Ein umfassender Leitfaden zur Cloud-Sicherheit im Jahr 2024 (Risiken, bewährte Praktiken, Zertifizierungen)

Cloud-Sicherheit umfasst die Technologien, Kontrollen, Prozesse und Richtlinien, die zusammen den Schutz der Cloud-basierten Systeme, Daten und Infrastruktur gewährleisten. Es handelt sich um eine Sub-Domain der Computersicherheit und im weiteren Sinne um die Informationssicherheit.

Sie ist eine gemeinsame Verantwortung zwischen dir und deinem Cloud-Service-Anbieter. Sie implementieren eine Cloud-Sicherheitsstrategie, um deine Daten zu schützen, die Einhaltung gesetzlicher Vorschriften zu gewährleisten und die Privatsphäre deiner Kunden zu schützen. Das wiederum schützt dich vor den rufschädigenden, finanziellen und rechtlichen Auswirkungen von Datenverstößen und Datenverlusten.

Cloud-Sicherheit ist eine entscheidende Voraussetzung für alle Organisationen. Insbesondere nach den neuesten Untersuchungen von (ISC)2 sind 93% der Organisationen mäßig oder extrem besorgt über die Sicherheit in der Cloud, und jede vierte Organisation bestätigt einen Vorfall in der Cloud in den letzten 12 Monaten.

In diesem Artikel werden wir einen umfassenden Leitfaden zur Cloud-Sicherheit erstellen. Du wirst die Sicherheitsrisiken eines Wechsels in die Cloud untersuchen, verstehen, warum Cloud-Sicherheit erforderlich ist, und Best Practices für Cloud-Sicherheit entdecken. Wir behandeln auch Themen wie die Bewertung der Sicherheit eines Cloud-Service-Anbieters und zeigen dir die Zertifizierungen und Schulungen zur Verbesserung deiner Cloud-Sicherheit auf.

Fangen wir an.

Wie funktioniert Cloud Sicherheit?

Cloud-Sicherheit ist ein komplexes Zusammenspiel von Technologien, Kontrollen, Prozessen und Richtlinien. Eine Praxis, die in hohem Maße auf die individuellen Anforderungen deines Unternehmens zugeschnitten ist.

Als solches gibt es keine einzige Erklärung, die die Funktionsweise von Cloud-Sicherheit umfasst.

Glücklicherweise gibt es eine Reihe von Strategien und Werkzeugen, die man für eine robuste Cloud-Sicherheitseinrichtung verwenden kann:

Identitäts- und Zugriffsmanagement

Alle Unternehmen sollten über ein Identitäts- und Zugangsmanagementsystem (IAM) verfügen, um den Zugang zu Informationen zu kontrollieren. Dein Cloud-Anbieter wird entweder direkt in dein IAM integriert oder ein eigenes, eingebautes System anbieten. Ein IAM kombiniert Multi-Faktor-Authentifizierung und Benutzerzugriffsrichtlinien und hilft so, zu kontrollieren, wer Zugriff auf deine Anwendungen und Daten hat, worauf diese zugreifen können und was sie mit deinen Daten tun können.

Physische Sicherheit

Die physische Sicherheit ist eine weitere Säule der Cloud-Sicherheit. Es handelt sich um eine Kombination von Maßnahmen, die den direkten Zugriff und die Unterbrechung der im Rechenzentrum deines Cloud-Anbieters untergebrachten Hardware verhindern. Die physische Sicherheit umfasst die Kontrolle des direkten Zugangs mit Sicherheitstüren, unterbrechungsfreie Stromversorgung, CCTV, Alarme, Luft- und Partikelfilterung, Brandschutz und mehr.

Threat Intelligence, Überwachung und Prävention

Threat Intelligence, Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) bilden das Rückgrat der Cloud Security. Threat Intelligence- und IDS-Tools liefern Funktionen zur Identifizierung von Angreifern, die derzeit deine Systeme im Visier haben oder eine zukünftige Bedrohung darstellen werden. IPS-Tools implementieren Funktionen, um einen Angriff abzuschwächen und dich bei seinem Auftreten zu warnen, damit du auch reagieren kannst.

Verschlüsselung

Mit Hilfe der Cloud-Technologie sendet man Daten zur und von der Plattform des Cloud-Anbieters und speichert sie häufig in dessen Infrastruktur. Die Verschlüsselung ist eine weitere Sicherheitsebene in der Cloud, um deine Datenbestände zu schützen, indem sie im Ruhezustand und während der Übertragung verschlüsselt werden. Dadurch wird sichergestellt, dass die Daten ohne einen Entschlüsselungsschlüssel, auf den nur du Zugriff hast, fast unmöglich zu entschlüsseln sind.

Cloud-Schwachstellen- und Penetrationstests

Eine weitere Praxis zur Aufrechterhaltung und Verbesserung der Cloud-Sicherheit sind Schwachstellen- und Penetrationstests. Bei diesen Praktiken greifst du – oder dein Provider – deine eigene Cloud-Infrastruktur an, um mögliche Schwachstellen oder Exploits zu identifizieren. Du kannst dann Lösungen implementieren, um diese Schwachstellen zu beheben und deine Sicherheitsposition zu verbessern.

Mikro-Segmentierung

Mikrosegmentierung wird bei der Implementierung von Cloud-Sicherheit immer häufiger eingesetzt. Es ist die Praxis, deine Cloud-Bereitstellung in verschiedene Sicherheitssegmente zu unterteilen, bis hinunter zur Ebene der individuellen Arbeitslast.

Durch die Isolierung einzelner Arbeitslasten lassen sich flexible Sicherheitsrichtlinien anwenden, um den Schaden zu minimieren, den ein Angreifer verursachen könnte, falls er Zugang zu ihnen erhält.

Firewalls der nächsten Generation

Die Firewalls der nächsten Generation sind ein weiteres Teil des Sicherheitspuzzles der Cloud. Sie schützen deine Workloads mit Hilfe Firewall-Funktionen und neueren, erweiterten Funktionen. Zu den traditionellen Firewall-Schutzmaßnahmen gehören Paketfilterung, Stateful Inspection, Proxying, IP-Blockierung, Blockierung von Domainnamen und Ports.

Die Firewalls der nächsten Generation fügen in einem Intrusion Prevention System, Deep Packet Inspection, Anwendungskontrolle und Analyse des verschlüsselten Datenverkehrs hinzu, um eine umfassende Erkennung und Prävention von Bedrohungen zu ermöglichen.

Hier bei Kinsta sichern wir alle Webseiten hinter der Firewall der Google Cloud Platform (GCP). Wir bieten Schutz auf dem neuesten Stand der Technik und die Möglichkeit einer engeren Integration mit anderen GCP-Sicherheitslösungen.

7 Sicherheitsrisiken des Cloud Computing

Egal, ob man in der Cloud arbeitet oder nicht, Sicherheit ist ein Anliegen für alle Unternehmen. Du wirst Risiken wie Denial-of-Service, Malware, SQL-Injection, Datenverstöße und Datenverlust ausgesetzt sein. All dies kann den Ruf und das Ergebnis deines Unternehmens erheblich beeinträchtigen.

Wenn du in die Cloud wechselst, führst du neue Risiken ein und veränderst die Art der anderen. Das bedeutet nicht, dass Cloud Computing nicht sicher ist. Tatsächlich führen viele Cloud-Anbieter den Zugang zu hoch entwickelten Sicherheitswerkzeugen und Ressourcen ein, auf die du sonst nicht zugreifen könntest.

Es bedeutet einfach, dass man sich der Veränderung der Risiken bewusst sein muss, um sie zu mindern. Werfen wir also einen Blick auf die einzigartigen Sicherheitsrisiken des Cloud Computing.

1. Verlust der Sichtbarkeit

Die meisten Unternehmen werden auf eine Reihe von Cloud-Diensten über mehrere Geräte, Abteilungen und Standorte zugreifen. Diese Art von Komplexität in einer Cloud-Computing-Einrichtung – ohne die entsprechenden Tools – kann dazu führen, dass der Zugang zu der Infrastruktur nicht mehr sichtbar ist.

Ohne die richtigen Prozesse geht dir der Überblick darüber verloren, wer deine Cloud-Services nutzt. Dazu gehört auch, auf welche Daten sie zugreifen und welche sie hoch- und herunterladen.

Wenn du sie nicht sehen kannst, kannst du sie nicht schützen. Das Risiko von Datenverletzungen und Datenverlusten steigt.

2. Compliance-Verstöße

Mit der Zunahme der regulatorischen Kontrolle musst du wahrscheinlich eine Reihe strenger Compliance-Anforderungen erfüllen. Wenn du auf die Cloud umsteigst, gehst du das Risiko von Verstößen gegen die Vorschriften ein, wenn du nicht vorsichtig bist.

Viele dieser Vorschriften verlangen von deinem Unternehmen zu wissen, wo sich deine Daten befinden, wer Zugriff auf sie hat, wie sie verarbeitet werden und wie sie geschützt werden. Andere Vorschriften verlangen, dass dein Cloud-Anbieter über bestimmte Compliance-Zertifikate verfügt.

Eine unvorsichtige Übertragung von Daten in die Cloud oder der Wechsel zum falschen Anbieter kann dein Unternehmen in einen Zustand der Nichteinhaltung bringen. Dies kann schwerwiegende rechtliche und finanzielle Auswirkungen haben.

