Datenschutz in einer Multi-Cloud-Umgebung

Angesichts der wachsenden Beliebtheit der Cloud steigt der Bedarf nach Datenschutz in Multi-Cloud-Umgebungen. Allerdings kann es für Organisationen schwierig sein, den Zugriff auf die Daten zu verwalten und sie sicher zu speichern.

Laut Crystal Morin, Cybersecurity-Strategin beim Sicherheitsunternehmen Sysdig, unterscheiden sich die Bedrohungen in Multi-Cloud-Umgebungen nicht von denen in einer Single-Cloud-Umgebung.

Das Threat Research Team von Sysdig beobachtet jedoch, dass Angreifer bei Attacken zwischen verschiedenen Umgebungen wechseln, was für Multi-Cloud-Nutzer Anlass zur Sorge darstellt.

?Der gr??te Fehler, den ein Unternehmen in einer Multi-Cloud-Umgebung machen kann, ist abgesehen von den normalen Cloud-Sicherheitspraktiken, keine Sicherung und Beobachtung der Bewegungen zwischen den Cloud-Umgebungen“, sagt sie.

?Ein umfassender überblick über Ihre Umgebung ist der Schlüssel zu deren Sicherheit.“

Je beliebter Multi-Cloud-Umgebungen werden, desto h?ufiger werden sich Angreifer seitlich durch die Umgebungen schleichen, um nach zus?tzlichen Privilegien und sensiblen Daten zu suchen, die m?glicherweise in den Umgebungen gespeichert sind, fügt Morin hinzu.

Da die Cloud-Landschaft so vielf?ltig ist und Multi-Cloud- und Hybrid-Konfigurationen umfasst, stellt sie ein fragmentiertes Netzwerk dar, das die Angriffsfl?che vergr??ert und die überwachung und den Schutz erschwert, so Phani Dasari, Chief Information Security Officer von HGS, einem Unternehmen für digitales Kundenerlebnis.

Die überwindung dieser Fragmentierung durch eine verbesserte Sichtbarkeit der gesamten Cloud-Umgebung ist entscheidend für die Verringerung von Cyber-Risiken und geh?rt zu den obersten Priorit?ten für Sicherheitsteams, fügt er hinzu.

Zauberzwerge sind keine L?sung

Unternehmen müssen sicherstellen, dass nur diejenigen Zugriff auf bestimmte Firmendaten haben, die sie für ihre Arbeit ben?tigen, sagt Wayne Anderson, Direktor für Cloud, Sicherheit und Infrastruktur bei BDO Digital, einem Anbieter von Technologie- und Unternehmensberatungsdiensten.

?Die heutige Multi-Cloud-Welt besteht jedoch nicht aus einer Armee von Zauberzwergen, die intelligente und wohlüberlegte Entscheidungen in Echtzeit treffen“, erkl?rt er.?

?Stattdessen müssen die Systeme so konzipiert oder konfiguriert werden, dass sie wissen, welche Berechtigungen erforderlich sind, wer diese Berechtigungen haben sollte und wie die Berechtigungen auf Daten oder Applikationsfunktionen angewendet werden. Die Maschinen werden diese Regeln genau befolgen. Die Regeln müssen richtig sein.“

Um dieses Ziel zu erreichen, bedarf es einer Organisation, deren Gesch?ftsbereiche regelm??ig mit dem Sicherheitsteam kommunizieren und die bereit ist, für den Planungsprozess und die Einrichtung von Arbeitsabl?ufen genauso viel Zeit aufzuwenden wie für die Anschaffung der Tools, so Anderson.

?Die besten Sicherheitsteams agieren wie Berater und haben das Vertrauen des Unternehmens aufgebaut, um als Ansprechpartner ein Gleichgewicht zwischen einer schnellen Implementierung und dem Schutz des Unternehmens zu finden“, fügt er hinzu.

