Tipps zur Cloud-Security
Unterstützung beim Datenschutz und der Einhaltung von Compliance-Programmen
Teile der Cloud-Umgebung, in denen sich sensible Systeme und Daten befinden, sollten isoliert werden
(29.11.11) - Mit der steigenden Nutzung von Cloud Computing wächst mehr denn je die Notwendigkeit, wirksame Security- und Compliance-Praktiken einzuführen und diese auf dem neusten Stand zu halten.
"Die Absicherung einer Cloud-basierten Rechnerumgebung ist entscheidend für die Erstellung eines robusten Compliance-Programms", sagt Bart Vansevenant, Executive Director, Global Security Solutions bei Verizon. "Die grundlegenden Elemente – Planung, Design und Betrieb – sind für traditionelle wie für Cloud Computing-Plattformen identisch. Mit bewährten Best Practices für Security sowie besonderem Augenmerk auf den speziellen Eigenarten und Merkmalen der Cloud sind Unternehmen in der Lage, Compliance-Programme zu entwickeln und aufrechtzuerhalten. Gleichzeit machen sie sich die Agilität, Flexibilität und Wirtschaftlichkeit der Cloud zunutze.”
Verizon hat die folgenden Best Practices und Tipps zusammengestellt, damit Unternehmen, die sich die Vorteile der Cloud zunutze machen, compliant bleiben und gleichzeitig für die Sicherheit ihrer Netzwerke, Anwendungen und Daten sorgen:
Sicherheit der Cloud Computing-Infrastruktur - der Dreh- und Angelpunkt
>> Physische Sicherheit. Die technischen Einrichtungen sollten mit Klimaanlage sowie Rauchmelde- und Brandschutz-Equipment ausgerüstet werden, ergänzt durch eine unterbrechungsfreie Stromversorgung und Sicherheitspersonal rund um die Uhr. Wählen Sie einen Provider, der mit Biometriedaten umgehen kann, d.h. Fingerabdruck- und Gesichtserkennung beherrscht und diese auch zur Zugangskontrolle einsetzt. Die gesamte Einrichtung sollte von Videokameras überwacht werden.
>> Netzwerksicherheit und logische Trennung. Es sollten virtualisierte Versionen von Firewalls und Intrusion Prevention-Systemen zum Einsatz kommen. Die Teile der Cloud-Umgebung, in denen sich sensible Systeme und Daten befinden, sollten isoliert werden. Es sollten regelmäßig Audits durchgeführt werden, die sich branchenweit anerkannter Methoden und Standards bedienen wie etwa SAS 70 Type II, Payment Card Industry Data Security Standard, ISO 27001/27002 und Cloud Security Alliance Cloud Controls Matrix.
>> Inspektion. An den Gateways sollten Antivirus- und Anti-Malware-Anwendungen sowie Content-Filtering eingesetzt werden. Wo mit sensiblen Informationen wie etwa Finanz- und personenbezogenen Daten und geistigem Eigentum umgegangen wird, sollten Data Loss Prevention-Vorkehrungen in Betracht gezogen werden.
>> Administration. Besondere Aufmerksamkeit sollte den Cloud-Hypervisoren gewidmet werden, also jenen Servern, auf denen mehrere Betriebssysteme gleichzeitig laufen. Sie bieten die Möglichkeit, eine komplette Cloud-Umgebung zu verwalten. Zahlreiche Sicherheits- und Compliance-Anforderungen sehen verschiedene Netzwerk- und Cloud-Administratoren vor, um so für eine Trennung der Pflichten und zusätzlichen Schutz zu sorgen. Der Zugang zu virtuellen Umgebungsmanagement-Interfaces sollte stark eingeschränkt sein und Application Programming Interfaces oder APIs sollten komplett unzugänglich oder deaktiviert sein.
>> Umfassendes Überwachen und Protokollieren. In nahezu sämtlichen Standards wird die Fähigkeit zur Überwachung und Kontrolle von Zugängen zu Netzwerken, Systemen, Anwendungen und Daten gefordert. Eine Cloud Computing-Umgebung, ganz gleich ob inhouse oder outgesourced, muss ebenfalls diese Möglichkeit bieten.
"Cloud Application Security" - ein Muss
>> Systemsicherheit. Virtual Machines oder VMs sollten durch Cloud-spezifische Firewalls, Intrusion Prevention-Systeme und Antivirenprogramme geschützt werden, ergänzt mit durchgängigen und in Programmen organisierten Patch-Management-Prozessen.
>> Anwendungs- und Datensicherheit. Wo immer möglich, sollten die Anwendungen dedizierte Datenbanken nutzen, auch sollte der Zugriff von Anwendungen auf Datenbanken Beschränkungen unterliegen. Zahlreiche Security-Compliance-Standards fordern, dass Anwendungen und damit verbundene Datenbanken überwacht und Vorgänge protokolliert werden.
