Ausdehnung der Zugriffskontrolle auf die Cloud

Transkript

1 Ausdehnung der Zugriffskontrolle auf die Cloud Immer mehr Unternehmen nutzen immer öfter SaaS-Anwendungen (Software-as-a- Service). Deren Vorzüge sind zwar unbestritten, sie können aber auch große Probleme verursachen, wenn unbefugte Personen darauf zugreifen. Bei der zunehmenden Beliebtheit dieser Anwendungen spielt eine kostengünstige, verwaltungsfreundliche Lösung zur Überwachung und Kontrolle des Benutzerzugriffs auf Daten, die über SaaS gehostet werden, eine entscheidende Rolle. Sicherheit, Erstellung von Compliance-Berichten und einfacher Zugriff sind die wichtigsten Anforderungen, denen Unternehmen in angemessener Weise Rechnung tragen müssen. Wird bei den geplanten Sicherheitsmaßnahmen für den Benutzerzugriff nicht auf eine angemessene Komplexität geachtet, fällt die Entscheidung oft zugunsten einer lückenhaften, unsicheren Lösung aus, die manuelles Eingreifen erfordert.

2 Inhaltsverzeichnis Unternehmen setzen verstärkt auf SaaS... 1 Die Risiken von Cloud-Computing... 1 Risikokontrolle in der Cloud... 2 Unverzichtbare Anforderungen bei der Einführung neuer Lösungen... 3 Die Auswahl einer geeigneten Lösung... 4 Ihr Erfolg steht im Mittelpunkt... 4 NetIQ begleitet Sie auf dem Weg zum Erfolg... 4 Über NetIQ... 5 WHITE PAPER: Ausdehnung der Zugriffskontrolle auf die Cloud

3 Unternehmen setzen verstärkt auf SaaS Cloud-Computing hat auf dem Markt zu grundlegenden Veränderungen geführt. Während die IT- Budgets nicht mehr aufgestockt werden, fließt immer mehr Geld in die Geschäftsbereiche. Häufig sparen Unternehmen zunächst bei den Kapitalinvestitionen und verzögern dadurch die Umsetzung neuer Geschäftsmodelle, die sowohl den Geschäftsbereichen als auch der IT-Abteilung effizienteres Arbeiten ermöglichen würden. Dementsprechend tendieren Unternehmen immer stärker zu einer neuen Art der Anwendungsnutzung: Software as a Service (SaaS). Mit SaaS-Anwendungen vermeiden Unternehmen die typischen Anfangskosten neu bereitgestellter Lösungen und können die anstehenden Änderungen wesentlich schneller umsetzen als bei herkömmlichen Anwendungen. Zudem bietet SaaS im Vergleich zum herkömmlichen Softwarekauf drei wesentliche Vorteile: SaaS-Anwendungen werden in der Cloud gehostet, sodass von überall zugegriffen werden kann. Der mobile Zugriff ist ohne weiteres verfügbar. Die IT-Abteilungen sind nicht mehr für Projektupdates mit den neuesten Funktionen oder Fixes zuständig, da die Anwendungen stets auf dem neuesten Stand sind. Bei diesen eindeutigen Vorteilen überrascht es nicht, dass der SaaS-Markt ein rasantes Wachstum verzeichnet wurde er auf 21,2 Mrd. US-Dollar beziffert und wird voraussichtlich bis 2020 auf 132,5 Mrd. US-Dollar ansteigen 1. Gartner prognostiziert die schnellsten Wachstumsraten bis Die Risiken von Cloud-Computing SaaS-Anwendungen werden von Geschäftsbenutzern gerne und häufig verwendet, bringen aber auch neue Risiken für das Unternehmen mit sich. Auf der Liste der zehn größten Bedenken, die IT- Abteilungen gegenüber SaaS-Anwendungen äußern, finden sich auf den ersten drei Plätzen ausschließlich Sicherheitsprobleme 3. Abgesehen von den rechtlichen und finanziellen Konsequenzen können Sicherheitsverletzungen auch zu äußerst unliebsamer Publicity führen. Erinnern Sie sich noch an folgende Schlagzeilen? Sicherheitspanne bei Citi-Kreditkarten aufgedeckt CNNMoney, 9. Juni 2011 Google räumt Datenschutzverletzung bei Gmail ein Cryptzone, 2. Juni 2011 Sony sperrt Online-Konten wegen Sicherheitsproblem Forbes, 12. Oktober 2011 IMF Zielscheibe von 'sehr schwerem' Cyber-Angriff BBC, 12. Juni 2011 Militärische Daten nach katastrophalem Sicherheitsverstoß offengelegt esecurityplanet.com, August 2010 Sicherheitspanne bei Lockheed Martin Wall Street Journal, 27. Mai 2011 Guter Ruf