Datensicherheit Praxistipps für sichere Cloud-Apps

Cloud-Apps scheinen hinsichtlich der Datensicherheit fast unkontrollierbar. Die Zahl der Mini-Anwendungen im Unternehmen fällt das erste Mal überhaupt. Einige dieser Apps sind geschäftsrelevant, die meisten jedoch nicht für den Einsatz im Unternehmen ausgelegt. Wie können Unternehmen potenziellen Problemen begegnen?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Laut dem jüngsten Netskope Cloud-Bericht sind heute durchschnittlich 483 Cloud-Anwendungen pro Unternehmen/Organisation im Einsatz, gegenüber noch 511 im dritten Quartal 2014 – Tendenz fallend. 90 Prozent lassen grundsätzliche Sicherheitsstandards vollständig missen.

Schlimmer noch: die meisten Cloud-Apps sind nicht autorisiert, wurden also weder von der IT-Abteilung erworben noch genehmigt. Meist wissen Administratoren nicht einmal, welche Cloud-Apps die Angestellten in ihrem Unternehmen nutzen. Üblicherweise unterschätzen IT-Abteilungen die Anzahl der im Unternehmen verwendeten Anwendungen signifikant.

IT-Abteilungen haben aus den drei folgenden Gründen Bedenken bezüglich Cloud-Anwendungen:

• Erstens können Administratoren nichts verwalten oder managen, was sie nicht sehen. Unautorisierte Apps bleiben weitgehend unauffindbar, es sei denn das IT-Team unternimmt eine eingehende interne Untersuchung.

• Zweitens können Cloud-Apps über eine wachsende Anzahl von mobilen Geräten geöffnet werden, wodurch Netzwerkgrenzen weiter unterhöhlt werden.

• Abschließend ermöglichen viele Cloud-Anwendungen ein schnelles und einfaches Teilen von Inhalten, was bedeutet, dass die Gefahr immer größer wird, versehentlich sensible Informationen für Unbefugte zugänglich zu machen.

Doch es gibt ein paar einfache Maßnahmen, die es Mitarbeitern erlauben, weiterhin ihre präferierten Apps zu nutzen und gleichzeitig gewisse Sicherheitsstandards einzuhalten. Denn gerade diese nicht autorisierten Cloud-Apps können der Produktivität im Unternehmen zuträglich sein und Kostenvorteile schaffen.

1. Planung und Risikominimierung

In einem ersten Schritt sollten diese Apps auf Sicherheit, Nachvollziehbarkeit und Business-Continuity-Funktionen geprüft werden, um einen Überblick zu erhalten, welche Risiken jede einzelne App birgt. Wichtig ist zu wissen, ob in der App gespeicherte Daten verschlüsselt werden und ob Objekt-basierte Speicherungen in der Cloud getrennt werden.

Auf diese Weise sind Daten auch bei einem möglichen Missbrauchsversuch geschützt. Die IT-Abteilung muss einen vollständigen Backup- und Desaster-Recovery-Plan in der Hinterhand haben, so dass geschäftsrelevante Prozesse unbeeinträchtigt bleiben, selbst wenn Informationen gelöscht oder korrumpiert werden.

2. Mitarbeiter einbeziehen und schulen

In einem nächsten Schritt erläutert die IT-Abteilung den jeweiligen Nutzern die Ergebnisse bezüglich der Risiken und möglichen Auswirkungen der Cloud-Apps. Denn Mitarbeiter lassen sich leichter davon überzeugen, weniger risikoreiche Anwendungen zu nutzen, wenn sie sich gut informiert fühlen. Ein umfassendes Training sowie die Veröffentlichung von App-Bewertungen und Nutzungsdaten sind ein probates Mittel, Mitarbeiter davon zu überzeugen, die autorisierten, sicheren Anwendungen zu verwenden.

3. Leitfäden und Konsolidierung

Idealerweise erstellt die IT-Abteilung zusammen mit einzelnen Anwendern oder Geschäftsbereichen Richtlinien, die dann unternehmensweit bindend sein sollten. Diese Policies können dazu dienen, manche App-Funktionen zu blockieren wie beispielsweise das „Hochladen“ oder „Teilen“. Risiken lassen sich durch granulare Richtlinien verringern.

IT-Abteilungen können beispielsweise eine App zulassen, aber konkrete Regeln erstellen, um das Hochladen bestimmter Daten-Typen zu verhindern. Oder die IT erlaubt die Nutzung einer bestimmten App, schränkt aber den Upload von sensiblen Daten zu anderen Apps ohne ein bestimmtes Sicherheitsniveau ein. Apps mit bekannten Schwachstellen zu löschen sollte immer der letzte Ausweg sein. Wenn aber kein Weg darum herum führt, ist die offene Kommunikation mit den Anwendern sehr wichtig.

Unternehmen sollten der Information der Nutzer über die Richtlinien rund um Cloud-Apps hohe Priorität einräumen. Die Praxis zeigt, wie sorglos Mitarbeiter kritische Informationen in nicht autorisierten Cloud-Apps oder anderen Apps speichern, wenn sie über die Risiken nicht aufgeklärt worden sind.

Dazu gehören teilweise ganze Datenbanksätze, geistiges Eigentum wie Software-Quellcodes, vertrauliche Pläne sowie Produktinformationen oder nicht öffentliche Finanzzahlen. All diese Daten können sehr einfach gestohlen werden und frei zugänglich gemacht werden wenn eine unsichere Cloud-App korrumpiert wird.

Generell sollten alle Anwendungen konsolidiert werden. So kann die IT den Anwendern die genehmigten Apps näher bringen und qualitativ minderwertige Apps auf diese Weise abschaffen. Nur wenn eine App ein echtes Sicherheitsrisiko darstellt – und wirklich nur dann – sollte die App blockiert werden. In diesem Fall müssen den Anwendern sichere Alternativen angeboten werden, um keine Frustration aufkommen zu lassen und sicherzustellen, dass sie ihre Aufgaben erledigen können.

4. Wiederkehrende Muster im Auge behalten

Wichtig ist auch zu erfahren, wie Angestellte Cloud-Apps nutzen. Der IT-Verantwortliche sollte sich dazu neben Uploads auch Downloads und geteilte Inhalte anschauen. Downloads scheinen auf den ersten Blick harmlos zu sein. Doch hier interagieren die Anwender mit unsicheren Apps; die Downloads können Viren enthalten.

Ein gutes Beispiel sind auch unautorisierte Downloads, zum Beispiel von persönlichen Daten aus einer HR-App. Da IT-Teams nicht wissen können, was normale oder verdächtige Vorgänge sind, wenn sie die täglichen Muster nicht kennen, sollten sie solche gebräuchlichen Schemata erstellen und ungewöhnliche Aktivitäten überprüfen.

Cloud-Apps und Sicherheit lassen sich durchaus vereinen

Diese praktischen Maßnahmen – sorgfältige Planung, intelligente Richtlinien und eine gewissenhafte Schulung der Mitarbeiter – sorgen dafür, dass Cloud-Apps in Unternehmen zur Produktivität beitragen und ihre Vorteile voll genutzt werden können, ohne dass Daten verloren gehen oder gestohlen werden. Cloud-Apps werden nicht mehr vom Markt verschwinden und Unternehmen müssen lernen, sie sinnvoll für sich und ihre Mitarbeiter zu nutzen.

* Eduard Meelhuysen ist Vice President EMEA bei Netskope.

(ID:43465562)