Die Vor- und Nachteile gängiger Ansätze IT-Sicherheitsanforderungen für die Cloud-Migration

Anbieter zum Thema

Check Point Software Technologies GmbH

Mimecast Germany GmbH

TXOne Networks

Welche Maßnahmen müssen ergriffen werden, um ein Cloud-Netzwerk während und nach der Cloud-Migration abzusichern? Die Antwort auf diese Frage wird immer komplexer, da die meisten Unternehmen zu Hybrid Clouds und Multi-Clouds migrieren.

Bei der Absicherung von Cloud-Netzen und -Migrationen gibt es drei Hauptrichtungen:

1. Schutz der Ressourcen mit Sicherheitslösungen, die vom Cloud-Anbieter bereitgestellt werden.
2. Investitionen in einen Do-it-yourself-Ansatz tätigen.
3. Zusammenarbeit mit einem Anbieter, der sich auf Cybersicherheit spezialisiert hat.

Jede Option hat ihre Vor- und Nachteile und sollte im Hinblick auf die Anforderungen des Unternehmens und die beste Eignung sowie die Unterstützung der verschiedenen Cloud-Sicherheitsebenen bewertet werden.

Option 1: IT-Sicherheit durch Cloud-Anbieter

IT-Sicherheit durch Cloud-Anbieter bedeutet, dass sich Unternehmen auf die von ihrem Cloud-Anbieter bereitgestellten Tools und Dienste verlassen, um ihr Cloud-Netzwerk und ihre Bereitstellung vor Cyber-Bedrohungen zu schützen. Wenn zum Beispiel AWS genutzt wird, gehören zu den Sicherheitslösungen des Cloud-Anbieters AWS GuardDuty und AWS Security Hub.

Zu den wichtigsten Vorteilen solcher Lösungen gehören:

• Konzentration auf jede spezifische Cloud: Die Sicherheitslösungen der einzelnen Cloud-Anbieter sind speziell für die von ihnen angebotenen Cloud-Dienste konzipiert. Daher sind sie in der Lage, die Bedrohungen und Risiken zu erkennen, die am häufigsten auf diese Dienste abzielen. Beispielsweise kann die Lösung eines Cloud-Anbieters ein besonders tiefes Verständnis des IAM-Frameworks dieser Cloud haben, so dass sie in der Lage ist, Konfigurationsfehler oder schlechte Praktiken zu erkennen, die andere Lösungen möglicherweise übersehen.

• Einfache Integration: Sicherheitstools und -dienste von Cloud-Anbietern lassen sich in der Regel problemlos in die von ihnen unterstützte Cloud integrieren, da diese Lösungen direkt in die Struktur der Cloud integriert sind. Sie sind in der Regel mit anderen ähnlichen Cloud-nativen Diensten integriert, auch wenn dies die Verwendung mehrerer Benutzeroberflächen und Portale erfordern kann.

• Skalierbarkeit und Leistung: Tools von Cloud-Anbietern lassen sich nahezu unbegrenzt skalieren, was ein Vorteil ist, wenn Sie sehr große Arbeitslasten sichern und eine hohe Bandbreite an Netzwerkverkehr überprüfen müssen.

• Einfache Bereitstellung und Anschaffung: Da die Lösungen Teil der nativen Dienste des Cloud-Anbieters sind, lassen sie sich in der Regel leicht einrichten. Auch der Kauf einer Lösung erfordert oft nur ein einfaches „Check-of-the-Box“ durch den Benutzer.

Andererseits kann das Vertrauen auf einen Cloud-Anbieter für die Sicherheit der Cloud-Migration zu Problemen führen, wie:

• Missverständnis der gemeinsamen Verantwortung: Cloud-Anbieter sichern einige Teile von Cloud-Umgebungen im Rahmen des Modells der geteilten Verantwortung, aber andere Sicherheitsaufgaben fallen in den Zuständigkeitsbereich der Cloud-Nutzer. Wenn die Funktionsweise der Modelle falsch interpretiert werden, kann dies zu Lücken in der Cloud-Sicherheitsstrategie führen. Dies kann es besonders schwierig machen, zu verstehen, welche Teile der Cloud-Infrastruktur abgesichert werden müssen und welche Teile der Anbieter schützen wird.

• Vendor Lock-in: Wenn sich Unternehmen sowohl für die Cloud-Infrastruktur als auch für die Sicherheitslösungen auf denselben Anbieter verlassen, ist es schwieriger, in Zukunft von diesem Anbieter zu wechseln, wenn sich die Anforderungen ändern oder woanders kostengünstigere Lösungen verfügbar werden.