von LinkedIn durch Sicherheitslücke beschädigt Calgary Herald, 9. Juni 2012 Der Schutz vertraulicher Geschäftsdaten und geistigen Eigentums spielt für alle Unternehmen eine zentrale Rolle. Von Marketingplänen und -strategien über geheime Produktentwicklungen bis hin zu Kundendaten Unternehmen müssen tagtäglich auf wichtige Daten zugreifen, diese aber zugleich vor Mitbewerbern und Cyber-Angriffen schützen Forrester Research Inc., 2011 Gartner-Prognose zu öffentlichen Cloud-Services, weltweit sowie nach Regionen und Branchen, , Aktualisierung 2011 The Aberdeen Group, 2011 WHITE PAPER: Ausdehnung der Zugriffskontrolle auf die Cloud 1

4 Unterliegen Ihre Daten gesetzlichen Vorschriften? Wenn Sie in einer regulierten Branche wie Finanz- oder Gesundheitswesen, Versicherungen oder Energieversorgung tätig sind, müssen Sie die Einhaltung bestimmter Auflagen nachweisen, die zur Kontrolle des Datenzugriffs in der jeweiligen Branche in Kraft sind. Bei Ihren internen Anwendungen sorgt die IT-Abteilung bereits für die Einhaltung der entsprechenden Auflagen. Dieselbe Zugriffskontrolle müssen Sie aber auch für Cloud- Anwendungen gewährleisten können. Im eigenen Unternehmen stellt die IT-Abteilung durch bestimmte Prozesse sicher, dass nur befugte Personen Zugriff erhalten und dass dieser Zugriff überwacht werden kann. Zur Einhaltung der gesetzlichen Vorschriften muss die IT-Abteilung diese Kontrollmechanismen und Reporting-Funktionen auch auf Geschäftsdaten in der Cloud ausdehnen. Separate Infrastrukturen außerhalb der vorhandenen Prozesse sind weder zuverlässig noch effizient. Reicht Ihre Kontrolle über die Unternehmensgrenzen hinaus? In der Regel lässt sich nur schwer ermitteln, in welchem Ausmaß SaaS-Anwendungen genutzt werden. Abteilungen und Geschäftsbereiche setzen SaaS-Anwendungen oft auf Grund strategischer Entscheidungen ein, die sich im Laufe der Zeit ergeben und nicht von oben angeordnet werden. Bei dieser strategischen SaaS- Nutzung bleibt die IT-Abteilung häufig außen vor. Stattdessen beauftragen die Benutzer ihren jeweiligen Geschäftsadministrator mit der Aktualisierung der Benutzerkonten. Dieser einmalige Vorgang erfolgt ad hoc und manuell. Die Einbindung neuer Mitarbeiter kann den Zugriff auf Anwendungen außer Kraft setzen. Und wenn Mitarbeiter eine andere Rolle übernehmen oder das Unternehmen verlassen, ihre Benutzerkonten aber nicht gelöscht werden, bleiben sie als nicht zugeordnete und nicht mehr verwaltete Benutzer im System zurück. Daher stellt sich die Frage: Wer ist für die Zugriffssicherheit verantwortlich? Werden letztendlich doch die IT-Abteilungen für Sicherheit und Compliance bei der Zugriffskontrolle verantwortlich gemacht? Und wie sicher sind Sie, dass keine unbefugten Benutzer auf die vertraulichen Daten Ihres Unternehmens in der Cloud zugreifen können? Die meisten Unternehmen nutzen Active Directory als zentrales Repository für die Identitäten ihrer Mitarbeiter. Auf dieser Basis verfügt die IT-Abteilung zumeist über wirkungsvolle Prozesse zum Erstellen und Löschen von Benutzerkonten und kann so den Zugriff automatisch anhand von Rollen und Anforderungen kontrollieren. Dieselben Faktoren, die die Zugriffskontrolle für vertrauliche Daten innerhalb des Unternehmens erforderlich machten, verlangen nun auch den Schutz dieser Daten in der Cloud. Andernfalls setzen Sie Ihr Unternehmen erheblichen Risiken aus. Sorgen Sie für Benutzerfreundlichkeit in der Cloud? IT-Abteilungen wissen schon lange, dass intuitive Bedienung und Benutzerfreundlichkeit wichtige Voraussetzungen für die Sicherheit sind. Wenn der Zugriff auf geschützte Daten oder Anwendungen zu umständlich ist oder Passwörter zu kompliziert sind, denken sich die Benutzer so manche Gedächtnisstütze aus und kleben z. B. Haftnotizen mit ihren Passwörtern an den Bildschirm. Aus