Wir sind komplett in die Cloud migriert, aber wo fangen wir bei der Bewertung der Cloud-Sicherheit an?

Schauen Sie sich als Erstes die Speicherberechtigungen an. Bei vielen Cloud-Anbietern sind Buckets zwar standardmäßig privat, aber bei der Migration wird der Einfachheit halber schnell mal ein öffentlicher Lesezugriff gesetzt. Prüfen Sie außerdem, ob Verwaltungskontrollen von virtuellen Servern (insbesondere SSH- oder RDP-Ports) ins offene Internet funken. Beschränken Sie diese Ports strikt auf die feste IP-Adresse Ihres Büros.

Wir betreiben ein Finanzvermittlungsbüro in ähnlicher Größenordnung. Als wir letztes Jahr so einen Dienstleister-Bogen bekamen, haben wir einen externen Sicherheitsexperten eingeschaltet. Für einen viertägigen Konfigurations-Check wurden uns 2.200 GBP in Rechnung gestellt. Im Bericht standen acht kritische Lücken, wovon sechs schlicht falsch konfigurierte Benutzerrechte waren. Wenn man das Gröbste vor dem externen Audit selbst aufräumt, spart das enorm Geld.

sagt eurem tech-kollegen direkt dass er fuer alle admin-accounts u2f-sticks oder authenticator-apps zur pflicht machen soll. sms-codes gelten mittlerweile als unsicher. bei den kunden-audits ist die mfa-policy sowieso meistens das erste worauf geschaut wird.

Fertige Checklisten, die man sich aus dem Internet herunterlädt, und die daraus erstellten internen Berichte überzeugen die meisten Unternehmenskunden nicht. Viele Listen fragen Richtlinien ab, die auf dem Papier existieren zeigen aber nicht die tatsächliche Lücke im System. Wenn euer Kunde das Prüfungsformular von der Risikoabteilung genehmigen lassen muss, kann es sehr schwer werden den Vertrag ohne einen unterzeichneten externen Bewertungsbericht zu unterschreiben.

Das müsst ihr am ersten Tag der internen Prüfung erledigen: 1) Zwei-Faktor-Authentifizierung für die Sitzungen aller Mitarbeiter verpflichtend machen. 2) Ungenutzte alte API-Schlüssel und während der Migration angelegte Dienstkonten deaktivieren. 3) Das integrierte Sicherheitswarnungs-Panel eures Cloud-Anbieters öffnen und Risiken mit hoher Priorität der Reihe nach beheben. 4) Überprüfen, dass die Daten-Backups in einer anderen Region isoliert aufbewahrt werden.

Hat euch der Auftragnehmer, der die Migration durchgeführt hat, kein Übergabedokument hinterlassen? Darin hätte stehen müssen, welche virtuellen Ressourcen angelegt wurden wo die Verschlüsselungsschlüssel gespeichert sind und wie die Datenbank geschützt wird. Wenn es so ein Dokument nicht gibt, müsstet ihr dann nicht erst zum Auftragnehmer zurückgehen und das Systeminventar anfordern?

Die Sicherheitsformulare, die Unternehmenskunden schicken, basieren meist auf internationalen Informationssicherheitsstandards. In diesen Formularen werdet ihr gefragt, ob euer System einen Penetrationstest durchlaufen hat und wie euer Incident-Response-Plan aussieht. Euer interner Technik-Kollege kann grundlegende Konfigurationslücken schließen, aber für die rechtlichen Zusagen gegenüber dem Kunden schützt euch ein unabhängiger Bericht vor künftigen Haftungen.

Das Schnellste was ihr morgen früh machen könnt, ist, das integrierte Sicherheits- und Compliance-Center in eurem Cloud-Panel zu öffnen. Die Anbieter bieten meist einen kostenlosen Sicherheits-Score und eine Liste mit den Mängeln. Schon die roten Warnungen dort wegzuarbeiten und einen Screenshot zu machen, ist ein guter erster Schritt, um dem Kunden zu zeigen, dass der Prozess begonnen hat.

Ich würde mich freuen, wenn du das Ergebnis postest. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Das war's, entschuldige, wenn ich zu lang war.

Ich fasse kurz zusammen, was bisher gesagt wurde. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Das hört man oft, aber bei uns war es nie so... Nur weil alle es tun, heißt es nicht dass es richtig ist.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Wenn deine Situation anders ist, ändert sich das natürlich.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Mich interessiert das auch. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Aus Erfahrung weiß ich das.

Hier ist etwas zu beachten. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Viel Erfolg.

Wenn wir ins Detail gehen: Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wie habt ihr das Problem gelöst? also schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

An deiner Stelle würde ich so vorgehen.