Gastbeitrag von McAfee zu SecDevOps

Die Cloud sicher nutzen

26. Mai 2020, 12:30 Uhr | Rolf Haas

Cloud Computing ist heute ein essenzieller Bestandteil des digitalen Wandels, in dem sich Unternehmen befinden. Cloud-Dienste bieten eine höhere Agilität, Produktivität und effizienteres Arbeiten. Daneben dürfen Unternehmen jedoch das Gefahrenpotenzial nicht unterschätzen, das sich durch die eigenen Mitarbeiter und fehlende Sicherheits-Tools ergibt. Im folgenden Gastkommentar erläutert Rolf Haas, Senior Enterprise Technology Specialist bei McAfee, die Risiken in der Cloud, wie man diesen begegnet und die Vorzüge eines DevSecOps-Ansatzes.

Unternehmen kommen heute nicht mehr um Cloud Computing herum. Dies geht aus einer aktuellen, von McAfee in Auftrag gegebenen Umfrage hervor. Für diese wurden 500 IT-Leiter und 253 Angestellte deutscher Unternehmen im vergangenen Oktober befragt, wie sie die Cloud im Unternehmen nutzen. Dabei schätzten 91 Prozent der IT-Leiter das eigene Unternehmen als Cloud-first ein, also stark auf den Einsatz von Cloud Computing ausgerichtet. Ein Teil dieser Unternehmen hat sogar bereits vor sieben Jahren damit begonnen, von lokalen auf Cloud-basierte Anwendung umzusteigen.

Darüber hinaus offenbart sich die Bereitschaft zur Nutzung von Cloud-Services ebenfalls bei den befragten Unternehmen, die der Migration heute noch nicht den gleichen Stellenwert beimessen: 62 Prozent der Betriebe sind sich sicher, ihren Rückstand in den kommenden zwei Jahren aufholen zu können. 86 Prozent bereiten sogar heute schon eine Strategie vor, die es ihnen in Zukunft erlaubt, nur noch Cloud-basiert zu agieren. Drei Viertel planen, dieses Vorhaben bis spätestens 2021 umzusetzen.

Aufgrund der zahlreichen Vorteile, die mit Cloud Computing einhergehen, ist es wenig verwunderlich, dass immer mehr Unternehmen eine Migration in Betracht ziehen.

Flexibler, produktiver… Cloud

Über die Hälfte der befragten Mitarbeiter (60 Prozent) nutzen täglich Cloud-Anwendungen. Die Mehrheit erkennt den Mehrwert vor allem im vielseitigeren, größeren Anwendungsangebot. Cloud-Dienste erhöhen nicht nur die Agilität sowie Flexibilität der Mitarbeiter, sondern auch des gesamten Unternehmens. Laut der McAfee-Umfrage ist sich die Mehrheit der IT-Leiter (84 Prozent) sowie der Angestellten (70 Prozent) einig, dass Cloud-basierte Anwendungen ihre Arbeitsweise effizienter gestalten. 66 Prozent der IT-Leiter konnten eine Steigerung der Mitarbeiterproduktivität in ihrem Unternehmen ausmachen. Neben den Kosteneinsparungen, verzeichnen Cloud-first-Unternehmen eine erhebliche Verkürzung ihrer Time-to-Market und sind offener für Innovationen sowie die Expansion in neue Märkte.

Die Cloud erleichtert Nutzern – privaten und geschäftlichen gleichermaßen – das Speichern, Versenden und Abrufen von Daten. Durch diese Zugänglichkeit offenbaren sich den Unternehmen jedoch auch Herausforderungen im Risiko-Management, denn immer mehr sensible und unternehmenskritische Inhalte finden ihren Weg in die Cloud.

Der Umgang mit sensiblen Daten in der Cloud

Im Cloud Adoption and Risk Report schätzt McAfee, dass sich bei rund 21 Prozent aller Daten in der Cloud um sensible Daten handelt. Davon liegt die Mehrheit (65 Prozent) in SaaS-Anwendungen. Aus dem Report geht außerdem hervor, dass sich die Zahl der über die Cloud versendeten Daten mit sensiblen Inhalten auf 53 Prozent erhöht hat.

Auch laut der aktuellen Umfrage gehen 61 Prozent der IT-Leiter davon aus, dass sich mindestens die Hälfte ihrer unternehmenskritischen Daten auf Cloud-Servern befinden. 96 Prozent der IT-Leiter planen, noch mehr sensible Inhalte dort zu speichern und zu teilen – und dies, obwohl weiterhin Sicherheitsbedenken bestehen.