Eine der effektivsten Methoden zur Verwaltung der Berechtigungen, die Entit?ten innerhalb eines Unternehmens zugewiesen werden, ist die rollenbasierte Zugriffskontrolle (engl. role-based access control, RBAC), so Brandon Leiker, Principal Solutions Architect, Security bei 11:11 Systems, einem Anbieter von verwalteten Infrastrukturl?sungen.?

Mit RBAC werden verschiedene Rollen auf der Grundlage der Benutzertypen oder der Zugriffsebenen, die User für eine Umgebung oder Daten ben?tigen, erstellt. Anschlie?end werden die Nutzer-Accounts diesen Rollen zugewiesen.

?Die Verwaltung des Zugriffs und der Berechtigungen über mehrere Cloud-Umgebungen hinweg durch die Identit?ts- und Zugriffsverwaltungsl?sung der einzelnen Umgebungen kann [jedoch] administrativ aufw?ndig sein“, erkl?rt er.

?Ganz zu schweigen davon, dass die User mehrere Benutzernamen, Passw?rter und MFA-Token [Multi-Faktor-Authentifizierung] verwalten müssen, was sie zu der falschen Praxis verleitet, Passw?rter in diesen Umgebungen wiederzuverwenden.”

Zur Linderung dieser Probleme sollten Organisationen versuchen, Single-Sign-On-L?sungen zu implementieren, sagt Leiker.

Dies erm?glicht es Administratoren, den Zugang und die Berechtigungen für die verschiedenen Cloud-Umgebungen, die von den Unternehmen genutzt werden, über eine zentralisierte Plattform zu verwalten.

Die Benutzer k?nnen über ein zentrales Portal mit einem einzigen Benutzernamen, Passwort und MFA auf diese Umgebungen zugreifen.

Angreifer zielen auf Backups

In einer Multi-Cloud-Umgebung ist die Gew?hrleistung der Datensicherheit von entscheidender Bedeutung, sagt Evan Pease, Technologieleiter der Launch Consulting Group.

Dazu müssen Unternehmen unter anderem Backups an mehreren Speicherorten anlegen und robuste Wiederherstellungspl?ne haben.

?Multi-Cloud-Konfigurationen bieten die Flexibilit?t, verschiedene Cloud-Anbieter für Backups zu nutzen“, sagt er.

?Es kann zwar teurer sein, Daten in mehreren Clouds zu speichern, aber für manche Daten kann sich der Kompromiss lohnen.“

Steve Costigan, Field CTO, EMEA beim Cloud-Computing-Unternehmen Zadara, stimmt dem zu und erkl?rt, dass Unternehmen sicherstellen müssen, dass Backups über verschiedene Umgebungen und Standorte hinweg portabel sind.

?Sie wollen sich nicht an eine eingeschr?nkte L?sung mit begrenzten Wiederherstellungsoptionen binden“, sagt er.

?Stellen Sie sicher, dass Sie über eine echte Isolierung zwischen den Systemen verfügen, da dies im Falle einer Kompromittierung die laterale Bewegung von Ost nach West einschr?nkt.“

Au?erdem sollten Betriebe unver?nderliche oder Air-Gapped-Offsite-Backups in Erw?gung ziehen, da die meisten Angriffe auf Umgebungen heute speziell auf Backups abzielen, so Costigan.

?Dies ist Ihre letzte Verteidigungslinie für die Wiederherstellung“, betont er.

?Wenn Ihre Backups gel?scht oder kompromittiert werden, steht Ihre Datenintegrit?t vor dem Abgrund.“

Multi-Cloud-Umgebungen erfordern au?erdem Mechanismen zur Versionierung und robuste Disaster-Recovery-Pl?ne, so Dasari.

?Die Tatsache, dass historische Versionen leicht zug?nglich sind, gew?hrleistet eine schnelle Wiederherstellung im Falle eines Datenverlusts oder einer Datenbesch?digung“, erkl?rt er.

?Strenge Tests des Disaster-Recovery-Plans sind für die Minimierung von Ausfallzeiten und die Sicherstellung der Datenverfügbarkeit von entscheidender Bedeutung.“

Es geht nicht nur um technische Tools

Der Schutz von Daten in einer Multi-Cloud-Umgebung umfasst mehr als nur den Einsatz der richtigen technischen Tools.

