Einheitliche Richtlinien oder native Dienste – Sicherheit in Multi-Cloud-Umgebungen

Einheitliche Richtlinien oder native Dienste – Sicherheit in Multi-Cloud-Umgebungen

Cloud-native Sicherheitsdienste verringern die betriebliche Effizienz in Multi-Cloud-Umgebungen.

Die Anwendungssicherheit wird zunehmend in frühere Phasen des Entwicklungsprozesses verlagert. Dadurch tragen DevOps-Teams immer mehr Verantwortung für die Sicherheit. Dank ihrer Erfahrung mit den Prozessen des Entwicklungslebenszyklus können sie Sicherheitsanforderungen bereits frühzeitig und effektiv in den Softwarelebenszyklus integrieren. Allerdings fehlen diesen Teams möglicherweise die Ressourcen, um Bedrohungen vorherzusehen, oder das umfassende Fachwissen, um die verschiedenen Sicherheitslösungen und Richtlinien zu implementieren, die zum Schutz moderner Anwendungen erforderlich sind.

Native Cloud-Sicherheitsdienste bieten DevOps-Teams und Entwicklern in Geschäftsbereichen plattformspezifische Optionen, die sich für viele Anwendungsanforderungen gut eignen. Da Unternehmen jedoch zunehmend Multi-Cloud-Lösungen einsetzen, übersteigen die Kosten dieser nativen Dienste allmählich deren Nutzen. Während auf einer einzelnen Cloud-Plattform wenige Sicherheitsdienste ausreichten, sind auf zwei oder mehr Cloud-Plattformen zahlreiche Sicherheitsdienste erforderlich, um denselben Schutz zu gewährleisten. Jede Plattform hat eigene Anforderungen an das Identitätsmanagement, Sicherheitsrichtlinien, APIs und Verwaltungsverfahren, was die Gesamteffizienz verringert. Die Steigerung der betrieblichen Effizienz und Sicherheit hat für Initiativen zur digitalen Transformation und die strategischen Ziele der Unternehmensführung höchste Priorität.

Geringere Effizienz durch Verwaltungsaufwand

Die mit nativen Sicherheitsdiensten verbundene Komplexität bei Implementierung und Verwaltung ist die erste wesentliche Ursache für betriebliche Ineffizienz. Die Schwierigkeiten bei der Verwaltung sämtlicher Komponenten mehrerer nativer Sicherheitsdienste können schwerwiegende negative Folgen für ein Unternehmen haben. Sicherheitslücken aufgrund von Fehlkonfigurationen wurden bei 66 % der Angriffe ausgenutzt (entweder indem Angreifer eine Schwachstelle in der Web Application Firewall ausnutzten, um auf Anmeldedaten zuzugreifen, oder indem sie sich eine falsch konfigurierte Ressource zunutze machten). DevOps-Ingenieure haben die Aufgabe, die kürzestmögliche Markteinführungszeit zu ermitteln. Wenn der Aufwand für die Pflege und das Verständnis von Sicherheitsrichtlinien bei mehreren Cloud-Anbietern reduziert wird, können DevOps-Teams ihre Aufmerksamkeit und Ressourcen besser auf dieses Ziel konzentrieren.

Der Wechsel zu einem Drittanbieter, der eine einheitliche Sicherheitsrichtlinie für alle Anwendungen in einer Multi-Cloud-Umgebung implementieren kann, kann den Aufwand der DevOps-Teams für die Sicherheitsimplementierung erheblich reduzieren. Durch die Nutzung eines solchen Dienstes lässt sich die Häufigkeit verringern, mit der fehlerhafte Sicherheitskonfigurationen in Produktionsumgebungen gelangen. Der Dienst vereinfacht die Integration von Richtlinien und Konfigurationen in CI/CD-Pipelines, indem er DevOps-Teams eine Reihe von Automatisierungstools zur Standardisierung bereitstellt. Dadurch können Sicherheitsdienste wiederum in bestehende unternehmensweite Automatisierungs-Toolchains integriert werden.