diesem Grund wurde Single Sign-on entwickelt. Dieses Konzept ermöglicht Benutzern einen schnellen und einfachen Zugriff auf ihre Anwendungen und Daten, während es zugleich die Sicherheit der Anwendungen erhöht. Nutzen Sie bereits Single Sign-on für Ihre Cloud-Anwendungen? Oder haben die Haftnotizen ihren Weg zurück in die Büros gefunden? Risikokontrolle in der Cloud Da SaaS-basierte Anwendungen leicht zugänglich und für geschäftliche Zwecke flexibel einsetzbar sind, werden sie auch weiterhin eine wichtige Rolle spielen. Die Frage lautet: Wie stellt sich Ihre IT-Abteilung darauf ein? IT-Abteilungen müssen alle vertraulichen Unternehmens- und Kundeninformationen sowie alle Daten, die gesetzlichen Vorschriften unterliegen, umfassend schützen. Nachfolgend sind die wichtigsten Anforderungen aufgeführt, die in den meisten Umgebungen zu erfüllen sind. Zugriffskontrolle für Ressourcen, die Sie selbst nicht kontrollieren. Um den Schutz von Unternehmens- und Kundendaten zu gewährleisten, müssen Sie das Zugriffsmanagement über die Grenzen Ihres Unternehmens hinweg ausdehnen. Die IT-Abteilung muss den Benutzerzugriff in der Cloud auf dieselbe Weise kontrollieren wie für die betriebsinternen Anwendungen, und da immer mehr Mitarbeiter ihre persönlichen Mobilgeräte für geschäftliche Zwecke einsetzen, muss das Zugriffsmanagement der IT-Abteilung auch diese Geräte abdecken. WHITE PAPER: Ausdehnung der Zugriffskontrolle auf die Cloud 2

5 Zugangsdaten Ihres Unternehmens sind nur dann verlässlich geschützt, wenn Sie sie unter Ihrer Kontrolle behalten und sie nicht in die Cloud gelangen lassen. Lösungen, die Zugangsdaten von Benutzern jenseits der Unternehmensgrenzen replizieren, erhöhen das Risiko für Ihre Daten und mithin für Ihr Unternehmen. Ebenso gilt: Die sichersten Lösungen hindern Benutzer daran, betriebsinterne Zugangsdaten in die Cloud zu übermitteln. Ausdehnung der intern automatisierten Prozesse auf die Cloud. Ihre IT-Abteilung hat in jahrelanger Arbeit geeignete Abläufe für das Umgebungsmanagement konzipiert. So verfügen etwa die meisten Unternehmen heutzutage über eine Reihe von Richtlinien und Verfahren für ihre Verzeichnisse, bei denen es sich häufig um Active Directory-Implementierungen handelt. Möglicherweise gibt es von dort Verbindungen zu anderen internen Identitätsspeichern, die den Zugriff auf Ressourcen und Anwendungen anhand der Rolle eines Mitarbeiters im Unternehmen kontrollieren. Diese Verbindungen fungieren als Synchronisierungspunkte zur Automatisierung der Zugriffskontrolle. Die IT-Prozesse zur Kontrolle des Zugriffs auf Cloud-basierte Anwendungen müssen genauso automatisiert sein wie die internen Zugriffsprozesse. Die sicherste Methode, unbefugten Zugriff auf SaaS-Anwendungen zu verhindern, besteht in der Ausdehnung der vorhandenen IT-Prozesse auf Cloud-basierte Anwendungen. Dieser Ansatz sorgt zugleich für den Schutz der bisherigen IT- Investitionen. Vermeidung von Behelfslösungen. Wenn Sie SaaS-Anwendungen nicht in Ihre Single Sign-on- Funktionen einbeziehen, werden in puncto Authentifizierung früher oder später erneut unsichere Methoden in Ihr Unternehmen Einzug halten. Dann notieren die Benutzer ihre Passwörter nämlich wieder auf Zetteln und Haftnotizen oder speichern sie in ungeschützten Textdateien. Passwörter in Ihrem sicheren Identitätsdepot zentral abzulegen ist ebenso wichtig, wie Zugangsdaten aus der Cloud fernzuhalten. Hier spielt Single Sign-on eine Schlüsselrolle. Dieses Verfahren sorgt für einen einfachen Authentifizierungsprozess, bei dem sich die Benutzer keine zusätzlichen Passwörter merken müssen. Dadurch steigen sowohl die Sicherheit als auch die Benutzerfreundlichkeit. Leistungsstarke Single Sign-on-Lösungen übermitteln die Zugangsdaten eines Benutzers nicht in die Cloud, sondern sorgen dafür, dass