3. Fehlende Cloud Sicherheitsstrategie und -architektur

Dies ist ein Cloud-Sicherheitsrisiko, das man leicht vermeiden kann, aber viele tun es nicht. In ihrer Eile, Systeme und Daten in die Cloud zu migrieren, werden viele Unternehmen schon lange vor den Sicherheitssystemen und -strategien zum Schutz ihrer Infrastruktur einsatzbereit.

Hier bei Kinsta verstehen wir die Bedeutung einer „Security First Mindset“ bei der Umstellung auf die Cloud. Aus diesem Grund bietet Kinsta kostenlose WordPress-Migrationen an, um sicherzustellen, dass der Übergang zur Cloud sowohl sicher ist als auch längere Ausfallzeiten vermieden werden.

Stelle sicher, dass du eine Sicherheitsstrategie und -infrastruktur implementierst, die so konzipiert ist, dass deine Systeme und Daten in der Cloud live gehen.

4. Insider Bedrohungen

Deine vertrauenswürdigen Mitarbeiter, Auftragnehmer und Geschäftspartner können eines der größten Sicherheitsrisiken für dich sein. Diese Insider-Bedrohungen müssen keine böswillige Absicht haben, deinem Unternehmen Schaden zuzufügen. Tatsächlich ist die Mehrzahl der Insider-Vorfälle auf mangelnde Schulung oder Fahrlässigkeit zurückzuführen.

Während man derzeit mit diesem Problem konfrontiert ist, ändert sich das Risiko, wenn man in die Cloud wechselt. Man überträgt die Kontrolle über seine Daten an seinen Cloud-Service-Provider und führt eine neue Ebene der Insider-Bedrohung durch die Mitarbeiter des Providers ein.

5. Vertragliche Verstöße

Alle vertraglichen Partnerschaften, die du eingegangen bist, beinhalten Einschränkungen hinsichtlich der Verwendung der gemeinsam genutzten Daten, der Art und Weise, wie diese gespeichert werden und wer auf sie zugreifen darf. Wenn deine Mitarbeiter unwissentlich eingeschränkte Daten ohne Genehmigung in einen Cloud-Service verschieben, kann dies zu einem Vertragsbruch führen, der rechtliche Schritte nach sich ziehen kann.

Stelle sicher, dass du die Geschäftsbedingungen deiner Cloud-Anbieter liest. Selbst wenn du die Berechtigung hast, Daten in die Cloud zu verschieben, beinhalten einige Service-Anbieter das Recht, alle in ihre Infrastruktur hochgeladenen Daten freizugeben. Durch Unwissenheit könntest du unbeabsichtigt gegen eine Geheimhaltungsvereinbarung verstoßen.

6. Unsichere Anwendungs-Benutzerschnittstelle (API)

Wenn es sich um Betriebssysteme in einer Cloud-Infrastruktur handelt, könnte man eine API zur Implementierung der Steuerung verwenden. Jede API, die in deine Web- oder mobilen Anwendungen eingebaut ist, kann den Zugriff intern durch Mitarbeiter oder extern durch Verbraucher ermöglichen.

Es sind die nach außen gerichteten APIs, die ein Sicherheitsrisiko für die Cloud darstellen können. Jede unsichere externe API ist ein Gateway, das Cyberkriminellen, die Daten stehlen und Dienste manipulieren wollen, unbefugten Zugriff bietet.

Das prominenteste Beispiel für eine unsichere externe API ist der Facebook-Cambridge-Analytica-Skandal. Die unsichere externe API von Facebook ermöglichte Cambridge Analytica tiefen Zugang zu den Daten der Facebook-Benutzer.

7. Fehlkonfiguration von Cloud-Diensten

Die Fehlkonfiguration von Cloud-Diensten ist ein weiteres potenzielles Sicherheitsrisiko in der Cloud. Mit der zunehmenden Bandbreite und Komplexität der Dienste wird dieses Thema immer wichtiger. Eine Fehlkonfiguration von Cloud-Diensten kann dazu führen, dass Daten öffentlich zugänglich gemacht, manipuliert oder sogar gelöscht werden.

Häufige Ursachen sind die Beibehaltung der Standard-Einstellungen für die Sicherheits- und Zugriffsverwaltung von hochsensiblen Daten. Andere sind ein falsches Zugriffsmanagement, das Unbefugten Zugang gewährt, und ein manipulierter Datenzugriff, bei dem vertrauliche Daten ohne die Notwendigkeit einer Autorisierung unverschlüsselt gelassen werden.

Warum Cloud Sicherheit erforderlich ist

Die massenhafte Einführung der Cloud-Technologie in Verbindung mit einem ständig wachsenden Volumen und der Verfeinerung der Cyber-Bedrohungen ist der Grund für den Bedarf an Cloud-Sicherheit. Wenn man über die Sicherheitsrisiken nachdenkt, die mit der Einführung der Cloud-Technologie verbunden sind – wie oben skizziert -, kann ein Scheitern der Bemühungen um ihre Eindämmung erhebliche Auswirkungen haben.

Aber es ist nicht alles negativ, Cloud-Sicherheit kann auch erhebliche Vorteile bieten. Lasst uns untersuchen, warum Cloud-Sicherheit eine entscheidende Voraussetzung ist.

Cyber Sicherheitsbedrohungen nehmen weiter zu

Eine treibende Kraft für sichere Cloud-Praktiken ist die ständig wachsende Bedrohung durch Cyberkriminelle – sowohl in Bezug auf den Umfang als auch auf die Raffinesse. Um die Bedrohung zu quantifizieren, ergab ein Cloud Security Report von (ISC)2, dass 28% der Unternehmen im Jahr 2019 einen Cloud-Sicherheitsvorfall erlebten. Die britische Regierung berichtete außerdem, dass 32% der britischen Unternehmen in den vergangenen 12 Monaten einen Angriff auf die Systeme erlebt haben.

Verhinderung von Datenverletzungen und Datenverlusten

Eine Folge dieser erhöhten Cyber-Bedrohungen ist die Beschleunigung der Häufigkeit und des Volumens von Datenverletzungen und Datenverlusten. Allein in den ersten 6 Monaten des Jahres 2019 wurden laut Emerging Threat Report von Norton mehr als 4 Milliarden Datensätze verletzt.

Ein Verlust oder eine Verletzung von Datenverlusten kann erhebliche rechtliche, finanzielle und rufschädigende Auswirkungen haben. IBM schätzt die durchschnittlichen Kosten eines Datenverstoßes in seinem neuesten Bericht nun auf 3,92 Millionen US-Dollar.

Compliance Verstöße vermeiden

Wir haben bereits erwähnt, dass Cloud Security das Risiko von Compliance-Verletzungen birgt. Um die Auswirkungen der Nichteinhaltung zu demonstrieren, braucht man nur den deutschen Bundesdatenschutzbeauftragten zu beobachten, der kürzlich 1&1 Telecommunications eine Strafe von 9,55 Millionen Euro wegen Verstoßes gegen die Allgemeine Datenschutzverordnung (DSGVO) der EU auferlegte.

Aufrechterhaltung der Geschäftskontinuität

Eine gute Cloud-Sicherheit trägt zur Aufrechterhaltung deiner Geschäftskontinuität bei. Schutz vor Bedrohungen wie einem Denial-of-Service-Angriff (DDoS-Angriff). Ungeplante Ausfälle und Systemausfallzeiten unterbrechen deine Geschäftskontinuität und wirken sich auf dein Endergebnis aus. Eine Gartner-Forschungsstudie schätzt diese Ausfallkosten auf durchschnittlich 5600 US-Dollar pro Minute.

Vorteile der Cloud-Sicherheit

Über den Schutz vor Bedrohungen und die Vermeidung der Folgen schlechter Praktiken hinaus bietet Cloud Security Vorteile, die sie zu einer Voraussetzung für Unternehmen machen. Dazu gehören:

1. Zentralisierte Sicherheit

In der gleichen Weise, wie Cloud Computing Anwendungen und Daten zentralisiert, zentralisiert Cloud Security den Schutz. So lässt sich die Transparenz verbessern, Kontrollen implementieren und ein besserer Schutz vor Angriffen erreichen. Außerdem verbessert es die Geschäftskontinuität und die Wiederherstellung im Notfall, da alles an einem Ort stattfindet.

2. Geringere Kosten

Ein renommierter Cloud-Service-Anbieter bietet dir integrierte Hardware und Software zur Sicherung deiner Anwendungen und Daten rund um die Uhr. Dadurch werden erhebliche finanzielle Investitionen in dein eigenes Setup überflüssig.

3. Reduzierte Administration

Der Wechsel zur Cloud führt ein Modell der gemeinsamen Verantwortung für die Sicherheit ein. Dadurch kann der Zeit- und Ressourcenaufwand für die Verwaltung der Sicherheit erheblich reduziert werden. Der Cloud-Service-Anbieter übernimmt die Verantwortung für die Sicherung seiner Infrastruktur – und deiner – über die gesamte Speicher-, Rechen-, Netzwerk- und physische Infrastruktur hinweg.

4. Erhöhte Zuverlässigkeit

Ein führender Anbieter von Cloud-Diensten wird dir modernste Cloud-Sicherheitshardware und -software anbieten, auf die du dich verlassen kannst. Du bekommst Zugang zu einem kontinuierlichen Service, bei dem deine Benutzer von überall und auf jedem Gerät sicher auf Daten und Anwendungen zugreifen können.

