Datensicherheit in der Cloud Wie können Unternehmen ihre Daten schützen?

Anbieter zum Thema

WatchGuard Technologies GmbH

Impossible Cloud GmbH

Zadara Ltd.

Aufgrund der komplexen Struktur von Cloud-Anwendungen fehlt Unternehmen häufig ein genauer Überblick über die Datenverarbeitung, -speicherung und -kontrolle, die dort stattfindet. Mit vier Maßnahmen lässt sich das ändern und das Risiko von Datenschutzverletzungen deutlich senken.

1. Daten im Ruhezustand und im Transit verschlüsseln

Cloud-Anwendungen verfügen über eine Daten-, eine Steuerungs- und eine Verwaltungsebene. Nur wenn diese richtig konfiguriert sind, können Daten sicher verarbeitet und kontrolliert sowie auf sie zugegriffen werden. Bei der Datenebene sind dafür die Nutzer der Cloud, also die Unternehmen, selbst verantwortlich. Daten weisen einen von drei prinzipiellen Zuständen auf: Ruhezustand, Transit und Verwendung. Befinden sie sich im Ruhezustand oder werden übertragen, sollten sie durch symmetrische oder asymmetrische Verschlüsselung geschützt werden. Für die Datensicherung im Ruhezustand eignet sich die symmetrische Verschlüsselung am besten, da sie eine hohe Geschwindigkeit aufweist, die für die Verarbeitung großer Datenmengen notwendig ist.

So kann man Lösungen wie Full Disk Encryption (kurz: FDE) oder File Level Encryption (kurz: FLE) mit mehreren Sicherheitsebenen verwenden. Während der Datenübertragung lässt sich die symmetrische Verschlüsselung zusammen mit den Schlüsselpaaren nutzen, die als Teil der asymmetrischen Verschlüsselung generiert werden. Der Vorteil: Unternehmen können so auf das TLS-Protokoll zurückgreifen, das beim Schutz des Web-Datenverkehrs mittlerweile Standard ist.

2. Secrets-Manager erleichtern Schutz von Passwörtern, Token und Keys

Um auf Datenebene sicher auf verschiedene Systemteile zuzugreifen, können Unternehmen digitale Authentifizierungsnachweise oder Secrets wie Passwörter, Token oder Keys verwenden. Doch in Cloud-Umgebungen steigen ihre Zahl und ihr Nutzungsumfang oft so rasant, dass Unternehmen mit ihrer Verwaltung überfordert sind. Um das zu verhindern, helfen eine Reihe von Kontrollmechanismen, etwa zur sicheren Verteilung und Speicherung neuer Zugangsdaten. Außerdem sollten Unternehmen ein Ablaufdatum für Anmeldeinformationen von Konten auf Anwendungsebene festlegen. Gefährdete oder überflüssige Zugangsdaten sollten zügig entzogen und die Authentifizierungsnachweise in regelmäßigen Abständen geändert oder zurückgesetzt werden.

Unterstützend können auch Secrets-Manager wie Google Cloud Secrets Manager, Azure Key Vault, 1Password Secrets Automation oder AWS Secrets Manager genutzt werden. Mit ihrer Hilfe können Unternehmen Secrets innerhalb ihrer speziellen Cloud-Umgebungen verwalten. Mit Tools wie Hashi Corp Vault ist es möglich, Secrets sicher zu erstellen, zu speichern und über Multi-Cloud-Umgebungen zu verteilen. Für containerisierte Umgebungen eignen sich z. B. External Secrets Operator und Secrets Store CSI Driver. Sie zentralisieren die Verwaltung von Secrets für alle Dienste, Ressourcen und Konten auf Anwendungsebene.

