Thought Leadership
Die Bedrohungen durch Cyberkriminalität können für jedes Unternehmen existenzielle Konsequenzen haben. Umso wichtiger ist es für die Unternehmensführung, diese Risiken zu kennen und zu minimieren. Das gilt insbesondere für die Nutzung einer komplexen Public-Cloud-Lösung in Großunternehmen.
Schnelle technologische Entwicklungen können dort zu Fehlern im Code führen, was unter Umständen gravierende Sicherheitsrisiken zur Folge hat. Deshalb ist es wichtig, mehrere Verteidigungslinien aufzubauen.
1. Beim Aufbau von Diensten strikten Sicherheitsprotokollen folgen
Um das Sicherheitsniveau von komplexen IT-Systemen zu erhöhen, können heute Dienste wie die AWS Cloud Formation genutzt werden. Dabei werden bei der Modellierung einer Lösung Ressourcen und Services durch automatisierte Sicherheitsroutinen geschützt. Fahrlässigkeiten, die zu falschen Einstellungen führen, können allerdings auch dabei falsche Autorisierungen, offene Firewalls oder verwundbare Bibliotheken erzeugen. Deshalb sind Maßnahmen wie ein Security Code-Test, statische und dynamische Code-Analysen, Kontrollen externer Bibliotheken und ein Mehr-Augen-Prinzip nötig.
2. Die Reaktion auf Sicherheitsvorfälle automatisieren
Ein weiterer wichtiger Aspekt ist die Automatisierung: Ein Sicherheitsvorfall (Incident) muss nach Möglichkeit ohne menschlichen Eingriff sofort bearbeitet werden. Reaktionszeiten von mehreren Stunden sind dagegen gefährlich, weil der Missbrauch laut Statistik in dieser Zeit wahrscheinlich bereits erfolgte.
Den Code für solche Automatismen müssen die Sicherheitsexperten am besten selbst erstellen können. Outsourcing dagegen verlangsamt und verteuert den Prozess. Es gilt: Jede Art von Sicherheitsvorfall sollte beim zweiten Auftreten bereits automatisch behoben werden. Wenn beispielsweise sogenannte Credentials, ein digitaler Identitätsnachweis, wie private Schlüssel öffentlich in einem Code-Repository geteilt wurden, werden diese automatisch gesperrt.
Mit Services wie AWS Lambda stellen Cloud-Anbieter heute eine Reihe von Tools zur Verfügung, um automatische Korrekturmechanismen einfacher zu implementieren.
Auch bei der automatischen Reaktion auf einen Sicherheitsvorfall ist jedoch Vorsicht angebracht: Beispielsweise könnte das Abschalten von kritischen Services einen größeren Schaden anrichten, als ein potenzieller Sicherheitsvorfall selbst. Deshalb sollte es eine Abstimmung mit der entsprechenden Business-Abteilung geben, die gegebenenfalls auf derartige Probleme hinweisen kann.
3. Sicherheitsabteilungen einbeziehen
Auf jeden Fall aber muss die Arbeit mit den Sicherheitsabteilungen einfach, unkompliziert und effektiv sein. So dürfen Sicherheitsaudits von Entwicklern und Managern nicht als undankbare und komplizierte Aufgabe angesehen und oberflächlich abgearbeitet werden. Schließlich kann nur durch eine gute Fehlerkultur verhindert werden, dass Schwachstellen verschwiegen werden und im Code bestehen bleiben.
Dazu gehört auch, dass Sicherheit-Eskalationen proaktiv und positiv gefördert werden. So sollte es für Mitarbeiter und Manager möglich sein, ohne Rechtfertigung vor dem Vorgesetzten eine Meldung zu Sicherheitsproblemen abzugeben. Das Management muss dazu transparent und klar signalisieren, dass mehrere falsche Alarme besser sind als ein Vorfall, der nicht gemeldet wurde. Zu einer Eskalation muss es dabei nicht erst bei konkreten Vorfällen, sondern bereits bei Unklarheiten oder Bedenken kommen.
4. Daten sparsam erfassen
Zu einem wirksamen Sicherheitskonzept gehört auch die Datensparsamkeit: Manager brauchen eine klare Vision, welche Daten sie sammeln möchten und welche Geschäftsziele mit diesen erreicht werden sollen. Es klingt verlockend, zunächst viele Daten zu erfassen und darauf basierend neue Geschäftsfelder zu erschließen. Ein solcher Ansatz verschlingt jedoch Ressourcen und erhöht das Sicherheitsrisiko. Daten, die gar nicht erst vorliegen, müssen auch nicht geschützt werden. Das Erfassen zusätzlicher kundenbezogener Daten ohne klare Notwendigkeit kann außerdem einen Verstoß gegen die Datenschutz-Grundverordnung darstellen.
5. Simulationen nutzen
Wie effektiv Schutzmaßnahmen sind, kann ein Unternehmen nur durch Sicherheitssimulationen erfahren, die täglich oder wöchentlich durchgeführt werden sollten. Dabei muss ein solches Audit systematisch sämtliche Bereiche der IT-Landschaft abdecken. Wichtig ist außerdem, aus den Ergebnissen der Simulation zu lernen, Verbesserungen abzuleiten und umzusetzen und die Prozesse weiter zu automatisieren.
Bewährt hat sich der Einsatz von Werkzeugen wie Chaos Monkey. Diese sabotieren den Betrieb bewusst und simulieren dabei Vorfälle. Im Endeffekt erhöht sich die Effektivität der Sicherheitsmaßnahmen nur durch das regelmäßige Praktizieren von Angriffsübungen.
6. Machine Learning und Analysefunktionen nutzen
Eine große Hilfe bei der Verbesserung der IT-Sicherheit sind heute Algorithmen für das Machine Learning (ML). Mit ihnen lassen sich gerade bei großen Mengen an Daten Angriffsmuster gut erkennen. Durch das Angebot von Cloud-Anbietern können Unternehmen solche Algorithmen auch ohne weiterreichende ML-Vorkenntnisse für ihre Sicherheitskonzepte nutzen.
Vesselin Tzvetkov, Senior Security Architect bei Amazon Web Services
