Auslagerung von Diensten und Systemen in die Cloud

Noch vor einigen Jahren war die Auslagerung in die Cloud ein no go für sensible und vertrauliche Dienste. Über die Jahre hat sich das spürbar geändert und der Grad der Auslagerung nimmt zu. Ein Grund dafür ist, dass die Cloud Anbieter transparenter in Ihrer Informations-Sicherheits-Strategie werden. Das erlaubt einen resilienter Betrieb auch in der Cloud.

Die richtige Cloud Strategie

Werden Dienste in die Cloud ausgelagert, stellt sich die Frage welchem Cloud Service Provider man seine Systeme und Daten anvertraut. Häufig fällt die Wahl auf mehrere Cloud Service Provider, um sich nicht von einem Anbieter abhängig zu machen. Sind die Anbieter benannt wird die neue Sicherheits-Strategie definiert. Häufig passiert das zweigeteilt in dem ein erstelltes Konzept vor dem Rollout getestet wird. Ist die Testphase erfolgreich, werden immer mehr Teile der auszulagernden Dienste in die Cloud verlagert.

Die Auslagerung in die Cloud verändert die Struktur und damit auch Angriffs-Szenarien. Diese müssen in der neuen Sicherheits-Strategie bedacht werden, um einen widerstandsfähigen Betrieb zu gewährleisten. Dabei unterstützt die Infrastruktur-Modellierung. In einem Infrastruktur-Modell lassen sich bestehenden Datenflüsse auf die neuen Cloud Service Provider umlegen. Die Änderung im Modell visualisiert die neue Systemlandschaft. Die anschließende Angriffs-Simulation zeigt, wie sich die Angriffs-Perspektive verändert hat. Welche Hotspots neu entstanden sind und welche Übergänge in der Systemlandschaft überwacht werden müssen. Hierbei hilft vor allem die Visualisierung der wahrscheinlichsten Angriffspfade.

Der sichere Betrieb

Ein weiteres Hilfsmittel kann die zyklische Evaluierung der Sicherheitslage sein. Hierbei hilft der Resilienz-Wert time to compromise, der die Widerstandsfähigkeit von Systemen angibt. Durch die Angriffs-Simulation vor der Auslagerung wird klar, wo sich das Risiko und der Grad der Widerstandsfähigkeit hin entwickeln wird. Da der Betrieb nicht statisch ist, verändert sich mit der Anpassung der Cloud-Dienste auch der Resilienz-Wert. Die zyklische Überprüfung zeigt dabei auf, ob auch eine Anpassung der Sicherheits-Strategie von Nöten ist. securiCAD fasst die Resilienz-Werte pro System dabei übersichtlich in Risikowerte für die Systemlandschaft zusammen.