Es geht um eine ganzheitliche Herangehensweise, die sowohl administrative als auch technische Aspekte beinhaltet, sagt Nick Harrahill, Director of Customer Support bei Spin.AI, einem Software-as-a-Service (SaaS) Sicherheitsunternehmen.

?Auf der technischen Seite sind Ma?nahmen wie die Verschlüsselung von Daten sowohl im Ruhezustand als auch bei der übertragung, die regelm??ige überwachung der Datenintegrit?t mit Hilfe von digitalen Signaturen oder Hashes sowie starke Identit?ts- und Zugriffsmanagementkontrollen von gr??ter Bedeutung“, erkl?rt er.?

?Darüber hinaus sind umfassende Audits, zeitnahes Schwachstellenmanagement, die Einführung von Datenmanagement-Plattformen, verst?rkte Netzwerksicherheit und automatisierte Disaster-Recovery-L?sungen unerl?sslich.“

Aus administrativer Sicht sind strenge Anbieterbewertungen und Vertr?ge, die die Einhaltung von Service-Level-Agreements und h?chsten Sicherheitsstandards gew?hrleisten, von entscheidender Bedeutung, fügt Harrahill hinzu.?

H?ufige Prüfungen durch Dritte, solide Datensicherheitsrichtlinien, eine klar definierte Strategie für die Reaktion auf Vorf?lle und strenge Richtlinien für die Verwaltung des Datenlebenszyklus sind ebenso wichtig.

?Das gesamte Vorhaben, Daten in einer Multi-Cloud-Konfiguration zu sichern, l?uft auf die F?rderung von Partnerschaften zwischen Kunden und Anbietern hinaus, wobei jeder sein Fachwissen und seine Kontrollen einbringt“, erkl?rt er.?

?Ich sage immer: ?Vertraue, aber überprüfe‘. Diese Philosophie ist die Grundlage für den Aufbau und die Aufrechterhaltung starker, sicherer Beziehungen im Multi-Cloud-Umfeld, um die Integrit?t und Sicherheit der Daten jederzeit zu gew?hrleisten.“

Ein Eckpfeiler für den Datenschutz ist das Verst?ndnis der Sicherheitsmechanismen jedes Cloud-Anbieters und die Abstimmung mit internen Protokollen, sagt Mike Fraser, VP of DevSecOps bei Sophos, einem Anbieter von Cybersecurity-L?sungen.

?Datenverschlüsselung erfordert die Verschlüsselung von Daten im Ruhezustand und w?hrend der übertragung. Viele Cloud-Anbieter stellen zwar Verschlüsselungstools zur Verfügung, aber Unternehmen erhalten mehr Sicherheit, wenn sie ihre Verschlüsselungsschlüssel selbst verwalten“, sagt er.

In diesem Zusammenhang spielen das Cybersecurity Posture Management und das Data Security Posture Management eine wichtige Rolle, da sie für sichere und konforme Konfigurationen von Cloud-Diensten und -Daten sorgen und sich oft nahtlos in moderne DevSecOps-Pipelines integrieren lassen, um die Durchsetzung durch Automatisierung zu gew?hrleisten, so Fraser weiter.

Fazit

Angesichts der sich st?ndig weiterentwickelnden Cyber-Bedrohungen und der immer strengeren Vorschriften werden Unternehmen weltweit ihre Cyber-Investitionen auf den Schutz ?gesch?ftsrelevanter“ Daten ausrichten, so Dasari.

?Dazu geh?rt ein tiefes Verst?ndnis dieser Daten im gesamten Unternehmen und eine kontinuierliche Bewertung ihrer Einführung in die Umgebung, sei es über die Cloud, SaaS-L?sungen, Kernanwendungen oder Beziehungen zu Dritten“, sagt er.

?Dieser Ansatz wird zu widerstandsf?higeren Cybersicherheitsprogrammen und minimierten Risiken für Organisationen führen.“