Cloud Security - Richtig viel, aber auch viel richtig?

Cloud Security – Richtig viel, aber auch viel richtig?

So groß das Wachstum bei der Nutzung von Cloud-Diensten auch ist, es wird übertroffen vom Wachstum der Cyber-Bedrohungen für alle, die die Cloud nutzen.

Die Anbieter von Cloud-Services legen großen Wert darauf, dass die „Cloud“ immer mit Eigenschaften wie „einfach“, „flexibel“ und „unkompliziert“ assoziiert wird. Darüber, ob sich das für die IT-Verantwortlichen und Anwender am Schluss tatsächlich so gestaltet, gibt es sicher verschiedene Meinungen. Aber in Pandemiezeiten hat die Cloud-Nutzung einen riesigen Schub erlebt, denn die Cloud war das ultimative Sprungbrett, um rasch den Homeoffice-Bedarf zu decken. Und mit dieser rasanten Entwicklung wurde die Angriffsfläche für Cyberkriminelle massiv vergrößert, denn sehr oft stand das Herstellen von Arbeitsfähigkeit, also die Funktion, im Vordergrund, und nicht ein nachhaltiges (Sicherheits-) Konzept.

Die Angriffe häufen sich: Etwa neun von zehn Unternehmen waren 2020/21 nach einer Studie des Digitalverbandes Bitkom von Cyberangriffen jeder Art betroffen. Etwa ein Fünftel der Angriffe geschah mit Ransomware, ein Drittel mit anderen Arten von Malware. Und sie alle sorgen für enorme Schäden: Allein durch Ransomware entstand 2021 in Deutschland ein Schaden von 24 Milliarden Euro – knapp das fünffache der Ransomware-Schäden von 2019. Dieses Wachstum geht verstärkt auch auf das Konto schlecht umgesetzter Homeoffice-Regelungen. Da viele Unternehmen am Beginn der Pandemie in aller Eile Cloud-Arbeitsplätze einführten, achteten sie oft nicht auf eine angemessene Sicherheit. Laut Bitkom hat jedes vierte Unternehmen mit einer Homeoffice-Regelung seit 2020 einen Sicherheitsvorfall gehabt, der auf das heimische Büro als Einfallstor zurückgeht.

Zusätzlich verschärft die weltpolitische Lage – prominentes Beispiel ist der Krieg in der Ukraine – die Situation. Von Phishing Mails wegen „Spenden an Flüchtlinge“ bis zu Cyberangriffen durch „Hacktivisten“ oder „State-sponsored Hackers“.

Geteilte Verantwortung in der Cloud

In der Pandemie-Zeit benötigen Unternehmen für ihre Mitarbeiter*innen „nur“ einen Workplace in der Cloud. Geschäftsanwendungen, wie beispielsweise eine Office-Lösung, sind dabei nicht mehr lokal auf dem Firmen-PC installiert. Sie werden stattdessen über den Browser und eine Internetverbindung genutzt – jederzeit und an jedem Ort. Die Cloud-Anbieter stellen die zugrundeliegende Infrastruktur und die funktionalen Services unkompliziert und mit einer standardisierten Basiskonfiguration bereit. Doch das Parametrisieren der Services (z.B. ob eine starke Authentisierung für den Zugriff auf die Services zum Einsatz kommt) obliegt dem Cloud-Kunden.

Die Plattformen der großen Cloud-Anbieter halten eine Vielzahl von Security-Features, -Parametern, -Diensten, -Produkten und -Portalen bereit, die je nach Lizensierung im Leistungsumfang nutzbar sind, oder dazugebucht werden können. Hinzu kommen die „3rd-Party“ Security-Produkte und -Services, die in den jeweiligen „Marktplätzen“ erworben werden können. An technischen Möglichkeiten, um in der Cloud für Sicherheit zu sorgen, mangelt es also per se nicht.

Doch das bloße Vorhandensein von möglichst vielen Sicherheitselementen (und am besten in der „Default-Konfiguration“) ist nicht der Schlüssel zum Erfolg – Es muss ein übergreifendes Security-Konzept geben. Für dessen Umsetzung müssen die passenden Elemente und Services zusammenspielen, die entsprechend konfiguriert sein müssen. Nur so entsteht ein durchgängiger Schutz. Zumal es in der Regel nicht nur die Cloud gibt, sondern oft auch noch die „lokale IT“ – eine Situation, die einen „hybriden Schutz“ erfordert. Für viele mittelständischen Unternehmen ist das aus eigener Kraft nicht ohne Weiteres leistbar.

Best-Practices für Cybersecurity einsetzen

Nun muss nicht jedes Unternehmen in Sachen Cloud Security für sich das Rad neu erfinden.
Sehr wohl aber sollte man die individuelle Situation – initial und dann zyklisch – strukturiert erfassen und bewerten. Auf dieser Basis kann dann aus dem „Best Practice Werkzeugkasten“ die optimale Kombination aus Sicherheitslösungen gewählt werden.

Wenn es um Sicherheit geht, sind wesentliche Kernfragen:

• Was ist schützenswert?
• Welches Risiko gibt es?
• Was ist der mögliche Schaden?
• Welche Kosten für Schutzmaßnahmen sieht man dazu als verhältnismäßig an?

Zur Cloud Security schließen sich dann diese Fragen an:

• Was bietet die Plattform des Cloud-Anbieters an integrierten Sicherheitsfunktionen und -diensten?
• Welchen Mehrwert können sie in der individuellen Umgebung konkret leisten?
• Welche davon sind in den vorhandenen Lizenzen bereits enthalten?
• Welche werden in der eigenen Umgebung bereits genutzt?
• Ist ein genereller „Best-Practice“-Basisschutz hergestellt, sprich sind die integrierten Sicherheitsfunktionen und -diensten auch „zielführend konfiguriert“ oder nur „aktiviert“?
• Was fehlt noch für rundes Bild von Schutzmaßnahmen zum eigenen individuellen Schutzbedarf in der Cloud?

Wie Sie einen einfachen Zugang zu dieser Vorgehensweise finden, zeigt unser Video.

Erfahren Sie hier mehr zu unseren Security-Ansätzen und Lösungen und lassen Sie sich individuell beraten: https://atos.net/de/lp/atos-microsoft-gemeinsam-fuer-ihre-sicherheit