Warum jede US-Bundesbehörde eine Strategie für Unternehmensanwendungen braucht und wie man eine solche entwickelt

Einleitung

IT-Führungskräfte in US-Bundesbehörden müssen einen schmalen Grat beschreiten: Sie sollen einen höheren Mehrwert schaffen und zugleich Verschwendung reduzieren sowie Verluste durch Cyberangriffe minimieren. Einerseits müssen sie modernste Technologien einsetzen, um die Effizienz zu steigern, mehr Nutzen zu erzielen und Steuergelder einzusparen. Andererseits sehen sie sich einer dynamischen und wachsenden Bedrohungslandschaft gegenüber, deren Eindämmung erhebliche Ressourcen erfordert. Kurz gesagt: Bei jeder Initiative und jeder Entscheidung müssen sie sowohl Innovationen vorantreiben als auch für Schutz sorgen. Um diese scheinbar gegensätzlichen Ziele miteinander zu vereinbaren, sollten IT-Führungskräfte in Bundesbehörden eine unternehmensweite Anwendungsstrategie entwickeln, die auf den Auftrag ihrer Organisation zugeschnitten ist.

Den Weg ins Zeitalter der Anwendungen ebnen

65 % der Befragten in der Studie „F5 2019 State of Application Services“ gaben an, dass sich ihre Unternehmen mitten in einer digitalen Transformation befinden. Die digitale Transformation bietet Unternehmen eine neue Möglichkeit, mithilfe von Technologie erhebliche Verbesserungen bei Leistung und Benutzerproduktivität zu erzielen.

Kurz gesagt: Anwendungen werden selbst zum Geschäft beziehungsweise zur eigentlichen Mission.

Um diesen grundlegenden Wandel für sich zu nutzen, nehmen Unternehmen weitreichende Veränderungen vor und setzen dabei auf neue Geschäfts- und IT-Betriebsmodelle, wie zum Beispiel:

• Nutzung von SaaS-Diensten wie cloudbasierten E-Mail- und Produktivitätstools
• Benutzerdefinierte Anwendungen in Containern bereitstellen, um die Verwaltung zu vereinfachen und Kosten zu senken
• Nutzung von Cloud-Sicherheitsdiensten, um Angriffe schnell zu erkennen und Richtlinien gemäß den Vorgaben des Unternehmens anzuwenden.

Anwendungen werden auf einer Vielzahl unterschiedlicher Gerätetypen bereitgestellt. Die Benutzer, die auf Anwendungen zugreifen, befinden sich nicht mehr in herkömmlichen Unternehmensumgebungen – sie sind mobil oder arbeiten von zu Hause aus. Bei der Bereitstellung geschäftskritischer Funktionen wie CRM, ERP und allem, was dazwischenliegt, muss der Zugriff auch außerhalb des herkömmlichen Unternehmensnetzwerks möglich sein.

Der 2018 F5 Labs Application Protection Report ergab, dass eine durchschnittliche Organisation des öffentlichen Sektors 680 Anwendungen nutzt, von denen 32 % als geschäftskritisch gelten.

Zusätzlich zu diesem enormen Anwendungswachstum stellen Unternehmen diese Anwendungen in neuen Architekturen und Diensten bereit. Die Studie „State of Application Services 2019“ zeigt, dass 14 % der befragten Unternehmen Container als Standardansatz zur Isolierung von Anwendungs-Workloads eingeführt haben und 87 % der Befragten auf eine Multi-Cloud-Architektur setzen. Das Office of Management and Budget (OMB) selbst befürwortet eine „Cloud Smart Strategy“¹ für die Migration zu einem sicheren und geschützten Cloud-Netzwerk.

Die rasant wachsende Angriffsfläche verstehen

Nicht nur Behörden und Unternehmen nutzen Technologien, um Hürden abzubauen, neue Dienste bereitzustellen und Mehrwert zu schaffen. Auch Cyberkriminelle, militante Gruppen und staatliche Bedrohungsakteure entwickeln ihre Fähigkeiten für Cyberangriffe in rasantem Tempo weiter. Da wir unsere Netzwerke und Infrastrukturen inzwischen besser schützen, nehmen Cyberangreifer zunehmend leichter verwundbare Ziele ins Visier.