diese Zugangsdaten die Unternehmensgrenzen nicht überschreiten und damit unter Ihrer Kontrolle bleiben. Für die Benutzer ist die Bedienung zwar denkbar einfach, doch im Hintergrund nutzt das Authentifizierungs-Gateway eindeutige, computergenerierte Zugangsdaten für die Authentifizierung bei Cloud-Anwendungen. Dadurch bleiben nicht nur vertrauliche Zugangsdaten wirklich vertraulich, sondern die Lösung kontrolliert zugleich auch das Zugriffsverhalten der Benutzer, da diese nur über das Gateway auf die Cloud zugreifen können. Reporting und Auditing. Je nach Art der Anwendungen und Daten, die Ihr Unternehmen in der Cloud speichert, benötigen Sie für Ihre SaaS-Umgebungen möglicherweise denselben Umfang von Auditing und Reporting wie für Ihre internen Anwendungen. Dabei ist in erster Linie zu kontrollieren, wer über Zugriffsrechte verfügt und wer zu welchem Zeitpunkt auf Anwendungen zugegriffen hat. Bei Daten, die gesetzlichen Vorschriften unterliegen, ist der Nachweis von Compliance ebenso wichtig wie die Compliance selbst. Unverzichtbare Anforderungen bei der Einführung neuer Lösungen Einfache Bereitstellung. Da Ihre Mitarbeiter mit einem breiten Spektrum an Technologien arbeiten, lehnt die IT-Abteilung oftmals Lösungen ab, die nur schwer zu implementieren sind. Gut konzipierte Appliances, die sich auf moderne Virtualisierungstechnologien stützen, lassen sich oft in wenigen Tagen oder Wochen bereitstellen, da die Installation entfällt und die Konfiguration vereinfacht wurde. Herkömmliche Projekte im Data Center haben früher vielleicht mehrere Monate in Anspruch genommen, aber jetzt müssen die passenden Lösungen innerhalb kürzester Zeit einsatzbereit sein. WHITE PAPER: Ausdehnung der Zugriffskontrolle auf die Cloud 3

6 Einfache Wartung. Im günstigsten Fall stagnieren IT-Budgets, doch in vielen Fällen werden sie sogar gekürzt. Damit scheiden komplexe Lösungen mit kostspieliger Aktualisierung und Wartung von vornherein aus. Optimale Lösungen bieten dem Administrator Workflows für die Aktualisierung, einschließlich Auto-Update und Rollback mit Freigabefunktionen. Die Auswahl einer geeigneten Lösung Ebenso wichtig wie die Auswahl der Tools, mit denen Sie den Zugriff auf SaaS-Anwendungen verwalten, ist die Auswahl eines geeigneten Anbieters. Bei der Entscheidung für einen Anbieter gilt es einige Punkte zu beachten. Zuverlässigkeit. Welchen Ruf genießt der Anbieter auf dem Markt? Wie zufrieden sind andere Kunden mit dem Support und den Serviceleistungen des Anbieters? Wenn der Anbieter keinen allzu guten Ruf genießt oder diesen als Branchenneuling noch nicht haben kann, sollten Sie beim Auswahlprozess umso mehr Vorsicht walten lassen. Zukunftsvision. Welche Vision verfolgt der Anbieter? Ist er Marktführer oder schwimmt er nur im Fahrwasser der Marktführer mit? Lassen sich seine und Ihre Unternehmensvision miteinander in Einklang bringen? Marktführerschaft und Erfolgsgeschichte. Kann der Anbieter eine Erfolgsgeschichte vorweisen? Hat er sich bereits einen Namen als Innovator gemacht? Steht der Cloud- und SaaS-Markt für den Anbieter im Mittelpunkt seiner Geschäftstätigkeit oder ist dies für ihn lediglich ein Randbereich? Erprobte Leistungsfähigkeit. Noch einmal: Wie zufrieden sind die vorhandenen Kunden des Anbieters mit dessen Leistung? Über wie viel Fachwissen verfügen die Techniker und Support-Mitarbeiter des Anbieters? Haben diese Fachkräfte bereits ähnliche Lösungen für andere Kunden implementiert? Mit der zunehmenden Nutzung von SaaS-Anwendungen ist die Auswahl der richtigen Produkte mit Support vom richtigen Anbieter wichtiger denn je. Nur durch eine fundierte Produktauswertung, Planung und Partnerauswahl ist der langfristige Erfolg Ihres Unternehmens gewährleistet. Ihr Erfolg steht im Mittelpunkt Zu Beginn ermittelt NetIQ gemeinsam