How secure are your data?

Dieser Blogbeitrag basiert auf einem Interview mit Carsten Lillelund Pedersen von „Thinking as a Service“ im Podcast „Regnskabets Time“, Staffel 2, Folge 3

TL;DRAusgehend von einem Interview mit dem Cloud- und Datensicherheitsexperten Carsten Lillelund Pedersen von Thinking as a Service untersucht der Beitrag, wie sich die Cyberkriminalität zu einer professionellen Dienstleistungsbranche entwickelt hat, warum die Einstellung „Was nicht kaputt ist, muss man nicht reparieren“ in Bezug auf die IT-Sicherheit gefährlich ist und welche Anforderungen Unternehmen an SaaS-Anbieter hinsichtlich Sicherheitspraktiken und Transparenz stellen sollten.

Wir haben mit einem der dänischen Pioniere im Bereich Cloud-Infrastruktur gesprochen und Datensicherheit, Carsten Lillelund Pedersen von Thinking as a Service, um einen besseren Einblick zu gewinnen, welche Maßnahmen Unternehmen ergreifen sollten und was sie von SaaS-Anbietern erwarten können. Wir haben außerdem darüber gesprochen, warum das altbekannte Sprichwort „Was nicht kaputt ist, muss man nicht reparieren“ im Hinblick auf IT-Systeme und Datensicherheit mittlerweile kein geeigneter Ansatz mehr ist.

Interviewer: Herzlich willkommen, Carsten. Können Sie uns etwas über „Thinking as a Service“ erzählen? 

Carsten: Seitdem vor etwa 30 bis 40 Jahren begonnen wurde, professionell mit IT zu arbeiten, gab es verschiedene Trends hinsichtlich der Frage, wie IT betrachtet und genutzt werden sollte. Zu Beginn wurde die IT als Anbieter technischer Dienstleistungen angesehen. Dies konnte beispielsweise in Form von „ support “ oder der Einrichtung lokaler Netzwerke oder Server geschehen. Heute betrachten wir die IT als eine Dienstleistung, die bereitgestellt wird. Deshalb sind Cloud-Dienste wie Software als Dienstleistung, „Platform as a Service“, „Infrastructure as a Service“ und „Backup as a Service“ sind heute der Standard und die Norm dafür, was im IT-Bereich bereitgestellt wird. Bei „Thinking as a Service“ geht es um die Architektur hinter diesen Konzepten und die damit verbundene Beratung. 

Interviewer: Carsten, du beschäftigst dich seit 25 Jahren mit Datensicherheit. Könntest du uns vielleicht etwas über die Entwicklungen im Bereich Datensicherheit und Cyberkriminalität erzählen?  

Carsten: Ja. Die Entwicklung ist dem gleichen Trend gefolgt, den ich bereits erwähnt habe: Die IT ist serviceorientierter geworden. Vor 25 Jahren stellte man sich Cyberkriminalität als ein paar Typen vor, die in einem Keller saßen und versuchten, sich in alle möglichen ungeschützten Systeme zu hacken. Das hat sich natürlich zu etwas Ausgefeilterem weiterentwickelt. Der neueste Trend in der Cyberkriminalität besteht darin, dass sie mittlerweile auch zu einer Dienstleistung geworden ist. Das bedeutet: Genauso wie es Tools zum Schutz der Unternehmensdaten gibt, nutzen Kriminelle nun IT-Tools, um Unternehmen, die keine 100-prozentige Kontrolle über ihre Sicherheit haben, Geld abzuzweigen. Durch den Aufstieg nicht zurückverfolgbarer Kryptowährungen ist es möglich geworden, einen solchen Dienst anzubieten.

Interviewer: Als wir uns auf dieses Interview vorbereitet haben, haben Sie etwas erwähnt, das mich überrascht hat. Sie sagten, es sei nicht immer eine gute Idee, Daten in einer Cloud-Lösung zu speichern. Können Sie das näher erläutern? 

Carsten: Für manche mag es überraschend sein, aber eine Cloud-Lösung ist nicht immer die beste Lösung, wenn es um die Speicherung von Daten geht. Allerdings ist es wichtig, den Kontext zu verstehen. Anfangs hatten Unternehmen ihre Daten und Netzwerke in Serverräumen im Keller untergebracht. Und mit einem nicht unerheblichen Personalaufwand und Ressourcen musste das Unternehmen dann versuchen, alle benötigten IT-Tools bereitzustellen. Das bedeutet, dass die IT-Abteilung Webserver, E-Mail-Systeme, Finanzsysteme, Dateisysteme, Verwaltungssysteme usw. bereitstellen sollte. Wenn man so viele Dienste bereitstellen muss und dies gleichzeitig nicht zum Kerngeschäft des Unternehmens gehört, wird keiner dieser Dienste wirklich gut funktionieren.
Das kommt nicht mehr in Frage. Deshalb empfehle ich Unternehmen, sich nach einer Cloud-Lösung umzusehen, die als SaaS bereitgestellt wird. Handelt es sich hingegen um das Kerngeschäft des Unternehmens – beispielsweise als Anbieter von Spesenmanagement Beispiel: – Dann muss die Lösung vor Ort betrieben werden. In diesem Fall ist das Unternehmen selbst für Betrieb, Entwicklung und Wartung verantwortlich. Der Anbieter des betreffenden Dienstes muss jedoch auch die vollständige Kontrolle über seinen Kerndienst haben, weshalb es sinnvoll ist, die Lösung vor Ort zu hosten. Alles, was nicht zum Kerndienst gehört, muss ausgelagert werden.