• Fehlende Unterstützung für Hybrid Clouds und Multi-Clouds: Die meisten Sicherheitsdienste von Cloud-Anbietern funktionieren nur innerhalb der eigenen Cloud des Anbieters und sind daher keine gute Lösung, wenn eine Hybrid- oder Multi-Cloud-Umgebung geschützt werden soll oder aber dies für die Zukunft geplant ist. Da sich immer mehr (und die große Mehrheit) der Unternehmen für eine Multi-Cloud-Umgebung entscheiden, ist dies ein erhebliches Hindernis, das berücksichtigt werden muss.

• Fehlender primärer Fokus auf Sicherheit: Das Kerngeschäft der Cloud-Anbieter ist die Bereitstellung von Infrastruktur- und Plattformdiensten, nicht die Bereitstellung von Sicherheit. Sicherheitstools sind ein wichtiger Posten, aber Unternehmen entscheiden sich wahrscheinlich nicht aufgrund der zusätzlichen Sicherheit für einen bestimmten Cloud-Anbieter. Aus diesem Grund nutzen sie nicht immer die neuesten und besten Cybersicherheitstechnologien und -techniken, um die verschiedenen Ebenen der Cloud abzusichern.

Wenn die Einfachheit oder die Bequemlichkeit der Anschaffung der Vorzug gegeben wird, kann die Sicherheit von Cloud-Anbietern eine gute Möglichkeit sein, die Cloud-Netzwerke und Cloud-Ressourcen zu schützen. Aber es ist sicherlich nicht der sicherste, kostengünstigste oder flexibelste Ansatz.

Option 2: DIY-Cloud-Netzwerksicherheit

Ein Do-it-yourself-Ansatz für die Sicherheit in der Cloud bedeutet, dass ein Unternehmen seine eigenen Sicherheitslösungen für die Cloud entwickelt oder vielleicht viele Lösungen und Prozesse zusammenstellt, um den eigenen Anforderungen gerecht zu werden.

Zu den Vorteilen der DIY-Sicherheit gehören:

• Flexibilität und Anpassungsfähigkeit: Unternehmen können die von ihnen gewünschten Tools auswählen und sie nach Belieben anpassen. Dies ist ein wichtiger Vorteil für Unternehmen, die sehr strenge Compliance-Anforderungen haben oder keine Lösung finden können, die alle ihre Anforderungen erfüllt. Komplexe Netzwerk- und Anwendungsschichten, die sowohl vor Ort als auch in der Cloud untergebracht sind, lassen sich mit allgemeinen Sicherheitslösungen oft schwieriger schützen und eignen sich möglicherweise besser für einen DIY-Ansatz.

• Kosteneinsparungen: DIY-Sicherheit kann die Softwarekosten möglicherweise minimieren, da Unternehmen aus mehreren Lösungen auswählen können, um den besten Kompromiss zwischen Kosten und Funktionen zu finden.

• Kompetenz in der Entwicklung: Die interne Verwaltung der Cloud-Migration und der laufenden Sicherheit bietet internen Teams die Möglichkeit, praktische Erfahrungen zu sammeln und Fachwissen über Sicherheitsstrategien für die Cloud-Migration zu entwickeln.

Dieser Ansatz birgt jedoch auch Nachteile:

• Komplexität: Sicherheit zum Selbermachen ist bei weitem der komplexeste Ansatz. Er ist mit einer steilen Lernkurve verbunden, und ein Mangel an Erfahrung oder Fachwissen mit den erforderlichen Lösungen kann die Cloud-Migration behindern. Darüber hinaus erfordern die unzähligen Integrationen, die erforderlich sind, damit die einzelnen Lösungen im IT-Software-Stack sicher miteinander kommunizieren können, ein umfangreiches und komplexes Projekt, mit dem kein Team zurechtkommt.

• Zeit- und Ressourcenkosten: Unternehmen werden wahrscheinlich mehr Zeit und Ressourcen für die Einrichtung und Verwaltung von DIY-Lösungen aufwenden, als wenn sie alle Lösungen von einem Anbieter beziehen würden. Dies ist ein Szenario, bei dem die IT- und Sicherheitsteams das Rad neu erfinden müssen, obwohl es bereits Lösungen gibt.

• IT-Sicherheitsrisiken: Ohne spezielles Fachwissen können Unternehmen wichtige Sicherheitsaspekte übersehen, was zu Schwachstellen in den eigenen Cloud-Umgebungen führen kann.

DIY-Sicherheitsstrategien sind sinnvoll, wenn Unternehmen über ein erfahrenes Team verfügen. Dieses Team muss dazu bereit sein, die benötigten Cloud-Netzwerk- und anderen Sicherheitslösungen zu finden oder zu entwickeln, zu konfigurieren, zu testen, bereitzustellen, zu integrieren und zu verwalten. Aber viele (vielleicht die meisten) Unternehmen werden sich nur schwer auf DIY-Lösungen verlassen können.

