IT-Sicherheit Aufruf an Behörden: Cloud-Sicherheit nicht vernachlässigen

Anbieter zum Thema

Palo Alto Networks (Germany) GmbH

Ceyoniq Technology GmbH

IBYKUS AG für Informationstechnologie

GISA GmbH

Die Cloud-Infrastruktur ist in all ihren Facetten ein enormer Zugewinn für Unternehmen und Öffentliche Verwaltung. Doch die Absicherung dieser Infrastruktur gegenüber unbefugten Zugriffen wird in den Augen einiger Branchenexperten, wie beispielsweise den Sicherheitsspezialisten von Palo Alto Networks, gefährlich vernachlässigt. Welche Strategien zur Absicherung von Cloud-basierten Angeboten sinnvoll sind und wie man auf lange Sicht mit solchen Sicherheitsrisiken umgehen sollte.

Beim Trend „hin zur Cloud“ ist bislang kein Ende in Sicht. Vielmehr wächst die Landkarte an neuen Cloud-basierten Angeboten tagtäglich um ein großes Stück. Auch die Öffentliche Verwaltung ist mittlerweile dabei, ihre Kern-Geschäftsbereiche in die „Wolke auszulagern“. So haben beispielsweise der Freistaat Bayern und das Land Schleswig-Holstein kürzlich eine Kooperation vor dem Hintergrund der sogenannten „OZG-Cloud“ begonnen. Wenn es nach der Meinung von Sicherheitsexperten geht, sind diese Angebote jedoch nicht als vollständig sicher einzustufen. Beim Umgang von Personen mit Daten geschehen zwangsläufig Fehler. Das Zusammenspiel verschiedenster Anwenderszenarien sowie einer Vielzahl an – teilweise untereinander inkompatibler – Schnittstellen verschärfen dieses Problem zunehmend. Eine gleichermaßen sauber implementierte sowie verwaltungsarme Sicherheitslösung ist daher – in den Augen der weltweit agierenden Sicherheitsexperten von Palo Alto Networks – alternativlos.

Diesen 4-Punkte-Maßnahmen-Katalog empfehlen die Branchenexperten zur Absicherung von Clouddiensten:

1. Verlagerung des Sicherheitsfokus und der Verantwortung „nach links“

Das „Shift Left“-Sicherheitskonzept sieht Sicherheitstests und -validierung zu einem früheren Zeitpunkt im Cloud-nativen Entwicklungsprozess vor. Die Cloud-native Entwicklung bringt neue Entwicklungsressourcen mit sich, wie beispielsweise IaC-Dateien (Infrastructure as Code), Container-Image-Spezifikationen, APIs für Microservices und Cloud-Deployment-Artefakte, um nur einige zu nennen. Mit diesen neuen Assets kommen auch neue Angriffsvektoren ins Spiel. Diese neuen Angriffsvektoren in Kombination mit der Geschwindigkeit und dem Umfang der Cloud machen es erforderlich, dass Schwachstellen und Sicherheitsrisiken nicht dem Sicherheitsteam oder dem SOC überlassen werden, um sich während der operativen Bereitstellung damit zu befassen. Die Angriffsvektoren sollten vorzugsweise die Entwickler bereits während des Entwicklungsprozesses identifizieren und angehen. Indem Behörden den Zeitplan für die Identifizierung und Behebung von Sicherheitsproblemen auf der Zeitachse „nach links“ verschieben, können sie sowohl die Kosten für die Behebung als auch das Risiko eines Vorfalls bei Cloud-nativen Anwendungen reduzieren.

2. Cloud-native Anwendungen erfordern Cloud-native Sicherheitslösungen

Wie bereits erwähnt, generiert die Entwicklung von Cloud-nativen Anwendungen einzigartige Ressourcen für Cloud-native Bereitstellungen. Der Prozess für die Entwicklung, das Testen und die Bereitstellung solcher Anwendungen ist ebenfalls unterschiedlich und führt zu verschiedenen Sicherheitsrisiken. Diese erfordern „Cloud-bewusste“ oder Cloud-native Sicherheitslösungen, um sie anzugehen. Egal, ob es sich um Schwachstellen in containerisierten Anwendungen, Fehlkonfigurationen in der Cloud-Infrastruktur, Cloud-fähige Malware, überprivilegierte Cloud-Berechtigungen oder unsichere APIs zur Unterstützung von Microservice-basierten Architekturen handelt, diese Risiken lassen sich nicht durch herkömmliche Sicherheitslösungen beheben. Nur Cloud-native Sicherheitslösungen verfügen über das Cloud-Bewusstsein, die Skalierbarkeit und die durchgängige Abdeckung des Anwendungslebenszyklus, um diese Risiken von der Entwicklung bis zur Bereitstellung anzugehen.

3. Sicherheitsinvestitionen, um gestiegener IT-Komplexität zu begegnen

Eine kürzlich durchgeführte McKinsey-Studie kam zu dem Schluss, dass „die Budgets vieler, wenn nicht sogar der meisten Chief Information Security Officers (CISOs) zu gering angesetzt sind“. Dies kann zu schwierigen Entscheidungen darüber führen, wo investiert werden soll. Es kann bedeuten, dass neue Projekte skaliert werden müssen, um die Bandbreite und die Ausbildung des Cybersicherheitsteams zu berücksichtigen. Darüber hinaus können neue und kreative Ansätze erforderlich sein, um zusätzliche Mittel für Sicherheitsinvestitionen zu erhalten, einschließlich Fonds für die technologische Modernisierung oder Zuschüsse. Der Bericht von Gartner zu Cloud Native-Application Protection Platforms (CNAPP) aus dem Jahr 2021 kann als Startpunkt für den Prozess der Ideenfindung für die erforderlichen Investitionen betrachtet werden.

4. Die Vision von Zero Trust für die Cloud-Sicherheitsstrategie nutzen

Zero Trust ist ein strategischer Ansatz für die Cybersicherheit, der ein Unternehmen absichert, indem er implizites Vertrauen eliminiert und jede Phase einer digitalen Interaktion kontinuierlich überprüft. Dieser Ansatz umfasst die Sicherung von On-Premises-, Cloud- oder öffentlichen Multi-Cloud-Umgebungen. Zero Trust ist für die Cloud-Welt ebenso relevant wie für herkömmliche Umgebungen. In einer Multi-Cloud-Welt sind Compliance und Sichtbarkeit die Eckpfeiler für die Aufrechterhaltung eines Zero-Trust-Ansatzes. Die Praxis zeigt, dass Inkonsistenzen in den Konfigurationen verschiedener Cloud-Plattformen zu einem deutlich erhöhten Risiko führen können.

(ID:49475032)