Best Practices für die Cloud-Sicherheit

Es scheint, als ob heutzutage fast jede Organisation eine digitale Präsenz in der Cloud anstrebt. Dieser Trend zur Cloud-Migration gewinnt weiter an Dynamik, angetrieben durch seine attraktiven Vorteile, einschließlich Skalierbarkeit, Flexibilität und Kosteneffizienz. Die Natur der Cloud-Sicherheit unterscheidet sich jedoch erheblich von der traditionellen On-Prem-Sicherheit, was IT- und Cybersicherheitsführungskräfte dazu zwingt, ihre Sicherheitsstrategien zu überdenken, um sicherzustellen, dass sie die richtige Mischung aus Werkzeugen, Kontrollen, Personal und Strategien haben, um eine umfassende Cloud-Sicherheitslage zu etablieren.

Warum ist Cloud-Sicherheit wichtig?

Organisationen verlassen sich zunehmend auf Cloud-Umgebungen, die sie wiederum neuen Arten von Bedrohungen aussetzen. Es ist entscheidend, diese Risiken zu verstehen, angesichts der besonderen Natur des Cloud-Computings im Vergleich zu traditionellen IT-Systemen. Die Skalierbarkeit und Zugänglichkeit der Cloud sind zwar vorteilhaft, öffnen jedoch auch Türen für Cyberkriminelle. Ein Schlüssel zu diesem Unterfangen ist das Verständnis des Shared-Responsibility-Modells der Cloud-Sicherheit, bei dem der Cloud-Anbieter die Infrastruktur sichert, aber die Organisation für den Schutz ihrer Daten innerhalb der Cloud verantwortlich ist. Dies erfordert einen strategischen Ansatz für Identity and Access Management, Datenverschlüsselung, Bedrohungserkennung und Incident Response, zugeschnitten auf die Cloud-Umgebung. Aufgrund der virtuellen Trennung zwischen Ihren Operationen und der Cloud-Infrastruktur ist es entscheidend, kontinuierliches Monitoring durchzuführen und regelmäßige Sicherheitsbewertungen vorzunehmen. Dieser proaktive Ansatz hilft, Risiken umgehend zu identifizieren und zu mindern sowie Datenverletzungen zu verhindern.

Cloud-Service-Modelle

Best Practices für die Datensicherheit in der Cloud umfassen eine Reihe von Prozessen, die die Kontrolle über Personen, Anwendungen und Infrastruktur beinhalten. Welche Best Practices für die Cloud-Sicherheit für Ihre Sicherheitsstrategie wichtig sind, hängt teilweise vom Cloud-Service-Modell ab, das Sie verwenden. Cloud-Computing-Dienste werden in drei Typen unterteilt, die hier mit einigen Beispielen aufgeführt sind:

• Infrastruktur als Dienst (IaaS) — Azure, AWS, virtuelle Datenzentren
• Plattform als Dienst (PaaS) — Redhat Openshift, Oracle Cloud
• Software als Dienst (SaaS) — Microsoft 365, Salesforce

Jedes Modell adressiert einen anderen Satz von Geschäftsanforderungen und erfordert unterschiedliche Sicherheitsmaßnahmen.

IaaS

Im Rahmen des Infrastructure as a Service (IaaS)-Modells übernimmt der Kunde die Aufgaben des Systemadministrators. Diese Position ermöglicht es ihnen, netzwerkzugänglichen Speicher zuzuweisen, Verarbeitungskapazitäten zu überwachen, Anwendungen neben Betriebssystemen zu implementieren und zu verwalten. Obwohl IaaS-Administratoren bei der Auswahl von Netzwerkkomponenten wie der Host-Firewall einen gewissen Spielraum haben, bleibt die direkte Verwaltung oder Kontrolle über die zugrundeliegende Cloud-Infrastruktur außerhalb ihres Zuständigkeitsbereichs.

