Immer mehr Organisationen haben ihre On-Premise-Systeme in den vergangenen Jahren durch Cloud-Lösungen ersetzt. Andere führen derzeit Kosten-Nutzen-Analysen durch oder planen bereits ebenfalls eine Migration in die Cloud.
Der Trend hin zur Cloud ergibt Sinn, denn On-Premise bedeutet, dass zum Speichern und Verarbeiten von Daten die eigenen, lokal installierten Computersysteme verwendet werden müssen. Das macht eine Automatisierung komplex und teuer. Bei einer Cloud-Lösung läuft die Software dagegen auf den Servern des Cloud-Anbieters in einem dezidierten Rechenzentrum. Endanwender können die Software und Daten ganz einfach online nutzen, und weil sich zahlreiche Organisationen dieselbe Software und Einrichtungen teilen, ist dies einfacher und preisgünstiger. Ein bekanntes Beispiel für eine Cloud-Anwendung ist Microsoft 365.
In der Pflegebranche oder dem Bildungswesen ist die Cloud schon gut etabliert, aber auch zurückhaltendere Branchen, beispielsweise die öffentliche Verwaltung, fahren derzeit eine aktive Cloud-Strategie. Diese Popularität bedeutet jedoch nicht, dass die Migration von einer On-Premise-Umgebung immer ganz einfach ist. Cloud-Lösungen bringen einige Herausforderungen mit sich, wobei in den allermeisten Fällen die Sicherheit auf Platz 1 steht: Wie garantieren Sie die sichere Speicherung, Verarbeitung und Weitergabe Ihrer Daten in der Cloud? Das behandeln wir in diesem Blogartikel.
So wichtig ist Cloud-Sicherheit
Bei der Cloud-Sicherheit geht es vor allem um die Verlässlichkeit, Integrität und Verfügbarkeit Ihrer Cloud-Anwendungen – und natürlich der Daten und Informationen, die in der Cloud verarbeitet, gespeichert und verwaltet werden. Dazu bedarf es Sicherheitsmaßnahmen, zum Beispiel zur Erkennung von Malware, zur Datenverschlüsselung und zur Authentifizierung und Autorisierung. Des Weiteren sind eine aktive Überwachung aller Zugangsversuche und eine Protokollierung aller Aktivitäten in der Cloud erforderlich.
Es liegt auf der Hand, dass die Cloud sicher sein muss. Eine Public-Cloud-Lösung wird von mehreren Parteien geteilt und ist direkt über das Internet erreichbar. Unter diesen Voraussetzungen müssen die Sicherheitseinrichtungen der Cloud – sowohl des Anbieters als auch der Plattform selbst – absolut verlässlich sein. Zugleich beobachten wir, dass lokale Plattformen immer schwieriger abzusichern sind, denn die Kosten für einen angemessenen Schutz sind für Cloud-Anbieter ganz einfach skalierbar, während sie in On-Premise-Umgebungen häufig eine signifikante Belastung darstellen. Und trotz der gefühlten höheren Sicherheit einer On-Premise-Umgebung mit eigenen Servern, eigenem Netzwerk und eigener Firewall will man den Anwendern, Kunden und Partnern dort heutzutage auch einen Online-Zugang bieten. Daher wirken diese Lösungen oft sicherer, als sie es eigentlich sind.
Lassen Sie uns einmal ausführlich untersuchen, was alles erforderlich ist, um die Informationssicherheit in der Cloud zu gewährleisten.
Informationssicherheit in der Cloud
In der Cloud teilen sich mehrere Kunden eine Plattform. Dabei verwaltet und verschlüsselt der Cloud-Anbieter die Kundendaten selbstverständlich so, dass jeder Kunde ausschließlich seine eigenen Daten einsehen und verwenden kann. Es gibt aber noch viele weitere notwendige Sicherheitsmaßnahmen für die Cloud. Dazu zählen unter anderem:
- Geschützter Zugriff: Neben den eigenen Mitarbeitern sollen beispielsweise auch temporär Beschäftigte oder Kunden Zugang erhalten. Zudem melden sich die Anwender von diversen Orten aus mit unterschiedlichen Endgeräten an. Für eine beherrschbare Zugangskontrolle sind daher Hilfsmittel wie ein Identity-&-Access-Management-System (IAM) erforderlich. Im nächsten Abschnitt schauen wir uns genauer an, weshalb ein modernes IAM so wichtig für eine sichere Cloud-Umgebung ist.
- Sichere Cloud-Integrationen: Viele Cloud-Anwendungen sind miteinander verknüpft, und anders als in einer abgeschotteten On-Premise-Umgebung erfolgt die Kommunikation dabei direkt über das Internet. Deshalb müssen diese Schnittstelle besonders abgesichert werden. Eine Möglichkeit ist der Zero-Trust-Ansatz, bei dem jede einzelne Kommunikations-Session zwischen unterschiedlichen Cloud-Anwendungen verifiziert wird.
- Schutz vor Datenlecks: Moderne Cloud-Anwendungen sind dafür ausgelegt, dass sich Informationen online auf einfachste Weise teilen lassen. Ein Versehen kann dabei schnell geschehen, wodurch es auch unabsichtlich zu Datenlecks kommen kann. Mit intelligenten Maßnahmen zur „Information Protection“ können Sie beispielsweise vertrauliche Daten kennzeichnen, um das unerwünschte Teilen dieser Daten zu erkennen und zu verhindern.
