Cloud-Strategie realistisch planen Die Klippen umschiffen – Cloud-Migration ohne Risiken

Anbieter zum Thema

Varonis Systems (Deutschland) GmbH

WatchGuard Technologies GmbH

DataCore Software GmbH

Zadara Ltd.

Die Vorteile der Cloud liegen auf der Hand: Die Daten werden von den Beschränkungen der lokalen Speichersystemen befreit. So können Mitarbeiter über Zeitzonen hinweg zusammenarbeiten und wirklich globale Workflows aufbauen, die noch vor wenigen Jahren undenkbar waren.

Sonnige Zeiten! Allerdings kann es bei der Cloud-Umsetzung auch zu Stürmen und schweren Regenfällen kommen, insbesondere wenn unvorhergesehene Umstände wie eine Pandemie eintreten, die Unternehmen dazu zwingen, „zwei Jahre digitale Transformation in zwei Monaten“ voranzutreiben.

Covid-19 beschleunigte die Cloud-Migration in nie dagewesenem Ausmaß. Trotz der „stärksten wirtschaftlichen Talfahrt in der modernen Geschichte“ wuchs laut Deloitte der Cloud-Markt im Jahr 2020 schneller als im Vorjahr. Und die Nachfrage wird sich in absehbarer Zeit auch nicht abschwächen. Die Analysten von IDC prognostizieren, dass 90 Prozent der Unternehmen weltweit bis 2022 auf eine Hybrid Cloud setzen werden. Die Stärken der Cloud haben sich gerade in der Pandemie gezeigt: Unternehmen können wesentlich flexibler agieren und den Ressourcenaufwand und Speicherbedarf entsprechend anpassen – bei deutlich geringerem Verwaltungsaufwand und ohne hierfür physische Server in einem Rechenzentrum zu kaufen und gegebenenfalls wieder außer Betrieb zu nehmen.

Zu viele Berechtigungen, zu wenig Überwachung

Gleichzeitig, und auch das hat die Corona-Krise gezeigt, birgt die Bereitstellung von Informationen für eine verteilte Belegschaft ein großes Risiko. Ein einziger kompromittierter Endpunkt kann einen verheerenden Datenvorfall verursachen, wenn die Daten eines Unternehmens übermäßig exponiert sind und nicht hinreichend überwacht werden. Weitere Gefahren drohen Unternehmen, die Collaboration-Tools wie Slack, Teams oder SharePoint verwenden. Diese ermöglichen zwar einen einfachen und mühelosen Informationsaustausch, bieten aber keine ausreichenden Anreize für sichere Arbeitsmethoden. Im Gegenteil: Es ist heute so einfach wie nie zuvor, ein sensibles Dokument mit einem Kollegen zu teilen oder ein Passwort weiterzugeben. Benutzerfreundlichkeit und Bequemlichkeit sind oftmals Feinde der Sicherheit.

Der Datenrisiko-Report für den Finanzsektor hat gezeigt, dass ein Junior-Analyst, der bei einem großen Finanzinstitut anfängt, an seinem ersten Arbeitstag Zugriff auf 20 Prozent der Daten des Unternehmens hat – das sind 11 Millionen Dateien. Diese unternehmensweite Datenexposition ist im Grunde das exakte Gegenteil von Zero Trust. Es ist zu befürchten, dass die Cloud-Migration dieses Problem weiter vergrößert: Wenn sensible Daten für jeden Mitarbeiter zugänglich sind, steigt die Wahrscheinlichkeit von Datenschutzverletzungen, Insider-Bedrohungen und Ransomware-Angriffen deutlich an. Wenn diese Daten zudem über eine dezentrale Belegschaft verteilt sind, die fernab von der Kontrolle der IT-Mitarbeiter und dem Schutz vor Ort arbeitet, erhöht sich das Risiko auf ein nicht hinnehmbares Maß.

Tipps für eine erfolgreiche Migration

Die Verantwortung für die Migration von Daten ruht auf den Schultern der IT-Abteilung. Damit muss sie zusätzlich zu ihren normalen Tätigkeiten und Aufgaben eine weitere schwere Last tragen. Die Daten müssen mit so wenig Ausfallzeit wie möglich verschoben werden, bevor sie an dem richtigen Ort gespeichert und den richtigen Personen zur Verfügung gestellt werden. Dieser Prozess birgt stets das Risiko, die Daten noch stärker zu exponieren, weshalb eine sorgfältige Planung vonnöten ist.

