Eine neue Studie zur Cloud-Sicherheit geht den Herausforderungen und Strategien bei der Umsetzung einer besseren Cloud-Sicherheit in Unternehmen nach. Hintergrund dazu ist, dass die IT-Sicherheit in Unternehmen mit der intensivierten Nutzung von Cloud-Diensten Schritt halten sollte. EMA (Enterprise Management Associates) hat im Auftrag von Vectra eine internationale Studie durchgeführt, um herausfinden, ob die Cloud-Sicherheitspraktiken in Unternehmen besser werden.
Gastbeitrag von Andreas Müller, Regional Sales Director DACH bei Vectra AI
Das Modell der geteilten Verantwortung besagt, dass Cloud-Provider für die "Sicherheit der Cloud" und Kunden für die "Sicherheit in der Cloud" verantwortlich sind. Wer genau ist dann aber unternehmensintern verantwortlich für die Sicherheit von Cloud-Assets: die Anwendungsentwickler, das IT-Sicherheitsteam, das Infrastruktur- respektive Netzwerkbetriebsteam oder ein eigens bestimmtes Cloud-Operations-Team?
Das IT-Sicherheitsteam scheint vielerorts eine naheliegende Antwort zu sein, wie 46 Prozent aller Befragten angaben, doch 28 Prozent sehen hier bereits das Cloud-Operations-Team in der Verantwortung. Neun Prozent gaben an, dass das Netzwerkbetriebsteam in erster Linie für die Cloud-Sicherheit verantwortlich ist. Sechs Prozent antworteten, dass die Verantwortung von zwei oder mehr Gruppen getragen wird, in der Regel dem IT-Sicherheitsteam und entweder dem Cloud-Operations-Team oder Infrastrukturteam.
Welche Bedrohungen stellen das grösste Risiko dar?
Die Umfrageteilnehmer sollten auch die Bedrohungen für cloudbasierte Assets bewerten. Der grösste Prozentsatz (16 Prozent) entfiel hier auf Datenverlust durch eine falsche Konfiguration der Cloud-Konten, gefolgt von Datenexfiltration durch böswillige Außenstehende (14 Prozent). Als weitere Risiken nannten die Befragten Account-Hijacking (11 Prozent), eine fehlende Cloud-Sicherheitsarchitektur und -strategie (10 Prozent) und Insider-Bedrohungen (9 Prozent).
Wie gehen Unternehmen bei der Cloud-Sicherheit vor?
Experten für Cloud-Sicherheit vertreten die Auffassung, dass Sicherheitsbeauftragte in die Anwendungsentwicklung einbezogen werden sollten, um die Erstellung von sichererem Cloud-Code zu gewährleisten. Nötig sei auch ein kultureller Wandel, der einen neuen Ansatz und andere Tools als bislang verwendet erfordert. Wichtiger denn je ist, dass Sicherheits- und Entwicklungsteams effektiv zusammenarbeiten, um Schwachstellen zu testen, zu identifizieren und zu beheben, bevor diese von bösartigen Akteuren ausgenutzt werden.
Die Umfrageteilnehmer wurden ebenso gebeten, den Grad der Zusammenarbeit zwischen den Anwendungsentwicklern und den Sicherheitsteams auf einer Skala von eins bis fünf zu bewerten, wobei die Eins für eine sehr gute Zusammenarbeit und die Fünf für eine überhaupt nicht gute Zusammenarbeit steht. Von allen Befragten vergaben 28 Prozent eine Eins, aber weitere 26 Prozent eine Vier.
Die Rolle der Automatisierung
Eine wichtige Rolle bei der Cloud-Sicherheit spielt die Automatisierung zur Absicherung von Cloud-Implementierungen. Um den Stand der Automatisierung in den Unternehmen zu ermitteln, hat EMA die Befragten gefragt, welchen von fünf verschiedenen Automatisierungsgraden ihre Unternehmen bei der Absicherung ihrer Cloud-Implementierungen erreicht haben. Die meisten Unternehmen befinden sich irgendwo zwischen dem geringsten Automatisierungsgrad, also der manuellen Verwaltung von Richtlinien und Prozeduren, und dem höchsten Automatisierungsgrad, bei dem die Automatisierung umfassend ist und alle unternehmensweit genutzten Cloud-Domains abdeckt.
Welche Sicherheitstechnologie ist gefragt?
Hinsichtlich der Wahl der Sicherheitstools zum Schutz von cloudbasierten Assets scheint die Mehrheit der Unternehmen ein reiferes Niveau erreicht zu haben. Herkömmliche Sicherheitskontrollen, wie sie im internen Rechenzentrum zum Einsatz kommen, auf cloudbasierte Assets anzuwenden, hat sich als ineffektiv erwiesen. Der grösste Prozentsatz der Befragten gab an, dass ihre Unternehmen neuere Best-of-Breed-, Cloud-native Kontrollen zum Schutz von Cloud-Anwendungen und Workloads einsetzen (35 Prozent), gefolgt von hybriden Kontrollen, sowohl für interne Rechenzentren als auch Technologie von Cloud-Anbietern (30 Prozent). Nur 20 Prozent aller Befragten gaben an, dass sie bestehende On-Premises-Kontrollen auf cloudbasierte Anwendungen und Workloads anwenden. Dieser Prozentsatz ist erfreulicherweise rückläufig und wird wahrscheinlich weiter sinken. Nur sieben Prozent der Sicherheitsteams verlassen sich auf proprietäre Sicherheitskontrollen, die von den einzelnen Cloud-Anbietern angeboten werden, um ihre Workloads und Anwendungen zu schützen.
Neuere Technologien im Fokus
Neuere Tools wie beispielsweise CSPM (Cloud Security Posture Management), die bei der Erkennung und Behebung von Fehlkonfigurationen in der Cloud helfen sollen, sind bei den befragten Unternehmen noch nicht weit verbreitet. Moderne Erkennungs- und Reaktionstechnologien versprechen einen besseren Einblick in den Cloud-Datenverkehr. Tatsächlich gaben 80 Prozent der Befragten an, dass sie wissen, dass die NDR-Technologie (Network Detection and Reaction) auf den Cloud-Datenverkehr angewendet werden kann. Von diesen Befragten sehen 48 Prozent den Hauptwert in der Fähigkeit, Bedrohungen und Anomalien in Echtzeit zu erkennen, während 21 Prozent den Hauptwert in der Erleichterung von Reaktionsmassnahmen wie Untersuchung und Schadensbegrenzung sehen.
Neben moderner Technologie gilt es generell, die richtige Kultur zu etablieren, um die optimale Sicherheit für cloudbasierte Daten, Anwendungen und Workloads zu realisieren.