Zu den besten Sicherheitspraktiken für IaaS gehören unter anderem:

• Daten-Governance
• Schutz von Clients und Endpunkten
• Identity and Access Management
• Anwendungsebene-Kontrollen
• Netzwerksteuerungen
• Sicherheitstests

PaaS

Im PaaS-Modell nutzen Sie die Plattform und Ressourcen des Cloud-Anbieters für die Entwicklung, das Testen, die Bereitstellung und das Management von Anwendungen. Anders als beim IaaS-Modell gewährt es Ihnen nicht die Fähigkeit, die zugrunde liegende Cloud-Infrastruktur wie Netzwerke, Server, Betriebssysteme oder Speicher zu verwalten oder zu kontrollieren. Sie können jedoch Ihre Anwendungen auf der PaaS-Infrastruktur mit Programmiersprachen und Werkzeugen bereitstellen, die der PaaS-Anbieter unterstützt.

Im PaaS-Modell erstrecken sich Ihre Sicherheitsaufgaben darauf, beschränken sich jedoch nicht darauf:

• Daten-Governance
• Schutz von Clients und Endpunkten
• Identitäts- und Zugriffsverwaltung
• Anwendungsebene-Kontrollen
• Sicherheitstests

SaaS

Software as a Service (SaaS) stellt Anwendungen über das Internet bereit und ermöglicht es Benutzern, Software über Webbrowser auf verschiedenen Geräten zu nutzen und darauf zuzugreifen. Dieses Dienstleistungsmodell befähigt Benutzer, eine Vielzahl von Aufgaben zu erledigen, von der Datenanalyse bis hin zu kollaborativen Projekten, ohne Software lokal installieren oder warten zu müssen. Während Benutzer bestimmte Aspekte der Anwendungseinstellungen an individuelle oder Teambedürfnisse anpassen können, bleibt die Kontrolle über die gesamte zugrundeliegende Cloud-Infrastruktur beim SaaS-Anbieter. Diese Einrichtung erleichtert den IT-Aufwand für die Benutzer, indem sie die Verwaltungs- und Wartungsverantwortlichkeiten auf den Anbieter verlagert.

Zu Ihren Sicherheitsverantwortlichkeiten bei SaaS gehören unter anderem:

• Daten-Governance
• Schutz von Clients und Endpunkten
• Identity and Access Management

Cloud-Bereitstellungsmodelle

Der Bereich des Cloud-Computings bietet eine Vielzahl von Modellen, die jeweils einzigartige Vorteile bieten, die auf die spezifischen Anforderungen und strategischen Ziele von Organisationen zugeschnitten sind. Ob es sich um die umfangreiche Reichweite und Flexibilität öffentlicher Clouds oder um die verbesserten Sicherheitsmaßnahmen privater Clouds handelt, das Bereitstellungsmodell beschreibt die Interaktion zwischen dem Cloud-Anbieter und dem Verbraucher. Wie Sie verschiedene Cloud-Computing-Dienste nutzen, wird von den spezifischen Eigenschaften Ihres Unternehmens und der Art der Daten, die Sie besitzen, beeinflusst. Die primären Cloud-Bereitstellungsmodelle sind wie folgt:

• Private Cloud – Bereitgestellt zur Nutzung durch eine einzelne Organisation, bietet sie verbesserte Sicherheit und Kontrolle. Ob vor Ort oder von einem Drittanbieter gehostet, bietet sie die Flexibilität und Skalierbarkeit der Cloud-Technologie, bei gleichzeitiger strenger Zugriffs- und Datenschutz, maßgeschneidert für spezifische Geschäftsanforderungen.
• Öffentliche Cloud – Konzipiert für die Nutzung durch mehrere Mandanten, werden ihre Dienste und Infrastruktur von einem Cloud-Anbieter außerhalb gehostet, was den gemeinsamen Zugriff mehrerer Organisationen (Mandanten) ermöglicht. Sie bietet Skalierbarkeit, Zuverlässigkeit und Kosteneffizienz, mit Ressourcen, die bei Bedarf verfügbar sind. Ideal für eine breite Palette von Anwendungen, wird sie häufig für webbasierte E-Mails, Online-Büroanwendungen und Speicher verwendet.
• Hybrid Cloud — Kombiniert öffentliche und private Cloud-Infrastrukturen, um Daten und Anwendungen zwischen ihnen zu teilen. Dieses Modell bietet Unternehmen Flexibilität, Skalierbarkeit und optimierte Sicherheit, indem sensible Daten vor Ort gehalten werden, während die öffentliche Cloud für skalierbare Ressourcen und Innovationen genutzt wird, was einen ausgewogenen Ansatz für Cloud-Computing ermöglicht.

