Entwicklungen bei der Cloud Security

Hölzle: Neben der Komplexität sehe ich ein Hauptproblem in der Skepsis gegenüber neuer Technik. Container-Systeme sind aktuell die beste Wahl für einen effizienten IT-Betrieb, da bereits VMs, Betriebssysteme, Netzwerkkom­ponenten und so weiter integriert sind. Die Firewall-Kon­figuration fällt für Anwender schon mal weg und dadurch mögliche Lücken in der Cyberabwehr. Ich merke aber – vor allem bei Kunden in Europa –, dass viele an ihren in der On-Premises-Welt bewährten Konzepten festhalten und diese auf die Cloud übertragen wollen. 

Hölzle: Das kann man machen, nur schleppt man dann die gesamte Komplexität der On-Premises-Welt mit in die Cloud. Dabei führt genau diese Komplexität immer wieder zu Sicherheitsproblemen. Der Kardinalsfehler ist, dass sich die Entscheider kaum Zeit nehmen, ihre IT-Architektur an die Cloud anzupassen und zu planen. Um bei dem Beispiel zu bleiben: Containerization bedeutet nicht, dass man alle seine Software auf Micro Services umschreiben muss. Aber es macht Sinn, möglichst viele Workloads über Container zu betreiben. Das erspart einen ganzen Security-Layer, um den man sich nicht mehr selbst kümmern muss. Ähnliches gilt wie erwähnt für die Endpoint-Sicherheit durch den Einsatz von Chromebooks und Chrome in Kombination mit Cloud-Lösungen. Auch hier entfällt ein Teil der Passwort­abfragen. Überdies ist man besser gewappnet gegen Phi­shing als mit klassischen Client-Architekturen. 

Hölzle: Der Initialaufwand für den Systemwechsel ist da, aber die Mühe, sich in diese Welt einzuarbeiten, ist sicher geringer, als noch weitere zwei, drei Jahre Phishing und andere Angriffe zu bekämpfen. Manche scheuen vor dem Schritt auch aus Kostengründen zurück. Aber es lohnt sich durchzurechnen, was über die Jahre günstiger käme. Meist realisiert man dann, dass der Erstaufwand deutlich kostengünstiger ist als die laufenden Sicherheitsmassnahmen und das Loch, das ein Schadensfall nach einer erfolg­reichen Attacke in die Finanzen reissen würde. 

Hölzle: Der Schlüssel zum Vertrauen ist Transparenz. Wenn jemand von uns auf VMs von Kunden zugreift, etwa um eine Datenbank zu reparieren, erscheint dort ein entsprechender Log-Eintrag. Wir informieren also Kunden aktiv über notwendige Massnahmen und darüber, was wir tun. So weiss der Kunde Bescheid, dass wir das waren und niemand Unbefugtes. Das nennen wir Access Transparency. Soweit mir bekannt ist, bieten das bisher nur wir an. Mit Access Approval melden wir uns zuvor beim Kunden und erst wenn dieser uns die Erlaubnis erteilt, greifen wir auf seine Ressourcen für den Support zu. Ich betone es nochmals: Wir greifen nur auf Ihren Wunsch auf Ihre Daten zu!