Cloud Computing Der sichere Weg in die Cloud

Anbieter zum Thema

WatchGuard Technologies GmbH

Impossible Cloud GmbH

Zadara Ltd.

Die Cloud lockt mit vielen Vorteilen wie höhere Flexibilität und Skalierbarkeit, deutliche Kostensenkungen, mehr Effizienz als auch Wettbewerbsvorteile. Aber wie muss eine Cloud-Migration vorbereitet und durchgeführt werden, damit keine bösen Überraschungen drohen?

Bei Cloud-Migration geht es um den Blick in die Zukunft. Unternehmen, die den Sprung nicht schaffen, geraten ins Hintertreffen. Der Wechsel von einer On-Premises-Infrastruktur in eine Cloud birgt viele Vorteile, ist aber kein trivialer Vorgang. Bei jeder Cloud-Migration ist zu beachten, dass eine Verlagerung von Workloads ihre eigenen Sicherheitsüberlegungen und -anforderungen hat. Nicht selten kommt es zu Cloud-Fehlkonfigurationen oder Sicherheitsverletzungen.

Daher ist es wichtig, zu wissen, wie Cloud-Dienste funktionieren, welche Daten und Anwendungen sich für die Cloud eigenen, wie sie sicher vorgehalten werden, damit sie vor allem auch zuverlässig funktionieren. Aus diesem Grunde beginnt eine erfolgreiche Cloud-Bereitstellung nicht mit dem Unterzeichnen von Verträgen und dem Verschieben von Daten, sondern mit einer gründlichen Planung.

Daten für die Cloud klassifizieren

Eine Klassifizierung der Daten bildet den Kern vieler Sicherheitsinitiativen. Wenn der Anwender nicht weiß, welche Arten von Daten er pflegen soll, welche Arten von Daten für bestimmte Prozesse oder Transaktionen erforderlich sind und wer im Rahmen eines Modells des Principle of Least Privilege (POLP) Zugriff auf bestimmte Daten haben muss, ist er nicht in der Lage, diese Daten zu schützen.

Diese Notwendigkeit der Klassifizierung von Daten gilt natürlich für alle Arten und Größen von Unternehmen als auch Formen der Cloud-Dienste und deren Anbieter. Unabhängig davon muss der Anwender sich genau überlegen, welche Daten sich eignen, auf solche Cloud-Plattform verlagert und effektiv gesichert werden zu können.

Bei einer lokalen Infrastruktur kontrolliert der Anwender selbst genau, wo sensible Daten vorgehalten werden. Auf einer Cloud-Plattform kann das durchaus ganz anders sein. Auch wenn Hauptkopien von Daten in einem bestimmten Land gespeichert werden, können die Backups in einem ganz anderen Land aufbewahrt werden. Abhängig von den geltenden Anforderungen an die Datenresidenz ist es möglich, dass Anwender dadurch mit den geltenden Datenschutzgesetzen in Konflikt geraten, entweder im eigenen Land oder in den Ländern, in denen die Daten gespeichert oder verschoben werden.

Sensible Daten verschlüsseln

Der Zugriff auf alle Daten in der Cloud gewährt viele Vorteile. Er bietet die dringende Flexibilität, die für Mitarbeitende benötigt wird, um überall und jederzeit zu arbeiten. Ebenso wird das Teilen von Informationen bequemer und schneller als je zuvor. Wobei Daten wiederum ein Gefahrenpotenzial für Hacker-Angriffe darstellen können.

Daher ist es ratsam, insbesondere sensible Daten schon während der Cloud-Migration zu verschlüsseln. Während die meisten Dienstanbieter Verschlüsselungsoptionen für Daten nach dem Hochladen in die jeweiligen Systeme anbieten, muss auch ein Weg gefunden werden, sie während des Prozesses selbst zu verschlüsseln. Dafür empfehlen sich Technologien wie Cloud-Verschlüsselungsgateways oder virtuelle private Netzwerke (VPN) an.

Verantwortlichkeiten der Cloud-Anbieter

Die einzelnen Cloud-Anbieter (Amazon, Google Cloud und Microsoft) halten unterschiedliche Implementierungen des Modells der geteilten Verantwortung sowie unterschiedliche Optionen für die Datenresidenz und -sicherheit bereit. Diese Shared-Responsibility-Modelle und deren Anforderungen, was Kunden tun müssen, um ihre Verantwortung für Daten zu übernehmen, differieren bei den großen Cloud-Anbietern.

Unterschiede im Hinblick auf Verantwortlichkeiten und Richtlinien bestehen auch zwischen Plattformen und Diensten in der Cloud. Bevor sich ein Unternehmen an einen bestimmten Dienst oder Plan bindet, muss es sicherstellen, dass die Datenschutzoptionen eines Anbieters den hauseigenen Anforderungen entsprechen. Dies ist eine entscheidende Phase der Due Diligence.

Alle Cloud-Anbieter sind vollständig für die physische Sicherheit ihrer Data-Center-Umgebungen verantwortlich. Darüber hinaus sind sie für die Disaster-Recovery-Planung des Data-Centers, die Geschäftskontinuität sowie die rechtlichen und personellen Anforderungen verantwortlich, die sich auf die Sicherheit ihrer Betriebsumgebungen beziehen.

Disaster-Recovery- und Kontinuitätsprozesse

Cloud-Kunden müssen jedoch trotzdem weiterhin ihre eigenen Disaster-Recovery- und Kontinuitätsprozesse planen, insbesondere in IaaS-Clouds, in denen sie ihre Infrastruktur aufbauen. Kunden, die Datensicherungen in SaaS- und PaaS-Umgebungen verwalten möchten, sollten diese in bestehende Datenschutz- und Wiederherstellungsstrategien integrieren. Das heißt, die Sicherheit in der Cloud liegt in der Verantwortung des Users. Dazu gehören Datenschutz, Identitäts- und Zugriffsverwaltung (IAM), Betriebssystemkonfiguration, Netzwerksicherheit und Verschlüsselung.

Mit der Auswahl eines Cloud-Anbieters, sollten auch umsetzbare Schritte zur Genehmigung, Dokumentation und Sicherung von Instanzen von Cloud-Diensten einhergehen. Auf diese Weise wird es Sicherheits- und IT-Teams so einfach wie möglich gemacht, die Richtlinien zu implementieren und Probleme wie die nicht genehmigte Cloud-Nutzung oder die Offenlegung von Daten durch falsch konfigurierte Buckets zu verhindern.

Schrittweise in die Cloud-Migration

Eine phasenweise durchgeführte Daten-Migration erhöht die Sicherheit, da alle Beteiligten sich mit Cloud-Systemen allmählich vertraut machen können. Für ein kontrollierbares Risiko empfiehlt es sich mit den Daten niedriger Priorität zu beginnen. Anschließend sollte die Konfiguration gut getestet und Sicherheitslücken sowie Bugs ausfindig gemacht werden, bevor in einem nächsten Schritt die Übertragung vertraulicher oder kritischer Daten beginnt.

Darüber hinaus fördert eine schrittweise Migration einen minimalen Zeitdruck und ein langsameres User-Onboarding. Das langsame Tempo stellt zudem sicher, dass die Wahrscheinlichkeit von Fehlern, wie beispielsweise das Erteilen einer uneingeschränkten Autorisierung oder das Duplizieren oder Löschen von Daten, auf ein Minimum zu reduzieren wäre.

(ID:48739471)