IT-Security INSIDE # Mai 2016

Transkript

1 Das Kochbuch für eine sichere Cloud Mark Stäheli Geschäftsleitung, AVANTEC AG AGILITÄT TIEFERE KOSTEN WENIGER BETRIEBS- AUFWAND SKALIER-BARKEIT

2 VENDOR LOCK-IN DATEN- SICHERHEIT ZUVER- LÄSSIGKEIT FEHLENDE TRANSPARENZ Cloud? Nein, danke? «Ich will die Daten bei mir haben» Leiter Informatikdienste, Industrie «Fällt das ERP (in der Cloud) aus, gehen alle nach Hause und der Betrieb steht still» Geschäftsführer, Industrie «Wir sind keine IT-Firma» Leiter IT, Baufirma «Wir prüfen jeden neuen Service, ob wir ihn aus der Cloud beziehen oder inhouse anbieten» Leiter Corporate Collaboration & Workplace, Versicherung

3 Das Rezept Sicher in die Cloud in 5 Schritten 1) Vergessen Sie alles 2) Bauen Sie auf erfolgreichen Projekten auf 3) Definieren Sie eine einfache und ergebnisorientierte Strategie 4) Managen Sie die Risiken 5) Nehmen Sie Ihre Verantwortung wahr Schritt 1 Vergessen Sie alles, was Sie je über die Cloud gehört haben!

4 Cloud Mythen Die Cloud ist unsicher Die Cloud ist immer günstiger «Der CEO sagt» ist eine Cloud-Strategie Schritt 2 Bauen Sie auf erfolgreichen Cloud-Projekten auf!

5 Erfolge kopieren Klären Sie, welche Cloud-Lösungen bereits im Einsatz sind Prüfen Sie die Zufriedenheit mit dem Service den Mehrwert die tatsächlichen Kosten wie kritische Punkte gelöst wurden Wo lassen sich Erfolge einfach, rasch und gewinnbringend wiederholen? Schritt 3 Definieren Sie eine einfache ergebnis-orientierte Cloud- Strategie!

6 Sie brauchen eine Cloud Strategie Keine Cloud Strategie Schatten-IT Entscheidungsgrundlage und Richtlinien für die Umsetzung Cloud Services sollten einzeln und nacheinander eingeführt werden Entscheiden Sie ergebnis-orientiert und nicht auf Basis der Technologie-Strategie Starthilfe zur Cloud Strategie Review Ziele und Erwartungen Lessons learned Kriteriencheck Vor Evaluation von Services Cloud Monitoring Cloud Readiness Definition von Zielen und Erwartungen Cloud Expectations Cloud Adoption Principles Einkaufsstrategie Restriktionen Backup/DR Exit Strategie Technologien

7 Cloud Readiness Assessment niedrig nein einfach unkritisch unkritisch tief tief nein Datenschutz Kritischer Geschäftsprozess Integration IAM Latenz Performanz Datenvolumen Bandbreitennutzung On Premise Integration hoch ja schwierig kritisch kritisch hoch hoch ja Kategorisierung der Cloud Optionen Nutzen/Vorteile Hoch und klar Klein oder ungewiss Public Experimentieren Private On Premise Klein und kontrollierbar hoch oder unkontrollierbar Herausforderungen/Risiken Quelle:Gartner (2015)

8 Auswahl Cloud Service Gibt es einen Service, der die gewünschten Funktionen abdeckt? Wichtige Kriterien Maturität Marktanteil Finanzielle Stabilität Zertifizierungen Datenschutz Security-Funktionen Lizenzierung/Kosten Vertragsdauer/Flexibilität Schritt 4 Risiken sind kein Grund die Cloud zum meiden managen Sie sie!

9 Risiko-basiertes Vorgehen Business Contribution low high Always allowed Risk Assessment Not Today (Re-evaluate) Do Not Allow Source: Gartner (2014) low Data/Process Sensitivity high Die Risiken in der Cloud Sensitive Daten in der Cloud Unberechtigte Zugriffe auf Accounts und Daten Schlechte Verfügbarkeit Hacking der Cloud Datenverlust (ohne Wiederherstellung) Vendor Lock-in (Service ausser Betrieb)

10 Vertrags-Management ist keine Lösung Verträge sind standardisiert und nur minimal verhandelbar SLA sind nicht verhandelbar Es gibt nur minimale «Penalties» Maximal eine Monatsgebühr bei Nichteinhalten der SLA Maximal eine Jahresgebühr bei grösseren Ausfällen und Folgeschäden Technik minimiert Risiken Cloud Visibility Assessment Freigabe von «genehmigten» Services Rest blockieren Authentisierung ADFS/SAML für User Starke Authentisierung für privilegierte User Cloud-Funktionen nutzen Rollen und Rechteverwaltung Audit Trail, Logs, Monitoring Backup/Recovery hinterfagen Encryption works!

11 Cloud Visibility Assessment + + Datenverschlüsselung in der Cloud Gateways bieten Verschlüsselung oder Tokenisierung Digitales Schreddern von Daten durch Löschen der Schlüssel/Token Sicherheit geht zu Lasten von Funktionalität oder umgekehrt Zugriff für Dritte nicht gewährleistet Schlüssel/Gateway inhouse empfohlen

12 Kosten von Risikomassnahmen Wert Wert Risiko Mass nahm en Wert Risiko Mass nahm en 0 Schritt 5 Nehmen Sie Ihre Verantwortung wahr managen Sie die Cloud!

13 «Through 2020, 95% of cloud security failures will be the customer s fault» (Gartner, 2015) Shared Responsibility Software as a Service Platform as a Service Infrastructure as a Service Kontrolle durch Kunde Kontrolle durch Cloud Service Provider

14 Zusammenfassung Denken Sie nicht schwarz/weiss Bauen Sie auf erfolgreichen Projekten auf Entwickeln Sie eine einfache ergebnis-orientierte Cloud-Strategie Führen Sie ein Cloud Visibility Assessment durch Die Cloud ist grundsätzlich sicher, aber minimieren Sie Risiken wo notwendig und tragbar nehmen Sie Ihre Verantwortung wahr Prüfen Sie den Einsatz von zusätzlichen Technologien Starke Authentisierung Verschlüsselung Anhang

15 Security: Cloud vs. On-Premise Quelle: Alert Logic, Cloud Security Report, 2015 Verfügbarkeit IAAS 18 Downtime in h (Jahr 2015) Amazon Web Services Microsoft Azure Google Cloud Rackspace IBM Softlayer Quelle: Cloud Harmony, 2015

16 Cyber-Insurance Markt ist in Entwicklung, keine Standards Interesse steigend Cyber-Insurance macht Sinn für rechtlichen und regulatorischen Folgekosten Cyber-Insurance macht keinen Sinn um eine schwache IT-Security abzusichern bei genereller Angst vor Cyber-Attacken Shared Responsibility Model

17 CASB als Cloud Enabler Visibility/Risk Assessment Kontrolle (Compliance) Datensicherheit (DLP, Verschlüsselung) Erkennung von Bedrohungen Single Sign-On Integration von Cloud Applikationen Steuerung von Cloud Services Data Migration Redeployment Data Deletion End of Life Implement Purchase Provisioning Data Migration Contingency Planning Continuous Management Vendor Management Utilization IAM User activity monitoring Data Backup Review Service Portfolio Review new features CSP Status/Performance