Kunden erkennen Lücken in der Cloud-Sicherheit und handeln

Da Cloud-Kunden mit einer stärkeren Präsenz in der Multicloud in das Jahr 2023 starten, räumen sie Strategien zur Bekämpfung neu entstehender Lücken in der Cloud-Sicherheit Priorität ein.

Die meisten großen Unternehmen greifen auf Cloud-Dienste in mehreren Public Clouds zu, während sie Unternehmenssysteme und Private Clouds in den Rechenzentren ihres Unternehmens behalten. Viele nutzen mindestens zwei Cloud-Service-Provider (CSPs), und einige nutzen fünf oder mehr CSPs, während sie ihre Hybrid-Cloud- oder Multicloud-Umgebung ausbauen.

Nur wenige Unternehmen können sagen, dass sie in den vergangenen zwei Jahren von Cyberangriffen und Ransomware verschont geblieben sind. Diese Angriffe werden erkennbar – manchmal erst Monate nach ihrem Beginn –, wenn der Zugriff auf Daten blockiert wird oder ein Datenverlust sichtbar wird.

Die jüngsten Angriffe betrafen eine bedeutende US-amerikanische Stadt, den Schulbezirk einer großen Stadt und eine Kommune im Bundesstaat New York. Deshalb steht Cyberresilienz bei Chief Executive Officers (CXOs) und IT-Fachleuten ganz oben auf der Agenda – nicht nur in den größten Unternehmen, sondern auch in Behörden sowie kleinen und mittleren Unternehmen (KMU).

Das Problem ist weit verbreitet: Eine Studie von IBM unter mehr als 3.000 IT- und Geschäftsfachleuten ergab, dass 83 % der Kunden von Datenschutzverletzungen in ihrer Organisation berichteten und dass 45 % dieser Verletzungen mit Cloud-Implementierungen zusammenhingen.

Die durchschnittlichen Kosten einer Datenschutzverletzung belaufen sich auf 4,5 Millionen US-Dollar, und die finanziellen Kosten sind in den Vereinigten Staaten häufig höher und erreichen bei Angriffen auf den Finanz- und Gesundheitssektor bis zu 9 Millionen US-Dollar pro Verletzung, wie die Befragten der IBM-Studie berichteten.

Siehe auch: Top-Cloud-Unternehmen

Lücken in der Cloud-Sicherheit haben die Cloud-Einführung bei Kunden vorangetrieben

Als sich die Cloud-Migrationen von 2020 bis 2022 beschleunigten, angetrieben durch den Ausbruch der COVID-19-Pandemie, erkannten Unternehmen zunehmend entstehende Lücken in der Cloud-Sicherheit. Da viele Organisationen inzwischen über mehrere Cloud-Implementierungen verfügen, erhalten nun die Lücken immer mehr Aufmerksamkeit.

Diese Lücken in der Cloud-Sicherheit führen zu uneinheitlichem Sicherheitscode, Monitoring und Sicherheitspraktiken und müssen behoben werden, um Cloud Computing durchgängig zu operationalisieren.

„Unternehmen müssen eine tiefengestaffelte Verteidigung aufbauen“, sagte Cal Braunstein, CEO und Executive Director of Research bei der Robert Frances Group. „Man kann nicht darauf zählen, dass alle dieselben Sicherheitspraktiken anwenden – dadurch entstehen Lücken.“

Möglichkeiten zur Verringerung der Lücke in der Cloud-Sicherheit

In einer Multicloud-Welt lässt sich die Sicherheit in einem großen Unternehmen durch integrierte Konsolen, die Einführung von Standards, den Einsatz KI-basierter Softwarewerkzeuge für die Entwicklung sowie durch Sicherheits-Monitoring-Software verbessern, die eine durchgängige Sicht bietet.

Eine unternehmensweite Segmentierung kann in Fällen, in denen in einem Unternehmensnetzwerk uneinheitliche Cloud-Sicherheitsrichtlinien gelten, eine gute Sicherheitsmaßnahme darstellen, sagte Braunstein.

„Wenn in einem Haus ein Feuer ausbricht, kann das ganze Haus in Flammen aufgehen“, sagte Braunstein und veranschaulichte damit das Vorgehen. „Wenn auf einem U-Boot ein Feuer ausbricht, kann man es in Bereiche unterteilen, den brennenden Bereich abriegeln und das Feuer eindämmen, um den Schaden zu begrenzen.“

Siehe auch: Gewinner und Verlierer im Cloud-Native-Bereich 

Die Lücke bei den Cloud-Sicherheitskompetenzen durch Ausbildung und Schulung schließen

Zu den Faktoren, die Sicherheitslücken verursachen, gehören:

• Technische Altlasten aufgrund veralteter IT-Systeme.
• Eine schlechte Passung zwischen Unternehmensanwendungen und einer neuen Generation Cloud-nativer Anwendungen.
• Unterschiedliche Umsetzungen von Sicherheits- und Compliance-Richtlinien.
• Mangel an AppDev-Kompetenzen, die zum Umschreiben alten Codes erforderlich sind, der einige der Sicherheitslücken schließen könnte.

