Jedes Unternehmen ist heute ein Multi-Cloud-Unternehmen, entweder freiwillig oder zufällig. Firmen entscheiden sich für verschiedene Cloud-Anbieter für verschiedene Abteilungen oder Workloads, basierend auf Geschäftsanforderungen oder finanziellen Erwägungen. Fusionen und Übernahmen führen zu einer fragmentierten Cloud-Landschaft mit verschiedenen Cloud-Anbietern.
Von Frank Kim, SANS Institute Fellow, Leiter des Cloud-Curriculums und CISO-in-Residence bei YL Ventures.
Multi-Cloud-Umgebungen entstehen jedoch auch einfach, weil verschiedene Teams im Laufe der Zeit unterschiedliche Entscheidungen getroffen haben. Dies führt auch zu einer fragmentierten Sicherheitsumgebung, die schwer zu verwalten und zu überwachen ist. Dies bedeutet, dass Unternehmen keine Übersicht und Kontrolle über alle ihre Clouds und die in diesen Umgebungen gespeicherten Daten haben.
Die Herausforderung von Cloud-Umgebungen liegt in ihrer Komplexität und Vernetzung. Die zugrunde liegende Infrastruktur mag zwar sicherer sein, aber Angreifer lassen sich davon nicht abschrecken und konzentrieren sich auf die weiche Schattenseite, nämlich die in der Cloud bereitgestellten Anwendungen.
Daten werden bei einer Vielzahl von Cloud-Anbietern (IaaS, PaaS, SaaS) gespeichert, und moderne Architekturen sind API-gesteuert. Diese Anwendungen und APIs benötigen einen angemessenen Zugriff, entsprechende Berechtigungen und Konfigurationen. Genau diese Fehler sind es, die Angreifer immer wieder ins Visier nehmen, um ihre Ziele zu erreichen.
Die Cloud-Sicherheit ist eine gemeinsame Verantwortung, aber letztlich ist das Unternehmen, das Cloud-Dienste nutzt, dafür verantwortlich, dass die personenbezogenen Daten sicher sind. Sie sind die bittere Pille, wenn es um die sichere Nutzung von Cloud-Diensten geht.
Wenn Cloud-Dienste richtig genutzt und konfiguriert werden, können sie genauso sicher, wenn nicht sogar sicherer sein als herkömmliche On-Premise-Umgebungen. Für die Anbieter von Cloud-Diensten besteht wohl ein noch größerer Anreiz, in die Sicherheit zu investieren als für jedes einzelne Unternehmen.
Es wird immer Sicherheitsprobleme geben, aber es obliegt den Sicherheitsteams, die verschiedenen Cloud-Service-Anbieter in- und auswendig zu kennen, um sicherzustellen, dass die Sicherheit in die Architektur, die Technik und den täglichen Betrieb eingebettet ist.