Hybrid-Cloud-Sicherheit

Hybrid Cloud ist eine zunehmend beliebte Infrastrukturoption für Unternehmen in Branchen von der Spieleentwicklung bis zur Finanzwirtschaft. Aber was ist das, und was sind die effektivsten Hybrid-Cloud-Sicherheitspraktiken zum Schutz Ihrer sensiblen und regulierten Daten?

Was ist eine Hybrid Cloud?

Eine Hybrid-Cloud ist eine Bereitstellung, die sowohl einen öffentlichen Cloud-Dienst als auch einen oder mehrere private Cloud-Dienste verwendet. (Ein traditionelles lokales Rechenzentrum kann ebenfalls in die Kombination einbezogen werden.)

Öffentliche Cloud

Eine öffentliche Cloud wird von einem Drittanbieter gehostet und alle Ressourcen werden über das Internet bereitgestellt. Beispiele hierfür sind Amazon Web Services (AWS), Google Cloud und Microsoft Azure. Zu den wichtigsten Vorteilen gehören:

• Keine Wartung — Der Drittanbieter kümmert sich um Hardware- und Softwareprobleme, Patches und Upgrades für Sie.
• Kosteneffizienz — Sie müssen keine eigene Hardware oder Software-Ressourcen kaufen und zahlen nur für die Dienste, die Sie tatsächlich benötigen und nutzen.
• Zuverlässigkeit — Dank des umfangreichen Servernetzwerks in öffentlichen Cloud-Systemen können Sie sich auf einen zuverlässigen Service verlassen.
• Skalierbarkeit — Ein umfangreiches Netzwerk von Servern und Ressourcen auf Abruf bedeutet, dass Sie Ihre Dienste schnell und einfach skalieren können.
• Optionen — Sie können die Kombination verschiedener Cloud-Service-Modelle (IaaS, PaaS, SaaS) wählen, die am besten zu Ihren Geschäftsanforderungen passt.

Private Cloud

Eine private Cloud besteht aus einer Infrastruktur, die ausschließlich von einer Organisation genutzt wird. Sie kann sowohl vor Ort als auch in externen Rechenzentren gehostet werden. Private Cloud-Systeme haben ihre eigenen, deutlichen Vorteile:

• Größere Flexibilität — Sie können ein privates Cloud-System entsprechend den Bedürfnissen Ihrer Organisation anpassen.
• Bessere Sicherheit — Da seine Ressourcen mit keinem anderen Unternehmen geteilt werden, könnte eine private Cloud ein besserer Ort für sensible Daten sein.

Vorteile der Hybrid-Cloud

Ein hybrides Cloud-Modell bietet die Vorteile beider Cloud-Speichertypen, zusammen mit der Fähigkeit, Arbeitslasten zu trennen und die Flexibilität, das zu kombinieren, was Sie von jedem Dienst benötigen. Zum Beispiel können Sie Ihre sensiblen und geschäftskritischen Daten in einer privaten Cloud speichern und den Rest in der öffentlichen Cloud lagern, um Kosten und Verfügbarkeit zu optimieren, während Sie Risiken minimieren und regulatorischen Anforderungen gerecht werden.

Was ist Hybrid-Cloud-Sicherheit?

Hybrid-Cloud-Sicherheit bezieht sich auf die Prozesse und Verfahren, die verwendet werden, um Daten, Anwendungen und Infrastruktur in der Hybrid-Cloud-Umgebung zu schützen. Dazu gehört die Sicherstellung der Datensicherheit sowohl im Ruhezustand als auch bei der Übertragung, sowie die Orchestrierung von Kontrollen über die verschiedenen Cloud-Anbieter und alle lokalen Komponenten.

Komponenten der Hybrid-Cloud-Sicherheit

Es gibt mehrere Sicherheitsebenen, die für die Hybrid Cloud erforderlich sind: physische, technische und administrative.