Um die Lücken zu schließen, müssen Sicherheitsstrategien in den Geschäfts- und IT-Organisationen des Unternehmens aufeinander abgestimmt werden und durchgängige Sicherheitslösungen für die gesamte Organisation bereitstellen.

In einem kürzlich erschienenen eWeek-Podcast sagte der IBM-Manager Varun Bijlani, Global Managing Partner und Leiter des Teams für Hybrid Cloud Transformation bei IBM Consulting, dass eine IT-Kompetenzlücke die Cloud-Migration in einer Hybrid-Cloud-Welt beeinträchtigt.

Nach der ersten Welle von Cloud-Migrationen begannen viele Kunden, ihre Nutzung auszuweiten, sagte Bijlani, stellten jedoch fest, dass „architektonische Komplexität, ein Mangel an Fachkräften und Sicherheit sowie Compliance-Probleme sie zunehmend ausbremsten“. Laut Bijlani gehören Cloud-Architekten, Microservices-Entwickler und Dateningenieure zu den benötigten Berufsprofilen.

„Die meisten Unternehmen verfügen schlicht nicht über genügend Fachkräfte mit den benötigten Kompetenzen“, sagte Bijlani.

Dieser Mangel an IT-Kompetenzen wirkt sich direkt auf die Cloud-Sicherheit aus und zeigt sich in der Branchenforschung. Eine IDC-Studie aus dem Jahr 2022 ergab, dass Kunden in Nordamerika und weltweit planen, die technischen und operativen Kompetenzen ihrer Teams zu verbessern, um den Schutz der Cloud-Sicherheit und die Cyberresilienz zu erhöhen.

Phil Bues, Research Manager für IDC Cloud Security, sagte, viele Kunden wollten schnell vorankommen, um Lücken in der Cloud-Sicherheit zu verringern. Die Herausforderung wächst, weil Cloud-native Anwendungen zunehmend neben herkömmlichen Unternehmensanwendungen laufen, die für das Rechenzentrum entwickelt wurden und modernisiert werden müssen.

„Das aktuelle globale Cybersicherheitsparadox aus Komplexität und Sicherheit wird durch den beschleunigten Aufstieg zu einer Digital-First-Welt beantwortet, angeführt von ‚Shift Left/Shift Right‘-Ansätzen und -Werkzeugen, kontextreicher Transparenz, Zero-Trust-Zugriff und der Kompetenzlücke“, sagte Bues.

Die Cloud-Sicherheitsforschung von IDC ergab bei 250 Kundenstandorten in Nordamerika:

• 35 % der Befragten planen, ihre internen Kompetenzen im Bereich Cloud-Sicherheit zu verbessern.
• 30 % planen, ihre internen Kompetenzen im Bereich Datenschutz zu verbessern.
• 28 % möchten bessere Kompetenzen im Bereich cloudbasierter Datenresilienz erwerben.
• 20 % möchten bessere DevOps-Methoden nutzen.
• 22 % möchten das Vertragsmanagement mit den Cloud-Service-Providern (CSPs) verbessern, die ihre Cloud-Implementierungen unterstützen.

IDC stellte fest, dass Schulung, Umschulung und Weiterbildung die mit den heutigen Lücken in der Cloud-Sicherheit verbundenen Kompetenzdefizite beheben werden. Die im Juli 2022 veröffentlichte weltweite Stichprobe von IDC mit 800 Standorten zeigte, dass Kunden viele Wege zur Verbesserung der Cloud-Sicherheit beschreiten, unter anderem durch den Einsatz von:

• Datenschutzkompetenzen (26,7 %)
• Kompetenzen im Bereich cloudbasierter Datenresilienz (25,7 %)
• Kompetenzen im Bereich Cloud-Sicherheit (24,1 %)
• Größere Vertrautheit mit mehreren CSPs (22,1 %)
• Mehr Entwicklung Cloud-nativer Anwendungen (20,5 %)

„Die Regeln für den Schutz von Softwarecode verändern sich gleichzeitig, während Anwendungen sich von monolithischen zu Microservices-basierten Systemen entwickeln und Hunderte oder sogar Tausende lose gekoppelter Dienste miteinander verbinden, die dynamisch, kurzlebig und stark verteilt sind“, sagte Bues. „Mit der größeren Komplexität geht außerdem ein umfangreicherer Metadatenkontext einher, der in Unternehmen andere Möglichkeiten zur Erkennung anomalen Verhaltens“ bietet.