3. Prinzip des geringsten Zugangs

Neben der Datenebene sind Unternehmen in Teilen auch für die Verwaltungsebene zuständig. Da diese bereits selbst globale Kontrollmöglichkeiten bereitstellt, kann der Zugriff auf Anwendungsdaten und Ressourcen leichter beschränkt werden. Das ist eine wesentliche Voraussetzung dafür, dass nur autorisierte Dienste und Nutzer auf Secrets und andere sensible Daten zugreifen können.

Für den Anfang sollten Unternehmen Zugriffsebenen auf der Grundlage des Prinzips der geringsten notwendigen Privilegien bzw. Least-Privilege-Prinzips einrichten. Nutzer oder Dienste erhalten dabei nur Zugriff auf diejenigen Ressourcen, die unbedingt erforderlich sind, um ihre Aufgaben zu erfüllen. Unternehmen können diesen Ansatz noch einen Schritt weiterführen, indem sie einen zeitlich begrenzten Zugang einrichten. So können Nutzer bestimmte Berechtigungen oder Ressourcen nur innerhalb eines festgelegten Zeitrahmens verwenden. Dieser zeitlich begrenzte Zugriff kann sinnvoll sein für risikoreiche Berechtigungen und Ressourcen wie der Möglichkeit, Konfigurationen für einen sensiblen Datenspeicher zu ändern.

Unternehmen können diese Grundsätze auf ihre Cloud-Anwendungen übertragen, indem sie die folgenden Schritte beachten:

• Standardmäßig Konten mit der geringsten Berechtigungsstufe erstellen und nur bei Bedarf erhöhen

• Berechtigungen nach Vorgang, Rolle und Gruppe einordnen

• Begrenzte Anzahl von Konten mit erweiterten Rechten festlegen

• Routinemäßig überprüfen, ob Konten über die richtigen Befugnisse verfügen und ob zugewiesene Rechte auch tatsächlich genutzt werden

So können Unternehmen sicherstellen, dass jedes Konto nur mit den absolut notwendigen Zugangsberechtigungen ausgestattet ist.

Datenaktivität mit Prüfprotokollen überwachen

Zusätzlich zu Datenverschlüsselung, Secrets-Managern und Zugriffskontrollen sollten Unternehmen auch die Aktivität der Anwendungen überwachen. Das gelingt über die Protokollierung, beispielsweise mithilfe von Audit-Protokollen. Sie befähigen Unternehmen, verdächtige Aktivitäten und Datenlecks innerhalb ihrer Cloud-Umgebung aufzuspüren. Sie zeigen auf, wer, wie und wann auf Daten zugegriffen hat. Auch Angreifer, die einen Dienst oder ein Benutzerkonto kompromittieren und sich auf diese Weise Zugang zu Cloud-Ressourcen verschaffen wollen, können so entdeckt werden.

Unternehmen können ihre Überwachungs- und Sicherheitsfunktionen weiter verbessern, indem sie die Protokolle an eine spezielle Überwachungslösung weiterleiten. Sie ergänzt die bestehende Datenüberwachungs- und Sicherheitsstrategie eines Unternehmens, indem sie Audit-Protokolle von allen Cloud-Anbietern sammelt und sensible Daten automatisch entfernt. Dadurch erhalten Unternehmen einen zentralen Ort, um Aktivitäten zu verfolgen und zu analysieren und schaffen gleichzeitig eine zusätzliche Sicherheitsebene für die Daten in ihren Cloud-Umgebungen.

Angriffsfläche verringern – Datensicherheit optimieren

Durch vier wesentliche Maßnahmen können Unternehmen ihre Datensicherheitsstrategie optimieren: Datenverschlüsselung in Transit und im Ruhezustand, Nutzung von Secrets-Managern, das Prinzip des geringsten Privilegs und globale Zugriffs- und Autorisierungskontrollen für Ressourcen. So reduzieren sie ihre Sicherheitsrisiken und bieten Cyberkriminellen auch in schnell skalierenden Cloud-Umgebungen deutlich weniger Angriffsfläche.

Dieser Beitrag stammt von unserem Partnerportal Industry of Things.

(ID:49771884)