mit jedem Unternehmen die individuellen Herausforderungen und Schwachstellen. Dank der langjährigen Erfahrungen von NetIQ mit IT-Lösungen, mit denen sich fortlaufende Änderungen, Komplexität und Risiken bewältigen lassen, sind Unternehmen wie das Ihre in der Lage, Herausforderungen zu meistern und Geschäftsservices erfolgreich bereitzustellen. Bei jeder Implementierung sieht sich NetIQ in der Pflicht, dem Auftraggeber herausragenden Kundenservice, innovative Lösungen und eine unkomplizierte Zusammenarbeit zu bieten. Auf diese Weise kann NetIQ die taktischen und strategischen Geschäftsanforderungen seiner Kunden und Partner erfüllen. NetIQ begleitet Sie auf dem Weg zum Erfolg Durch innovative Lösungen, qualitativ hochwertige Produkte und hervorragenden Service erfüllt NetIQ die taktischen und strategischen Geschäftsanforderungen seiner Kunden. Dabei haben wir uns den Erfolg unserer Kunden und eine langfristige Kundenbindung zum Ziel gesetzt. Durch seine Unternehmenskultur und die stimmigen Abläufe sorgt NetIQ für Kundenzufriedenheit und empfiehlt sich als angenehmer Geschäftspartner. NetIQ bietet mehr als nur Einzellösungen und ist mit den entsprechenden Ressourcen ausgestattet. Dadurch sind wir in der Lage, schnell und gezielt auf Kundenwünsche zu reagieren. WHITE PAPER: Ausdehnung der Zugriffskontrolle auf die Cloud 4

7 Über NetIQ NetIQ ist ein weltweiter Anbieter von IT-Lösungen und Unternehmenssoftware, für den der Erfolg seiner Kunden im Mittelpunkt steht. Unsere Kunden und Partner entscheiden sich für NetIQ, da wir kostengünstige Lösungen für den Schutz von Daten und die Verwaltung dynamischer, hochgradig verteilter Anwendungsumgebungen bereitstellen. Unser Portfolio umfasst skalierbare, automatisierte Lösungen für Identität, Sicherheit und Zugangsregelung sowie IT-Operations-Management, mit denen Unternehmen ihre Computing- Services in klassischen Client-Server-, virtuellen und Cloud-Umgebungen zuverlässig bereitstellen, messen und verwalten können. In Kombination mit unserem praxisnahen, kundenorientierten Ansatz sorgen diese Lösungen dafür, dass Unternehmen selbst schwierigste Herausforderungen meistern und dabei gleichzeitig Kosten, Komplexität und Risiken minimieren. Weitere Informationen zu unseren branchenweit anerkannten Softwarelösungen finden Sie unter Dieses Dokument kann technische Ungenauigkeiten oder Druckfehler enthalten. Die hierin enthaltenen Informationen sind regelmäßigen Änderungen unterworfen. Diese Änderungen werden unter Umständen in Neuauflagen dieses Dokuments berücksichtigt. Die NetIQ Corporation kann jederzeit Verbesserungen oder Änderungen an der in diesem Dokument beschriebenen Software vornehmen. Copyright 2012 NetIQ Corporation und angeschlossene Unternehmen. Alle Rechte vorbehalten. 562-DE Access Manager, ActiveAudit, ActiveView, Aegis, AppManager, Change Administrator, Change Guardian, Cloud Manager, Compliance Suite, das Würfel-Logo, Directory and Resource Administrator, Directory Security Administrator, Domain Migration Administrator, Exchange Administrator, File Security Administrator, Group Policy Administrator, Group Policy Guardian, Group Policy Suite, IntelliPolicy, Knowledge Scripts, NetConnect, NetIQ, das NetIQ Logo, PlateSpin, PlateSpin Recon, Privileged User Manager, PSAudit, PSDetect, PSPasswordManager, PSSecure, Secure Configuration Manager, Security Administration Suite, Security Manager, Server Consolidator, VigilEnt und Vivinet sind Marken oder eingetragene Marken der NetIQ Corporation oder ihrer angeschlossenen Unternehmen in den USA. Alle anderen Unternehmens- und Produktbezeichnungen werden ausschließlich zum Zweck der Identifikation verwendet und können Marken oder eingetragene Marken der jeweiligen Unternehmen sein. WHITE PAPER: Ausdehnung der Zugriffskontrolle auf die Cloud 5