Physische Sicherheit

Für Ihre öffentlichen Cloud-Komponenten ist die physische Sicherheit die Verantwortung der Anbieter. Für Ihre private Cloud sollte Ihre interne Infrastruktur über Kameras, Schlösser, begrenzten physischen Zugang und eine kontrollierte Umgebung verfügen (achten Sie auf Feuchtigkeitsniveaus, Temperatur, Wasserlecks usw.).

Technische Sicherheit

Eine Vielzahl von Sicherheitsmaßnahmen und Protokollen muss vorhanden sein, um einen starken Datenschutz zu gewährleisten und Datenverletzungen zu verhindern. Typischerweise gehören dazu:

• Verschlüsselung — Daten im Übertragungsweg benötigen andere Verschlüsselungsmethoden als ruhende Daten. Für Daten im Übertragungsweg stellen Sie eine angemessene Verschlüsselung der Netzwerksitzung sicher. Für ruhende Daten sorgen Sie für eine vollständige Festplattenverschlüsselung und Hardwareverschlüsselung.
• VPNs — Virtuelle private Netzwerke bieten sichere Verbindungen zwischen Komponenten, die in unterschiedlichen Umgebungen ausgeführt werden.
• Andere Sicherheitsmaßnahmen — Nutzen Sie rollenbasierte Zugriffskontrolle, Änderungsüberwachung, zuverlässige Datenbackup, Endpunktsicherheit und Multi-Faktor-Authentifizierung.

Administrative Sicherheit

Administrative Sicherheit umfasst dokumentierte Regeln und Verfahren, wie zum Beispiel:

• Risikobewertung Prozesse
• Notfallwiederherstellungspläne
• Data protection policies
• Mitarbeiterschulung

Wie man gängige Sicherheitsherausforderungen in der Hybrid-Cloud überwindet

IT-Profis in Unternehmen auf der ganzen Welt halten hybride Cloud-Umgebungen für die sicherste Cloud-Bereitstellungsoption; tatsächlich haben 85 % die hybride Cloud als ihr ideales IT-Betriebsmodell ausgewählt.

Dennoch gibt es mehrere Sicherheitsherausforderungen, die für eine hybride Umgebung aus privaten und öffentlichen Cloud-Diensten einzigartig sind:

Mangel an Klarheit über die Verantwortlichkeit

Unklar definierte SLAs und schlechte Kommunikation mit dem Cloud-Anbieter können zu Fragen führen, wer für einen Ausfall oder Vorfall verantwortlich ist, und Herausforderungen bei der Beilegung von Streitigkeiten oder der Reaktion auf einen Sicherheitsvorfall darstellen.

Um dies zu vermeiden, weisen Sie Arbeitslasten eindeutig bestimmten Teilen der Hybrid Cloud zu. Jede Arbeitslast und/oder Teil der Cloud sollte einen eigenen Ausfall- und Vorfallplan sowie spezifische Sicherheits- und Leistungskontrollen haben.

Herausforderungen im Bereich der Sicherheitsgovernance

Jeder private und öffentliche Cloud-Dienst hat seine eigenen einzigartigen Sicherheits- und Datenschutzmerkmale. Die Bewegung von Daten zwischen ihnen kann zu einem Verlust an Sichtbarkeit und Kontrolle führen.

Um diese Herausforderung zu bewältigen, stellen Sie sicher, dass angemessene Sicherheitsprozesse sowohl für öffentliche als auch für private Cloud-Dienste sowie für alle internen Systeme vorhanden sind. Definieren Sie klar die Verantwortlichkeiten für die Sicherheitssteuerung zwischen Ihnen und Ihrem Cloud-Anbieter. Überwachen Sie sorgfältig alle Aktivitäten rund um die Daten, die Sie in öffentlichen und privaten Clouds speichern. Stellen Sie sicher, dass alle Vorfälle sofort zwischen Ihnen und Ihrem Cloud-Anbieter kommuniziert werden.

