Cyber-Ark gibt acht Tipps für Cloud-Sicherheit

Ein zentrales Sicherheitsproblem bei der Nutzung von Cloud-Services liegt darin, dass Administratoren des Service-Providers Zugang zu unternehmenskritischen Applikationen, Prozessen, Services, Systemen oder Daten erhalten. Laut Sicherheitsexperte Cyber-Ark ist es deshalb unerlässlich, vor einer Entscheidung für die Cloud genau zu überprüfen, welche Lösungen der Service-Provider in diesem Bereich einsetzt und wie er Zugriffsmöglichkeiten regelt beziehungsweise überwacht.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in seinem Ende September 2010 veröffentlichten Eckpunktepapier zum Thema Informationssicherheit beim Cloud Computing das ID- und Rechtemanagement als Basisanforderung für Cloud-Anbieter definiert und unter anderem betont: Das Rechtemanagement muss gewährleisten, dass jede Rolle nur die Daten (auch Metadaten) sehen darf, die zur Erfüllung der Aufgabe notwendig sind. Das gilt auch für Administratoren. (1)

Management privilegierter Benutzerkonten:

Der Service-Provider muss ein Privileged-Identity-Management-System für die Verwaltung privilegierter Accounts im gesamten IT-Betrieb implementiert haben, damit der Nutzer der Cloud die Gewähr hat, dass Policies, Prozesse und Practices seine Anforderungen an die Datensicherheit erfüllen. Dabei sollten Standards wie ISO 27001 oder 27002 eingehalten werden.

Policy-Konformität:

Die Policies und Prozesse des Privileged Identity Management auf Providerseite müssen den unternehmenseigenen entsprechen. Im Idealfall sind sie alle ISO-basiert.

Evaluierung:

Im Auswahlprozess sollte man die Security-Struktur des Service-Providers genau überprüfen und evaluieren. Dabei ist insbesondere darauf zu achten, dass er Tools für das Privileged Identity Management einsetzt, die die Security-Policies und -Prozesse automatisch unterstützen.

Dokumentation:

Die Richtlinien und Prozesse des Privileged Identity Management müssen Audit- und Reporting-Anforderungen erfüllen. Die verwendeten Lösungen und Technologien sollten dabei schriftlich in Verträgen und Service Level Agreements festgehalten werden.

Definition von Rollen:

Es müssen Policies vorhanden sein, die den privilegierten User-Zugang regeln und limitieren. Dabei ist auch eine Separation of Duties zwingend erforderlich.

Keine versteckten Passwörter:

Es sollten keine eingebetteten Applikationspasswörter verwendet werden, die Zugang zu Backend-Systemen oder Datenbanken bieten. Mit ausgewählten Privileged-Identity-Management-Lösungen wie Cyber-Arks Privileged Identity Management Suite ist eine Eliminierung dieser Passwörter möglich.

Überwachung:

Der Service-Provider muss eine Lösung implementiert haben, die eine permanente Kontrolle und Überwachung der privilegierten Benutzerkonten sicherstellt.

Reporting:

Zu allen privilegierten User-Accounts muss es hinsichtlich Zugriffen und Aktivitäten Protokolle und Reportings geben. Dabei sollte der Service-Provider seinem Kunden ein wöchentliches oder zumindest monatliches Reporting zur Verwendung privilegierter Accounts zur Verfügung stellen.

Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn, betont: Bei der Auslagerung sensibler Daten in die Cloud sollte jedes Unternehmen darauf achten, dass der Cloud-Provider eine Privileged-Identity-Management-Lösung einsetzt, mit der privilegierte Benutzerkonten mit erweiterten Rechten automatisch verwaltet und überwacht werden - und zwar nicht nur aus Gründen der Datenintegrität und -sicherheit, sondern allein schon im Hinblick auf gesetzliche Anforderungen und Compliance-Vorschriften. Leider ist das auf Cloud-Anbieter-Seite heute noch eher die Ausnahme.

(1) vgl.: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Sonstige/Cloud_Computing_Mindestsicherheitsanforderungen.pdf_blob=publicationFile