Compliance Data Protection by Design durch DevOps erreichen

Ein wichtiger Teil der neuen EU-Datenschutzgrundverordnung, kurz DSGVO oder GDPR, ist das Prinzip von „Data Protection by Design“. Datenschutz soll also von Grund auf in Software-Lösungen eingebaut werden. Ist Verschlüsselung vor diesem Hintergrund ein Hemmschuh?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

In den EU-Mitgliedsstaaten möchte man Anwendungsentwickler im Rahmen der EU-DSGVO verpflichten, Sicherheitsmechanismen schon als Grundpfeiler bei der Programmierung von Software zu verankern. Dazu sollen interne Strategien in der jeder Organisation geschaffen werden.

Gleichzeitig wächst aber der Druck, Software-Lösungen müssen immer zügiger Marktreife erlangen. Daher ist DevOps ein wichtiger Begriff in der IT und auch in der IT-Sicherheitsbranche geworden. Bereits 60 Prozent aller Organisationen arbeiten mit entsprechenden Konzepten. Allerdings werden dabei häufig Sicherheitsbedenken zu Lasten der Umsetzungsgeschwindigkeit vergessen.

Durch neue Regularien wie der GDPR ist solche Fahrlässigkeit nicht nur riskant, sondern kann auch rechtlichen Problemen führen. Die Verordnung tritt erst 2018 in Kraft, trotzdem braucht es jetzt schon ein Umdenken. Der Schulterschluss von Softwareentwicklung und IT-Betrieb gilt im Security-Bereich als schwierig.

Man sollte sich aber ein Beispiel an der Formel 1 nehmen. Dort arbeiten Ingenieure an Sicherheitskonzepten, um dem Fahrer schneller fahren zu lassen. Mit dem richtigen DevOps-Konzept schafft die richtige Sicherheit die Grundlage für mehr Geschwindigkeit.

DevOps bringt grundsätzlich drei Vorteile:

• Schnellere Reaktionszeiten, höhere Kundenzufriedenheit und bessere betriebliche Effizienz. Studien zeigen, dass sich die Zeit bis zur Marktreife um 20 Prozent verkürzt.

• Unternehmen müssen die Sicherheit nicht einer beschleunigten Bereitstellung von DevOps opfern.

• Automatisierung, Sichtbarkeit und Integration der Schlüssel- und Zertifikatbereitstellung sorgen für DevOps in Geschäftsgeschwindigkeit.

Leider übersehen DevOps-Ansätze häufig Sicherheitskonzepte wie starke Verschlüsselung oder Authentifizierung. Warum? Sie gelten als zu langsam und aufwendig. Zertifikate und Schlüssel gelten als Flaschenhälse im Bereich DevOps.

Sicherheitsteams messen Service Level Agreements (SLA) in Wochen, Experten im Bereich DevOps erwarten diese aber binnen Minuten und Sekunden. Daher behelfen sie sich mit Workrarounds, stellen eigensignierte Zertifikate für sich selbst aus oder kopieren Schlüssel mehrfach. Dies ist ein gefährlich und kann zu einem Verstoß gegen Compliance-Richtlinien führen.

Die mangelnde Transparenz bei den eingebauten Schlüsseln und Zertifikaten ist ein großes Problem, da Sicherheitsbeauftragte nicht wissen, welche Software vertrauenswürdig ist. 80 Prozent aller CIOs geben an, dass DevOps die Unterscheidung zwischen gut- und bösartig schwieriger macht. Dabei ist die fehlende Sichtbarkeit oder Kontrolle von Schlüsseln und Zertifikaten ein Problem, dass mit der richtigen DevOps-Strategie gelöst werden kann. Dabei sind drei Punkte zu beachten:

Automatisierung von Sicherheit beim Umgang mit Fast-IT

Schnellere Reaktionszeiten bei Marktveränderungen können zwar zu einer Steigerung des Reingewinns beitragen, aber 25 Prozent der App-Kosten versickern für die manuelle Beschaffung von Schlüsseln und Zertifikaten. Dadurch wird auch wertvolle Zeit vergeudet, was sich direkt auf die Projektabwicklungspläne auswirkt. Automatisierungsverfahren zur Erstellung und Verteilung von Keys und Zertifikaten über den Build-Prozess optimieren die Arbeit von DevOps-Teams. Dadurch kann die IT-Sicherheit an die Fast-IT-Praktiken angepasst und die Anzahl der durch manuelle Verfahren potentiell eingeschleusten Schwachstellen gleichzeitig verringert werden.