Schritte zur Implementierung der besten Praktiken

Der Beginn der Reise zur Implementierung von Best Practices und Technologien innerhalb einer Organisation ist ein strategischer Schritt zur Steigerung von Effizienz, Sicherheit und Gesamtleistung. Im Folgenden werden wir die notwendigen Schritte darlegen, um sie effektiv zu übernehmen und zu integrieren. Indem Sie diese Schritte befolgen, können Sie Ihre Organisation in eine bessere Position bringen, um ihre Ziele erfolgreicher zu erreichen und einen Wettbewerbsvorteil in Ihrer Branche zu bewahren.

Risikomanagement in der Cloud

Bevor sie einen Cloud-Dienst nutzen, müssen Verbraucher potenzielle Risiken bewerten, die mit der Einführung von Cloud-Lösungen für bestimmte Informationssysteme verbunden sind, und Strategien zur Minderung dieser Risiken entwickeln. Eine gründliche Risikobewertung sollte identifizieren:

• Wesentliche Komponenten zur Sicherung Ihrer Cloud-Umgebung
• Kontrollen, die intern implementiert werden müssen
• Kontrollen, die in den Zuständigkeitsbereich des Cloud-Anbieters fallen

Best Practices für die Cloud-Sicherheit auf Infrastrukturebene

Die gesamte Hardware-Infrastruktur sollte kontrolliert, gesichert und gehärtet werden. Dies beginnt mit der Konfigurationsüberprüfung, um sicherzustellen, dass die Cloud-Umgebung gemäß den Richtlinien Ihrer Organisation oder den relevanten Compliance-Standards konfiguriert ist. Führen Sie regelmäßige Audits durch, um auf Anzeichen von Fehlkonfigurationen zu prüfen. Unangemessene Konfigurationseinstellungen können Sie einem ernsthaften Risiko von Datenverlust aussetzen. Um sicherzustellen, dass Konfigurationsprüfungen regelmäßig durchgeführt werden, automatisieren Sie diese mit einer Überwachungslösung und untersuchen und beheben Sie umgehend jegliche verdächtige Änderungen in Ihrer Cloud-Umgebung.

Sie sollten auch die folgenden Schritte im Zusammenhang mit der Vorbeugung, Erkennung und Reaktion auf Vorfälle durchführen:

• Abwehr externer Angriffe: Implementieren Sie fortschrittlichen Malware-Schutz auf IaaS-Plattformen und bewerten Sie Perimeterschwachstellen, um sich gegen DDoS-Angriffe auf öffentliche Cloud-Schnittstellen zu schützen.
• Eindringungserkennung und -prävention: Für IaaS implementieren Sie Eindringungserkennungssysteme auf Benutzer-, Netzwerk- und Datenbankebene. In PaaS- und SaaS-Modellen geht diese Verantwortung auf den Anbieter über.
• Verkehrsüberwachung: Achten Sie auf plötzliche Anstiege im Datenverkehr, da diese auf mögliche Sicherheitsvorfälle hindeuten könnten.

