen, doch zu den wesentlichen Funktionen gehören die folgenden: Data Loss Prevention (DLP), User and Entity Behavior Analytics (UEBA), durchsuchbare Verschlüsselung und Multi-Faktor-Authentifizierung (MFA). Da die Liste sehr umfangreich sein kann, sollten Unternehmen umfassende, robuste Sicherheitslösungen wählen, die sämtliche notwendigen Schutzmaßnahmen bieten können, um die Sicherheit ihrer Daten in Echtzeit zu gewährleisten.
- Fachkräfte rekrutieren und Kompetenzen ausbauen: Die Anforderungen an die Cloud-Sicherheit werden sich ändern, genauso wie die Struktur der Belegschaft. Um mit den Veränderungen Schritt halten zu können, sollte eine langfristige Planung erfolgen, damit die Rekrutierung von Nachwuchs- und Führungskräften nicht erst bei akutem Bedarf vorgenommen werden muss. Gleichzeitig sollte darüber nachgedacht werden, welche weiterführenden Qualifikationen für die Mitglieder des IT-Teams in naher Zukunft nutzbringend sein könnten.
Der Aufbau einer umfassenden Cloud-Security kann sich in einigen Betrieben durchaus schwierig gestalten. Dies wird IT-Verantwortlichen meist erst dann bewusst, wenn sie auf das vergangene Jahr zurückblicken. Gute Vorsätze können den Blick für weitere benötigte Sicherheitsmaßnahmen schärfen und somit die Planung der Security-Strategie erleichtern. Sind IT-Verantwortliche sich darüber hinaus der bisherigen Widerstände bewusst, können sie diese in künftigen Lösungsvorschlägen berücksichtigen. Auf diese Weise sind für die Security im Rahmen einer Cloud First-Strategie für das neue Jahr die besten Voraussetzungen geschaffen.
Michael Scheffler ist Area VP EMEA bei Bitglass.
