Der sichere Weg in die Cloud

Insbesondere die verschiedenen Sicherheitsaspekte müssen gut geplant werden, sonst kann es schnell aufwendig, riskant und teuer werden. Wir geben einen Überblick.

Während der Planung und Durchführung von Cloud-Migrationen müssen alle IT-Sicherheitsaspekte beachtet werden, angefangen bei einfachen Schutzregeln für Passwörter bis hin zum komplexen Security Incident Response Management. Insbesondere bei hybriden Cloud-Szenarien mit Public Cloud und Private Cloud oder spezifischen On-Prem-Anteilen können komplexe technologische Architekturen entstehen, die ein durchgängig implementiertes Sicherheitsniveau erfordern. Dazu ist eine vorgängige Planung aller Phasen der Cloud Journey zu empfehlen, mit Fokus auf technologische und prozessuale Aspekte.

Phasen der Cloud Journey

‍Um eine strukturierte Vorgehensweise sicherzustellen, durchläuft eine Cloud Journey verschiedene Phasen. Der Startschuss in die Cloud beginnt mit der Phase «Plan» und beinhaltet beispielsweise eine Situations- und Zielbestimmung sowie einen Business Case zur Bewertung der finanziellen Aspekte. Anschliessend folgt die Phase «Set-up», in der die einzelnen Cloud Services grundlegend konfiguriert werden. Die eigentliche Migration der Services erfolgt in der Phase «Migrate» und kann durch unterschiedliche Verfahren erfolgen, wie «Lift & Shift» oder «Rebuild». In der vierten Phase, «Manage», werden die notwendigen Betriebsleistungen für die implementierte Cloud-Architektur erbracht. Die letzte Phase, «Optimise», konzentriert sich auf allfällige Verbesserungen sowie die zielgerichtete Weiterentwicklung der gewählten Cloud-Lösung.

‍Sicherheitsaspekte der einzelnen Phasen

‍Für eine sichere Reise in die Cloud lassen sich einige grundlegende Sicherheitsanforderungen skizzieren:

‍Phase Plan: Erarbeitung einer IT-Sicherheitsstrategie und eines durchgängigen Governance-Modells zur Abdeckung aller fachlichen Anforderungen und Festlegung der Sicherheitsniveaus der einzelnen Komponenten.

‍Phase Set-up: Technischer Aufbau beziehungsweise Konfiguration der notwendigen Komponenten, wie beispielsweise Zugriffsrechte und Rollenprofile (IAM) auf der Cloud-Plattform. Dabei kommen entweder die in der Cloud vorhandenen Services zum Einsatz, oder zusätzliche Lösungen mit erweiterten Features können implementiert werden.

‍Phase Migrate: Umfassende Absicherung des Zugriffs auf Entwicklungs- und Testumgebungen. Klare Sicherheitsregeln zu Datenmigration sind notwendig, um compliance-kritische Datenbestände individuell zu behandeln.

‍Phase Manage: Eine wesentliche Herausforderung für die IT-Sicherheits-verantwortlichen ist die kontinuierliche Überprüfung des definierten Sicherheitsniveaus aller Systeme in hybriden Cloud-Architekturen. Die Aktualisierung aller Komponenten mit sicherheitsrelevanten Hot-Fixes und Updates sind dabei ein wesentlicher Baustein für das Betriebsteam.

‍Phase Optimise: Einsatz von künstlicher Intelligenz zur automatisierten Früherkennung sowie proaktiven Verhinderung von Sicherheitsvorfällen auf System- und Benutzerebene. In allen Phasen der Cloud Journey müssen technische und organisatorische Aspekte beachtet und aktiv miteinbezogen werden. Nur so kann das gewünschte Sicherheitsniveau für die implementierte (hybride) Cloud-Architektur erreicht werden. Besonders wichtig ist dabei, die IT-Sicherheitsaspekte in den On-Prem-Umgebungen sowie den Public-Cloud-Plattformen zu synchronisieren. Insbesondere Multi-Public-Cloud-Architekturen werden rasch sehr komplex und generieren entsprechenden Administrations- und Kostenaufwand, der minimiert werden sollte.

Netzwoche, Sonderausgabe «Cloud & Managed Services 2021», November 2020