Best Practices für die Cloud-Sicherheit auf Anwendungsebene

Der wichtigste Aspekt der Sicherheit auf Anwendungsebene ist sicherzustellen, dass Schwachstellen innerhalb der Anwendung selbst identifiziert und behoben werden. Dies umfasst die Durchsetzung starker Authentifizierungs- und Autorisierungskontrollen zur Verwaltung des Zugriffs, die Verschlüsselung von Daten im Ruhezustand und während der Übertragung, um unbefugten Zugriff zu verhindern, sowie regelmäßige Aktualisierungen und Patches der Anwendung, um Sicherheitslücken zu beheben. Einige kritische Bereiche, auf die man sich konzentrieren sollte, umfassen die folgenden:

Berechtigungsmanagement

• Implementieren Sie das Prinzip der geringsten Rechte - Weisen Sie jedem Benutzer nur die für seine Aufgaben notwendigen Berechtigungen zu.
• Regelmäßige Berechtigungsüberprüfungen und Rechteentzug - Überprüfen und passen Sie Berechtigungen periodisch an und entfernen Sie alle, die nicht mehr benötigt werden.
• Überwachung nicht autorisierter Änderungen - Überwachen Sie genau jegliche nicht autorisierte Änderungen an Gruppenmitgliedschaften, insbesondere solche, die administrative Privilegien verändern, sowie Berechtigungen, die direkt an Benutzer vergeben werden und dabei Gruppenmitgliedschaften umgehen.

Authentifizierung

• Machen Sie die Multi-Faktor-Authentifizierung (MFA) zur Pflicht - MFA erhöht die Sicherheit erheblich, indem sie mehrere Formen der Verifizierung verlangt, was unbefugten Zugriff für potenzielle Angreifer deutlich erschwert.
• Überwachen Sie Anmeldeaktivitäten: - Untersuchen Sie Anstiege bei fehlgeschlagenen Anmeldungen, um möglicherweise kompromittierte Konten zu identifizieren, indem Sie Warnungen für Anmeldeversuche von mehreren Endpunkten einrichten, zahlreiche fehlgeschlagene Anmeldungen eines Kontos in kurzer Zeit und eine hohe Anzahl von Anmeldefehlern innerhalb eines bestimmten Zeitraums.

Aktivitätsüberwachung

Nutzen Sie User Behavioral Analytics (UBA), um ungewöhnliche Aktivitäten wie Veränderungen im Verhalten eines Benutzers oder in den Zugriffsmustern zu identifizieren, die potenzielle Sicherheitsbedrohungen oder bösartigen Datenverkehr darstellen könnten. Weitere Vorschläge umfassen Folgendes:

• Überwachen und dokumentieren Sie Benutzeraktivitäten kontinuierlich, um normale Verhaltensgrundlinien zu erstellen.
• Erkennen Sie Benutzer, die Aktionen ausführen, die von ihrer individuellen oder Gruppen-Baseline abweichen.
• Achten Sie auf unbefugtes oder externes Teilen von Dateien.

Best Practices für die Cloud-Sicherheit auf Datenebene

Daten müssen unabhängig von ihrem Standort geschützt werden, und das schließt die Cloud ein. Durch die Implementierung der folgenden Best Practices können Organisationen die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Daten gewährleisten und so ihre Cloud Data Security Posture stärken und ihre wertvollsten Vermögenswerte schützen.

Data Discovery und Classification

• Identifizieren und klassifizieren Sie Ihre Daten — Data discovery and classification wird verwendet, um Ihre Daten basierend auf ihrer Wichtigkeit und Sensibilität zu bewerten und zu kategorisieren. Anschließend können Sie die gewonnenen Erkenntnisse nutzen, um Ihre Datenbeschutzstrategien zu fokussieren, geeignete Sicherheitskontrollen und Richtlinien zu etablieren. Die Automatisierung dieses Prozesses kann dazu beitragen, konsistente und präzise Ergebnisse zu erzielen.
• Strategie für Cloud Data Governance - Bestimmen Sie, welche Daten in der Cloud gespeichert werden sollen und entwerfen Sie deren Governance-Strategie, um alle sensiblen Daten zu schützen. Es ist entscheidend, den Schutz sensibler Daten innerhalb der Cloud sicherzustellen. Bestimmte Informationen könnten eine Speicherung vor Ort erfordern, um strengen Sicherheitsprotokollen oder Compliance-Anforderungen gerecht zu werden.

