Sicherheit

Cloud-Sicherheit

Die Risiken der Informationssicherheit nehmen in der heutigen Gesellschaft ständig zu.

Die Risiken für Informationssicherheit nehmen in der heutigen Gesellschaft ständig zu. In diesem Umfeld stehen sowohl KMU als auch grosse Unternehmen vor einer Vielzahl von Herausforderungen. Die Gründe sind vielfältig; Mangel an qualifizierten Arbeitskräften, Mangel an Halbleitern, mangelnde Planung, schlechte Umfangsdefinition, fehlende Übersicht im Management.

Alle Organisationen stehen vor denselben Problemen; ihre individuellen und isolierten Lösungen schaffen keine erfolgreiche Informationssicherheitsstrategie, und sie werden als "Einzelkämpfer" bezeichnet. Es ist daher notwendig, sich mit der konzentrierten Macht der globalen Informationssicherheitsgemeinschaft zusammenzuschliessen. Diese Welt der Zusammenarbeit wird durch die Verlagerung bekannter Sicherheitskonzepte in die Cloud ermöglicht, zum Beispiel durch Managed Services. Das Thema Cloud und Managed Services ist jedoch in der Informationssicherheit nicht neu, daher hat eine starke Standardisierung und Konsolidierung des Marktes bereits stattgefunden.

Und doch kann die Sicherheit von Informationen nicht ausgelagert werden; sie bleibt immer eine Verantwortung der Organisation.

Risiken

Jede Cloud-Strategie beginnt mit einer Machbarkeitsstudie und einer Risikobewertung  [1]. Für die erste Bewertung und regelmässig während der kontinuierlichen Verbesserung eines Informationssicherheitsmanagementsystems (ISMS) sollten folgende Risiken bewertet werden [2]:

Verantwortlichkeit und Datenrisiko

Beim Wechsel in die Cloud steht die Information nicht mehr unter vollständiger (logischer und physischer) Kontrolle einer Organisation. Dieses Risiko muss sorgfältig abgewogen und gemindert werden. Die Organisation sollte die Datenwiederherstellung und Sicherung im Rahmen geeigneter vertraglicher Lösungen sicherstellen.

Benutzeridentitätsföderation

Organisationen sollten bei  der Auslagerung von Diensten an verschiedene Cloud-Anbieter stets die Kontrolle über Benutzeridentitäten behalten, um nicht mit mehreren Identitätsinseln zu versehen. Jeder Nutzer in der Organisation sollte über alle Cloud-Anbieter hinweg identifizierbar sein. Dies verbessert gleichzeitig das Nutzererlebnis und die Sicherheit.

Regulatorische Compliance

Die Vorlage von Nachweisen für regulatorische Compliance wird beim Wechsel in die Cloud komplexer, da Informationen, die in einer Rechtsordnung ordnungsgemäss gesichert sind, in einer anderen möglicherweise nicht als sicher angesehen werden.

BCM & Resilienz

Bestehende Business-Continuity-Prozesse sollten auf die Cloud ausgeweitet werden, um sicherzustellen, dass das Geschäft auch in einer Katastrophensituation geführt werden kann. Teile dieses Prozesses (und Teile der Verantwortung) werden an den Cloud-Anbieter delegiert und erfordern daher angemessene vertragliche Lösungen und Service Level Agreements (SLA).

Datenschutz der Nutzer und sekundäre Datennutzung

Die Definition der Anwendungsfälle für Cloud-Dienste ist ein zentraler Bestandteil jeder Cloud-Strategie. In vielen Anwendungsfällen werden personenbezogene Daten in der Cloud gespeichert. Ein Cloud-Anbieter sollte niemals vage sein, wie er mit persönlichen Daten umgeht. Organisationen sollten sicherstellen, welche Daten von Cloud-Anbietern für sekundäre Zwecke genutzt werden dürfen oder nicht.

Service- und Datenintegration

Organisationen sollten sicherstellen, dass ihre Informationen ausreichend geschützt  sind, wenn sie in die Cloud übertragen werden. Das Risiko, Daten während der Übertragung abzufangen, steigt für Organisationen, die einen Cloud-Dienst nutzen, insbesondere wenn Informationen über ein unsicheres Medium wie das Internet übertragen werden.

Multi-Tenancy & physische Sicherheit

Bei Verwendung nicht-privater Cloud-Dienste werden Ressourcen (Infrastruktur, Plattformen, Anwendungen) in der Regel unter mehreren Kunden geteilt. Logische Abtrennung und andere Kontrollen werden unerlässlich, um sicherzustellen, dass ein Nutzer nicht in die Sicherheit anderer Nutzer eingreifen kann.