Die weniger geschützten Ziele werden genutzt, um in hochwertige Systeme einzudringen, in denen möglicherweise Personal- oder Verschlusssachen gespeichert sind. Untersuchungen von F5 Labs zeigen, dass 86 % aller Cyberangreifer entweder Anwendungen direkt ins Visier nehmen oder Benutzeridentitäten stehlen, meist durch Phishing.²

Angreifer erkennen zunehmend, dass indirekte Angriffe manchmal einfacher sind. Eine Möglichkeit besteht darin, weniger wichtige Anwendungen wie IoT-Geräte ins Visier zu nehmen und darüber ihre Zugriffsrechte auszuweiten. So gelangten Kriminelle über das Thermometer eines Aquariums in der Lobby eines US-Casinos in dessen Netzwerk und nutzten es als Ausgangspunkt für den Zugriff auf die Datenbank der besonders umsatzstarken Spieler.³ Auch der verheerende Angriff auf Target im Jahr 2013 begann mit der Ausnutzung einer Schwachstelle beim HLK-Dienstleister von Target und endete mit einem Einbruch in das Kassensystem sowie dem Diebstahl der Daten von 40 Millionen Kreditkarten.⁴

Wenn sie nicht verwaltet werden, können Open-Source- und andere Komponenten und Dienste von Drittanbietern ebenfalls Risiken bergen. Laut dem Bericht „State of the Software Supply Chain 2018“ von Sonatype enthält jeder achte Download einer Open-Source-Komponente eine bekannte Sicherheitslücke.⁵ Organisationen, auch im öffentlichen Sektor, nutzen Open Source, weil sich dadurch Entwicklung und Bereitstellung beschleunigen lassen. Häufig versäumen es diese Organisationen jedoch, Open-Source-Komponenten in Sicherheitsscans und Prüfprozesse einzubeziehen. Diese Komponenten werden Teil des Anwendungsportfolios und sollten ebenso gründlich geprüft werden wie individuell entwickelter Code. Dies gilt sowohl für serverseitige Komponenten (z. B. NPM-Pakete und Bibliotheken) als auch für clientseitige Komponenten.

Da Anwendungen heute eine immer wichtigere Rolle bei der Erreichung der Ziele eines Unternehmens spielen, wächst ihre Zahl schneller, als die meisten Unternehmen ihre Betriebsabläufe skalieren können. Das traditionelle Modell der Perimetersicherheit ist nicht skalierbar und kann Bedrohungen nur begrenzt abwehren. Sobald ein leicht angreifbares Ziel kompromittiert wurde, sind hochwertige Ressourcen gefährdet. Neue Architekturen und Bereitstellungsmodelle stellen herkömmliche Sicherheitsmaßnahmen vor zusätzliche Herausforderungen. Anwendungen werden an verteilten Standorten bereitgestellt und nutzen Multi-Cloud-Anwendungsdienste, um die Leistung zu verbessern. Gleichzeitig wächst die mit Anwendungen verbundene Angriffsfläche exponentiell.

Eine kontinuierliche Überwachung in unmittelbarer Nähe zu Anwendungen und leicht angreifbaren Zielen ist wichtig, um Sicherheit zu gewährleisten, ohne die Leistung zu beeinträchtigen. Durch die Integration intelligenter Cloud-Sicherheitslösungen können Bedrohungen im Zusammenspiel mit der Anwendung schnell eingedämmt und sensible Daten geschützt werden. Kleine Datenmengen können an die Cloud gesendet und dort mit Millionen gespeicherter Artefakte verglichen werden, um potenzielle Bedrohungen zu erkennen. So lässt sich feststellen, ob es sich bei einem Client um einen Bot oder einen echten Benutzer handelt.

Ein Dienst zur Betrugsbekämpfung kann mit einer Anwendung zusammenarbeiten, um mit böswilligen Akteuren zu interagieren, weitere Datentypen zu erfassen und groß angelegten Betrug zu verhindern. Das vollständige Betrugsprofil kann an das kontinuierliche Überwachungssystem des Unternehmens übermittelt werden, damit Maßnahmen ergriffen, die Ausbreitung des Angriffs verhindert, der Standort kompromittierter Systeme ermittelt und Schritte zur Beseitigung der Bedrohung von infizierten Rechnern bereitgestellt werden können. Analysten können die Informationen zur weiteren Analyse an den operativen Bereich weiterleiten.

Nutzen Sie Multi-Cloud und SaaS zu Ihrem Vorteil

Als wäre die Situation nicht schon komplex genug, setzen US-Bundesbehörden zunehmend auf Multi-Cloud- und SaaS-Bereitstellungen, um von größerer Flexibilität und höherer Verfügbarkeit zu profitieren, die Abhängigkeit von einzelnen Anbietern zu verringern und in manchen Fällen Kosten zu sparen. Dabei stellt sich die Frage: Wie können sie über Hybrid-, Multi-Cloud- und SaaS-Architekturen hinweg eine standardisierte, sichere und nahtlose Anwendungserfahrung bereitstellen, ohne ihr zugewiesenes Budget zu überschreiten?