Standards für den Datenzugriff

• Implementieren Sie Data Access Management - Führen Sie regelmäßige Audits der Zugriffsrechte durch, insbesondere für die sensibelsten Daten Ihrer Organisation, und entfernen Sie alle unnötigen Berechtigungen. Wenden Sie angemessene Zugriffskontrollen basierend auf dem Datentyp an.
• Einschränkung der Datenfreigabe - Durchsetzen von Regeln zur Minderung des Risikos einer versehentlichen öffentlichen Preisgabe oder unbefugten externen Datenfreigabe.
• Dateidownloads überwachen - Überwachen Sie ungewöhnliche Download-Aktivitäten und verbieten Sie Downloads auf unsichere Geräte. Verlangen Sie eine Sicherheitsüberprüfung des Geräts, bevor Downloads erlaubt werden. Nutzen Sie automatisierte Überwachung im gesamten IT-Umfeld, um Benutzer zu verfolgen, die Daten herunterladen, ändern oder in der Cloud teilen.

Datenschutz

• Automatisierte Datenbereinigung - Implementieren Sie ein System, das in der Lage ist, gefährdete Daten automatisch in eine sichere Quarantänezone zu übertragen, um Verwundbarkeiten zu mindern.
• Verfeinern Sie die Praktiken zur Datenlöschung - Entfernen Sie redundante oder veraltete Daten gemäß den Empfehlungen von NIST und ISO. Die Richtlinien von NIST und ISO empfehlen die Verwendung der kryptografischen Löschung, einer branchenüblichen Technik, die Daten durch Verwerfen der Verschlüsselungsschlüssel unlesbar macht. Löschungen müssen nachvollziehbar sein.
• Daten bei Übertragung und Speicherung verschlüsseln - Priorisieren Sie die Verschlüsselung aller Daten, bevor Sie diese in die Cloud hochladen. Behalten Sie mithilfe umfassender Schlüsselverwaltungspraktiken eine strenge Kontrolle über die Verschlüsselungsschlüssel, um sie angemessen zu sichern.
• Entwickeln Sie eine robuste Datenwiederherstellungsstrategie - Sichern Sie regelmäßig Daten und etablieren Sie ein gründlich getestetes Wiederherstellungsverfahren, um versehentlichen und absichtlichen Datenverlust effizient zu begegnen.

Best Practices für sicheres Cloud Service Management

Das Verwalten von Geschäftsbeziehungen zielt darauf ab, effiziente Austausche zwischen dem Cloud-Anbieter und dem Verbraucher zu erleichtern, wobei der Schwerpunkt auf der Behandlung von Sicherheitsanforderungen und -bedenken liegt. Ein primärer Fokus sollte auf Verträgen und Service-Level-Agreements (SLAs) liegen. Der Vertrag dient als Ihre primäre Zusicherung für Servicequalität und Abhilfemaßnahmen. Überprüfen Sie die Vertragsbedingungen gründlich, um sicherzustellen, dass sie mit den Sicherheitsstandards Ihrer Organisation übereinstimmen. Fragen Sie nach Klarheit bei allem, was möglicherweise mehrdeutig erscheint, wie zum Beispiel, ob Kunden berechtigt sind, die Einhaltung der Vorschriften des Anbieters zu prüfen.

Ein kritischer Aspekt des Vertrags ist die Definition von Verantwortung und Eigentum der in der Cloud gespeicherten Daten. Die rechtliche Eigentümerschaft kann mehrdeutig und unklar sein. Bevor ein Vertrag abgeschlossen wird, sollten Sie versuchen, alle für Sie inakzeptablen Bedingungen zu verhandeln. Wenn bestimmte Bedingungen nicht geändert werden können, bewerten Sie die damit verbundenen Risiken. Wenn akzeptabel, erwägen Sie Strategien wie Verschlüsselung oder Überwachung, um Risiken zu mindern. Andernfalls kann es notwendig sein, einen alternativen Anbieter zu suchen, der Ihren spezifischen Anforderungen entspricht.