- Cloud-Compliance und -Zertifizierung: Für eine sichere Cloud-Speicherung sind nicht nur technische Maßnahmen erforderlich. Große Bedeutung kommt der Professionalität und Fachkompetenz Ihres Anbieters zu. Dieser muss Ihre Anwendungen und Daten auf ordnungsgemäße Weise installieren und verwalten. Achten Sie daher unbedingt auf klare Vereinbarungen hinsichtlich dem Schutz und der Sicherheit der Daten und Anwendungen, einschließlich Berichten, Protokollen und Auditmöglichkeiten. Der Anbieter sollte außerdem mindestens nach ISO 27001 zertifiziert sein und eine Auditerklärung nach SOC 2 nachweisen können.
Die Cloud per Identity & Access Management absichern
Wir haben es oben erwähnt: Ein modernes IAM ist unerlässlich für ein beherrschbares Zugangsmanagement Ihrer Cloud-Umgebung. Es umfasst unter anderem:
Authentifizierung und Autorisierung für Ihre Cloud-Dienste
Am Anfang der Zugangskontrolle steht die Verifizierung des Anwenders, üblicherweise per Benutzername und Passwort. Nach der Authentifizierung erhält diese Person Zugriff (Autorisierung) auf die erforderlichen Daten und Anwendungen. Cloud-Anbieter nutzen dazu ihren eigenen Identity Provider, aber smarte IAM-Plattformen bieten zusätzlich noch Access-Management-Funktionen, um die Zugangsverwaltung noch genauer einstellen zu können.
Automatisierte Cloud-Bereitstellung und -Zugangsverwaltung
Das Zuteilen und Verwalten von Benutzerkonten und Zugriffsrechten geschieht in den allermeisten Fällen auf manuelle Weise. Zunächst beantragt ein Vorgesetzter oder Personalmitarbeiter ein neues Benutzerkonto mit zugehörigen Berechtigungen. Diese Anfrage wird von der IT-Abteilung bearbeitet und in den entsprechenden Systemen umgesetzt. Diese Vorgehensweise ist nicht nur umständlich und teuer, sondern auch anfällig für Fehler und Probleme. Zudem ändern sich Aufgabenbereiche regelmäßig, sodass es nicht ausbleibt, dass sich falsche oder nicht benötigte Cloud-Berechtigungen bilden. Dies stellt eine echte Gefahr für die Informationssicherheit dar. Es kommt auch vor, dass Benutzerkonten von Mitarbeitern, die aus einer Organisation ausscheiden, unabsichtlich bestehen bleiben. Eine moderne IAM-Plattform synchronisiert alle Konten und Berechtigungen automatisch mit den Daten aus den Ursprungssystemen (häufig das Personalsystem). Dank rollenbasierter Zugriffskontrolle wird per Geschäftsregel festgelegt, welche Berechtigungen erforderlich sind. Auch die Erteilung von „Nicht-Standard“-Zugriffsrechten erfolgt auf konsistente Weise. Der/die betroffene(n) Vorgesetzte(n) bekommen eine automatisierte Online-Anfrage zur Freigabe, und alle erteilten Berechtigungen werden auch stets wieder rechtzeitig entzogen. Damit ist sichergestellt, dass alle Nutzer immer nur nach dem „Need-to-Know-Prinzip“ (Kenntnis nur wenn nötig) Zugriff auf Ihre Cloud-Daten haben.
Standardkonforme Cloud-Sicherheit
Wenn Sie personenbezogene Daten in der Cloud speichern, müssen diese nicht nur hinreichend geschützt sein, sondern Sie müssen dies auch zu jeder Zeit nachweisen können. Sollte es beispielsweise unerwarteterweise zu einem „Cloud Security Breach“ kommen, dann brauchen Sie sofort einen Audit-Trail, um das Problem zu beheben, Kunden zu informieren und ein wiederholtes Auftreten verhindern zu können. Cloudbasierte IAM-Lösungen wie zum Beispiel HelloID protokollieren daher jegliche Änderungen am System. Zudem werden sämtliche Zugriffsversuche von Anwendern automatisch aufgezeichnet.
Mehr Infos zur Cloud-Sicherheit gewünscht?
Viele Organisationen sind bereits in die Cloud gewechselt. Andere prüfen die Vorteile der Cloud gegenüber On-Premise oder planen gerade, während Sie diese Zeilen lesen, die Migration ihrer bestehenden On-Premise-IT-Landschaft. Die Informationssicherheit in der Cloud ist logischerweise ein zentrales Thema. Mit den richtigen Sicherheitsmaßnahmen und einem professionellen, zertifizierten Cloud-Partner können Sie die Herausforderungen beim Wechsel gut kontrollieren. Wollen Sie mehr über die Zugangskontrolle in der Cloud erfahren?
Geschrieben von:
Ali Özdogan
Senior Consultant IAM/SAP & HelloID
Ali Özdogan ist als Senior Consultant IAM/SAP seit mehr als 10 Jahren fester Bestandteil von Tools4ever. Er studierte Computer Engineering an der Galatasaray University in Istanbul und später an der RWTH in Aachen und ist unser Spezialist für Cloud-Access-Management mit HelloID.
