Hybrid Cloud Security Sicherheit und Datenschutz in Multi-Cloud-Umgebungen

Unternehmen setzen immer stärker auf hybride IT-Landschaften mit einer Kombination aus eigenen Rechenzentren und der Private Cloud für bestimmte vertrauenswürdige Daten sowie der Public Cloud, die Echtzeitkommunikation erlaubt. Das ermöglicht zwar flexibles Arbeiten, sorgt aber auch für neue Sicherheitsrisiken.

Anbieter zum Thema

Arvato Systems

Security-Insider

SEPPmail - Deutschland GmbH

T-Systems International GmbH

Zentrales Thema vieler Betriebe ist das Konzept Hybrid Collaboration: Businesskommunikation und die Zusammenarbeit von Teams auf der ganzen Welt je nach Bedarfs-, Zugriffs- und Sicherheitsanforderungen aus der Multi-Cloud. Doch dieser Ansatz will gut durchdacht sein, um keine Risiken in Sachen Datenschutz und Compliance einzugehen: Auf welcher Cloud welche Informationen wann liegen, wer unter welchen Voraussetzungen Zugriff auf bestimmte Applikationen und Daten hat und wie im Falle eines Ausfalls eine zuverlässige Wiederherstellung über die gesamte Infrastruktur möglich ist – all diese Themen müssen im Vorfeld geklärt sein. Insbesondere in Hinblick auf die neue Datenschutz-Grundverordnung, auf die sich die Unternehmen schon heute vorbereiten müssen, sind diese Punkte zentrale Erfolgsfaktoren für eine zukunftssichere IT-Landschaft.

An Office 365 führt kein Weg vorbei, wenn Unternehmen nach einer modernen Collaboration-Lösung suchen. Und seit Microsoft diese Lösung direkt aus der deutschen Public Cloud anbietet und T-Systems zum Datentreuhänder ernannt hat, ist auch für die nötige Sicherheit und Einhaltung der Datenschutz-Grundverordnung (DSGVO)gesorgt. Mit der Datenschutz-Grundverordnung können hohe Datenschutzstandards mit neuen digitalen Geschäftsmodellen zusammengebracht werden. Diese Kombination ist von entscheidender Bedeutung, denn die Bedrohungsszenarien werden immer konkreter: Infrastrukturen werden von Cyber-Kriminellen angegriffen, Informationen gehackt und private Daten öffentlich zur Verfügung gestellt, Cloud-Server großer internationaler Anbieter fallen aus.

All diese Szenarien sind bereits Realität – wie der Angriff mit der Erpresser-Software Wanna Cry gerade wieder verdeutlicht hat – und mit jedem neuen Fall steigt die Relevanz von Sicherheit für Unternehmen. Hinzu kommen interne Risiken, beispielsweise durch Mitarbeiter, die sich ihre eigene Infrastruktur schaffen. Denn sorgen IT-Verantwortliche nicht selbst für einfach zu bedienende, effiziente und flexible Lösungen, umgehen einige ihrer technik-affinen Kollegen in den Fachabteilungen die offiziellen Wege und arbeiten mit den Applikationen, die sie aus ihrer privaten Kommunikation kennen und downloaden. Mit einem massiven Problem: Dropbox, WhatsApp und Co. sind bei weitem nicht sicher genug für sensible Unternehmensdaten. Es gilt also, diese Schatten-IT zu vermeiden und firmenweit für eine attraktive Infrastruktur zu sorgen, die die Security-Anforderungen erfüllt und von den Fachabteilungen gern genutzt wird.

Identity und Access Management für gesicherte Zugriffe von allen Devices

Neben innovativen und effizienten Anwendungen ist auch der Zugriff auf die Systeme ein wichtiges Security-Thema. Eine große hessische Behörde steht beispielsweise vor der Herausforderung, dass die Mitarbeiter mit Tablets arbeiten und es keine Transparenz darüber gibt, welche Applikationen auf diesen Endgeräten genau genutzt werden. Auf dieser Basis ist die Sicherheit der Infrastruktur nicht gewährleistet, da theoretisch auf die verschiedensten Cloud-Services zugegriffen werden könnte, ohne dass die IT-Verantwortlichen dies überprüfen oder nachvollziehen können. Doch glücklicherweise gibt es für solche Fälle eine probate Lösung: professionelles Identity and Access Management.