Unternehmen unterscheiden sich teils gravierend hinsichtlich ihrer Größe, Arbeitsmodelle und Daten. Deshalb kann es keine allgemein gültige Checkliste für Migrations-Projekte geben. Gleichwohl gibt es einige Best Practices, die befolgt werden sollten:

• 1. Identifizieren Sie zunächst veraltete, nicht mehr benötigte Daten und schließen Sie diese von der Migration aus. Auf diese Weise reduzieren Sie sowohl das Risiko als auch die Speicherkosten. Hierzu sollten Sie Regeln definieren, um zu entscheiden, ob Daten veraltet sind und nicht mehr benötigt werden, etwa solche, auf die schon lange nicht mehr zugegriffen wurde.

• 2. Erstellen Sie spezielle Pläne für sensible Daten (z. B. personenbezogene Informationen), insbesondere wenn diese durch Datenschutzgesetze wie die DSGVO geregelt sind. Ebenso sollten Sie kritischen Informationen wie Verträge oder geistiges Eigentum dieselbe Aufmerksamkeit schenken. Achten Sie in diesem Zusammenhang darauf, dass Sie diese Daten durch die Gewährung von Zugriffsrechten an die falschen Personen weiter exponieren. Gleichzeitig muss sichergestellt werden, dass all diejenigen, die Zugriff auf die Daten benötigen, diesen auch weiterhin behalten und so ihrer Arbeit ungestört nachgehen können. Es lohnt sich, eine Bestandsaufnahme des vorhandenen Datenbestands zu machen und dabei auch auf „dunkle Daten“ zu achten. Während einer Migration finden viele Unternehmen SharePoint-Sites, Exchange-Postfächer, öffentliche Ordner und Dateifreigaben, von deren Existenz sie nichts wussten. Nicht wenige davon enthalten sensible Daten mit zu weit gefassten Zugriffsrechten, die nicht nur für Cyberkriminelle eine interessante Beute darstellen, sondern oftmals auch Regulierungen unterliegen. Es ist daher von entscheidender Bedeutung, eine vollständige und genaue Bestandsaufnahme zu erstellen. Mit intelligenten Lösungen können sensible Dateien gekennzeichnet, überwacht und korrekt verwendet werden.

• 3. Legen sie Datenverantwortliche für sensible Daten fest. Diese sind in der Lage, vor und nach der Migration die Berechtigungen zu überprüfen und so überflüssige und zu weit gefasste Zugriffsrechte zu verhindern – und damit das Risiko deutlich zu reduzieren.

Zugriff nur für alle, die ihn benötigen

Um die unternehmensweite Datenexposition zu minimieren, sollte das Least-Privilege-Modell umgesetzt werden. Dadurch wird sichergestellt, dass die Mitarbeiter nur auf die Dateien zugreifen können, die sie auch tatsächlich benötigen. Es ist von entscheidender Bedeutung, Transparenz über die Dateien mit zu weit gefassten Zugriffsrechten zu erhalten. Hierzu wird überprüft, wer Zugriff auf welche Dateien hat und ob diese für alle zugänglich sein müssen oder nur für bestimmte Mitarbeiter.

Grundsätzlich sollte der „Zugriff für alle“ so weit wie möglich beseitigt werden. Die Berechtigungen sollten auf zweckorientierte Gruppen beschränkt werden, also solche Mitarbeiter, die eindeutig auf diese Daten zugreifen müssen. Dieser Ansatz kann ohne größere Unterbrechungen der täglichen Arbeit umgesetzt werden. Sobald ein Unternehmen einen Überblick über seine übermäßig exponierten Dateien hat, kann es die Berechtigungen zu Zeiten ändern, in denen die Dateien aller Wahrscheinlichkeit nach nicht stark genutzt bzw. benötigt werden. Dieser Prozess der Reduzierung des offenen Zugangs in Richtung Zugriff nur für bestimmte Gruppen sollte allein schon aufgrund der Datenmenge automatisiert werden.

Bei der Migration in die Cloud sollte man die Bodenhaftung nicht verlieren. Nur so kann man den Stürmen standhalten und sich auf die sonnigen Aussichten freuen. Gleichzeitig ist man gewappnet vor aufziehenden Gewittern.

* Der Autor Michael Scheffler ist Country Manager DACH von Varonis Systems.

(ID:47700331)