Vorfallanalyse & Forensik

Bestehende Security Incident Management-Prozesse sollten auf die Cloud ausgeweitet werden. Dies kann eine komplexe Aufgabe sein, da für Untersuchungen notwendige Logdateien über mehrere Anbieter, Hosts, Rechenzentren oder sogar Zuständigkeiten verteilt sein können. Insbesondere wenn Logdateien Informationen von verschiedenen Kunden speichern oder Logdateien von unterschiedlichen Kunden auf denselben Hardware oder Speichergeräten liegen, können die Möglichkeiten für forensische Untersuchungen begrenzt sein. Dieser Aspekt sollte mit angemessenen vertraglichen Lösungen angegangen werden.

Infrastruktursicherheit

Was für die On-Premises-Infrastruktur gilt, gilt auch für die Cloud. Die Infrastruktur sollte gemäss den besten Praktiken der Branche gefestigt und sicher konfiguriert werden. Tiers und Sicherheitszonen sollten auf Anwendungs-, System- und Netzwerkebene angewendet werden. Der Zugriff sollte rollenbasiert sein und auf die erforderlichen Benutzer beschränkt sein (mit Anwendung des Need-to-Know-Prinzips), Verbindungen und Protokolle. Bestehende Schwachstellen- und Patch-Managementprozesse sollten ebenfalls auf die Cloud ausgeweitet werden.

Nichtproduktions-Umweltexposition

Wenn eine Organisation Anwendungen entwickelt, testet sie ihre Produkte in der Regel während des Secure Software Development Life Cycle (SSDLC). Wenn dieser Prozess auf die Cloud ausgeweitet wird, sind Test- und Entwicklungsumgebungen oft nicht im gleichen Masse gesichert wie eine Produktionsumgebung. Wenn eine Organisation Nicht-Produktionsumgebungen in der Cloud bereitstellt, steigen die Risiken von unbefugtem Zugriff, Informationsänderung und Informationsdiebstahl.

Wo soll ich anfangen? Wählen Sie einen vertrauenswürdigen Anbieter für Ihren Cloud-Dienst aus

Wenn die Cloud-Strategie festgelegt und die Dienste definiert sind, ist die Risikobewertung der Cloud-Anbieter ein zentraler Due-Diligence-Aspekt. Viele der oben genannten Risiken können durch die Wahl des richtigen Anbieters reduziert werden. Um die richtige Wahl unter den verschiedenen Cloud-Lösungsanbietern zu treffen, lohnt es sich, deren Zertifizierung zu prüfen. In der EU existieren mehrere Zertifizierungen [3], die die Reife des Informationssicherheitsmanagements eines Anbieters anzeigen, zum Beispiel:

Sobald ein Anbieter ausgewählt wurde, ist es wichtig, Verträge sorgfältig zu prüfen und klare Verantwortlichkeiten sowie SLAs im Bereich Informationssicherheit festzulegen [8].

Nutzen Sie ITIL und SIAM, um Ihr Informationssicherheitsprogramm auf die Cloud auszuweiten

Beim Wechsel in die Cloud sollten alle Sicherheitskonzepte erweitert werden, um auch auf diese Dienste anzuwenden. Dies gilt besonders für Ihre Informationssicherheitskontrollen, einschliesslich der Pflege, Überwachung, Tests und Aktualisierung der jeweiligen Kontrollen. Prozesse wie Incident-, Problem- und Änderungsmanagement oder Schwachstellen- und Patchmanagement sollten nicht  neu erfunden, sondern erweitert werden. Diesen Übergang zu meistern ist eine Herausforderung, wird aber leichter, wenn das IT Infrastructure Library (ITIL)-Framework bereits in einer Organisation etabliert ist. Darüber hinaus kann das Service Integration and Management (SIAM)-Framework die Ausrichtung dieser Prozesse über mehrere Dienstleister hinweg ermöglichen.

Empfehlung

Überprüfen Sie, ob Ihre Cloud-Strategie unverzichtbar ist:

  • Werden Ihre On-Premises- und Cloud-Assets von denselben Prozessen innerhalb Ihres ISMS verwaltet?
  • Sind alle Schnittstellen, Servicebeschreibungen und Verantwortlichkeiten für die Cloud-Dienste richtig definiert?
  • Werden Risikobewertungen für die Cloud-Strategie und die Cloud-Anbieter regelmässig überprüft?

Benötigen Sie Hilfe bei der Cloud-Strategie Ihrer Organisation? Kontaktieren Sie uns für weitere Informationen. 

Quellen

Micaela
Oktober 23, 2023
Diesen Artikel teilen