Konkret bedeutet dies, dass alle verwendeten Endgeräte registriert werden, sodass die Applikationen darauf zentral gemanagt werden können. Wer wann auf welche Anwendungen und Daten Zugriff erhält, ist dann stets transparent und in der Kontrolle der IT-Administration. Insbesondere in hybriden Umgebungen ist ein solches Instrument essenziell, denn eine umfassende Lösung steuert auch, welche Informationen in welchem Teil der Multi-Cloud-Umgebung vorgehalten werden. Dieser Faktor spielt beispielsweise im Gesundheitswesen eine wichtige Rolle: Bei Organvergabeverfahren dürfen keinesfalls Daten an Unbefugte gelangen, sodass man die Beteiligten in der Regel technisch vollständig von der Außenwelt abschirmt, um maximale Sicherheit zu gewährleisten. Allerdings müssen hier Krankenhäuser und Ärzte miteinander kommunizieren, um das Verfahren durchlaufen zu können. Um diese besonderen Security-Anforderungen in die Praxis umzusetzen, ist eine hybride Umgebung ideal: Die außerordentlich schützenswerten Patienteninformationen können im eigenen Rechenzentrum gespeichert werden, während Kommunikation und Datenaustausch je nach Sicherheitsstufe über die Private oder Public Cloud abgewickelt werden. Ein spezielles Rollen- und Rechtemanagement sorgt innerhalb der Infrastruktur dafür, dass nur Befugte Zugriff auf die jeweiligen Informationen erhalten.

Security-Audits für den transparenten Überblick

Um das richtige Sicherheitskonzept zu finden, ist zunächst der Überblick über die eigenen Daten und Strukturen die Grundlage. Viele Unternehmen kennen ihre eigene Infrastruktur nicht detailliert, was die Implementierung von wirksamen Security-Maßnahmen zusätzlich erschwert. Ein Audit eines erfahrenen externen Beraters hilft in solchen Fällen, Transparenz zu schaffen und zu erkennen, an welchen Stellen es Optimierungsbedarf gibt. Auch hier rückt die europäische Datenschutz-Grundverordnung wieder in den Fokus, denn diese enthält bestimmte Archivierungsvorgaben, die für Unternehmen bindend sind.

Um jedoch ein entsprechendes Konzept aufzusetzen, muss Klarheit über den Status Quo herrschen: Welche Dokumente sind schützenswert, welche wurden wann zuletzt benutzt oder geändert und welche müssen entsprechend archiviert werden? Einen Überblick darüber gibt ein umfassendes Audit. Mit der neu gewonnenen Transparenz lässt sich ein effizientes Dokumentenmanagement aufbauen, welches den neuen Anforderungen durch die europäische Vorgabe gerecht wird. Und der externe Check bietet noch eine weitere Möglichkeit: Er hilft, das eigene Recovery-Management zu überprüfen und gegebenenfalls zu verbessern. Denn durch die hybride Cloud-Struktur werden bei Unternehmen mit internationalen Standorten die Backups je Standort in verschiedenen Wolken abgelegt. Zwar ist der Zugriff zentral, doch die Sicherheitskopien der Firmendaten liegen reell in unterschiedlichen Rechenzentren. Das erschwert die Wiederherstellung im Fall einer Störung, da die Zusammenführung aller Teilinformationen über unterschiedliche Clouds nicht vorgesehen ist. Erleichterung bietet hier ein Connectivity-Konzept, welches die Backups aller Standorte zentral in einem sicheren Data Center ablegt und von dort problemlos ein Recovery durchführen kann.

Ende-zu-Ende-Sicherheit aus einer Hand

Um die Komplexität der hybriden IT-Landschaften sicher zu managen, sind komplette Lösungspakete eines IT-Service-Providers aus einer Hand ein probater Weg. Bewährt hat es sich, aus einem umfassenden Cloud-Portfolio nach individuellem Bedarf die passenden Lösungen auswählen zu können – und diese dann koordiniert zu steuern. Für viele Unternehmen ist die Ende-zu-Ende-Unterstützung dabei ein wichtiger Aspekt. Das beginnt mit einer bedarfsgerechten Strategieberatung inklusive technischer, sicherheitsrelevanter und Compliance-Aspekte. Darauf folgt die Begleitung der Migration von der Planung über die Einführung entsprechender Tools bis hin zur Umsetzung und dem Betrieb der neuen Lösungen. Um ein optimales Ergebnis für die individuellen Anforderungen eines Unternehmens zu erreichen, sollten Standardlösungen mit speziellen Applikationen zu einer konsistenten und sicheren Gesamtstruktur kombiniert werden. Auf diese Weise entsteht eine herstellerunabhängige und maßgeschneiderte Infrastruktur, die den weiter steigenden Anforderungen des digitalisierten Marktes gewachsen ist.

Über den Autor: Frank Strecker ist Senior Vice President Cloud Partner Products & Ecosystems bei T-Systems und verantwortlich für das weltweite Cloud-Geschäft der Deutschen Telekom.

(ID:45047175)