Behörden können ihre Perimeter-Sicherheitslösung an vertrauenswürdigen Internetverbindungspunkten einsetzen, um die Anbindung an SaaS- und Multi-Cloud-Umgebungen abzusichern. Dies kann zu Leistungseinbußen führen, da Behörden nur über eine begrenzte Anzahl von Verbindungspunkten verfügen. Öffentlich zugängliche Anwendungen müssen aus Sicherheitsgründen über diese Punkte geleitet werden, wodurch Latenzen entstehen. Die Vorteile skalierbarer, leistungsstarker Anwendungen gehen dadurch verloren, da der Datenverkehr zur Gewährleistung der Sicherheit einen Umweg nehmen muss.

Perimeterlösungen stützen sich zudem auf statische Signaturen. Wenn eine neue Bedrohung entsteht und von einem Cloud-Sicherheitsanbieter bereits analysiert wurde, werden diese Informationen nicht an das Perimetersystem weitergeleitet, um den Angriff zu verhindern. Signaturaktualisierungen erfolgen möglicherweise erst nach einem Tag oder einer Woche. Bis die Signatur schließlich erstellt und im Perimeter-Sicherheitssystem aktualisiert wurde, können besonders schützenswerte Ressourcen bereits kompromittiert sein.

Anwendungsdienste standardisieren

Die Standardisierung von Multi-Cloud- und SaaS-Anwendungsdiensten – also den Lösungen, die zur Absicherung, Verwaltung und Optimierung Ihrer Anwendungen eingesetzt werden – reduziert die betriebliche Komplexität einer Multi-Cloud-Architektur.

Beispielsweise lässt sich ein Dienst, der auf der Ebene von Unternehmensanwendungen arbeitet – etwa durch den codebasierten Aufruf von APIs und ereignisgesteuerten Systemen –, einfacher verwalten und bietet mehr Möglichkeiten als ein plattformspezifischer Dienst, bei dem beispielsweise ein anbieterspezifischer Nachrichtenwarteschlangendienst verwendet werden muss. Die Bereitstellung eines einheitlichen Funktionsumfangs für alle Anwendungen reduziert den Betriebsaufwand. Durch die Einführung einer Standardplattform für möglichst viele Anwendungsdienste können Unternehmen die Automatisierung stärker nutzen und mehr Code wiederverwenden, um konsistente, vorhersehbare und wiederholbare Betriebsprozesse zu realisieren.

Entwicklung einer Strategie für Unternehmensanwendungen

In einer Zeit, in der viele in der Cloud entstandene Unternehmen nicht einmal über eine IT-Abteilung verfügen, bleiben herkömmliche IT-Architekturen und Betriebsprozesse deutlich hinter den Erwartungen von Anwendungsentwicklern und DevOps-Teams zurück. Der Wunsch, Anwendungen schneller bereitzustellen, führt häufig dazu, dass traditionelle Netzwerk- und Sicherheitsteams sowie die damit verbundenen Sicherheits- und Betriebsprozesse umgangen werden. Tatsächlich hängt der Schutz des Anwendungsportfolios eines Unternehmens ebenso sehr von Menschen und Prozessen ab wie von der Technologie.

Um die Performance und – noch wichtiger – die Risiken in dieser weitläufigen Multi-Cloud-Landschaft zu managen, suchen Unternehmen händeringend nach Lösungen. Unabhängig davon, wo die Anwendungen betrieben werden, müssen diese Lösungen die Implementierung einheitlicher Richtlinien unterstützen, Bedrohungen abwehren, Transparenz schaffen und die Überwachung des Zustands und der Performance von Anwendungen ermöglichen. Eine ungeeignete Lösung könnte die Vorteile einer digitalen Transformation leicht zunichtemachen, wenn sie die Innovationskraft und Agilität der Anwendungsentwicklungs- und DevOps-Teams beeinträchtigt.

Angesichts des zunehmenden Werts – und Risikoprofils – von Anwendungen muss jede Bundesbehörde eine unternehmensweite Anwendungsstrategie entwickeln, die festlegt, wie Anwendungen im Unternehmensportfolio entwickelt bzw. beschafft, bereitgestellt, verwaltet und abgesichert werden.

Schritt 0: Ziele der Anwendungsstrategie auf den Auftrag der Organisation abstimmen

Zusammenfassung: Nutzen Sie diese Gelegenheit, um eine unternehmensweite Anwendungsstrategie zu entwickeln, die auf den Auftrag und die Ziele Ihrer Bundesbehörde abgestimmt ist.

Der Sinn der digitalen Transformation besteht darin, schwerfällige und manuelle Prozesse durch effiziente, datenreiche Anwendungen zu ersetzen. Daher sollte das übergeordnete Ziel einer Strategie für Unternehmensanwendungen darin bestehen, die digitalen Fähigkeiten der Organisation zur Erfüllung ihres Auftrags unmittelbar zu verbessern, zu beschleunigen und zu schützen. Anwendungen oder zugehörige Anwendungsdienste, die diesem Ziel nicht entsprechen, sollten nachrangig behandelt werden. Anwendungen mit hoher Priorität sollten zusätzliche Ressourcen und Sicherheitsmaßnahmen erhalten, während weniger priorisierte Ressourcen gemeinsam genutzte Ressourcen verwenden können.