Compliance- und rechtliche Risiken

Sensible Daten, die frei zwischen öffentlichen und privaten Umgebungen übertragen werden, können zu Compliance- und Rechtsproblemen führen. In stark regulierten Branchen wie dem Gesundheitswesen, der Regierung und der Finanzwirtschaft können selbst kleine Fehler in Richtlinien zu ernsthaften Bußgeldern oder sogar Klagen führen.

Ihr Unternehmen muss die Verantwortung für die Einhaltung von Vorschriften sowohl für öffentliche als auch für private Cloud-Dienste übernehmen. Es liegt an Ihnen sicherzustellen, dass Ihr Cloud-Anbieter alle notwendigen Prozesse und Kontrollen eingerichtet hat, um Ihre Daten zu schützen. Sie müssen auch sicherstellen, dass Ihre eigenen Kontrollen den Vorschriften entsprechen, denen Sie unterliegen. Außerdem ziehen es viele Unternehmen vor, die Speicherung sensibler Daten ausschließlich auf privaten Clouds zu beschränken, um die vollständige Kontrolle darüber zu behalten.

Behandlung von Sicherheitsvorfällen

Die Verantwortung für die Erkennung, Meldung und Verwaltung wird zwischen dem Kunden und dem öffentlichen Cloud-Dienstanbieter geteilt. Stellen Sie sicher, dass Sie die Kommunikation aufrechterhalten und Benachrichtigungsregeln klar definieren, um im Falle eines Verstoßes unverzüglich informiert zu werden.

Zugriffskontrolle

Das Vorhandensein mehrerer Zugriffspunkte kann ein Sicherheitsrisiko für hybride Cloud-Speichersysteme darstellen. Daher ist es entscheidend, genau zu wissen, wer Zugang zu welchen Daten hat und Sicherheitsprotokolle sowie Best Practices wie das Prinzip der geringsten Rechte streng durchzusetzen.

Mangelnde Isolierung von externen Cloud-Diensten

Mandantenfähigkeit und gemeinsam genutzte Ressourcen sind typische Merkmale des öffentlichen Cloud-Computings. In einer Hybrid-Cloud könnten Angreifer, die Zugang zur öffentlichen Cloud-Komponente Ihrer Umgebung erlangen, auch eine Hintertür zu Ihrer privaten Cloud und den lokalen Computersystemen haben.

Verstärken Sie die Authentifizierung und Autorisierung durch die Implementierung von Lösungen wie Multi-Faktor-Authentifizierung und digitale Geräteauthentifizierung.

Sichtbarkeit und Audit

Es kann schwierig sein, Aktivitäten in öffentlichen und privaten Cloud-Umgebungen zu überwachen und Einblick zu erhalten. Verwenden Sie Lösungen, die es Ihnen ermöglichen, alle Ihre Cloud-Systeme von einer zentralen Plattform aus zu auditieren.

Wie man gängige Sicherheitsbedrohungen in Hybrid-Cloud-Umgebungen mildert

Hybrid-Cloud-Umgebungen profitieren von allen Vorteilen der öffentlichen Cloud und der privaten Cloud, stehen jedoch auch allen Sicherheitsbedrohungen beider gegenüber. Hier haben wir eine grundlegende Übersicht über einige der häufigsten security threats zusammengestellt. Für weitere Details zu cloud data security siehe unsere anderen Ressourcen.