Interviewer: Infolge dieser Entwicklung werden in dänischen Unternehmen viele Dienste als Cloud-Lösungen bezogen. Ich frage mich, ob es dabei nicht einige Punkte gibt, die man im Hinblick auf die Frage, wer für die Sicherheit verantwortlich ist, beachten sollte?

In den ersten 20 Jahren meiner Tätigkeit in der IT-Branche gab es eine Redensart: „Was nicht kaputt ist, soll man nicht reparieren.“ Der Grund dafür war, dass jedes Mal, wenn etwas aktualisiert wurde, Fehler die Folge waren. Es war einfacher, die Dinge so zu lassen, wie sie waren, bis sie nicht mehr funktionierten. Das ist natürlich gefährlich. Die Kriminellen halten sich nicht damit zurück, ihre Methoden zu aktualisieren. Genau deshalb sollten Sie alles auslagern, was nicht zum Kerngeschäft Ihres Unternehmens gehört. Denn es sind die jeweiligen SaaS-Anbieter, die die von Ihnen genutzten Anwendungen und Tools warten müssen. Damit wird die Verantwortung auf Ihren SaaS-Anbieter übertragen. Es gibt mehrere Faktoren, anhand derer man beurteilen kann, wie gut der SaaS-Anbieter Ihre Daten schützt. Eine gute Möglichkeit, dies zu beurteilen, besteht darin, im App Store oder bei Google Play nachzuschauen, wie oft die Anwendung aktualisiert wird. Je öfter, desto besser. Das sagt zwar nicht unbedingt alles über die Sicherheit aus, gibt aber einen guten Anhaltspunkt.
Es ist daher ratsam, dafür zu sorgen, dass jemand Ihre SaaS-Anbieter im Auge behält. Es ist nicht unbedingt so, dass die Verwaltung von Lösungen und Diensten wesentlich einfacher ist, wenn man sie auslagert. Allerdings sind die Daten dadurch besser geschützt. Man kann nicht alle Probleme selbst lösen. Das muss klar sein.

Häufig gestellte Fragen

Wie hat sich die Cyberkriminalität in den letzten 25 Jahren verändert?

Die Cyberkriminalität hat sich von Einzelpersonen, die in ihren Kellern einfache Hacks versuchen, zu einer hochentwickelten, dienstleistungsorientierten Branche gewandelt. Der neueste Trend ist „Crime as a Service“, bei dem kriminelle Fähigkeiten kommerziell angeboten werden, was die Hürde für die Durchführung von Angriffen senkt. Unternehmen sehen sich nun professionellen Gegnern mit erheblichen Ressourcen gegenüber.

Warum ist die Einstellung „Was nicht kaputt ist, muss man nicht reparieren“ im Bereich der IT-Sicherheit gefährlich?

Denn Bedrohungen entwickeln sich ständig weiter, während sich in alten Systemen ungepatchte Sicherheitslücken ansammeln. Ein System, das heute einwandfrei funktioniert, kann Risiken ausgesetzt sein, die zum Zeitpunkt seiner Entwicklung noch nicht existierten. Abzuwarten, bis ein Problem sichtbar wird, bevor man sich um die Sicherheit kümmert, bedeutet, reaktiv auf Bedrohungen zu reagieren, die sich schneller entwickeln als das.

Was sollten Unternehmen von SaaS-Anbietern in Bezug auf die Datensicherheit erwarten?

Unternehmen sollten Transparenz darüber erwarten, wo Daten gespeichert werden, wie sie verschlüsselt werden, welche Zugriffskontrollen bestehen, wie Vorfälle gehandhabt werden und welche Sicherheitsaudits durch Dritte durchgeführt wurden. Ein Anbieter, der nicht bereit ist, diese Informationen offen offenzulegen, sollte als erhebliches Risiko angesehen werden.

Was ist der Unterschied zwischen Cloud-Infrastrukturdiensten, die für die Unternehmenssicherheit relevant sind?

Die wichtigsten Servicemodelle sind „Software as a Service“ (SaaS), „Platform as a Service“, „Infrastructure as a Service“ und „Backup as a Service“. Bei jedem dieser Modelle liegen die Sicherheitsverantwortlichkeiten unterschiedlich beim Kunden und beim Anbieter. Je nachdem, welches Modell Sie nutzen, ergeben sich unterschiedliche Sicherheitsfragen, die Sie klären müssen.