Best Practices für die Cloud Sicherheit

Wenn du deine Systeme in die Cloud verlagerst, bleiben viele Sicherheitsprozesse und Best Practices gleich. Du wirst jedoch auf eine Reihe neuer Herausforderungen stoßen, die du bewältigen musst, um die Sicherheit deiner Cloud-basierten Systeme und Daten aufrechtzuerhalten.

Um dich bei dieser Herausforderung zu unterstützen, haben wir eine Reihe von Best Practices für die Sicherheit in der Cloud zusammengestellt.

Wähle einen vertrauenswürdigen Anbieter

Die Grundlage für die beste Praxis im Bereich der Cloud-Sicherheit ist die Auswahl eines vertrauenswürdigen Dienstanbieters. Du solltest eine Partnerschaft mit einem Cloud-Anbieter eingehen, der die besten integrierten Sicherheitsprotokolle liefert und den höchsten Standards der besten Praktiken der Branche entspricht.

Ein Service Provider, der einen Marktplatz von Partnern und Lösungen für dich erweitert, um die Sicherheit deines Einsatzes weiter zu verbessern.

Das Kennzeichen eines vertrauenswürdigen Anbieters spiegelt sich in der Bandbreite der Sicherheitskonformität und der Zertifizierungen wider, die er besitzt. Etwas, das jeder gute Anbieter der Öffentlichkeit zugänglich macht. Beispielsweise bieten alle führenden Anbieter wie Amazon Web Services, Alibaba Cloud, Google Cloud (die Kinsta betreibt) und Azure einen transparenten Zugang, bei dem man deren Sicherheitskonformität und Zertifizierungen bestätigen kann.

Darüber hinaus gibt es viele Faktoren, die bei der Auswahl eines vertrauenswürdigen Anbieters eine Rolle spielen. Wir behandeln dies später in diesem Artikel mit einer Top-10-Checkliste zur Bewertung der Sicherheit eines jeden Cloud-Anbieters.

Verstehe dein Modell der geteilten Verantwortung

Wenn du eine Partnerschaft mit einem Cloud-Service-Anbieter eingehst und deine Systeme und Daten in die Cloud verlagerst, gehst du eine Partnerschaft mit gemeinsamer Verantwortung für die Sicherheitsimplementierung ein.

Ein wichtiger Teil der Best Practice besteht darin, deine gemeinsame Verantwortung zu überprüfen und zu verstehen. Es muss festgestellt werden, welche Sicherheitsaufgaben bei dir verbleiben und welche Aufgaben nun vom Anbieter übernommen werden.

Es handelt sich um eine gleitende Skala, je nachdem, ob du dich für Software as a Service (SaaS), Platform as a Service (PaaS), Infrastructure as a Service (IaaS) oder in einem firmeneigenen Rechenzentrum entscheidest.

Führende Cloud-Service-Anbieter wie AWS, Azure, Google Cloud Platform und Alibaba Cloud veröffentlichen ein so genanntes Modell der gemeinsamen Verantwortung für Sicherheit. Sie sorgen für Transparenz und Klarheit. Stelle sicher, dass du das Modell der geteilten Verantwortung deiner Cloud-Service-Anbieter überprüfst.

Überprüfe die Verträge und SLAs deines Cloud-Providers

Vielleicht denkt man nicht daran, seine Cloud-Verträge und SLAs als Teil der besten Sicherheitspraxis zu überprüfen, aber man sollte es tun. SLA- und Cloud-Serviceverträge sind nur eine Garantie für Service und Rückgriff im Falle eines Vorfalls.

Die Bedingungen, Anhänge und Anlagen enthalten viel mehr, was sich auf deine Sicherheit auswirken kann. Ein Vertrag kann den Unterschied zwischen der Verantwortung deines Cloud-Service-Anbieters für deine Daten und dem Besitz dieser Daten ausmachen.

Laut dem McAfee 2019 Cloud Adoption and Risk Report geben 62,7 Prozent der Cloud-Anbieter nicht an, dass Kundendaten im Besitz des Kunden sind. Dies schafft eine rechtliche Grauzone, in der ein Anbieter das Eigentum an all deine hochgeladenen Daten beanspruchen könnte.

Prüfe, wem die Daten gehören und was mit ihnen geschieht, wenn du deine Dienste beendest. Suche auch Klarheit darüber, ob der Anbieter verpflichtet ist, Einsicht in Sicherheitsereignisse und Antworten zu gewähren.

Wenn du mit Elementen des Vertrags unzufrieden bist, versuche zu verhandeln. Wenn einige nicht verhandelbar sind, muss festgestellt werden, ob eine Einigung ein akzeptables Risiko für das Unternehmen darstellt. Wenn nicht, musst du nach alternativen Optionen suchen, um das Risiko durch Verschlüsselung, Überwachung oder sogar einen alternativen Anbieter zu mindern.

Trainiere deine Benutzer

Deine Benutzer sind die erste Verteidigungslinie beim sicheren Cloud-Computing. Ihr Wissen und ihre Anwendung von Sicherheitspraktiken können den Unterschied ausmachen, ob sie dein System schützen oder eine Tür für Cyber-Angriffe öffnen.

Stelle sicher, dass du alle deine Benutzer – Mitarbeiter und Interessenvertreter – die auf deine Systeme zugreifen, in sicheren Cloud-Praktiken schulst. Mache sie darauf aufmerksam, wie man Malware erkennt, Phishing-E-Mails identifiziert und die Risiken unsicherer Praktiken aufzeigt.

Für fortgeschrittenere Benutzer – wie z. B. Administratoren -, die direkt an der Implementierung von Cloud-Sicherheit beteiligt sind, solltest du branchenspezifische Schulungen und Zertifizierungen in Betracht ziehen. Eine Reihe von empfohlenen Zertifizierungen und Schulungen für Cloud-Sicherheit findest du später in diesem Leitfaden.

Benutzerzugriff kontrollieren

Die Implementierung einer strikten Kontrolle des Benutzerzugriffs durch Richtlinien ist eine weitere Best Practice für Cloud-Sicherheit. Wir helfen dir bei der Verwaltung der Benutzer, die auf deine Cloud-Services zugreifen möchten.

Man sollte von einem Ort des Null-Vertrauens ausgehen und den Benutzern nur den Zugang zu den Systemen und Daten gewähren, die sie benötigen, mehr nicht. Um Komplexität bei der Implementierung von Richtlinien zu vermeiden, erstelle klar definierte Gruppen mit zugewiesenen Rollen, die nur den Zugriff auf ausgewählte Ressourcen gewähren. Du kannst dann Benutzer direkt zu Gruppen hinzufügen, anstatt den Zugriff für jeden einzelnen Benutzer anzupassen.

Sichere deine Benutzer-Endpunkte

Ein weiteres Element der Best Practice für Cloud-Sicherheit ist die Sicherung deiner Benutzer-Endpunkte. Die Mehrheit der Benutzer wird über Webbrowser auf deine Cloud-Services zugreifen. Daher ist es wichtig, dass du eine fortschrittliche Sicherheit auf der Client-Seite einführst, um die Browser deiner Benutzer auf dem neuesten Stand zu halten und vor Missbrauch zu schützen.

Du solltest auch die Implementierung einer Endpunkt-Sicherheitslösung in Betracht ziehen, um deine Endbenutzergeräte zu schützen. Dies ist angesichts der explosionsartigen Zunahme mobiler Geräte und des Remote-Arbeitens von entscheidender Bedeutung, da die Benutzer zunehmend über Geräte, die sich nicht im Besitz des Unternehmens befinden, auf Cloud-Dienste zugreifen.

Suche nach einer Lösung, die Firewalls, Antiviren- und Internet-Sicherheitstools, Sicherheit für mobile Geräte und Tools zur Erkennung von Eindringlingen umfasst.

Erhalte die Sichtbarkeit deiner Cloud-Services

Die Nutzung von Cloud-Diensten kann vielfältig und flüchtig sein. Viele Organisationen nutzen mehrere Cloud-Dienste über eine Reihe von Anbietern und Regionen hinweg. Untersuchungen haben ergeben, dass Cloud-Ressourcen eine durchschnittliche Lebensdauer von 2 Stunden haben.

Diese Art von Verhalten schafft blinde Flecken in deiner Cloud-Umgebung. Wenn du sie nicht sehen kannst, kannst du sie nicht sichern.

Stelle sicher, dass du eine Cloud-Sicherheitslösung implementierst, die einen Überblick über dein gesamtes Ökosystem bietet. Dann kann die Nutzung der Cloud über all deine unterschiedlichen Ressourcen, Projekte und Regionen über ein einziges Portal überwacht und geschützt werden. Diese Sichtbarkeit hilft dir bei der Implementierung granularer Sicherheitsrichtlinien und bei der Minderung einer Vielzahl von Risiken.

Verschlüsselung implementieren

Die Verschlüsselung der Daten ist eine bewährte Sicherheitspraxis unabhängig vom Standort, die entscheidend ist, sobald man in die Cloud wechselt. Bei der Nutzung von Cloud-Services setzt man seine Daten einem erhöhten Risiko aus, indem man sie auf einer Drittanbieter-Plattform speichert und sie zwischen dem Netzwerk und dem Cloud-Service hin und her schickt.

Stelle sicher, dass du die höchsten Verschlüsselungsebenen für Daten sowohl während der Übertragung als auch im Ruhezustand implementierst. Du solltest auch die Verwendung eigener Verschlüsselungslösungen in Betracht ziehen, bevor du Daten in die Cloud hochlädst, wobei du deine eigenen Verschlüsselungsschlüssel verwendest, um die volle Kontrolle zu behalten.