Siehe auch: Wie Datenbankvirtualisierung die Migration eines Data Warehouse in die Cloud unterstützt

Geschäftsbereiche und IT müssen sich auf den Sicherheitsplan einigen

Eine Abstimmung zwischen den Geschäftsbereichen und eine Einigung der Führungskräfte aus Business und IT auf gemeinsame Ziele müssen am Anfang stehen, wenn sich Multicloud-Projekte in ihrer ersten Phase befinden. Bonnie Titone, CIO der Duke Energy Corp., sagte auf der AWS-re:Invent-Konferenz, es sei entscheidend, dass Führungskräfte aus Business und IT die Prioritäten für die Cloud-Sicherheit festlegen, bevor sie große Multicloud-Projekte in Angriff nehmen.

„Langsam vorgehen, um schnell voranzukommen“, mahnte Titone. „Wenn man diese Entscheidungen für einen Wechsel in die Cloud trifft, geht es immer darum, schnell voranzukommen, und das ist großartig. Aber man muss sich am Anfang die Zeit nehmen, um sicherzustellen, dass man das richtige Fundament geschaffen hat.

„Es gibt eine minimale Sicherheitsgrundlage, auf die man hinarbeiten muss. Bei kritischer [Energie-]Infrastruktur muss man jedoch weit über die Compliance-Anforderungen hinausgehen.“

Duke Energy und AWS haben kürzlich ein gemeinsames Entwicklungsprojekt für Cloud-Implementierungen der nächsten Generation angekündigt.

„Untersuchen Sie Best Practices“, sagte Titone dem re:Invent-Panel. „Wir nutzen DevSecOps für unsere [Cloud-]Reise, damit wir Cloud-native [Code] entwickeln und von Anfang an absichern können.“

Kunden müssen mehr tun, um Cloud-Entwicklung und Cloud-Sicherheit auf die nächste Stufe zu heben, sagte Rudy Pawul, Vice President für Informations- und Cybersicherheitsdienste bei der Versorgungsgruppe ISO New England.

„Amazon wird die Cloud absichern, aber Sie sind für Ihre gesamte Umgebung verantwortlich“, sagte Pawul dem re:Invent-Panel. „Daher würde ich in der Cloud nichts tun, was ich nicht auch in meiner eigenen On-Premises-Umgebung tun würde – was den Mangel an Werkzeugen, Instrumentierung, Transparenz und gängigen Prinzipien der Netzwerksicherheit betrifft.“

Planung und Tests für die Cloud-Sicherheit sind entscheidend, sagte Pawul: „Sich beim Aufbau der Umgebung Zeit zu lassen, bevor man für Produktions-Workloads von ihr abhängig ist, ist zweifellos entscheidend. Andernfalls bringt man sich selbst in Schwierigkeiten.“

Konsistenz ist der Schlüssel zur Cloud-Sicherheit

Um die Lücken in der Cloud-Sicherheit zu schließen, müssen Sicherheitsstrategien und -implementierungen in den Geschäfts- und IT-Organisationen des Unternehmens aufeinander abgestimmt werden und für Sicherheitskonsistenz in der gesamten Organisation sorgen. Viele Unternehmen planen, den Datenschutz zu stärken, die Anwendungsentwicklung mit Low-Code-/No-Code-Software zu verbessern und Sicherheits-„Leitplanken“ einzuführen – Praktiken, die 2023 für mehr Cloud-Sicherheit sorgen sollen.

„Wir haben viele Cloud-Migrationen erlebt, aber jetzt werden wir beobachten, wie sich der Fokus von einfachen [Cloud-]Migrationen auf die Kernanwendungen und Kern-Workloads des Unternehmens verlagert“, sagte Bijlani. „Die Anwendungen werden sich über mehrere Umgebungen erstrecken, aber die Architektur wird künftig deutlich effizienter sein.“

Viele Unternehmen wenden sich an Softwareanbieter und Beratungspartner, um die erforderlichen Arbeiten zur Verbesserung von Cloud-Implementierungen für Unternehmensanwendungen zu beschleunigen. Um die Cyberresilienz in einer Multicloud-Computing-Welt zu verbessern, wird es eine Kombination aus IT-Kompetenzen, Software, KI-/ML-Werkzeugen, Managementautomatisierung und verbesserten Sicherheitsrichtlinien brauchen.

Jean S. Bozman ist Präsidentin von Cloud Architects, einem in Palo Alto, Kalifornien, ansässigen Marktforschungs- und Beratungsunternehmen.