Wie erhalte ich mehr Sichtbarkeit, Sicherheit und Kontrolle für SaaS?

Cloud-Security gewinnt weiter an Bedeutung

Drei von vier Unternehmen (76 Prozent) in Deutschland nutzten im Jahr 2019 Rechenleistungen aus der Cloud, so der Cloud-Monitor 2020 von Bitkom Research und KPMG. Damit nimmt die Cloud-Nutzung deutscher Unternehmen weiter zu: Im Vorjahr waren es 73 Prozent und im Jahr 2017 erst 66 Prozent, die Cloud-Dienste eingesetzt haben.

Bei der Auswahl eines Cloud-Anbieters spielen Datenschutz und Datensicherheit die entscheidende Rolle: Die Konformität mit der Datenschutz-Grundverordnung ist dabei am wichtigsten, fast alle Unternehmen (96 Prozent) geben dies an. Für 88 Prozent ist eine transparente Sicherheitsarchitektur eine Grundvoraussetzung, mehr als drei Viertel (77 Prozent) bestehen auf die Möglichkeit, Cloud-Daten verschlüsseln zu können. Auch der Datenspeicherort ist für viele Cloud-Nutzer und -Planer ein wichtiges Thema.

So wichtig den Unternehmen in Deutschland aber die Cloud-Sicherheit auch ist, für die Mehrheit stellt die Absicherung ihrer Cloud-Nutzung eine große Herausforderung dar. Gut ein Fünftel (22 Prozent) der Public-Cloud-Nutzer gibt im Cloud-Monitor 2020  an, dass es in den letzten zwölf Monaten zu Sicherheitsvorfällen in den von ihnen genutzten Cloud-Lösungen gekommen ist. Für weitere 36 Prozent bestand ein solcher Verdacht.

Offensichtlich steigt die Cloud-Nutzung an, trotz der Sicherheitsbedenken und der Sicherheitsvorfälle. Damit bringen sich die Unternehmen aber mehrfach in Gefahr: Sie setzen ihre geschäftskritischen Daten einer Vielzahl möglicher Cloud-Attacken aus. So berichtet das Bundesamt für Sicherheit in der Informationstechnik (BSI) in dem Bericht zur Lage der IT-Sicherheit in Deutschland 2019: „Der Identitätsdiebstahl wird den Tätern nach Beobachtungen des BSI zum Teil leicht gemacht, z.B. durch die Nutzung von ungeschützten, öffentlichen Cloud-Speichern oder Fehlkonfigurationen.“

Ebenso können die Unternehmen als Cloud- Nutzer gegen Compliance-Vorgaben wie die Datenschutz-Grundverordnung (DSGVO) verstoßen, wonach Cloud-Nutzer in der Verantwortung bleiben. (Auftragsverarbeitung, Artikel 28 DSGVO). Zudem nehmen sie ihre eigenen Sicherheitsaufgaben nicht umfassend wahr, die ihnen nach dem Shared-Responsibility-Modell (Aufteilung der Sicherheitsaufgaben unter Cloud-Anbieter und Cloud-Nutzer) zugeordnet sind.

Nicht zuletzt setzen sich die Unternehmen den Risiken durch eine Schatten-IT aus: Ohne Kontrolle der Cloud-Nutzung besteht das Risiko, dass Fachabteilungen, aber auch einzelne Nutzer zu nicht genehmigten Cloud-Diensten greifen, diese betrieblich nutzen und so Unternehmensdaten in Gefahr bringen können.

Die Cloudrisiken verschärfen sich noch aus einem weiteren Grund: Unternehmen in Deutschland entscheiden sich immer häufiger für die Nutzung mehrerer Clouds (Multi-Clouds). In der IDG-Umfrage zum Cloud Computing 2020 gaben 48 Prozent der Be- fragten an, dass eine erhöhte Komplexität ein Hauptnachteil bei der Verwendung mehrerer Clouds ist. Das Problem ist, dass in vielen Unternehmen keine Tools vorhanden sind, die die erforderliche Transparenz und Kontrolle in ihren Netzwerken bieten.

Gleichzeitig besteht ein Mangel an Cloud- Know-how, Security-Expertise und den notwendigen Fachkräften in vielen der Unternehmen. Der Bedarf an Services und Lösungen, mit denen sich Cloud-Dienste sicher, transparent und den Compliance- Vorgaben entsprechend nutzen lassen, ist deshalb hoch. Eine gute Ausgangslage, um entsprechende Dienstleistungen für Cloud-Sicherheit anzubieten.