>> Authentifizierung und Autorisierung. Für Usernamen und Passwörter sollte Two-Factor Authentication wie etwa digitale Authentifizierung verwendet werden; sie sind für den Remote-Zugriff und jede Art von Zugangsprivilegien unverzichtbar. Dabei sollten die Rollen autorisierter User klar umrissen sein und auf dem Minimum gehalten werden, das zur Erfüllung der zugewiesenen Aufgaben erforderlich ist. Passwortverschlüsselung ist ebenfalls ratsam. Darüber hinaus sollten Authentifizierungs-, Autorisierungs- und Accounting-Pakete nicht zu sehr individualisiert sein, da dies häufig zu einer Schwächung der Sicherheitsmaßnahmen führt.
>> Vulnerability Management. Anwendungen sollten so konzipiert sein, dass sie gegenüber verbreiteten Exploits, wie sie in der Open Web Application Security Project (OWASP) Top 10 aufgelistet sind, keine Schwachstellen aufweisen. Anwendungen, die in der Cloud laufen, müssen regelmäßig gepatcht werden, ebenso sind Vulnerability Scanning, unabhängige Sicherheitstests und kontinuierliche Überwachung erforderlich.
>>Datenspeicherung. Ein Unternehmen sollte die Arten von Daten kennen, die in einer Cloud-Umgebung gespeichert werden, und je nach Erfordernis nach Datentypen trennen. Zusätzlich sollte mit Blick auf potenzielle Sicherheits- und Datenschutzerwägungen der physische und logische Speicherort bekannt sein.
>> Change Management. Es ist dringend ratsam, die Change Management-Richtlinien für Netzwerke, Systeme, Anwendungen und Daten-Administratoren explizit zu dokumentieren und zu vermitteln, um so unbeabsichtigte Probleme und mögliche Datenverluste zu vermeiden.
>> Verschlüsselung. In einer Cloud Computing-Umgebung kann die Verschlüsselung von Daten komplexere Ausmaße annehmen und erfordert daher besondere Aufmerksamkeit. In zahlreichen Standards wird gesonderte Behandlung von im Umlauf befindlichen und abgelegten Daten gefordert. Beispielsweise sollten Finanzdaten und persönliche Gesundheitsinformationen immer verschlüsselt werden.
Public, private und hybride Clouds: Das sollten Sie wissen
>> Gemeinsam genutzte virtualisierte Umgebung. Public Clouds, von denen viele eine gemeinsam genutzte virtualisierte Umgebung verwenden, bieten grundlegende Sicherheitsvorkehrungen. Die korrekte Segmentierung und Isolierung von Verarbeitungsressourcen sollte deshalb im Mittelpunkt des Interesses stehen. Zur Erfüllung der Security- und Compliance-Anforderungen eines Unternehmens sollte man bei der Wahl der angemessenen Cloud-Umgebung allergrößte Sorgfalt walten lassen.
>> Provider von Public Clouds. Public Clouds mögen zwar aus wirtschaftlicher Sicht interessant sein, doch kann es durchaus sein, dass manche Provider nicht hinlänglich die Arten von Kontrollen unterstützen, die von Unternehmen gefordert werden, damit den Security- und Compliance-Anforderungen Genüge getan wird. Stellen Sie auf jeden Fall viele Fragen.
>> Umsichtige Sicherheitsmaßnahmen. Unabhängig vom Cloud Computing-Modell sollten Unternehmen auf Segmentierung, Firewalls, Intrusion Protection-Systemen, Überwachung, Protokollierung, Zugangskontrollen und Datenverschlüsselung bestehen.
>> Private Clouds - ein zweischneidiges Schwert. Private Clouds können vor Ort oder in den Einrichtungen des Service-Providers gehostet werden. Wie bei herkömmlichen Umgebungen auch sind Sicherheitskonzept und -kontrollen von entscheidender Bedeutung. Wenn man das Angebot eines Service-Providers wahrnimmt, kommt es darauf an, die richtige Form der Cloud zu wählen, die Ihren Anforderungen entspricht. Nur weil es sich um eine private Cloud handelt, muss sie nicht zwangsläufig sicher sein.
>> Hybride Clouds. Hybride Clouds können das Beste aus beiden Welten bedeuten; sie ermöglichen Unternehmen, ein breites Spektrum von IT-bezogenen und geschäftlichen Zielen zu erreichen. Hybride Clouds bieten die Möglichkeit, bestimmte Anwendungen in der am besten dafür geeigneten Umgebung zu betreiben. Gleichzeitig profitiert man von den Vorteilen und Merkmalen gemeinsam genutzter Cloud-Umgebungen und der vor Ort vorhandenen IT-Umgebung sowie von der Möglichkeit, Anwendungen und Daten zwischen beiden Optionen hin und her zu schieben.
(Verizon: ra)
Verizon Business: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.