Schlüssel und Zertifikate monitoren und managen

Kundenzufriedenheit ist ein kontinuierliches Bestreben; der Ausfall eines Dienstes kann die Bewertung von Kundenzufriedenheit abstürzen lassen. Werden die Ablaufdaten der Zertifikate, die für HTTPS-Dienste genutzt werden, nicht verfolgt, kann das zu durchschnittlichen Ausfallkosten von bis zu einer Million US-Dollar pro Stunde führen.

DevOps-Teams sind in der Regel keine PKI-Experten. In den meisten Fällen beschaffen und installieren jedoch DevOps-Teams Zertifikate selbst, und IT-Sicherheitsteams können sie nicht verfolgen, weil sie nichts über sie wissen. Organisationen sollten feststellen können, wo alle Anwendungszertifikate eingesetzt werden. Diese müssen dann von IT-Sicherheitsverantwortlichen verwaltet werden. Dann können sie auf die Zertifikate Richtlinien anwenden und Ablaufdaten nachverfolgen, um Dienstausfälle zu vermeiden und das Kundenvertrauen zu erhalten.

Integration von Schlüsseln und Zertifikaten in DevOps-Builds

Die Verbesserung der betrieblichen Effizienz ist ein Hauptmotiv für DevOps. Bei alten IT-Modellen kann man akzeptieren, 4,5 Stunden in die manuelle Bereitstellung der einzelnen Zertifikate investieren zu müssen. Für New-IT- und DevOps-Teams dauert es jedoch einfach zu lange, ein User Interface zur Beschaffung und Installation von Schlüsseln und Zertifikaten zu nutzen. Sie müssen in der Lage sein, die Bereitstellung von Schlüsseln und Zertifikaten als Teil des automatisierten Build-Prozesses zu integrieren, um innerhalb von Sekunden Tausende von Zertifikaten zu liefern - weniger ist nicht genug.

DevOps-Teams nutzen in der Regel Programmierschnittstellen (APIs). Dies sollte bei der Bereitstellung von Schlüsseln und Zertifikaten bedacht werden, damit dieser Prozess vollständig automatisiert werden kann. APIs sind wichtige Elemente in der Sicherheitsarchitektur. Sicherheitsexperten müssen in der Lage sein, Schlüssel und Zertifikate automatisch durch APIs bereitzustellen.

Fazit

DevOps ist ein wichtiges Thema, um den Vorteil schnellerer Projektabschlusszeiten ohne Beeinträchtigung der Sicherheit nutzen. Mit der Einführung von Kontrollen und Automatisierung für Schlüssel und Zertifikate können Unternehmen sicher bleiben und ihre DevOps gleichzeitig auf Geschäftsgeschwindigkeit halten.

Die Datenschutzgrundverordnung kommt und Organisationen sollten sich Gedanken machen, wie sie Software und Netzwerke besser schützen können. Dabei geht es sowohl um Datensicherheit von Firmengeheimnissen als auch um Datenschutz von Mitarbeitern und Kunden.

Kevin Bocek

DevOps und eine entsprechende Sicherheitsstrategie sind leicht umsetzbare Wege, um Sicherheit und Effizienz zu gewährleisten. Durch entsprechende Lösungen können Unternehmen Sicherheit und Entwicklungsgeschwindigkeit gewährleisten.

* Kevin Bocek ist Vice President of Security Strategy bei Venafi.

(ID:44194841)