Cloud Security: Sicherheit über Cloud-Grenzen hinweg Einheitliche Sicherheit für Multi-Cloud-Umgebungen

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Unternehmen, die sich für Cloud Computing entscheiden, nutzen in der Regel mehr als einen Cloud-Provider. RightScale ermittelte zum Beispiel, dass 87 Prozent des Cloud-Traffics seiner Kunden auf der Nutzung mehrerer Clouds gleichzeitig basiert. Gartner sieht die parallele Nutzung verschiedener Cloud-Typen als einen der wesentlichen Cloud-Trends bis 2015.

Die Entwicklung hin zu Multi-Clouds macht die Gewährleistung der Datensicherheit für die Anwenderunternehmen nicht gerade leichter. Betrachtet man die Top 10 der Cloud Security Risks bei OWASP (The Open Web Application Security Project), wird schnell deutlich, dass die parallele Nutzung mehrerer Clouds zu einer Vervielfältigung der Sicherheitsprobleme führen kann. So muss sich ein Unternehmen bei Nutzung mehrerer Clouds zum Beispiel nicht nur um das Identitätsmanagement bei einer Cloud kümmern. Stattdessen drohen Insellösungen und verschiedene Cloud-Identitäten.

Durchgehende Cloud-Sicherheit gefragt

Jede einzelne Cloud bedarf zwar einer Sicherheitsbewertung durch den Nutzer, da dieser für den Datenschutz und die Datensicherheit verantwortlich bleibt (Auftragsdatenverarbeitung). Doch aus Sicht des Anwenderunternehmens sollte es ein einheitliches Sicherheitskonzept zum Schutz der Daten geben, das in den verschiedenen Clouds umgesetzt wird. Andernfalls verliert das Unternehmen schnell die Übersicht über die erforderliche Cloud-Sicherheit.

Sicherheitslösungen für die Multi-Clouds

Gartner erwartet für 2016, dass 25 Prozent der Unternehmen ihre Cloud-Zugänge über eine zentrale Plattform, von Gartner Cloud Access Security Broker genannt, absichern werden. Schon heute sind auf dem Markt verschiedene Sicherheitslösungen verfügbar, die es einem Unternehmen erlauben, die Cloud-Identitäten zu vereinheitlichen, Sicherheitsrichtlinien wie die Verschlüsselung vertraulicher Daten in mehreren Clouds gleichzeitig umzusetzen und Berichte über die Cloud-Sicherheit zentral abfragen zu können.

1. Zentrale Zugangskontrolle statt Insellösungen

Werden verschiedene Cloud-Dienste genutzt, müssen die Anwender mit verschiedenen Zugangsdaten und Zugangsverfahren umgehen. Doch spezielle Sicherheitslösungen können für Abhilfe sorgen.

Einheitliche Vorgaben für Cloud-Zugänge und zentrale Cloud-Identitäten sind möglich zum Beispiel mit dem McAfee Cloud Identity Manager, Symantec O3 oder dem RightScale Access and Security Manager. Für verschiedene Clouds lassen sich damit die Zugänge, Zugriffsrechte und Rollen der Nutzer harmonisieren. Die Anmeldungen an den Clouds erfolgen dann mit nur einem Zugang pro Nutzer (Single-Sign-On, SSO). Der NetIQ Cloud Security Service bietet einen SSO-Zugang für Cloud-Provider an, den diese ihren Kunden bereitstellen können. Ebenfalls einen SSO-Zugang für Cloud-Dienste ermöglicht SailPoint AccessIQ mit dem App Launchpad.

CloudPassage Halo NetSec kontrolliert den Zugang und die Nutzung von Multi-Clouds mit einem zentralen Management für Cloud-Firewalls und der Möglichkeit, zentrale Policies zu definieren und in den angeschlossenen Clouds umzusetzen.

Zentrale Mehr-Faktor-Authentifizierungen für Clouds ermöglicht zum Beispiel SafeNet Secure Access for SaaS. Damit können Unternehmen definierte Zugangsverfahren wählen und umsetzen, um ihren Mitarbeitern für verschiedene Cloud-Dienste wie Office365 oder Salesforce.com zum Beispiel eine bestimmte Art der Zwei-Faktor-Authentifizierung vorzugeben.

2. Verschlüsselung für mehrere Clouds

Grundlegende Sicherheitsmaßnahmen wie die Datenverschlüsselung sollten in allen Cloud-Diensten umgesetzt sein, die ein Unternehmen nutzt. Dabei können ebenfalls verschiedene Sicherheitswerkzeuge helfen.

Eine Lösung wie CloudSwitch Enterprise stellt eine sichere Verbindung zwischen dem Firmennetzwerk und verschiedenen Clouds her, verschlüsselt die gespeicherten Daten, unterstützt zudem ein zentrales Berechtigungs- und Rollenmanagement und erlaubt den Umzug von Cloud-Anwendungen zwischen verschiedenen Providern. CipherCloud sorgt für eine Verschlüsselung bei verschiedenen Cloud-Diensten wie Salesforce, AWS und Office 365. Eine Verschlüsselung für jeden beliebigen Cloud-Dienst verspricht CipherCloud Connect AnyApp.

Bildergalerie

3. Einheitliche Sicherheitsberichte statt unklarer Cloud-Sicherheit

Cloud-Nutzer müssen sich nicht mit verschiedenen Reporting-Tools und Berichten befassen, wenn sie verschiedene Cloud-Dienste parallel nutzen. Der zuvor bereits erwähnte RightScale Access and Security Manager bietet auch die zentrale Generierung von Nutzer- und Kosten-Reports sowie Audit-Protokolle, die für mehrere Clouds in einer Übersicht aktiviert und eingesehen werden können. Im NetIQ Cloud Security Service steht Cloud-Providern und ihren Kunden ein Dashboard zur Kontrolle der Cloud-Sicherheit und eine Auditfunktion für mehrere Cloud-Dienste zur Verfügung.

Zu den Funktionen der IBM Hybrid Cloud Solution zählt ebenfalls ein Dashboard für ein einheitliches Monitoring der genutzten Cloud-Dienste. Dome9 SpecOps for AWS unterstützt das zentrale Management und Reporting für AWS-Nutzer, um zum Beispiel einheitliche Berichte zur Cloud-Nutzung für mehrere AWS-Cloud-Dienste generieren zu können. Berichte und ein Dashboard zur Verfügbarkeit verschiedener Cloud-Dienste liefert auch der Cedexis Radar. Die Messergebnisse liefern die Mitglieder der Radar Community.

Fazit: Vielfalt braucht Einheitlichkeit

Aus Sicherheitsgründen braucht kein Unternehmen darauf zu verzichten, mehrere Cloud-Dienste parallel zu nutzen, im Gegenteil: Der Multi-Cloud-Ansatz verringert die Abhängigkeit von einem bestimmten Cloud-Provider und hilft bei der Gewährleistung der notwendigen Verfügbarkeit. Bei einer Multi-Cloud-Nutzung ist es jedoch sinnvoll, Sicherheitslösungen zu nutzen, die ein einheitliches Management und Reporting zur Cloud-Sicherheit ermöglichen. Bei der Wahl einer entsprechenden Lösung sollten Unternehmen insbesondere darauf achten, welche Cloud-Dienste tatsächlich unterstützt werden. Jeder Cloud-Dienst, der nicht mit den zentralen Sicherheitswerkzeugen verwaltet werden kann, bedeutet zusätzlichen Aufwand und das Risiko, einzelne Cloud-Risiken zu übersehen.

(ID:38270590)