Was Cloud-Nutzer besonders benötigen

Wie der Cloud-Monitor 2020 von Bitkom Research zeigt, bestehen die größten Herausforderungen bei der Integration von Cloud Computing im Bereich Compliance und Sicherheit, mit steigender Tendenz. Für ein zielgerichtetes Angebot an Cloud-Nutzern unter den Kunden, empfiehlt sich eine Analyse, wo die Herausforderungen durch SaaS (Software as a Service) genau liegen:

1. Verlust von Sichtbarkeit und Kontrolle: Mit der Nutzung von Cloud-Diensten verlieren Unternehmen die Übersicht, darüber wo sich welche der zu schützenden Daten befinden und wer darauf zugreifen kann.
2. Bedrohungen in der Cloud: Die Daten befinden sich außerhalb des geschützten Perimeters und sind neuartigen Attacken ausgesetzt.
3. Hohe Komplexität: Die Unternehmen haben nicht genug Erfahrung und Know-how für die Cloud-Nutzung, setzen aber häufig auf mehrere, geschäftskritische Cloud-Dienste.
4. Bleibende Verantwortung: Obwohl die Kontrolle, Sichtbarkeit und Sicherheit der Cloud-Daten nicht sichergestellt ist, bleiben die Unternehmen für die Daten verantwortlich. Die Compliance muss auf die Cloud ausgedehnt werden.
5. Keine passenden Security-Strategie: Viele Security-Konzepte fußen auf einer Perimeter-basierten Abwehr und schließen die genutzten Cloud-Ressourcen nicht ein.
6. Verwendung ungenehmigter Cloud- Dienste: Mit der Cloud-Nutzung erhöht sich das Risiko für eine Schatten-IT jenseits der Freigaben und der Kontrolle durch die IT-Abteilung.

Benötigt werden daher Services und Lösungen für:

• Sichtbarkeit und Kontrolle, auch in den Clouds, Vermeidung von Schatten-IT
• Erkennung und Abwehr von Cloud-Attacken
• Übersichtliches Management der Cloud-Nutzung und der Cloud-Zugriffe
• Compliance- und Sicherheitsfunktionen auch für die genutzten Clouds

Die Lösung lautet CASB

Die von den Cloud-Nutzern benötigten Funktionen bieten sogenannte Cloud Access Security Broker (CASB). Das Marktforschungs- haus Gartner definiert dies so: „Cloud Access Security Broker (CASBs) sind lokale oder Cloud-basierte Durchsetzungspunkte für Sicherheitsrichtlinien, die zwischen Cloud-Service-Nutzern und Cloud-Service-Anbietern platziert werden, um Sicherheitsrichtlinien für Unternehmen zu kombinieren und einzuschalten, wenn auf die Cloud-basierten Ressourcen zugegriffen wird. CASBs konsolidieren mehrere Arten der Durchsetzung von Sicherheitsrichtlinien. Die beispielhaften Sicherheitsrichtlinien umfassen Authentifizierung, einmaliges An- melden, Autorisierung, Zuordnung von Anmeldeinformationen, Geräteprofilerstellung, Verschlüsselung, Tokenisierung, Protokollierung, Warnung, Erkennung und Verhinderung von Malware usw.“

Für CASB sehen die Gartner-Analysten einen hohen Bedarf, denn: „Fast alle erfolgreichen Angriffe auf Cloud-Dienste sind das Ergebnis von Fehlkonfigurationen, Missmanagement und Fehlern der Kunden. Führungskräfte im Bereich Sicherheit und Risikomanagement sollten in Prozesse und Tools für das Management der Cloud-Sicherheit investieren, um diese Risiken pro- aktiv und reaktiv zu identifizieren und zu beheben.“

FortiCASB ist eine von Fortinet entwickelte Lösung für Cloud-native Cloud Access Security Broker (CASB). Die Lösung verfügt über Cloud Security Posture Management (CSPM)-Funktionen, welche für Transparenz, Compliance, Datensicherheit und Schutz vor Bedrohungen für Cloud-basierte Dienste sorgen. Mit FortiCASB können alle Funktionen geliefert werden, um die genannten Herausforderungen der Cloud-Nutzer zu meistern.

Vorteile von FortiCASB auf einen Blick

 FortiCASB eignet sich damit als Lösung für alle Kunden,

•  die in ihrer Organisation Microsoft 365, OneDrive, Dropbox, Box, Google Drive oder Salesforce.com einsetzen,
• die ihre Daten in einem Cloud-Service besser überwachen und kontrollieren wollen,
• die Compliance Audits in Bezug auf Daten in Cloud-Diensten durchführen müssen,
• die den Risiken einer Schatten-IT besser begegnen wollen.

Mit FortiCASB können IT-Reseller für ihre Kunden eine CASB-Lösung anbieten und betreiben, die sich auszeichnet durch:

• API-Basis: Direkter Zugriff auf in der Cloud gespeicherte Daten für Security im Netzwerk und für Remote-Zugriffe.
• Compliance und DLP: Die anpassbare Tools zum Schutz vor Datenverlusten und vordefinierte Optionen für das Compliance-Reporting.
• Infos über Anwender und Richtlinien: Transparenz und Kontrolle für Cloud-Anwendungen mit Nutzungs-, Berechti- gungs- und Konfigurationsbewertungen.
• Integriert in die Security Fabric: Scannen von Anhängen bei der AV- und Sand- box-Integration, um sie vor neuesten Bedrohungen zu schützen.
• Entdeckung von Schatten-ITs: Konsolidiertes Reporting für FortiGate und FortiAnalyzer zur Erkennung der SaaS-Nutzung im Netzwerk.
• Moderne Analytik: Umfassende, benutzerfreundliche visuelle Tools, um Risiken und Richtlinienverstöße schnell zu identifizieren.

Autor: Fortinet Inc.

Lesen Sie weitere Fachartikel in der aktuellen Ausgabe des Nuvias Guardians.

Zum Nuvias Guardian