Security-Herausforderungen in hybriden Cloud-Architekturen

Michael Plüss | Expert Consultant, Avectris

Jedes Unternehmen hat sie: eine Vielzahl von Sicherheitsprodukten. Doch erfüllen diese die Anforderungen, die eine hybride Cloud-Lösung unter Berücksichtigung von Risiko- und Governance-Richtlinien mit sich bringt?

Das Thema Security steht schon lange auf der Prioritäten-Liste jedes CIOs und wird mit der steigenden Nutzung von Cloud-Lösungen immer wichtiger. Um Unklarheiten gegenüber der Sicherheit von Cloud-Plattformen zu beseitigen, sind ein systematisches Vorgehen und eine entsprechende Strategie erforderlich.

Als Erstes sollte eine Cloud-Strategie aus der Perspektive des Unternehmens erstellt werden, die nicht nur technische Aspekte, sondern auch regulatorische, datenschutztechnische und andere sicherheitsrelevante Kriterien beinhaltet. Basierend auf dieser Strategie können Governance-Aspekte abgeleitet werden. Bei der eigentlichen Transformation in die Cloud müssen die neuen Sicherheitsmöglichkeiten in der Cloud-Umgebung mitberücksichtigt werden. Eine Automatisierung der Prozesse verringert beispielsweise das Potenzial für Fehlmanipulationen. Ist die Cloud-Plattform in Betrieb, müssen die Sicherheitsmassnahmen zum Geschäftsrisiko passen. Werden etwa kritische Geschäftsfunktionen in die Cloud transferiert, sind zusätzliche Massnahmen zu prüfen, wie die Verwendung von Cloud Access Security Broker, detaillierte Schutzmassnahmen und End-to-End-Verschlüsselung.

In Anbetracht dessen, dass Unternehmen heute bereits in der On-Premise-Umgebung zirka 70 Sicherheitsprodukte verwenden, steht der effiziente Einsatz der vorhandenen Lösungen mit Ergänzungen für die hybride Cloud-Umgebung im Vordergrund.

Die Änderung der Architektur bietet die Möglichkeit, Altlasten zu überprüfen und zeitgemässe Lösungen zu finden.

Der Schlüssel zum Erfolg

Da nur das optimale Zusammenspiel von Tools, Prozessen, Verhaltensregeln und technischen Vorgaben die Basis für die Sicherheit in der Cloud bilden, sind insbesondere folgende Aspekte neu zu beurteilen:

• Shared-Security-Modell zwischen dem Hyperscaler, dem Cloud-Service-Provider und dem eigenen Unternehmen (inklusive der Zusammenarbeit im Falle eines Security Incidents wie meldepflichtige Databreaches etc.)
• Wechsel von Perimeter-Security zu Identity und Access Management
• Lifecycle Management aller Assets über eine verteilte Umgebung inklusive neuer Tools, Prozesse und Entwicklungsumgebungen in einer agilen Umgebung
Cloud-Governance-Themen

Um den Herausforderungen in einer hybriden Umgebung Rechnung zu tragen, sehen wir folgende Trends:

• Governance: bestehende Sicherheitsrichtlinien sind in einer hybriden Umgebung nicht umsetzbar und blockieren die Cloud-Adoption; Cloud-Governance-Themen müssen mitberücksichtigt werden (z.B. Templates, Blueprints, Regeln zum Lifecycle Management)
• Automation: mit der Einführung einer Cloud-Umgebung erfolgt die Einführung einer Container- und Microservicezentrierten Entwicklung (DevOps); DevSecOps als neue Disziplin löst die statischen Projekt-Gates oder periodischen Sicherheitschecks durch automatisierte Sicherheitsüberprüfungen ab.
• Cloud-Management-Tools: Standardisiertes und automatisiertes Management hybrider Umgebungen
• Cloud Access Security Brokers (CASB): CASB als Absicherung von Cloud-Applikationen und zum Management von «Shadow»-Cloud
• Security Threat Management: durch die Einführung von Cloud-Anwendungen kommt ein zusätzlicher Angriffsvektor dazu; durch gezieltes Monitoring und der Nutzung/Einführung von Security Operations Centers/Cyber Defense Centers werden mögliche Gefahrenherde identifiziert und entsprechend darauf reagiert.

Mit der Flexibilität einer hybriden Cloud-Infrastruktur muss die bestehende Sicherheitsinfrastruktur über den gesamten Lebenszyklus bei der Beurteilung/Einführung von neuen Tools und Prozessen mitberücksichtigt werden. Gleichzeitig bietet die Änderung der Architektur auch die Möglichkeit, Altlasten zu überprüfen und zeitgemässe Lösungen zu finden. Effizienz und Automatisierung stehen dabei im Vordergrund.

Quelle: Avectris AG
Hier geht es zum kompletten Beitrag: avectris.ch