25.04.2012
Sicherheit
Von: Anja Klauck

Christian Glatschke, Splunk

Die Kontrolle behalten!

Sicherheitsbedenken sind beim Trendthema Cloud Computing nach wie vor präsent, gerade wenn es um die Auslagerung von sensiblen Daten geht. Mit entsprechenden Kontrollmechanismen sollen Mittelständler in der Lage sein, diese auch sicher in der Wolke zu speichern, erklärt Christian Glatschke, Manager Technical Services CER bei Splunk. Im Interview spricht er über Gefahren, Überwachungsmöglichkeiten und Schutzmaßnahmen vor unbefugten Datenzugriffen.


„Um sicherzugehen, dass sensible Daten auch in der Cloud vor unzulässigen Zugriffen geschützt sind, können Unternehmen reaktive Zugriffskontrollen bzw. -monitoring in Anspruch nehmen“, meint Christian Glatschke, Manager Technical Services CER bei Splunk.

ITM: Herr Glatschke, das Cloud-Angebot ist Vielfältig: Private Cloud, Public Cloud & Hybrid Cloud - gibt es ein Modell, das sich besonders für den Mittelstand eignet?

Christian Glatschke: Nach meiner Ansicht bietet eindeutig die Hybrid Cloud die besten Voraussetzungen. Der deutsche Mittelstand steht IT-technisch immer wieder vor extremen Herausforderungen, da in kleineren Organisationen globale Prozesse abgebildet und gleichzeitig der deutschen Gesetzgebung Rechnung getragen werden muss.

Ein Beispiel: Das amerikanische Online-Bestellsystem eines badischen Dachpappeherstellers muss nach einem Hurrikan nahezu unendlich skalieren – die perfekte Antwort hier ist eine Public Cloud. Auf der anderen Seite dürfen die Personaldaten dieser Firma aufgrund von gesetzlichen Vorgaben nicht außerhalb Deutschlands gespeichert werden – hier ist eine Privat Cloud genau das richtige Instrument. Dieses Beispiel verdeutlicht ziemlich gut, wie eine Mischung aus beiden Cloud-Modellen genau die Anforderungen mittelständischer Unternehmen abdecken kann.

ITM: Bei Cloud Computing werden auch sensible Daten in die Cloud verlagert. Welche Möglichkeiten haben Unternehmen, sich vor möglichen Risiken zu schützen?

Glatschke: Dies ist natürlich eines der heikelsten und meistdiskutierten Themen im Zusammenhang mit Cloud Computing. Um sicherzugehen, dass sensible Daten auch in der Cloud vor unzulässigen Zugriffen geschützt sind, können Unternehmen reaktive Zugriffskontrollen bzw. -monitoring in Anspruch nehmen, die ggf. als Service vom Cloud-Anbieter bezogen werden können. Darüber hinaus gibt es die Möglichkeit, den Umgang mit diesen Daten über Service Level Agreement- (SLA) und Operational Level Agreement (OLA) Reports vom Cloud-Anbieter zu regeln und nachzuvollziehen.

ITM: Laut der Studie „IT-Sicherheit und Datenschutz 2012“ sorgen sich 64 Prozent der Unternehmen um die ausreichende Sicherheit beim Cloud Computing. Welche Maßnahmen sollten Unternehmen ergreifen, um auf der sicheren Seite zu sein?

Glatschke: Die wichtigsten Maßnahmen, die Unternehmen in diesem Zusammenhang ergreifen können, ist die physikalische Abgrenzung der Daten (Data Hardening). Ebenso sind auditierbare Zugriffskontrollen und Compliance Reporting wirkungsvolle Mittel zur Wahrung der Sicherheit in der Cloud. Bevor sich Unternehmen also für eine Nutzung der „Wolke“ entscheiden, sollten sie über die erwähnten Mittel sicherstellen, dass die Sicherheit nicht darunter leidet.

