Sie sind hier: Startseite » Markt » Tipps und Hinweise

Tipps zur Cloud-Security


Unterstützung beim Datenschutz und der Einhaltung von Compliance-Programmen
Teile der Cloud-Umgebung, in denen sich sensible Systeme und Daten befinden, sollten isoliert werden

(29.11.11) - Mit der steigenden Nutzung von Cloud Computing wächst mehr denn je die Notwendigkeit, wirksame Security- und Compliance-Praktiken einzuführen und diese auf dem neusten Stand zu halten.

"Die Absicherung einer Cloud-basierten Rechnerumgebung ist entscheidend für die Erstellung eines robusten Compliance-Programms", sagt Bart Vansevenant, Executive Director, Global Security Solutions bei Verizon. "Die grundlegenden Elemente – Planung, Design und Betrieb – sind für traditionelle wie für Cloud Computing-Plattformen identisch. Mit bewährten Best Practices für Security sowie besonderem Augenmerk auf den speziellen Eigenarten und Merkmalen der Cloud sind Unternehmen in der Lage, Compliance-Programme zu entwickeln und aufrechtzuerhalten. Gleichzeit machen sie sich die Agilität, Flexibilität und Wirtschaftlichkeit der Cloud zunutze.”

Verizon hat die folgenden Best Practices und Tipps zusammengestellt, damit Unternehmen, die sich die Vorteile der Cloud zunutze machen, compliant bleiben und gleichzeitig für die Sicherheit ihrer Netzwerke, Anwendungen und Daten sorgen:

Sicherheit der Cloud Computing-Infrastruktur - der Dreh- und Angelpunkt
>> Physische Sicherheit.
Die technischen Einrichtungen sollten mit Klimaanlage sowie Rauchmelde- und Brandschutz-Equipment ausgerüstet werden, ergänzt durch eine unterbrechungsfreie Stromversorgung und Sicherheitspersonal rund um die Uhr. Wählen Sie einen Provider, der mit Biometriedaten umgehen kann, d.h. Fingerabdruck- und Gesichtserkennung beherrscht und diese auch zur Zugangskontrolle einsetzt. Die gesamte Einrichtung sollte von Videokameras überwacht werden.

>> Netzwerksicherheit und logische Trennung. Es sollten virtualisierte Versionen von Firewalls und Intrusion Prevention-Systemen zum Einsatz kommen. Die Teile der Cloud-Umgebung, in denen sich sensible Systeme und Daten befinden, sollten isoliert werden. Es sollten regelmäßig Audits durchgeführt werden, die sich branchenweit anerkannter Methoden und Standards bedienen wie etwa SAS 70 Type II, Payment Card Industry Data Security Standard, ISO 27001/27002 und Cloud Security Alliance Cloud Controls Matrix.

>> Inspektion. An den Gateways sollten Antivirus- und Anti-Malware-Anwendungen sowie Content-Filtering eingesetzt werden. Wo mit sensiblen Informationen wie etwa Finanz- und personenbezogenen Daten und geistigem Eigentum umgegangen wird, sollten Data Loss Prevention-Vorkehrungen in Betracht gezogen werden.

>> Administration. Besondere Aufmerksamkeit sollte den Cloud-Hypervisoren gewidmet werden, also jenen Servern, auf denen mehrere Betriebssysteme gleichzeitig laufen. Sie bieten die Möglichkeit, eine komplette Cloud-Umgebung zu verwalten. Zahlreiche Sicherheits- und Compliance-Anforderungen sehen verschiedene Netzwerk- und Cloud-Administratoren vor, um so für eine Trennung der Pflichten und zusätzlichen Schutz zu sorgen. Der Zugang zu virtuellen Umgebungsmanagement-Interfaces sollte stark eingeschränkt sein und Application Programming Interfaces oder APIs sollten komplett unzugänglich oder deaktiviert sein.

>> Umfassendes Überwachen und Protokollieren. In nahezu sämtlichen Standards wird die Fähigkeit zur Überwachung und Kontrolle von Zugängen zu Netzwerken, Systemen, Anwendungen und Daten gefordert. Eine Cloud Computing-Umgebung, ganz gleich ob inhouse oder outgesourced, muss ebenfalls diese Möglichkeit bieten.

"Cloud Application Security" - ein Muss
>> Systemsicherheit.
Virtual Machines oder VMs sollten durch Cloud-spezifische Firewalls, Intrusion Prevention-Systeme und Antivirenprogramme geschützt werden, ergänzt mit durchgängigen und in Programmen organisierten Patch-Management-Prozessen.

>> Anwendungs- und Datensicherheit. Wo immer möglich, sollten die Anwendungen dedizierte Datenbanken nutzen, auch sollte der Zugriff von Anwendungen auf Datenbanken Beschränkungen unterliegen. Zahlreiche Security-Compliance-Standards fordern, dass Anwendungen und damit verbundene Datenbanken überwacht und Vorgänge protokolliert werden.