Diese Sicherheitsbedenken sind nicht unbegründet. Cloud-Dienste sind nicht automatisch gleichzusetzen mit einem umfassenden Schutz aller Daten. Zum Beispiel sind die zum Versenden genutzten Links oft nicht abgesichert und somit öffentlich zugänglich – eine Schwachstelle, die Saboteure und Kriminelle auszunutzen wissen. Generell ist die Gefahr, Opfer von Cyberkriminalität zu werden, in den letzten Jahren gestiegen. So berichtet der Bitkom in einer Studie zum Wirtschaftsschutz in der digitalen Welt, dass innerhalb von zwei Jahren die Anzahl der betroffenen Unternehmen von 53 auf 75 Prozent gestiegen ist.

Die Schattenseiten der Cloud

Bedrohungen für die Unternehmensnetzwerke – sowohl On-Premise als auch in der Cloud – können unterschiedliche Formen annehmen. So stellen gezielte DDoS-Attacken, die aktiv den operativen Betrieb nachhaltig außer Gefecht setzen, eine Gefahr für Unternehmen, sowie deren Umsatz und Reputation dar. Das Gefahrenpotenzial wächst sobald die eigenen Mitarbeiter unaufmerksam oder gar mit böswilligen Absichten agieren – ein Faktor, den viele Unternehmen immer noch unterschätzen.

Ob nun durch eine E-Mail, die einen Phishing-Link oder einen durch Malware infizierten Anhang enthält, oder das Anschließen von verseuchter Hardware an das Unternehmensnetzwerk: Cyber-Kriminelle nutzen jedes Schlupfloch – vor allem über die Schwachstelle Mensch –, um wertvolle Datensätze abzugreifen und diese dann im Darknet zu verkaufen oder per Ransomware sämtliche Daten zu verschlüsseln und hohe Lösegelder zu fordern. Außerdem kennen sich Saboteure und Kriminelle bestens mit den Lücken aus, die durch die sogenannte Schatten-IT entstehen.

Auch IT-Leiter kennen die Herausforderung von unautorisierter Soft- und Hardware: 53 Prozent von ihnen gehen davon aus, dass über die Hälfte der Mitarbeiter nicht genehmigte Cloud-Dienste nutzt. Dieser Angabe stimmen auch 41 Prozent der Angestellten zu. Demgegenüber stehen 14 Prozent, die nicht einmal wissen, welche Dienste offiziell genehmigt sind und welche nicht. Das Risiko der Schatten-IT liegt vor allem in mangelnder Kontrolle und Überwachung, sodass kein ausreichender Schutz dieser Anwendungen gewährleistet ist. Die Folge: Malware, der Verlust von Daten und Compliance-Verstöße, die hohe Bußgeldern nach sich ziehen.

Ganzheitlichen Datenschutz gewährleisten – auch in hybriden Umgebungen

Cloud-Provider stellen nur einen Basis-Datenschutz zur Verfügung. Deshalb obliegt es den Unternehmen, die Verantwortung darüber selbst in die Hand zu nehmen. Um eine passende Sicherheitsstrategie zu entwickeln, ist es in erster Linie wichtig zu wissen, wer welche Daten wie nutzt. SIEM- und DLP-Lösungen (Security-Information- und Event-Management, Data Loss Prevention) überwachen Hard- und Software in Echtzeit und machen auf unbefugte Datennutzung sowie deren Weitergabe aufmerksam, sodass IT-Verantwortliche reagieren können. Mit DLP-Lösungen kann zum Beispiel die Zuteilung einer spezifischen Kennzeichnung von jeder technischen Komponente oder jedem Nutzer erfolgen. Bei Anschluss eines Geräts ohne Spezifizierung an das Unternehmensnetzwerk blockiert das Tool die weitere Verwendung.

McAfee konnte feststellen, dass nur rund 36 Prozent der Unternehmen DLP-Lösungen in der Cloud einsetzen. Lediglich 33 Prozent gaben an, die Collaboration-Einstellungen selbst zu steuern und zu konfigurieren. Damit geht den verbliebenen 67 Prozent die Kontrolle über das Ausmaß versendeter Daten verloren.

Bei einer On-Premise-Implementierung von DLP-Lösungen sorgen diese auch nur lokal für die Einhaltung der Compliance. Somit müssen Unternehmen ergänzende Tools einführen, die auch in der Cloud die lokal geltenden Sicherheitsrichtlinien durchsetzen. CASBs „Cloud Access Security Broker) fungieren hier als verlängerter Arm für DLP-Lösungen. Sie übernehmen das Monitoring der Datenbewegungen zwischen den Cloud-Diensten und deren Nutzern, um auffällige Aktivitäten in Echtzeit zu identifizieren und deren Durchführung zu verhindern.

 

Anbieter zum Thema

zu Matchmaker+

  1. Die Cloud sicher nutzen
  2. Shift Left

Lesen Sie mehr zum Thema


Jetzt kostenfreie Newsletter bestellen!

Weitere Artikel zu McAFEE Network Security Management

Weitere Artikel zu Cloud-Speicher

Weitere Artikel zu Synology GmbH

Weitere Artikel zu Hitachi Data Systems

Matchmaker+