ITM: Welchen spezifischen Gefahren sind gerade mittelständische Unternehmen in Hinblick auf ihre Infrastruktur ausgesetzt?

Glatschke: Mittelständische Unternehmen verfügen oftmals nicht über eine „physische“ Kontrolle der Systeme. Sie sind stattdessen bei einem Ausfall komplett auf die schnelle Reaktion des Dienstleisters angewiesen – und haben daher selber recht wenig Möglichkeit, Gegenmaßnahmen einzuleiten.

Zudem gibt es meist kein Monitoring der Systemzustände auf der Seite des Nutzers (Unternehmen) und keine Trendanalyse zu Auslastungs- oder Nutzungszuständen. Diese Faktoren zusammen ergeben eine mangelhafte Kontrolle des Systems, so dass die Gefahr von Ausfällen steigt bzw. deren Verortung und Behebung schwieriger wird.

ITM: Welche effektiven Überwachungsmöglichkeiten gibt es, um Cloud Computing am Laufen und performant zu halten?

Glatschke: Das Log- und Event-Monitoring spielt eine ebenso große Rolle wie Trendanalysen oder Operational Intelligence. Unter letzterem versteht man Lösungen, die Echtzeitdaten ebenso wie riesige Mengen an historischen Daten überwachen, analysieren und aufbereiten können. Es gibt Lösungen, die dabei vor Ort (on Premise) oder als Cloud-Variante eingesetzt werden, sodass die Skalierbarkeit für mittelständische Unternehmen kein Problem darstellen soll.

ITM: Wenn ich in einer Cloud-Umgebung keine Kontrolle über die physikalischen Komponenten habe, wie kann sichergestellt werden, dass sensible Daten nicht unbefugt angefasst oder weitergereicht werden? Wie kann der Mittelstand also auditieren, wer geschäftskritische Daten betrachtet oder manipuliert?

Glatschke: Mit Hilfe von Operational-Intelligence-Lösungen kann gezielt überwacht werden, ob unbefugte Zugriffsversuche erfolgen (Security) und aktiv darauf reagiert werden. Auch bei einem berechtigten Zugriff lässt sich nachverfolgen, wer eventuell kritische Daten betrachtet oder manipuliert. Somit haben Unternehmen die vollständige Kontrolle über den Datenzugriff und können entsprechend reagieren. Operational Intelligence dient also dazu, Service-Levels zu verbessern, IT-Betriebskosten zu reduzieren, Sicherheitsrisiken zu verringern und die Transparenz betrieblicher Prozesse zu erhöhen.


Aktuelle Ausgabe

Titelinterview: Webbasiertes ERP-System
mit Markus Hirth, John GmbH

Video-überwachungstechnik
IT-Sicherheit auf dem Firmengelände

IT-Virtualisierung
Welche Virtualisierungslösungen im Mittelstand?

Neue Wege des Arbeitens

Windows 8
Mit mehr Sicherheit besser - und flexibler

Das neue Office
Immer und überall produktiv

Internet Explorer
Der Webbrowser rückt in den Fokus

Interview mit Markus Hirth, Leiter IT und Controlling der John GmbH.

Im Interview mit Markus Hirth, Leiter IT und Controlling der John GmbH. Der Produzent von PVC-Bällen setzt seit langem auf ein webbasiertes ERP-System...mehr lesen »

IT Mittelstand Newsletter
IT-Sicherheit: Moderne Videoüberwachung

Es tut sich was in Sachen Videoüberwachung auf dem Firmengelände: Neue Analysefunktionen, integrierte Sabotageerkennung und Software-Tools, die datenschutzrelevante Themen wie die Mitarbeiterüberwachung am Arbeitsplatz auf technischer Ebene verhindern. Doch bevor ein System ausgewählt und Kamerastandorte bestimmt werden, muss die „Hürde“ Betriebsrat genommen werden...mehr lesen »