• Datenpanne — Um vorsätzlichen oder unbeabsichtigten Zugriff auf Informationen ohne angemessene Autorisierung zu verhindern, verwenden Sie rollenbasierte Zugriffskontrolle, analysieren Sie das Benutzerverhalten, verfolgen Sie Aktivitäten rund um sensible Daten, implementieren Sie ein Modell mit minimalen Rechten und führen Sie regelmäßige Berechtigungsüberprüfungen durch.
• Insider-Bedrohung — Sie müssen auch das Risiko minimieren, dass ein Mitarbeiter seine Zugriffsrechte nutzt, um absichtlich oder versehentlich Unternehmensdaten zu stehlen, zu beschädigen oder offenzulegen. Zusätzlich zur Durchsetzung des Prinzips der geringsten Berechtigungen, überwachen Sie genau verdächtige Aktivitäten, insbesondere bei privilegierten Konten.
• Kontoentführung — Ein Angreifer, der die Anmeldeinformationen eines legitimen Benutzers stiehlt, wird sofort zu einer mächtigen Insider-Bedrohung. Kombinieren Sie die obigen Tipps mit starken Identitäts- und Zugriffskontrollmaßnahmen, einschließlich Multi-Faktor-Authentifizierung und starken Passwörtern.
• Fehlkonfigurationen — Eine unsichere Konfigurationseinrichtung, wie das Versäumnis, Standardfunktionen auf Ihrer Cloud-Service-Plattform zu deaktivieren, könnte es einem unbefugten Benutzer ermöglichen, administrativen Zugriff zu erlangen. Stellen Sie sicher, dass Sie Konfigurationsaudits und kontinuierliches Monitoring verwenden, um Änderungen an Ihrer Konfiguration zu erkennen.
• Malware — Um das Risiko zu minimieren, dass Ransomware und andere schädliche Software Schaden an Ihren Computersystemen verursachen, sollten Sie Antivirus-Software installieren, Ihre Daten regelmäßig sichern und alle Benutzer in sicheren Gewohnheiten bei der Nutzung von IT-Systemen schulen und testen.

Best Practices für die Sicherheit in Hybrid-Cloud-Umgebungen

Die besten Praktiken für die Sicherheit traditioneller öffentlicher und privater Clouds gelten auch für hybride Cloud-Umgebungen. Es gibt jedoch einige spezifische Überlegungen, die Sie in Ihren Sicherheitsplan für hybride Clouds einbeziehen sollten:

• Konzentrieren Sie sich auf Daten — Identifizieren und klassifizieren Sie regelmäßig die sensiblen und regulierten Daten, die Sie besitzen, sowohl in Ihren privaten als auch öffentlichen Cloud-Umgebungen. Richten Sie Kontrollen ein, um sensible Daten zu sichern, unabhängig davon, wo sie gespeichert sind. Automatisieren Sie Abhilfemaßnahmen-Workflows, die dazu beitragen, die Exposition sensibler Daten zu reduzieren.
• Implementieren Sie Identity and Access Management (IAM) — Idealerweise sollte es ein einziges IAM-System für alle Cloud-Umgebungen geben. Ein internes System ist vorzuziehen.
• Sichern Sie Ihr Netzwerk — Erwägen Sie die Einrichtung eines VPN zwischen der lokalen Umgebung und den Cloud-Diensten.
• Verwenden Sie Verschlüsselung — Alle sensiblen Daten müssen verschlüsselt werden, egal wo sie sich befinden.
• Achten Sie auf die Perimetersicherheit — Perimetersicherheit (z. B. Firewalls, DDoS attack Handling usw.) muss in allen Umgebungen mit externen Schnittstellen koordiniert werden.

Wichtigste Erkenntnisse

Eine Hybrid-Cloud-Lösung kann Ihrem Unternehmen das Beste aus beiden Welten bieten: die Bequemlichkeit und Kosteneffizienz eines öffentlichen Cloud-Dienstes in Kombination mit der Sicherheit und Flexibilität einer privaten Cloud-Umgebung. Wenn Sie sich für dieses Modell entscheiden, achten Sie jedoch darauf, die einzigartigen Sicherheitsbedrohungen zu beachten, denen Hybrid-Cloud-Systeme ausgesetzt sind, und bewährte Methoden zu befolgen, um Ihre Daten sicher zu halten.