Lesen Sie zum Thema "Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

>> Authentifizierung und Autorisierung. Für Usernamen und Passwörter sollte Two-Factor Authentication wie etwa digitale Authentifizierung verwendet werden; sie sind für den Remote-Zugriff und jede Art von Zugangsprivilegien unverzichtbar. Dabei sollten die Rollen autorisierter User klar umrissen sein und auf dem Minimum gehalten werden, das zur Erfüllung der zugewiesenen Aufgaben erforderlich ist. Passwortverschlüsselung ist ebenfalls ratsam. Darüber hinaus sollten Authentifizierungs-, Autorisierungs- und Accounting-Pakete nicht zu sehr individualisiert sein, da dies häufig zu einer Schwächung der Sicherheitsmaßnahmen führt.

>> Vulnerability Management. Anwendungen sollten so konzipiert sein, dass sie gegenüber verbreiteten Exploits, wie sie in der Open Web Application Security Project (OWASP) Top 10 aufgelistet sind, keine Schwachstellen aufweisen. Anwendungen, die in der Cloud laufen, müssen regelmäßig gepatcht werden, ebenso sind Vulnerability Scanning, unabhängige Sicherheitstests und kontinuierliche Überwachung erforderlich.

>>Datenspeicherung. Ein Unternehmen sollte die Arten von Daten kennen, die in einer Cloud-Umgebung gespeichert werden, und je nach Erfordernis nach Datentypen trennen. Zusätzlich sollte mit Blick auf potenzielle Sicherheits- und Datenschutzerwägungen der physische und logische Speicherort bekannt sein.

>> Change Management. Es ist dringend ratsam, die Change Management-Richtlinien für Netzwerke, Systeme, Anwendungen und Daten-Administratoren explizit zu dokumentieren und zu vermitteln, um so unbeabsichtigte Probleme und mögliche Datenverluste zu vermeiden.

>> Verschlüsselung. In einer Cloud Computing-Umgebung kann die Verschlüsselung von Daten komplexere Ausmaße annehmen und erfordert daher besondere Aufmerksamkeit. In zahlreichen Standards wird gesonderte Behandlung von im Umlauf befindlichen und abgelegten Daten gefordert. Beispielsweise sollten Finanzdaten und persönliche Gesundheitsinformationen immer verschlüsselt werden.

Public, private und hybride Clouds: Das sollten Sie wissen

>> Gemeinsam genutzte virtualisierte Umgebung.
Public Clouds, von denen viele eine gemeinsam genutzte virtualisierte Umgebung verwenden, bieten grundlegende Sicherheitsvorkehrungen. Die korrekte Segmentierung und Isolierung von Verarbeitungsressourcen sollte deshalb im Mittelpunkt des Interesses stehen. Zur Erfüllung der Security- und Compliance-Anforderungen eines Unternehmens sollte man bei der Wahl der angemessenen Cloud-Umgebung allergrößte Sorgfalt walten lassen.

>> Provider von Public Clouds. Public Clouds mögen zwar aus wirtschaftlicher Sicht interessant sein, doch kann es durchaus sein, dass manche Provider nicht hinlänglich die Arten von Kontrollen unterstützen, die von Unternehmen gefordert werden, damit den Security- und Compliance-Anforderungen Genüge getan wird. Stellen Sie auf jeden Fall viele Fragen.

>> Umsichtige Sicherheitsmaßnahmen. Unabhängig vom Cloud Computing-Modell sollten Unternehmen auf Segmentierung, Firewalls, Intrusion Protection-Systemen, Überwachung, Protokollierung, Zugangskontrollen und Datenverschlüsselung bestehen.

Lesen Sie zum Thema "IT-Sicherheit" auch: IT SecCity.de (www.itseccity.de)

>> Private Clouds - ein zweischneidiges Schwert. Private Clouds können vor Ort oder in den Einrichtungen des Service-Providers gehostet werden. Wie bei herkömmlichen Umgebungen auch sind Sicherheitskonzept und -kontrollen von entscheidender Bedeutung. Wenn man das Angebot eines Service-Providers wahrnimmt, kommt es darauf an, die richtige Form der Cloud zu wählen, die Ihren Anforderungen entspricht. Nur weil es sich um eine private Cloud handelt, muss sie nicht zwangsläufig sicher sein.