Definieren Sie gemeinsame Verantwortlichkeiten

Schaffen Sie ein klares Verständnis der Cybersicherheitsverantwortlichkeiten zwischen Ihnen und dem Anbieter, indem Sie wichtige Punkte wie folgt ansprechen:

• Der Umfang der Haftung des Anbieters.
• Die Richtlinien des Anbieters für Datenspeicherung und -löschung.
• Die Sicherheitsmaßnahmen, die zum Schutz Ihrer Daten eingesetzt werden.
• Die vom Anbieter implementierten Überwachungs- und Kontrollmaßnahmen sowie die von Ihnen geforderten Maßnahmen.
• Strategien zur Gewährleistung der Datenvertraulichkeit.

Gewährleisten Sie die Einhaltung von Vorschriften

Die Auswahl eines Cloud-Dienstanbieters entbindet Ihre Organisation nicht von der Verantwortung für die Einhaltung von Vorschriften. Die Last bleibt bei Ihnen, um Cloud-basierte Anwendungen und Dienste zu erstellen und kontinuierlich aufrechtzuerhalten, die den relevanten Vorschriften entsprechen.

Ein seriöser Cloud-Anbieter hält sich an anerkannte Standards und verpflichtet sich zu Transparenz und Rechenschaftspflicht. Anbieter, die dieses Engagement demonstrieren, besitzen oft Zertifizierungen wie SAS 70 Typ II oder ISO 27001. Ein seriöser Anbieter sollte umfassenden Zugang zu Dokumentationen und Berichten bieten, die für Compliance-Bewertungen relevant sind, und sich unabhängigen Audits unterziehen, die gemäß etablierten Standards durchgeführt werden. Der Anbieter ist verantwortlich für die Aufrechterhaltung der Zertifizierungen und sollte Verbraucher über jegliche Statusänderungen informieren.

Entwickeln Sie einen Incident Response und Disaster Recovery Plan

Die Erstellung eines Vorfallsreaktionsplans mit Ihrem Cloud-Dienstanbieter umfasst die Definition gemeinsamer Sicherheitsverantwortlichkeiten, die Festlegung von Kommunikationsprotokollen und die Identifizierung kritischer Vermögenswerte und Risiken durch beide Parteien. Der Plan sollte die spezifischen Dienstleistungen, die der Cloud-Anbieter als Reaktion auf einen Vorfall anbieten wird, genau beschreiben. Passen Sie die Reaktionsverfahren an, um potenzielle Vorfälle anzugehen, und integrieren Sie cloud-spezifische Tools für eine verbesserte Erkennung und Reaktion. Regelmäßiges Training und Simulationen gewährleisten die Vorbereitung, während fortlaufende Überprüfungen des Plans an die sich entwickelnde Cloud-Umgebung und Bedrohungslandschaft angepasst werden. Dieser kollaborative Ansatz gewährleistet eine einheitliche und effektive Reaktion auf Vorfälle, die den Betrieb und die Daten in der Cloud schützen.

Die Navigation der Feinheiten der Cloud-Sicherheit ist in der heutigen technologiegetriebenen Landschaft unerlässlich. Um die Sicherheit und Integrität Ihrer Cloud-Daten und die kontinuierliche Verfügbarkeit von Cloud-Diensten zu gewährleisten, ist es wichtig, eine kontinuierliche Überwachung zur frühzeitigen Bedrohungserkennung zu implementieren. Regelmäßige umfassende Tests zusammen mit zusätzlichen Bewertungen nach bedeutenden architektonischen Änderungen werden Ihre Sicherheitsverteidigung stärken. Durch die Annahme dieser proaktiven Maßnahmen können Organisationen eine robuste Sicherheitslage aufrechterhalten und ihre kritischen Vermögenswerte gegen die sich entwickelnden Bedrohungen in der Cloud-Umgebung schützen.