Ein Cloud-Anbieter könnte integrierte Verschlüsselungsdienste anbieten, um die Daten vor Dritten zu schützen, aber er gewährt ihnen Zugang zu Ihren Verschlüsselungsschlüsseln.

Kinsta arbeitet mit einem vollständig verschlüsselten Ansatz, um seine sicheren Hosting-Lösungen weiter zu schützen. Das bedeutet, dass wir keine FTP-Verbindungen unterstützen, sondern nur verschlüsselte SFTP- und SSH-Verbindungen (hier ist der Unterschied zwischen FTP und SFTP).

Implementiere eine Richtlinie für starke Passwortsicherheit

Unabhängig von dem Dienst, auf den man zugreift, ist eine starke Passwortsicherheitspolitik die beste Praxis. Die Umsetzung einer möglichst strengen Richtlinie ist ein wichtiges Element zur Verhinderung von unberechtigtem Zugriff.

Als Mindestanforderung sollten alle Passwörter einen Großbuchstaben, einen Kleinbuchstaben, eine Zahl, ein Symbol und mindestens 14 Zeichen erfordern. Erzwinge, dass Benutzer ihr Passwort alle 90 Tage aktualisieren und es so einstellen, dass sich das System die letzten 24 Passwörter merkt.

Eine solche Passwort-Richtlinie hindert die Benutzer daran, einfache Passwörter auf mehreren Geräten zu erstellen, und schützt sie vor den meisten Brute-Force-Angriffen.

Als zusätzliche Ebene der bewährten Sicherheitsverfahren und des Schutzes solltest du auch eine Multi-Faktor-Authentifizierung implementieren. Der Benutzer muss zwei – oder mehr – Beweisstücke zur Authentifizierung seiner Identität hinzufügen.

Verwendung eines Cloud Access Security Brokers (CASB)

Die Verwendung eines CASB wird schnell zu einem zentralen Instrument zur Implementierung von Best Practice im Bereich der Cloud-Sicherheit. Es handelt sich um Software, die zwischen dir und deinen/m Cloud-Service-Anbieter(n) sitzt, um deine Sicherheitskontrollen in die Cloud zu erweitern.

Ein CASB bietet dir ein ausgeklügeltes Cloud-Sicherheits-Toolset, um einen Überblick über Ihr Cloud-Ökosystem zu erhalten, Datensicherheitsrichtlinien durchzusetzen, die Identifizierung und den Schutz vor Bedrohungen zu implementieren und die Einhaltung von Richtlinien zu gewährleisten.

Weitere Informationen zur Funktionsweise eines CASB findest du später im Leitfaden, einschließlich einer Liste der Top 5 CASB-Anbieter.

Top 10 Sicherheits Checkliste mit Empfehlungen für Cloud Kunden

Bei der Migration zur Cloud und der Auswahl eines Service Providers ist einer der wichtigsten Faktoren, den man berücksichtigen sollte, die Sicherheit. Du wirst Unternehmensdaten mit dem von dir gewählten Service Provider teilen und/oder speichern.

Du musst sicher sein, dass deine Daten sicher sind. Es gibt unzählige Sicherheitsfaktoren, die zu beachten sind, von der geteilten Verantwortung bis hin zur Frage, ob die Sicherheitsstandards des Anbieters den Anforderungen entsprechen. Dies kann ein entmutigender Prozess sein, besonders wenn man kein Sicherheitsexperte ist.

Zur Unterstützung haben wir eine Top-10-Sicherheitscheckliste bei der Bewertung eines Cloud-Service-Anbieters zusammengestellt.

1. Schutz von Daten im Transit und von Daten im Ruhezustand

Bei der Umstellung auf einen Cloud-Service ist der Schutz der Daten bei der Übertragung zwischen dir (dem Endbenutzer) und dem Anbieter ein Schlüsselelement der Sicherheit. Dies ist eine doppelte Verantwortung sowohl für dich als auch für den Anbieter. Man braucht einen Netzwerkschutz, um das Abfangen von Daten zu verhindern, und eine Verschlüsselung, um zu verhindern, dass ein Angreifer Daten lesen kann, falls sie abgefangen werden.

Suche nach einem Dienstleister, der dir eine Reihe von Werkzeugen anbietet, mit denen du deine Daten während der Übertragung und im Ruhezustand leicht verschlüsseln kannst. Dadurch wird das gleiche Schutzniveau für jede interne Datenübertragung innerhalb des Cloud-Service-Anbieters oder die Übertragung zwischen dem Cloud-Service-Anbieter und anderen Diensten, bei denen APIs offengelegt werden können, gewährleistet.

2. Schutz von Assets

Bei der Auswahl eines Cloud-Service-Anbieters muss der physische Standort, an dem deine Daten gespeichert, verarbeitet und verwaltet werden, bekannt sein. Dies ist besonders wichtig nach der Umsetzung von Regierungs- und Branchenvorschriften wie der DSGVO.

Um sicherzustellen, dass deine Assets geschützt sind, verfügt ein guter Anbieter über einen fortschrittlichen physischen Schutz in seinem Rechenzentrum, um deine Daten vor unbefugtem Zugriff zu schützen. Sie stellen auch sicher, dass deine Datenbestände gelöscht werden, bevor Ressourcen neu bereitgestellt oder entsorgt werden, um zu verhindern, dass sie in die falschen Hände gelangen.

3. Sichtbarkeit und Kontrolle

Ein Schlüsselfaktor für die Sicherheit ist die Fähigkeit, deine eigenen Daten zu sehen und zu kontrollieren. Ein guter Dienstleister wird dir eine Lösung anbieten, die eine vollständige Sichtbarkeit deiner Daten und derer, die auf sie zugreifen, unabhängig davon, wo sie sich befinden und wo du dich befindest, ermöglicht.

Dein Anbieter sollte eine Aktivitätsüberwachung anbieten, damit du Änderungen an der Konfiguration und Sicherheit in deinem gesamten Ökosystem feststellen kannst. Außerdem sollte er die Einhaltung von Vorschriften bei der Integration neuer und bestehender Lösungen unterstützen.

4. Vertrauenswürdiger Sicherheitsmarktplatz und Partnernetzwerk

Für die Sicherung deiner Cloud-Bereitstellung ist mehr als eine Lösung oder ein Partner erforderlich. Ein guter Cloud-Service-Anbieter wird es dir leicht machen, verschiedene Partner und Lösungen über einen Marktplatz zu finden und mit ihnen in Verbindung zu treten.

Suche nach einem Anbieter mit einem Marktplatz, der ein kuratiertes Netzwerk von vertrauenswürdigen Partnern mit einer nachgewiesenen Erfolgsbilanz im Bereich Sicherheit anbietet. Der Marktplatz sollte auch Sicherheitslösungen anbieten, die eine Bereitstellung mit einem Klick ermöglichen und deine Daten sichern, unabhängig davon, ob sie in einer öffentlichen, privaten oder hybriden Cloud-Bereitstellung betrieben werden.

5. Sichere Benutzerverwaltung

Ein guter Cloud-Service-Anbieter wird Werkzeuge anbieten, die eine sichere Verwaltung der Benutzer ermöglichen. Dies wird dazu beitragen, den unbefugten Zugriff auf Verwaltungsschnittstellen und -verfahren zu verhindern, um sicherzustellen, dass Anwendungen, Daten und Ressourcen nicht gefährdet werden.

Der Cloud-Anbieter sollte auch Funktionen zur Implementierung von Sicherheitsprotokollen anbieten, die Benutzer trennen und verhindern, dass ein böswilliger (oder kompromittierter) Benutzer die Dienste und Daten eines anderen beeinträchtigt.

6. Compliance und Sicherheitsintegration

Wenn man einen Cloud-Service-Anbieter in Betracht zieht, gehen Sicherheit und Compliance Hand in Hand. Diese sollte globale Compliance-Anforderungen erfüllen, die von einer Drittorganisation validiert werden. Es soll ein Cloud-Service-Anbieter sein, der sich an die Best Practices der Branche für Cloud-Sicherheit hält und idealerweise über eine anerkannte Zertifizierung verfügt.

Das Security, Trust, and Assurance Registry (STAR)-Programm der Cloud Security Alliance ist ein guter Indikator. Wenn du in einer stark regulierten Branche tätig bist – in der HIPPA, PCI-DSS und DSGVO gelten könnten – musst du außerdem einen Anbieter mit branchenspezifischer Zertifizierung finden.

Um sicherzustellen, dass deine Bemühungen um die Einhaltung der Vorschriften sowohl kosteneffektiv als auch effizient sind, sollte der Cloud-Service-Anbieter dir die Möglichkeit bieten, seine Sicherheitskontrollen in deine eigenen Vorschriften- und Zertifizierungsprogramme zu übernehmen.

7. Identität und Authentifizierung

Der Anbieter deiner Cloud sollte sicherstellen, dass der Zugang zu jeder Service-Schnittstelle nur autorisierten und authentifizierten Personen vorbehalten ist.

Wenn man sich Anbieter anschaut, sollte man einen Dienst, der Identitäts- und Authentifizierungsmerkmale wie Benutzername und Kennwort, Zwei-Faktor-Authentifizierung, TLS-Client-Zertifikate und Identitätsverbund mit deinem bestehenden Identitätsanbieter bietet.

Außerdem sollte man die Möglichkeit haben, den Zugriff auf eine Standleitung, ein Unternehmens- oder Gemeinschaftsnetzwerk zu beschränken. Ein guter Anbieter bietet die Authentifizierung nur über sichere Kanäle – wie HTTPS – an, um ein Abhören zu vermeiden.

Stelle sicher, dass du Dienste mit schwachen Authentifizierungspraktiken vermeidest. Dadurch werden deine Systeme einem unbefugten Zugriff ausgesetzt, der zu Datendiebstahl, Änderungen an deinem Dienst oder einer Dienstverweigerung führt. Vermeide auch die Authentifizierung über E-Mail, HTTP oder Telefon.

Diese sind extrem anfällig für Social Engineering und das Abfangen von Identitäts- und Authentifizierungsdaten.

8. Operative Sicherheit

Bei der Entscheidung für einen Cloud-Service empfiehlt es sich, einen Anbieter zu suchen, der eine starke Betriebssicherheit implementiert, um Angriffe zu erkennen und zu verhindern. Dies sollte vier Kernelemente umfassen:

Konfigurations- und Änderungsmanagement

Es soll ein Anbieter sein, der Transparenz über die Assets bietet, aus denen sich der Dienst zusammensetzt, einschließlich aller Konfigurationen oder Abhängigkeiten. Er sollte über alle Änderungen am Dienst, die die Sicherheit beeinträchtigen könnten, informieren, um sicherzustellen, dass keine Schwachstellen auftreten.

Management von Schwachstellen

Dein Anbieter sollte über ein Schwachstellenmanagement verfügen, um neue Bedrohungen für seinen Dienst zu erkennen und zu mindern. Man sollte Sie über diese Bedrohungen, ihren Schweregrad und den geplanten Zeitplan für die Bedrohungseindämmung, der auch die Lösung der Probleme umfasst, auf dem Laufenden gehalten werden.

Schützende Überwachung

Jeder Anbieter, der sein Geld wert ist, verfügt über fortschrittliche Überwachungsinstrumente, um jeden Angriff, Missbrauch oder jede Störung des Dienstes zu erkennen. Sie werden schnell und entschlossen handeln, um auf etwaige Vorfälle zu reagieren – und dich über das Ergebnis auf dem Laufenden halten.

Wir bei Kinsta sind stolz darauf, die höchsten operativen Sicherheitsstandards für Hosting-Lösungen zu liefern. Dazu gehören die Implementierung der neuesten Sicherheitsupdates, die kontinuierliche Überwachung der Betriebszeit, automatische Backups sowie aktive und passive Maßnahmen zur Abwehr von Angriffen.

Fazit: Deine Website wird rund um die Uhr überwacht und gesichert.

Vorfall-Management

Ihr idealer Anbieter verfügt über einen vorgeplanten Prozess für das Management von Zwischenfällen für die üblichen Arten von Angriffen. Er wird bereit sein, diesen Prozess als Reaktion auf jeden Angriff einzusetzen.

Es wird einen klaren Kontaktweg zu dir geben, um Vorfälle zu melden, mit einem akzeptablen Zeitrahmen und Format.

9. Personelle Sicherheit

Du brauchst einen Cloud-Service-Anbieter, dessen Mitarbeitern du vertrauen kannst, da sie Zugang zu deinen Systemen und Daten haben. Der von dir gewählte Cloud-Service-Provider verfügt über ein strenges und transparentes Sicherheitskontrollverfahren.

Er sollte in der Lage sein, die Identität seines Personals und sein Recht auf Arbeit zu verifizieren und nach nicht ausgegebenen strafrechtlichen Verurteilungen zu suchen. Im Idealfall sollten sie den in dem jeweiligen Land geltenden Screening-Standards entsprechen, wie z.B. BS 7858:2019 für Großbritannien oder das Ausfüllen des Formulars I-9 in den USA.

Zusätzlich zur Überprüfung soll ein Dienstleister vorhanden sein, der sicherstellt, dass sein Personal seine inhärenten Sicherheitsaufgaben versteht und regelmäßig geschult wird. Sie sollten auch über eine Richtlinie verfügen, die die Anzahl der Personen, die Zugang zu deinen Diensten haben und diese beeinflussen können, auf ein Minimum reduziert.

10. Sichere Nutzung des Dienstes

Man kann einen Cloud-Anbieter mit modernster Sicherheit wählen und dennoch einen Verstoß durch schlechte Nutzung des Dienstes erleben. Es ist wichtig zu verstehen, wo die Sicherheitsverantwortung bei der Nutzung des Dienstes liegt.

Der Grad der Verantwortlichkeit wird von dem Modell der Cloud-Bereitstellung, der Art und Weise, wie du die Dienste nutzt, und den integrierten Funktionen der einzelnen Dienste beeinflusst.

Beispielsweise hast du bei IaaS erhebliche Sicherheitsverantwortung. Bei der Bereitstellung einer Compute-Instanz obliegt es dir, ein modernes Betriebssystem zu installieren, die Sicherheit zu konfigurieren und laufende Patches und Wartung zu gewährleisten. Dasselbe gilt für jede Anwendung, die du auf dieser Instanz bereitstellst.

Vergewissere dich also, dass du die Sicherheitsanforderungen des von dir gewählten Dienstes und die dir zur Verfügung stehenden Optionen für die Sicherheitskonfiguration verstehst. Stelle sicher, dass du auch deine Mitarbeiter in der sicheren Nutzung der von Ihnen gewählten Dienste schulst.

Was ist die Cloud Security Alliance?

Wenn wir uns die Cloud-Computing-Branche ansehen, ist es ein uneinheitlicher Markt ohne ein zentrales Führungsgremium, an das sich Unternehmen wenden können. Dies kann frustrierend sein, besonders wenn es um Herausforderungen wie die Sicherheit in der Cloud geht.

Glücklicherweise gibt es an Stelle von Führungsgremien eine Reihe von Organisationen, die sich der Unterstützung der Branche widmen. Die Cloud Security Alliance ist eine solche Organisation.

Die Cloud Security Alliance (CSA) ist eine gemeinnützige Organisation, die sich der Entwicklung und Sensibilisierung für bewährte Verfahren zur Aufrechterhaltung einer sicheren Cloud Computing-Umgebung widmet.

Es handelt sich um eine Mitgliederorganisation, die der Branche cloudspezifische Sicherheitsberatung in Form von Ausbildung, Forschung, Veranstaltungen und Produkten anbietet. Diese Beratung wird direkt aus der kombinierten Fachkompetenz von Fachleuten aus der Industrie, Verbänden, Regierungen und den Einzel- und Unternehmensmitgliedern der CSA gewonnen.

Um dir ein besseres Verständnis der Cloud Security Alliance zu vermitteln, wollen wir uns näher ansehen, wie sie die Industrie unterstützt.

Mitgliedschaft

Der CSA baut auf dem Fundament seiner Mitglieder auf. Der Beitritt zur CSA als Mitglied eröffnet eine Reihe unterschiedlicher Vorteile, je nachdem, ob es sich um eine Einzelperson, ein Unternehmen oder einen Lösungsanbieter handelt.

In erster Linie fallen diese in ähnliche Kategorien, darunter der Zugang zu ihrem Expertennetzwerk anderer Mitglieder, ein Sitz im Internationalen Normungsrat, Rabatte auf Schulungen und der Zugang zu exklusiven Veranstaltungen und Webinaren.

Zusicherung

Die CSA hat eines der renommiertesten Zertifizierungsprogramme für Cloud-Sicherheit entwickelt: das Security, Trust & Assurance Registry (STAR).

STAR ist ein Anbieter-Assurance-Programm, das Transparenz durch Selbstbewertung, Prüfung durch Dritte und kontinuierliche Überwachung anhand von Standards bietet. Das Programm besteht aus drei Stufen, mit denen der Inhaber nachweisen kann, dass er sich an bewährte Praktiken hält und gleichzeitig die Sicherheit seiner Cloud-Angebote validiert.

Ausbildung

Um die kontinuierliche Verbesserung der Cloud-Sicherheit in der Branche zu unterstützen, bietet die CSA eine Reihe von Bildungsangeboten an. Man kann einer Reihe von Cloud-Sicherheitszertifizierungen nachgehen, die von der CSA entwickelt wurden, auf ihr Wissenszentrum zugreifen und an ihren regelmäßig stattfindenden Schulungs-Webinaren und -Veranstaltungen teilnehmen.

Forschung

Die CSA unterstützt die Industrie weiterhin bei der Entwicklung und Innovation von Best Practices für die Cloud-Sicherheit durch ihre laufende Forschung. Dies wird durch ihre Arbeitsgruppen vorangetrieben, die mittlerweile 30 Bereiche der Cloud-Sicherheit abdecken.

Zu den jüngsten und modernsten gehören die Entstehung von Arbeitsgruppen für DevSecOps, das Internet der Dinge, künstliche Intelligenz und Blockchain. Die CSA veröffentlicht ihre Forschungsergebnisse kontinuierlich – kostenlos – und stellt damit sicher, dass die Branche über die sich ständig ändernde Natur der Cloud-Sicherheit auf dem Laufenden und informiert bleibt.

Gemeinschaft

Die CSA unterstützt die Branche auch dadurch, dass sie die Cloud-Sicherheits-Community weiterhin aufrechterhält und weiterentwickelt. Sie haben eine breite Palette von Gemeinschaften geschaffen und unterhalten, die es Köpfen aus der gesamten Cloud-Sicherheitsbranche ermöglichen, sich zu verbinden, Wissen auszutauschen und Innovationen zu fördern.

Diese wachsenden Gemeinschaften gibt es in vielen Formen. In den CSA-Kapiteln kann man sich mit lokalen Fachleuten und CSA-Summits verbinden, auf denen die besten Köpfe ihr Fachwissen mit der Masse teilen. Es gibt sogar den CSA-Blog, der eine Gemeinschaft von Followern beherbergt, die mit den Praktiken der CSA Schritt halten wollen.

Was ist die Kaspersky Security Cloud?

Wenn man über Cloud-Sicherheit spricht, ist es leicht, sich auf Unternehmen zu konzentrieren und den Bedarf an individuellen Konsumenten zu vergessen.

Wenn du auf Cloud-Dienste für deinen eigenen persönlichen Gebrauch zugreifst – Fotos, Dateien, Life-Admin – musst du über die Sicherheit deiner Daten nachdenken: Kaspersky Security Cloud, die neue adaptive, cloud-basierte Sicherheitslösung von Kaspersky.

Durch die Kombination der besten Funktionen und Anwendungen der Antiviren-Software von Kaspersky Lab wird ein reaktionsschneller Schutz für die Geräte der Benutzer vor digitalen Bedrohungen geschaffen.

Die Plattform wurde für Einzelanwender, nicht für Unternehmen entwickelt.

Die Kaspersky Security Cloud schützt die Geräte vor Malware und Viren, indem sie Funktionen hinzufügt, die die Art und Weise der Nutzung der einzelnen Geräte anpassen, um jederzeit maximalen Schutz zu gewährleisten. Sie bietet Funktionen wie Virenschutz, Anti-Ransomware, mobile Sicherheit, Passwortverwaltung, VPN, Kindersicherung und eine Reihe von Datenschutz-Tools.

Die Plattform ist für Windows, MacOS, Android und iOS verfügbar. Der Plan der Kaspersky Security Cloud Family bietet Schutz für bis zu 20 Geräte.

Kernfunktionalität in der Kaspersky Security Cloud

Um das Angebot der Kaspersky Security Cloud besser zu verstehen, haben wir uns die Kernfunktionalität innerhalb der Plattform, die in vier Abschnitte unterteilt ist, genauer angesehen:

Scan

Kaspersky Security Cloud bietet die kritischen Funktionen, die man sich von jeder Sicherheitslösung wünscht, und kann deine Geräte scannen und gefundene Malware oder Viren entfernen. Du kannst aus einer Reihe von Scan-Optionen wählen, darunter einzelne Dateien, Schnell-Scan, gesamtes System und zeitgesteuert.

Datenschutz

Du kannst deine Privatsphäre schützen, indem du deine Online-Konten überprüfst, um sicherzustellen, dass sie nicht gefährdet sind, den Zugriff auf deine Webcam blockieren und den Webseiten-Traffic blockieren, um zu verhindern, dass deine Surfaktivitäten überwacht werden.

Zusätzlich kann die Privatsphäre mit zusätzlichen Downloads von Kaspersky Secure Connection und Kaspersky Password Manager erweitert werden. Secure Connection verschlüsselt alle Daten, die du sendest und empfängst, und verbirgt gleichzeitig deinen Standort, während Password Manager deine Kennwörter speichert und sichert.

Heimnetzwerk

Home Network gibt dir die Übersicht über alle Geräte, die mit deinem Heimnetzwerk verbunden sind. Identifizierung der Geräte, die durch die Kaspersky Security Cloud geschützt sind. Diese Funktion ermöglicht es dir, dich benachrichtigen zu lassen, wenn ein neues Gerät angeschlossen wird, und auch unbekannte Geräte zu blockieren.

HD Health

Nützlich, aber einfach: Die HD Health-Funktionalität gibt dir eine Bewertung des Festplattenzustands und der Festplattentemperatur. Sie gibt Informationen zu Fehlerraten, Leistungszyklen, Einschaltstunden, Gesamtdatenmenge beim Lesen und Schreiben von Daten.

Die Kaspersky Security Cloud ist ein hervorragendes Beispiel dafür, wie die Einführung von Cloud-Diensten den Bedarf an neuen Sicherheitslösungen geschaffen hat.

Im nächsten Abschnitt betrachten wir ein ähnliches Beispiel in der Unternehmenswelt mit der Einführung von Cloud Access Security Brokern.

Was ist ein Cloud Access Security Broker (CASB)?

Ein Cloud Access Security Broker (CASB) ist eine Software, die zwischen dir, dem Kunden des Cloud-Service, und deinem/n Cloud-Service-Anbieter(n) angesiedelt ist. Ein CASB erweitert deine Sicherheitskontrollen von deiner lokalen Infrastruktur in die Cloud. Es hilft dir, Sicherheits-, Compliance- und Governance-Richtlinien für deine Cloud-Anwendungen durchzusetzen. Es befindet sich in der Regel vor Ort oder wird in der Cloud gehostet.

Ein CASB hilft bei der Abwehr hochgradiger Cloud-Sicherheitsrisiken und unterstützt die laufende Überwachung und Minderung von Hochrisiko-Ereignissen. Dies geschieht durch die Sicherung der Daten, die zwischen deiner Vor-Ort- und Cloud-Umgebung bewegt werden, unter Verwendung der Sicherheitsrichtlinien deines Unternehmens.

Ein CASB schützt dich mit Malware-Prävention vor Cyberattacken und sichert deine Daten mit einer End-to-End-Verschlüsselung, die externe Benutzer daran hindert, die Inhalte zu entschlüsseln.

Wie funktioniert ein CASB?

Ein CASB kann auf drei verschiedene Arten eingesetzt werden: als Reverse Proxy, Forward Proxy oder in einem „API-Modus“. Jede hat ihre eigenen Vor- und Nachteile, wobei viele Branchenexperten einen Multimode-Einsatz empfehlen.

Schauen wir uns die verschiedenen Einsatzmodi eines CASB näher an:

Reverse Proxy

Ein Reverse-Proxy sitzt vor dem Cloud-Service und bietet Inline-Sicherheitsfunktionen, indem er im Pfad des Netzwerkverkehrs sitzt. Die Verbindung des Reverse-Proxy-Brokers läuft vom Internet zu deinem Anwendungsserver und verbirgt dahinter Informationen, die von der ursprünglichen Quelle kommen.

Forward Proxy

Ein Forward Proxy sitzt vor dem Benutzer, wobei der CASB Proxy-Verkehr zu mehreren Cloud-Plattformen weiterleitet. Die Verbindung des Forward-Proxys läuft von dir, die hinter deiner Firewall sitzen, zum Internet. Wie der Reverse-Proxy bietet er auch Inline-Sicherheitsfunktionen.

API-Modus

Im Gegensatz zu den Proxy-Bereitstellungen ermöglicht die Verwendung der Anwendungsprogramm-Schnittstelle (API) die direkte Integration von CASB und einem Cloud-Service. Dadurch kann sowohl verwalteter als auch nicht verwalteter Datenverkehr gesichert werden.

Abhängig von der API-Funktionalität der Cloud-Service-Anbieter lassen sich Aktivität und Inhalt anzeigen und Durchsetzungsmaßnahmen ergreifen.

Die Säulen der Funktionalität in CASBs

Ein CASB bietet Funktionalität, die unter vier „Säulen“ fällt, nämlich

1. Sichtbarkeit

Wenn eine Cloud-Anwendung außerhalb des Blickfeldes deiner IT-Abteilung liegt, erstelle Informationen, die von den Governance-, Risiko- und Compliance-Prozessen deines Unternehmens nicht kontrolliert werden.

Mit einem CASB bekommst du einen Überblick über alle Cloud-Anwendungen und deren Nutzung. Dazu gehören wichtige Informationen darüber, wer die Plattform nutzt, welche Abteilung, welcher Standort und welche Geräte verwendet werden.

2. Datensicherheit

Die Verwendung einer Cloud-Plattform birgt ein erhöhtes Risiko, Daten versehentlich mit den falschen Personen zu teilen. Wenn du Cloud-Speicher verwendest, kann ein typisches Data Loss Prevention (DLP)-Tool nicht verfolgen oder kontrollieren, wer auf deine Daten zugreift.

Ein CASB hilft dir, datenzentrische Sicherheit innerhalb einer Cloud-Plattform durchzusetzen, indem es Verschlüsselung, Tokenisierung, Zugriffskontrolle und Verwaltung von Informationsrechten kombiniert.

3. Schutz vor Bedrohungen

Eine der am schwierigsten zu schützenden Sicherheitsbedrohungen ist das eigene Personal. Selbst ehemalige Mitarbeiter, die von den Kernsystemen deines Unternehmens aus deaktiviert wurden, können möglicherweise immer noch auf Cloud-Anwendungen mit geschäftskritischen Informationen zugreifen.

CASBs ermöglichen es dir, böswillige oder fahrlässige Insider-Bedrohungen, privilegierte Benutzer und kompromittierte Konten innerhalb deiner Cloud-Infrastruktur zu erkennen und darauf zu reagieren.

4. Konformität

Wenn deine Daten in die Cloud transferiert werden, musst du sicherstellen, dass du die Datensicherheit und den Datenschutz wahren, um die Branchen- und Regierungsvorschriften einzuhalten. Ein CASB übernimmt diese Aufgabe für dich, indem es DLP-Richtlinien für sensible Daten in deiner Cloud-Bereitstellung identifiziert und durchsetzt. Es hilft dir bei der Einhaltung von Vorschriften, einschließlich SOX und HIPAA.

Ein CASB hilft dir auch beim Benchmarking deiner Cloud-Sicherheitskonfiguration im Vergleich zu den wichtigsten gesetzlichen Anforderungen wie PCI DSS, NIST, CJIS, MAS und ISO 27001.

Die Top 5 Cloud Access Security Broker im Jahr 2020

Die Massenmigration von Diensten in die Cloud gepaart mit der Notwendigkeit, aufgrund der erheblichen Risiken von Datenverlusten und -verletzungen Cloud-Sicherheit zu implementieren, hat zu einer Explosion auf dem CASB-Markt geführt.

Als Technologie der nächsten Generation sind CASBs zu einem wesentlichen Element der Cloud-Sicherheitsstrategie geworden. Laut dem Bericht „Magic Quadrant for Cloud Access Brokers“ von Gartner nutzt jedes fünfte große Unternehmen ein CASB zur Sicherung oder Verwaltung seiner Cloud-Dienste:

Gartner hat fünf der führenden Unternehmen im CASB-Markt anhand ihres „Magic Quadrant“ identifiziert, darunter

McAfee

McAfee trat im Januar 2018 mit der Übernahme von Skyhigh Networks in den CASB-Markt ein. Die jetzt als MVISION Cloud bekannte Plattform bietet eine Abdeckung aller vier CASB-Säulen für eine breite Palette von Cloud-Diensten.

Die Plattform stellt eine umfassende DLP-Engine bereit und bietet erweiterte Kontrollmöglichkeiten, einschließlich Verschlüsselung und Tokenisierung von strukturierten und unstrukturierten Daten. Das CASB kann für API-Inspektionen mit Reverse-Proxy-Modus und Forward-Proxy eingesetzt werden.

McAfee hat auch eine virtuelle Anwendung vor Ort für diejenigen verfügbar gemacht, die diese benötigen.

Microsoft

Das CASB-Angebot von Microsoft heißt Microsoft Cloud Application Security. Die Plattform unterstützt mehrere Bereitstellungsmodi, einschließlich Reverse-Proxy und API-Konnektoren. Microsoft entwickelt die CASB-Lösung mit verbesserter Sichtbarkeit, Analyse, Datenkontrolle und innovativen Automatisierungsfunktionen weiter.

Microsoft Cloud Application Security lässt sich auch nativ in das wachsende Portfolio von Sicherheits- und Identitätslösungen von Microsoft integrieren, darunter Azure Active Directory und Microsoft Defender Advanced Threat Protection.

Dadurch kann Microsoft seinen Kunden eine vollständig integrierte Lösung für alle ihre Microsoft-Plattformen mit einem einzigen Mausklick anbieten.

Netskope

Im Gegensatz zu vielen Akteuren in der Branche, die lediglich CASB-Lösungsanbieter übernehmen, bleibt Netskope ein unabhängiges Unternehmen. Der Anbieter ist bekannt für hervorragende Leistungen bei der Anwendungserkennung und SaaS-Sicherheitsbeurteilung.

Netskope unterstützt Tausende von Cloud-Diensten durch veröffentlichte APIs und Inline-Dekodierung unveröffentlichter APIs. Das CASB bietet DLP und identifiziert Bedrohungen in Echtzeit mit Hilfe kombinierter Bedrohungsintelligenz, statischer und dynamischer Analyse und auf maschinelles Lernen basierender Anomalieerkennung.

Symantec

Das CASB-Angebot von Symantec heißt CloudSOC und wurde 2016 durch die Übernahme und Integration der Produkte Perspecsys und Elastica von Blue Coat Systems erweitert.

CloudSOC bietet DLP mit automatischer Datenklassifizierung und Multimode-Überwachung unter Verwendung nativer Cloud-APIs, Echtzeit-Verkehrsverarbeitung und Eingabe aus mehreren Datenfeeds. Du kannst Bedrohungen von innerhalb und außerhalb deines Unternehmens automatisch identifizieren und beseitigen, indem du erweiterte Analysen des Benutzerverhaltens (UBA) durchführst.

Bitglass

Bitglass Cloud Security wird als CASB der nächsten Generation bezeichnet, das für die Integration in jede Anwendung, jedes Gerät oder jedes Netzwerk entwickelt wurde.

Die Plattform läuft nativ aus der Cloud und ist als einziger Anbieter bekannt, der Unternehmensdaten auf mobilen Geräten ohne Verwendung von Agenten oder Profilen sichert. Bitglass ist durch die Einführung eines Zero-Day-Ansatzes, der sich auf Vertrauensbewertungen, Vertrauensstufen und Verschlüsselung im Ruhezustand konzentriert, in den Vordergrund gerückt.

Ein Blick auf die Top 10 Zertifizierungen für die Cloud Sicherheit im Jahr 2024

Um deine Cloud-Plattform erfolgreich zu schützen, benötigst du fortgeschrittene Fähigkeiten und Kenntnisse im Bereich der Cloud-Sicherheit. Außerdem musst du plattformspezifische Kenntnisse erwerben, damit du den Zugriff und die Netzwerksicherheit konfigurieren und den Datenschutz innerhalb des gewählten Cloud-Anbieters gewährleisten kannst.

Glücklicherweise entwickelt sich der Markt für Cloud-Schulungen und -Zertifizierungen ständig weiter und bietet eine Reihe von Lösungen an. Du kannst jetzt aus einer breiten Palette plattformspezifischer und herstellerneutraler Zertifizierungen wählen, um die benötigten Fähigkeiten zu entwickeln und nachzuweisen. Egal, ob du Grundlagenwissen aufbauen oder deine Fähigkeiten auf eine bestimmte Arbeitsaufgabe zuschneiden möchtest, es gibt eine Zertifizierung für dich.

Um dir bei deiner Suche zu helfen, haben wir eine Liste der 10 wichtigsten Cloud-Sicherheitszertifizierungen zusammengestellt, die im Jahr 2020 erreicht werden können.

Wenn du auch nur eine dieser Zertifizierungen bekommst, kannst du nicht nur deine Cloud-Bereitstellung besser absichern, sondern auch deine Beschäftigungsfähigkeit verbessern und dein Gehalt erhöhen.

(ISC)2 – Certified Cloud Security Professional (CCSP)

Das CCSP ist eine weltweit anerkannte Cloud-Sicherheitszertifizierung, die sich an Führungskräfte der IT- und Informationssicherheit richtet.

Der Erwerb des CCSP zeigt, dass du über die fortgeschrittenen technischen Fähigkeiten und Kenntnisse verfügst, um Daten, Anwendungen und Infrastruktur in der Cloud zu entwerfen, zu verwalten und zu sichern. Dazu nutzt man die besten Methoden, Verfahren und Richtlinien, die von Cybersicherheitsexperten der (ISC)2 entwickelt wurden. Das CCSP ist ideal, wenn du ein Unternehmensarchitekt, Systemingenieur, Sicherheitsadministrator, Architekt, Ingenieur oder Manager bist.

Vor der Ausbildung und der CCSP-Prüfung muss man einige strenge Anforderungen an die Erfahrung erfüllen. Man muss fünf Jahre Vollzeit-Erfahrung in der IT-Branche haben, davon drei Jahre in der Cybersicherheit und ein Jahr in einem oder mehreren der sechs Bereiche des CCSP CBK. Du kannst die Anforderungen an die Erfahrung ersetzen, die du mit dem CISSP-Zertifikat „The World’s Premier Cyber Security Certification“ (ISC)² für Fortgeschrittene erfüllen musst.

Cloud Security Alliance – Certificate of Cloud Security Knowledge (CCSK)

Das CCSK-Zertifikat ist eine weithin anerkannte Einstiegszertifizierung in die Cloud-Sicherheit. Es wurde von der Cloud Security Alliance entwickelt, einer Mitgliedsorganisation, die dazu beiträgt, sichere Cloud-Computing-Umgebungen zu gewährleisten, indem sie die besten Methoden der Branche definiert und das Bewusstsein dafür schärft.

Mit dem Erwerb der CCSK-Zertifizierung weist man nach, dass man über die grundlegenden Fähigkeiten und Kenntnisse verfügt, die für die Sicherung von Daten in der Cloud erforderlich sind. Du lernst, wie du eine Grundlinie von Best Practices für die Sicherheit aufbaust, die einer Reihe von Verantwortlichkeiten zugeordnet sind, von der Konfiguration technischer Sicherheitskontrollen bis hin zur Cloud-Governance.

Mit der CCSK-Zertifizierung erfüllen Sie auch einige Voraussetzungen, die erforderlich sind, wenn du beabsichtigst, die fortgeschrittenere CCSP-Zertifizierung von (ISC)² zu erlangen.

AWS Certified Security – Specialty

Der AWS Certified Security – Speciality-Berechtigungsnachweis ist ideal, wenn du deine Karriere durch die Arbeit mit der AWS-Cloud-Plattform weiterentwickeln möchtest.

Mit dem AWS Certified Security – Spezialzertifikat kannst du deine Fähigkeiten über Datenklassifizierungen, Verschlüsselungsmethoden, sichere Internetprotokolle und die für deren Implementierung erforderlichen AWS-Mechanismen hinweg validieren.

Bei der Arbeit an der Zertifizierung steht dir ein vielfältiger Lernpfad zur Verfügung, um dein Wissen und deine Fähigkeiten in den Bereichen Sicherheitsgrundlagen, Architektur und Sicherheitstechnik für AWS zu verbessern. Am Ende des Kurses kannst du die Kontrolle und das Vertrauen entwickeln, um Anwendungen in der AWS-Cloud sicher auszuführen.

Um mit der Arbeit an der Zertifizierung zu beginnen, solltest du in einer Sicherheitsrolle sein und mindestens zwei Jahre praktische Erfahrung mit der Sicherung von AWS-Arbeitslasten haben.

Microsoft Certified: Azure Security Engineer Associate

Kürzlich hat Microsoft seine Zertifizierungspfade auf rollenbasiert umgestellt. Mit dem Erwerb einer der Zertifizierungen weist man nun nach, dass man über die erforderlichen Fähigkeiten und Kenntnisse verfügt, um eine bestimmte Aufgabe zu erfüllen.

Die Zertifizierung zum Azure Security Engineer Associate zeigt also, dass man über die Fähigkeiten verfügt, um als Security Engineer auf der Azure-Cloud-Plattform tätig zu sein. Dies schließt die Fähigkeit ein, Daten, Anwendungen und Netzwerke in einer Cloud-Umgebung zu schützen. Die Implementierung von Sicherheitskontrollen und Bedrohungsschutz sowie die Verwaltung von Identität und Zugriff.

Vor dem Einsatz des AZ-500 sind keine Vorkenntnisse erforderlich: Microsoft Azure Security Technologies Prüfung zu absolvieren.

Google Cloud – Professional Cloud Security Engineer

Der Erwerb des Zertifikats „Professional Cloud Security Engineer“ von Google beweist, dass man eine sichere Infrastruktur auf der Google-Cloud-Plattform entwerfen, entwickeln, implementieren und verwalten kann. Dazu nutzt man die Sicherheitstechnologien von Google, die sich an den besten Sicherheitsverfahren und den Anforderungen der Branche orientieren.

Wenn du die Zertifizierung zum professionellen Cloud-Sicherheitsingenieur absolvieren möchtest, musst du lernen, wie du den Zugriff und die Netzwerksicherheit konfigurierst und den Datenschutz innerhalb der Google Cloud-Plattform gewährleisten kannst. Außerdem muss das Wissen entwickelt werden, um die Konformität und die verwalteten Abläufe zu gewährleisten.

Wie die Azure- und AWS-Zertifizierungen ist dieser Nachweis ideal, wenn du Cloud-Sicherheitskenntnisse speziell für die Google Cloud-Plattform entwickeln möchtest. Durch diesen führenden Cloud-Anbieter kannst du deine Karriere vorantreiben.

Alibaba ACA Cloud Security Certification

Diese ACA-Cloud-Sicherheitszertifizierung ist die erste in einem Zertifizierungspfad von Alibaba. Mit dem Erwerb dieser Zertifizierung weist man nach, dass man über das grundlegende Wissen verfügt, um die Prinzipien der Cloud-Sicherheit in einer Alibaba-Cloud-Bereitstellung anzuwenden.

Du wirst grundlegende Fähigkeiten mit Linux und Netzwerkoperationen entwickeln. Gleichzeitig lernst du auch etwas über Hosting-, Anwendungs-, Netzwerk- und Datensicherheitslösungen innerhalb der Alibaba-Cloud-Plattform. Du wirst mehrere wichtige Sicherheitsprodukte von Alibaba abdecken, darunter Server Guard, WAF, Anit-DDoS Basic und Pro.

Nachdem du die Zertifizierung auf Associate-Ebene erreicht hast, kannst du die Alibaba ACP Cloud Security-Zertifizierung absolvieren.

Alibaba ACP Cloud Security Certification

Die ACP-Cloud-Sicherheitszertifizierung ist die zweite Zertifizierung im Alibaba-Cloud-Sicherheitspfad. Es handelt sich um eine fortgeschrittenere Zertifizierung, die sich an Architekten, Entwickler und O&M-Fachleute richtet, die mit Alibaba-Cloud-Sicherheitsprodukten arbeiten.

Aufbauend auf den grundlegenden Fähigkeiten und Kenntnissen, die in der ACA-Cloud-Sicherheitszertifizierung erworben wurden, lernt man die Kernprodukte von Alibaba Cloud in den Bereichen Sicherheit, Überwachung und Management kennen.

Sobald du die Zertifizierung auf der Professional-Ebene erreicht hast, kannst du die Alibaba ACE Cloud Security-Zertifizierung absolvieren. Die Zertifizierung auf Expertenebene befindet sich jedoch noch in der Entwicklung und wird voraussichtlich bald eingeführt.

Cloud Credential Council – Professional Cloud Security Manager Certification (PCS)

Die CCC Professional Cloud Security Manager-Zertifizierung ist eine erweiterte Zertifizierung des Cloud Credential Council. Sie ist ideal geeignet, wenn du ein Governance- und Risikoprofi, ein Spezialist für die Einhaltung von Vorschriften oder ein Spezialist für Cloud Computing bist.

Auf dem Weg zur Zertifizierung lernst du die Fähigkeiten und Kenntnisse, um in einer Cloud-Umgebung bewährte Verfahren für Sicherheit und Governance anzuwenden. Dabei werden Schlüsselthemen wie Cloud-Service-Management, Governance und Strategie behandelt. Außerdem lernst du, wie du einen Cloud-Service in einer sicheren Umgebung entwirfst, einsetzt und migrierst.

Aufgrund des fortgeschrittenen Charakters der Zertifizierung wird empfohlen, dass du bereits im Besitz des CCC Cloud Technology Associate und der CCC Cloud Virtualization Essentials bist, die von EXIN bereitgestellt werden.

Oracle Cloud Platform Identity and Security Management 2019 Certified Associate

Der Titel der Cloud-Sicherheitszertifizierung von Oracle ist selbsterklärend, man lernt etwas über das Identitäts- und Sicherheitsmanagement auf der Oracle Cloud-Plattform. Ideal, wenn du ein Sicherheitsexperte sind, der seine Kompetenz bei der Implementierung von Cloud-Lösungen unter Beweis stellen möchte.

Zur Vorbereitung auf die Zertifizierung werden die wichtigsten Sicherheitsfunktionen der Oracle Cloud-Plattform behandelt. Aufbau von Kenntnissen und Fähigkeiten zur Implementierung von Oracle Identity Cloud Service, Oracle CASB Cloud Service, Service-Architektur und -Bereitstellung sowie Identity Security Operations Center Framework

Wenn du die 1Z0-1070-Prüfung bestehst, wirst du als Oracle Certified Associate (OCA) zertifiziert, ein weltweit anerkanntes Zeugnis. Du wirst deine Fähigkeiten mit dem Oracle Cloud Security-Portfolio validieren, einschließlich der Konfiguration der Dienste. Bevor du anfangen kannst, brauchst du aktuelle und praktische Erfahrung mit Cloud-Security-Implementierungen in einer Administratorrolle.

SANS SEC524: Cloud Security and Risk Fundamentals

Die SEC524: Cloud Security and Risk Fundamentals ist ein Kurs, keine Zertifizierung. Ich habe ihn trotzdem aufgenommen, da er wichtige Fähigkeiten und Kenntnisse vermittelt, die von den anderen aufgeführten Zertifizierungen nicht abgedeckt werden.

Am wichtigsten ist, dass man lernt, wie man die Sicherheit verschiedener Cloud-Anbieter bewertet. Es werden die Cloud-Computing-Bereitstellungsmodelle – SaaS, PaaS und IaaS – und ihre einzigartigen Sicherheitsanforderungen abgedeckt. Sowie zusätzliche Sicherheitsüberlegungen beim Betrieb in einem öffentlichen, privaten oder hybriden Cloud-Szenario.

Am Ende des Kurses steht einem eine Reihe von Schlüsselfähigkeiten zur Verfügung. Wie man Cloud-Verträge bewertet, Sicherheitsarchitektur, Tools und Prozesse für den Einsatz in Cloud-Umgebungen anpasst und Schwachstellenbewertungen Ihres Cloud-Setups durchführt.

Zusammenfassung

Wenn man auf die Cloud umsteigt, muss man vom ersten Tag an bereit sein, eine umfassende Cloud-Sicherheitsstrategie zu implementieren. Dies beginnt mit der Identifizierung des/der richtigen Cloud-Service-Anbieter(s) und der anschließenden Implementierung einer Strategie, die die richtigen Tools, Prozesse, Richtlinien und Best Practices kombiniert.

Es ist von grundlegender Bedeutung, dass man sich seiner gemeinsamen Verantwortung bewusst ist und sich auf die Einhaltung von Vorschriften konzentriert.

Bei der Cloud-Sicherheit gehören deine Mitarbeiter – oder die deines Cloud-Anbieters – zu den wichtigsten und oft übersehenen Aspekten der Abwehr von Cyberkriminellen.

Es ist wichtig, daran zu denken, dass Cloud Computing nicht weniger sicher ist als die Bereitstellung deiner Dienste vor Ort. Tatsächlich bieten viele Cloud-Anbieter fortschrittliche Sicherheitshardware und -software an, auf die du sonst keinen Zugriff hättest.

Die Wahl des richtigen Anbieters wird deine Sicherheitsposition verbessern und deine Risiken verringern, unabhängig von den durch Cloud Computing eingeführten Risiken.