>> Hybride Clouds. Hybride Clouds können das Beste aus beiden Welten bedeuten; sie ermöglichen Unternehmen, ein breites Spektrum von IT-bezogenen und geschäftlichen Zielen zu erreichen. Hybride Clouds bieten die Möglichkeit, bestimmte Anwendungen in der am besten dafür geeigneten Umgebung zu betreiben. Gleichzeitig profitiert man von den Vorteilen und Merkmalen gemeinsam genutzter Cloud-Umgebungen und der vor Ort vorhandenen IT-Umgebung sowie von der Möglichkeit, Anwendungen und Daten zwischen beiden Optionen hin und her zu schieben.
(Verizon: ra)

Verizon Business: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser PMK-Verlags-Newsletter
Ihr PMK-Verlags-Newsletter hier >>>>>>



Meldungen: Tipps und Hinweise

  • Sicher: Hybrid-Cloud mit Netzwerksichtbarkeit

    Helmut Scheruebl, Senior Sales Engineer bei Gigamon weiß: Die Vorteile einer Hybrid-Cloud-Infrastruktur haben ihren Preis und der heißt Komplexität. Eine solche IT-Landschaft ist die perfekte Möglichkeit für cyberkriminelle Hinterhalte. Dagegen gibt es eine Lösung: vollständige Sichtbarkeit auf den gesamten Datenverkehr. 82 Prozent der IT-Entscheider haben laut einer globalen Umfrage von Cisco in ihrem Unternehmen eine Hybrid-Cloud-Umgebung aufgebaut.

  • Vorbehalte keine Seltenheit

    ERP-Systeme sind der Booster für effiziente Geschäftsprozesse und die Produktivität von Unternehmen. Mit den steigenden Anforderungen an Produktivität, Effizienz und Budgetkalkulation sind ERP-Systeme auf dem wettbewerbsintensiven Markt allerdings auch auf Innovationen angewiesen.

  • Sicherheit und Compliance gewährleisten

    Die voranschreitende Digitalisierung hat eine neue Ära für Unternehmen und Institutionen in den verschiedensten Bereichen eingeläutet, in der die nahtlose Integration von hybriden Cloud-Umgebungen von entscheidender Bedeutung für den Erfolg ist.

  • Ist der Cloud-Traum schon ausgeträumt?

    Hypes und kurzfristig in den Himmel gelobte Trends sind in der IT-Welt nun wirklich nichts Neues. Dennoch sticht das Thema Cloud dabei so stark heraus, dass es vermutlich nur von dem neuen Heilsbringer KI noch übertroffen wird.

  • KI-Boom bringt Datenschutzbedenken mit sich

    Generative künstliche Intelligenz (KI) hat bereits zu radikalen Veränderungen geführt - und dies war erst der Anfang. In Zukunft sollten IT-Führungskräfte insbesondere die Chancen und Herausforderungen priorisieren, die durch generative KI entstehen - angefangen bei der Art und Weise, wie wir arbeiten, bis hin zur Bewertung von Talenten und der Interaktion mit Kunden.

  • Cloud-Gefahren & Maßnahmen zur Risikominderung

    Unternehmen nutzen heute verstärkt Multi-Cloud-Modelle. Damit steigt zum einen die Komplexität des Cloud-Managements. Zum anderen erhöhen sich aber auch die Anforderungen an die Sicherheit. CyberArk nennt vier typische Cloud-Risiken und zeigt, mit welchen Maßnahmen Unternehmen potenzielle Lücken und Schwachstellen beseitigen können.

  • Nutzung einer Cloud-Monetarisierungsplattform

    Mit dem Wechsel von der Cloud Solution Provider (CSP)-Plattform zum New Commerce Experience (NCE)-Modell ändert Microsoft das Verfahren für das Geschäft mit Service-Provider-Partnern. Die Umstellung beinhaltet Änderungen bei der Lizenzierung und führt eine einheitliche Abrechnungsplattform für Microsoft 365, Dynamics 365, Windows 365, Copilot und Power Platform ein.

  • Cloud-Services: Was es zu beachten gilt

    Immer mehr Unternehmen in Deutschland setzen auf Cloud Computing - Tendenz steigend. Dabei nennt sich die Verlagerung von Rechenressourcen wie etwa Daten, Anwendungen oder IT-Prozesse in die Cloud Migration. Heißt konkret: In der Regel meint das den Weg vom lokalen Serverraum zum Rechenzentrum beziehungsweise Cloud-Anbieter.

  • Potential von WaaS zu entfalten

    Die Arbeitswelt entwickelt sich rasant weiter und hybride Arbeitsmodelle sind längst die Norm. In dieser dynamischen Landschaft ist die Art und Weise entscheidend, wie Mitarbeitende das Gerätemanagement ihres Arbeitgebers wahrnehmen.

  • Proaktive Ansätze senken Kosten

    Unternehmen setzen auf die Cloud, um ihren IT-Betrieb flexibler, effizienter und sicherer zu gestalten - dies wird auch 2024 so bleiben. Einige Unternehmen, die sich mit der Migration beeilt haben, wurden jedoch enttäuscht und stellen nun zukünftige Cloud-Investitionen in Frage.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen