Die Infragestellung der Cloud im Unternehmen

Jede Diskussion über die Cloud muss öffentliche und private Clouds sowie SaaS (Software as a Service), IaaS (Infrastructure as a Service) und PaaS (Platform as a Service) miteinbeziehen. Und jeder dieser Cloud-Typen bringt seine eigenen Wirtschaftlichkeitsfaktoren und Risiken mit sich.

Trotz der Allgegenwärtigkeit solcher Dienste werden Bedenken hinsichtlich der Datensicherheit in der Cloud zunehmend laut. Ein gewisses Gefühl des Kontrollverlusts führte zur Wahrnehmung einer Verbindung zwischen der Cloud und der Anfälligkeit von Daten. Einerseits hegt man Bedenken mit Blick auf die Vertraulichkeit von Daten, die auf US-Plattformen archiviert sind, nachdem die USA im Jahr 2018 den Cloud Act verabschiedet haben. Andererseits besteht die Sorge vor menschlichem Versagen, da falsch konfigurierte Sicherheitsparameter zu massiven Datenlecks führen können.

Eine weitere sehr verbreitete Befürchtung gilt den versteckten Kosten der Cloud. Diese wird oft als kostengünstigere Lösung im Vergleich zu „On-Premise“-IT-Infrastrukturen angeboten. Tatsächlich gibt es mehrere Gründe für die Überschreitung des zugewiesenen Budgets: gestiegene Kosten für die Datenarchivierung, den Betrieb und die Datenlöschung oder unvorhergesehene Ausstiegskosten etc. Inzwischen hat auch die Energiekrise die Menschen für den Energieverbrauch in Rechenzentren (erneut) sensibilisiert.

Die letzte mit der Nutzung der Cloud verbundene Angst ist die Verwundbarkeit der dort gespeicherten Daten, die ein bevorzugtes Ziel für Cyberkriminelle darstellen. Um auf diese Daten zuzugreifen, können Cyberkriminelle verschiedene Elemente der Cloud angreifen, einschließlich IT- und Archivierungsdiensten sowie Anwendungen. Im Jahr 2021 wurden Cognite, Facebook und Kaseya Opfer von Cyberangriffen auf Cloud-Datenbanken. Diese wenigen Beispiele (unter vielen anderen Vorfällen) tragen zu dem Gefühl der Unsicherheit bei, das Unternehmen in Bezug auf die Cloud haben. Schließlich werden selbst Cybersicherheitslösungen in der Cloud angegriffen – im Web sind zum Beispiel zahlreiche Artikel über die von LastPass und dessen sicheren Passwortspeicherdienst erlittenen Angriffe vorzufinden.

Die Cloud wird seit mehreren Jahren infrage gestellt. Anlässlich einer Studie von 451 Research, die Ende 2022 veröffentlicht wurde, bestätigten sogar 54 % der Befragten, ihre Daten im Laufe des letzten Jahres aus der öffentlichen Cloud abgezogen zu haben. Sich von der Cloud zu lösen, ist allerdings keine leichtfertige Entscheidung und erfordert eine vorherige Abschätzung der Auswirkungen (Migration der Infrastruktur, Migration von Daten und Benutzern, Anpassung von Sicherheitsregeln, Change-Management …).

Mögliche Ansätze für die Sicherheit der Cloud

Es gibt aber auch einen anderen Ansatz: die Kombination von Cloud und Cybersicherheit. Dieser Ansatz ist umso wichtiger, da „Cloud-Sicherheit“ oft tatsächlich „Sicherheit von Clouds“ bedeutet. Die verschiedenen Schutzinstrumente, die von den einzelnen Marktteilnehmern angeboten werden, müssen verstärkt oder durch Lösungen von spezialisierten Cybersicherheitsanbietern ersetzt werden. Zu den Lösungen zählen etwa interne Segmentierungsfunktionen, die Filterung zwischen verschiedenen Ressourcen, Systeme zur Erkennung von Eindringungsversuchen, Identitäts- und Zugangsmanagement-Tools oder zuverlässige VPN-Verbindungen. Aus der Multi-Cloud-Perspektive bietet die Wahl von Lösungen eines einzigen, auf Firewalling spezialisierten Anbieters und deren Einsatz in jeder genutzten Cloud-Plattform Vorteile in Bezug auf Fachwissen, Sichtbarkeit und Risiko-Management verglichen mit der Administration unterschiedlicher in der jeweils genutzten Cloud vorkommender Firewalls.

Und wie wählt man zwischen den verschiedenen Cloud-Plattformen? Mit anderen Worten: Wie wählt man eine sichere Cloud aus? Die französische Regierung versucht diese Frage mit dem SecNumCloud-Standard zu beantworten, der eine Qualifikation für Cloud-Dienstleister gewährt. Dieses Label weist das Vertrauen der französischen Regierung nach, indem es die strengen Cyber-Anforderungen erfüllt, die von der ANSSI festgelegt wurden. Die Einhaltung des höchsten Sicherheits- und Datenschutzniveaus, eine präzise Service-Level-Vereinbarung und garantierte Datenlokalisierung: Qualifizierte Clouds bieten einen besseren Schutz gegenüber nicht europäischen Gesetzen.

Aber all das sollte nicht von der Bedeutung der Gewährleistung eines sicheren Daten-Austauschs in der Cloud ablenken. Mit der zunehmenden Verbreitung von Cloud-basierten Tools für die Zusammenarbeit in Unternehmen sind Informationen und Daten dem Risiko des Abfangens, des Verlusts und des Diebstahls ausgesetzt. Die Dateiverschlüsselung ermöglicht einen sicheren Austausch sensibler Daten: Diese werden automatisch verschlüsselt und nur für befugte Personen entschlüsselt. Um wirksam zu sein, müssen die Maßnahmen zum Schutz sensibler Daten jedoch genauso intuitiv sein, wie es die Cloud-Plattformen sind. Das ist aber ein Thema für sich.
Die Besorgnis über die Anfälligkeit der Daten in der Cloud verlangt, dass man sich die richtigen Fragen zu dieser besonderen Umgebung stellt. Sie verdeutlicht nämlich die Schwachstellen der Cloud und den daraus resultierenden Sicherheitsbedarf. Die Sicherheit in der Cloud darf nicht als Einzelaspekt betrachtet werden: Die Unternehmen müssen ihre Mitarbeiter ebenfalls für das breitere Spektrum der Cyberbedrohungen sensibilisieren. Nur so lässt sich das Sicherheitsniveau nicht nur für die Cloud-Ressourcen, sondern auch für den gesamten Perimeter erhöhen. Schließlich ist die Sicherheit in der Cloud ein Thema, das alle betrifft.

Weitere Informationen: https://www.stormshield.com/de/

So vermeiden Unternehmen Datenlecks durch ChatGPT & Co.

KI-Tools wie ChatGPT, Bard und Copilot erfreuen sich wachsender Beliebtheit, gefährden allerdings die Datensicherheit. Forcepoint erklärt, wie Unternehmen den Abfluss vertraulicher Informationen und Datenschutzverletzungen erfolgreich verhindern.

Generative KI ist bei zahlreichen Aufgabenstellungen im Arbeitsalltag bereits eine große Hilfe. Sie beantwortet Fragen, erstellt Texte fürs Marketing, übersetzt E-Mails sowie Dokumente und optimiert sogar Quellcode. Kein Wunder also, dass Mitarbeiter die Tools eifrig einsetzen, um sich die Arbeit zu erleichtern und produktiver zu werden. Allerdings entstehen dabei Risiken für die Datensicherheit im Unternehmen: Leicht landen vertrauliche oder personenbezogene Daten bei ChatGPT, Bard oder Copilot und dadurch unter Umständen sogar in den Antworten für andere Anwender. Schließlich nutzen die Anbieter nicht nur im Web verfügbare Daten, sondern auch die Benutzereingaben, um ihre KI-Modelle zu trainieren und deren Antworten zu verbessern.

Wollen Unternehmen die Kontrolle über ihre Daten nicht verlieren, müssen sie aktiv werden. Am einfachsten ist es, die Mitarbeiter im sicherheitsbewussten Umgang mit generativer KI zu schulen, doch Fehler passieren – in der Hektik des Arbeitsalltags kann die Aufmerksamkeit nachlassen, sodass Mitarbeiter dennoch sensible Daten bei den Diensten hochladen. Deshalb entscheiden sich manche Unternehmen dafür, die URLs der verschiedenen KI-Tools mit der Firewall zu sperren, was allerdings auch keine ideale Lösung ist. Zum einen bieten die Sperren keinen ausreichenden Schutz, weil Mitarbeiter sie leicht umgehen können, indem sie von außerhalb des Unternehmensnetzwerks auf die Dienste zugreifen. Zum anderen behindern Unternehmen ihre Belegschaft beim produktiven Arbeiten und sorgen möglicherweise für Frust. 

Um den Zugang zu den KI-Tools zu reglementieren und Daten zu schützen, sollten Unternehmen besser einen Zero-Trust-Ansatz verfolgen. Dabei stellen Sicherheitslösungen wie Secure Web Gateway (SWG) und Cloud Access Security Broker (CASB) sicher, dass nur zugelassene Dienste genutzt werden, und das auch nur von autorisierten Mitarbeitern – unabhängig davon, wo sich diese befinden und welches Gerät sie einsetzen. Ein zentraler Richtliniensatz reduziert den Verwaltungsaufwand und erleichtert es, Sicherheitsverletzungen über alle KI-Tools, Kommunikationskanäle und Geräte hinweg zu verhindern.

Darüber hinaus ist eine konsequente Kontrolle der bei den Diensten zur Verfügung gestellten Daten notwendig. Denn erst, wenn Unternehmen erkennen, dass Mitarbeiter beispielsweise dabei sind, personenbezogene Daten oder Quellcode mit geistigem Eigentum via Chat oder Datei-Upload mit den KI-Tools zu teilen, können sie das unterbinden. Voraussetzung dafür sind eine Klassifizierung von Daten sowie Richtlinien, die den Umgang mit den Daten regeln und überwachen. Lösungen für Data Loss Prevention (DLP) verbinden beides und minimieren den Einrichtungsaufwand, weil sie fertige Klassifizierungen für verschiedenste Daten und einen großen Satz vordefinierter Richtlinien mitbringen. 

Zudem müssen Unternehmen in der Regel auch nicht ihren gesamten Datenbestand klassifizieren – es reicht, sich auf die schützenswerten Daten zu konzentrieren. Die einzelnen Fachbereiche wissen üblicherweise sehr genau, um welche Daten es sich dabei handelt, und können Beispiele liefern: Kundenlisten, Präsentationen, Verträge, Code-Schnipsel. DLP-Lösungen analysieren diese und sind dann in der Lage, ähnliche Daten zuverlässig zu erkennen. Je nachdem, wie sensibel die Daten sind, erlauben sie abgestufte Reaktionen: Bei weniger kritischen Daten reicht es meist, den Mitarbeiter auf eine mögliche Verletzung der Datensicherheit hinzuweisen; bei wichtigeren Daten kann eine Freigabe durch den Vorgesetzten erforderlich sein, während der Upload besonders heikler Informationen direkt blockiert wird.

„ChatGPT und andere KI-Tools lösen selbst komplexe Aufgaben binnen Sekunden. Das ist im Arbeitsalltag äußerst praktisch, kann aber zu Verletzungen der Datensicherheit führen, wenn Mitarbeiter versehentlich vertrauliche oder personenbezogene Daten bei den Diensten eingeben“, betont Frank Limberger, Data & Insider Threat Security Specialist bei Forcepoint. „Mit DLP können Unternehmen ihre Daten zuverlässig schützen, ohne die Nutzung der KI-Tools zu beschränken, was unweigerlich die Produktivität und Motivation der Mitarbeiter beeinträchtigen würde. Die Lösungen lassen sich schneller einführen, als Unternehmen oft annehmen, und liefern bereits nach wenigen Tagen oder Wochen erste Ergebnisse.“

Weitere Infos: http://www.forcepoint.com/de

 

EU-Rat plant das Ende des digitalen Briefgeheimnisses und sicherer Verschlüsselung

Im Streit um die Pläne zur verdachtslosen Durchsuchung aller privaten Nachrichten und Fotos (Chatkontrolle) ist ein Vorschlag des spanischen Vorsitzes bekannt geworden, der am Donnerstag besprochen werden und Ende des Monats eine Mehrheit für die Chatkontrolle sichern soll.[1] Der Europaabgeordnete der Piratenpartei und Jurist Dr. Patrick Breyer, der das Vorhaben im EU-Parlament mitverhandelt, hat den Vorschlag gelesen und warnt: „Die Lippenbekenntnisse zu sicherer Verschlüsselung sind ein Placebo. Kommunikationsdienste wie Whatsapp oder Signal müssten trotzdem unsere Smartphones zu fehleranfälligen Scannern und Wanzen umfunktionieren (sog. client-side scanning), so dass man sich auf die anschließende Verschlüsselung der "unverdächtigen" Nachrichten nicht mehr verlassen könnte.

DSGVO in der Praxis - Controlware hilft durch den Vorschriftendschungel

Wenn Datenschutz und Alltag aufeinandertreffen, kommt es schon einmal zu Unstimmigkeiten. Da nicht eingehaltene Vorschriften der DSGVO teure Folgen nach sich ziehen können, ist die Einrichtung festgelegter Verfahren für die Verarbeitung personenbezogener Daten ein wichtiger Schritt, um solchen Schwierigkeiten aus dem Weg zu gehen.

Preisverleihungen auf der it-sa Expo & Congress

Auf Europas größter IT-Sicherheitsfachmesse it-sa Expo&Congress, die vom 10. bis 12. Oktober in Nürnberg stattfindet, nimmt das Thema Nachwuchsförderung eine wichtige Rolle ein. Preisverleihungen im Rahmenprogramm würdigen die Leistung angehender und junger Fachkräfte. Geehrt werden auch besondere Leistungen im Bereich der (Cyber-)Resilienz. Die Innovationskraft der IT-Sicherheitsbranche rückt der ATHENE Startup Award UP23@it-sa in den Fokus: Der begehrte Preis wird für das beste Cybersecurity-Startup im deutschsprachigen Raum vergeben.

IT-Sicherheit in kleinen und mittleren Unternehmen stärken

Die Cyber-Sicherheit ist für Unternehmen von größter Bedeutung. Die Zeiten sind turbulent und anspruchsvoll zugleich. Tatsächlich ist das Risiko in kleinen und mittleren Unternehmen (KMU) von einem Cyber-Vorfall betroffen zu werden nicht geringer als bei größeren Unternehmen. Auch wenn Hackerangriffe in ihrer Art und Durchführung stark variieren, lassen sich die Ziele und Motive der Cyberkriminellen eingrenzen.

Weitere Beiträge ...

Seite 1 von 19