Geringere Effizienz aufgrund eingeschränkter Transparenz der Cloud-Infrastruktursicherheit

Eine geringe Transparenz der Sicherheit der Cloud-Infrastruktur ist eine weitere Ursache für die verringerte betriebliche Effizienz, die mit der Nutzung nativer Sicherheitsdienste einhergeht. Obwohl Unternehmen bei der Nutzung nativer Dienste von einer schnelleren Bereitstellung profitieren, räumen 36 % der Befragten ein, dass diese nativen Dienste keine ausreichende Transparenz der Sicherheitsinfrastruktur in der Cloud bieten. Während DevOps-Teams zunehmend die Bereitstellung und Verwaltung der Anwendungssicherheit übernehmen, bleiben die unternehmensweite Sicherheitsüberwachung und Berichterstattung weiterhin Aufgaben von SecOps. Verteilte und native Cloud-Sicherheitsdienste führen dazu, dass auch Sicherheitsberichte und -analysen standardmäßig verteilt und Cloud-spezifisch sind. Aufgrund der verteilten Analysen ist die Sicherheitslage des Gesamtsystems nur schwer zu überblicken. Daher können SecOps-Teams möglicherweise nur isolierte, anbieterspezifische Empfehlungen aussprechen. Der Einsatz einheitlicher Sicherheitsdienste, die über einen standardisierten Multi-Cloud-Sicherheitsanbieter implementiert werden, stellt sicher, dass für alle Anwendungen dieselben Sicherheitsrichtlinien gelten. So kann SecOps auf Grundlage gemeinsamer Sicherheitsanalysen Empfehlungen aussprechen, die dem gesamten System zugutekommen.

Geringere Effizienz durch erhöhten Compliance-Aufwand

Die Notwendigkeit, eine Multi-Cloud-Sicherheitsstrategie einzuführen, die die Compliance über verschiedene Cloud-Anbieter hinweg gewährleistet, ist eine weitere Ursache für betriebliche Ineffizienz beim Einsatz nativer Sicherheitsdienste. DevOps-Teams müssen sowohl interne als auch branchenspezifische Sicherheitsanforderungen erfüllen. Traditionell unterstützen zentralisierte InfoSec-Teams die Einrichtung und Überprüfung von Sicherheitskontrollen für verschiedene Anwendungen, insbesondere in Organisationen wie dem Gesundheits- und Finanzwesen, die mit sensiblen oder geschützten personenbezogenen Daten arbeiten. Durch die Verlagerung der Anwendungssicherheit nach links ist DevOps nun ebenso wie SecOps dafür verantwortlich, die Einhaltung der unternehmensweiten Sicherheitsanforderungen sicherzustellen. Dies ist schwierig, wenn native Sicherheitsrichtlinien jeweils nur für einen bestimmten Cloud-Anbieter gelten – unabhängig davon, ob es sich um AWS, Azure oder Google Cloud handelt. Auch Audits werden dadurch weniger effizient. Die Implementierung einheitlicher Multi-Cloud-Sicherheitsrichtlinien reduziert den Zeitaufwand für die Überprüfung von Sicherheitskonfigurationen. Durch die Einbindung von Lösungen zur Verbesserung der Transparenz kann eine Organisation eine zentrale Anlaufstelle schaffen, die die Komplexität von Compliance-Prüfungen verringert und die teamübergreifende Zusammenarbeit verbessert.

Die Einführung einheitlicher Sicherheitsrichtlinien steigert die Effizienz von DevSecOps

Veränderte Konventionen in der Anwendungsentwicklung haben dazu geführt, dass mehr sicherheitsbezogene Aufgaben in den Zuständigkeitsbereich von DevOps fallen. Daher ist es treffender, diese Teams als DevSecOps zu bezeichnen und sie als Teil des SecOps-Betriebsmodells für Sicherheit zu betrachten. Die weitere Nutzung nativer, anbieterspezifischer Sicherheitsrichtlinien verursacht einen erheblichen Verwaltungsaufwand und macht damit einen Großteil der Vorteile des DevOps-Modells zunichte. Die Standardisierung auf eine unternehmensweite Multi-Cloud-Sicherheitslösung steigert die betriebliche Effizienz und eröffnet Möglichkeiten zur Zusammenarbeit mit neuen strategischen Sicherheitspartnern. Dadurch sinkt das Risiko von Effizienzverlusten beim Wechsel in eine Multi-Cloud-Umgebung.

Ähnliche Inhalte

F5 Cloud Services Lab jetzt auf GitHub

Erfahren Sie, wie DevOps-Fachleute sich auf eine anwendungsorientierte Welt einstellen.