Option 3: Engagierte Anbieter von Cybersicherheitslösungen

Der dritte Ansatz ist die Zusammenarbeit mit einem Anbieter von Cybersicherheitslösungen, dessen Softwarelösungen und bewährte Verfahren speziell für die Absicherung von Cloud-Migrationen und die laufende Cloud-Sicherheit entwickelt wurden. Dies bietet Unternehmen mehrere Vorteile:

• Maximale Flexibilität und Freiheit von Bindungen: Ein etablierter Anbieter kann die Anforderungen unterstützen, unabhängig davon, wie die verschiedenen Schichten der Cloud aussehen, und der Anbieter kann mit dem Unternehmen zusammenarbeiten, unabhängig davon, welche Art von Cloud-Architektur – Single Cloud, Multi-Cloud oder Hybrid – verwendet wird. Im Ergebnis steht die geforderte Flexibilität und dass Unternehmen nie auf eine bestimmte Lösung oder Infrastruktur festgelegt sind. Wenn in Zukunft ein neuer Cloud-Anbieter hinzugefügt wird - zum Beispiel aufgrund einer strategischen Entscheidung, Datenhoheit oder Fusions- und Übernahmetätigkeit - sollte dies schnell und einfach zu bewerkstelligen sein. So können Unternehmen nicht nur die heutigen, sondern auch die künftigen Anforderungen an die Cybersicherheit erfüllen, wenn sich das Unternehmen und die Cloud-Strategie weiterentwickeln.

• Spezialisierte Sicherheitsexpertise: Mit ihrer umfassenden Sicherheitsexpertise sind Cybersecurity-Anbieter die vertrauenswürdige Autorität, wenn es um Cloud-Sicherheit geht. Diese Anbieter stellen fortschrittliche Sicherheitslösungen und -praktiken bereit, die mit den neuesten Bedrohungen und Angriffstechniken Schritt halten.

• Unterstützung bei der Einhaltung von Vorschriften und Bestimmungen: Anbieter von Cybersicherheitslösungen kennen die branchenspezifischen Compliance-Anforderungen, und ihre Lösungen können Unternehmen bei der Erfüllung gesetzlicher Verpflichtungen im Zusammenhang mit der Cloud-Sicherheit während des Migrationsprozesses und darüber hinaus unterstützen.

• TCO-Überlegungen: Dies ist auf lange Sicht oft kostengünstiger, da weniger Zeit für das Verständnis der Anforderungen, die Einrichtung und Planung sowie die Schulung der Teams benötigt wird. Die Bereitstellung erfolgt viel schneller und einfacher, was wiederum auch Geld spart. Dies gilt insbesondere dann, wenn Unternehmen denselben Anbieter von Cybersicherheitslösungen für die Sicherheit vor Ort, die Migration in die Cloud und die laufende Sicherheit in der Cloud verwenden.

Bei dieser Strategie sind die folgenden Nachteile zu beachten:

• Möglicherweise komplexere Integrationen: Da die Sicherheitstools der Anbieter nicht nativ in die Clouds integriert sind, die sie schützen, kann die Einrichtung etwas komplexer sein als bei der Verwendung von Cloud-Anbieterlösungen. Mit Tausenden von sicheren Implementierungen und Migrationen in der Tasche bieten die meisten Anbieter von Cybersicherheitslösungen jedoch reibungslose Integrationsprozesse.

• Hinzufügen eines weiteren Anbieters: Der Cybersecurity-Anbieter ist ein weiterer Anbieter, mit dem Unternehmen zusammenarbeiten und eine weitere geschäftliche Beziehung eingehen müssen. Dadurch entsteht ein geringer zusätzlicher betrieblicher Aufwand. Dies ist jedoch weniger relevant, wenn sie denselben Cybersecurity-Anbieter für die On-Premises-Sicherheit verwenden.

Schlussfolgerung

Bedrohungslage und Komplexität nehmen beim Cloud Computing zu, immer mehr Cyberkriminelle verstehen die vielschichtigen Strategien und an welcher Stelle sie ansetzen müssen. Schnelle oder aber komplexe Cloud Migrationen sorgen für mehr Konfigurationsfehler und damit für potenziell mehr Sicherheitslücken. Solange sich Unternehmen für eine der drei geschilderten Optionen entscheiden, ist für die IT-Sicherheit viel gewonnen. Zunächst einmal ist etwas zu machen besser als nichts zu machen.

(ID:49709545)