Diese Ausrichtung bedeutet auch, den Status quo zu berücksichtigen. Dazu gehört, die aktuelle unternehmensweite Datenstrategie, die Compliance-Anforderungen und das allgemeine Risikoprofil der Organisation sorgfältig zu prüfen.

In vielen Fällen sind die Einschränkungen, die sich aus diesen verschiedenen Quellen ergeben, und ihre Auswirkungen auf die Agilität der Anwendungsentwicklungsteams vermutlich nicht hinreichend bekannt. Ihre Strategie für Unternehmensanwendungen sollte klarstellen, welchen Ausgleich Ihre Behörde zwischen den häufig konkurrierenden Faktoren Innovation, Agilität und Risiko anstrebt.

Schritt 1: Erstellen Sie ein Anwendungsverzeichnis

Zusammenfassung: Bevor Sie mit der Modernisierung beginnen, müssen Sie ein vollständiges Anwendungsverzeichnis erstellen.

Bei der Entwicklung einer Strategie für Unternehmensanwendungen haben die meisten Teams nicht das Glück, ganz von vorn anfangen zu können. Fast jeder in der IT-Branche übernimmt eine Technologiearchitektur, die das Ergebnis jahrzehntelang gewachsener, uneinheitlicher Systeme ist, die auf Altsysteme aufgesetzt wurden, welche mit Mühe am Laufen gehalten werden. Im Vergleich zur Privatwirtschaft kann dieses Problem innerhalb der US-Bundesverwaltung besonders gravierend sein. Diese nicht zusammenpassenden Technologiekomponenten lassen sich nur selten problemlos in einen gewünschten Zielzustand überführen. Daher sind weitere Bestandsaufnahmen und Analysen erforderlich.

Auch wenn es allzu simpel klingen mag: Um etwas angemessen schützen zu können, muss man zunächst wissen, dass es existiert, und anschließend in der Lage sein, seinen Zustand zuverlässig zu überwachen. Dennoch können die meisten Organisationen – von wenigen Ausnahmen abgesehen – nicht mit Sicherheit angeben, wie viele Anwendungen sich in ihrem Portfolio befinden, geschweige denn, ob diese Anwendungen einwandfrei funktionieren und sicher sind. Der F5 Labs 2018 Application Protection Report ergab, dass 62 % der IT-Sicherheitsverantwortlichen wenig oder gar kein Vertrauen darin haben, alle Anwendungen in ihrer Organisation zu kennen.

Was Sie in Ihr Anwendungsinventar aufnehmen sollten

Ein Anwendungsverzeichnis ist das grundlegendste Element jeder Anwendungsstrategie. Es handelt sich dabei um einen Katalog aller Anwendungen, unabhängig davon, ob sie intern, auf gleicher Ebene (z. B. für andere Behörden) oder extern (z. B. für die Öffentlichkeit) bereitgestellt werden. Dieser umfasst:

• Eine Beschreibung der Funktion, die die Anwendung oder der digitale Dienst erfüllt
• Die Herkunft der Anwendung (z. B. individuell entwickelt, Standardsoftware oder Dienst eines Drittanbieters)
• Die wichtigsten Datenelemente, auf die die Anwendung zugreifen muss oder die sie verarbeitet
• Andere Dienste, mit denen die Anwendung kommuniziert
• Open-Source- und andere Drittanbieterkomponenten, die Teil der Anwendung sind
• Die für die Anwendung verantwortliche(n) Person(en) oder Gruppe(n)

So erstellen Sie das Inventar

Die erstmalige Erstellung des Anwendungsinventars ist häufig mühsam und zeitaufwendig. Eine Möglichkeit, nicht autorisierte Anwendungen leicht aufzuspüren, besteht darin, das Anwendungsinventar als Positivliste zu führen. Anwendungen, die nicht auf dieser Liste stehen, erhalten schlichtweg keinen Zugriff auf Unternehmensressourcen (z. B. das Netzwerk). Um Anwendungen außerhalb Ihres Unternehmens ausfindig zu machen, kann ein Tool wie ein Cloud Access Security Broker (CASB) sehr hilfreich sein. CASBs sind zwischen Ihren Benutzern und dem Internet angesiedelt und überwachen sämtliche Anwendungsaktivitäten und erstellen entsprechende Berichte. Sie zeigen Ihnen nicht nur, welche Anwendungen Ihre Mitarbeiter am häufigsten nutzen (und wie sie darauf zugreifen), sondern geben Ihnen auch Einblick in die Nutzung von Schatten-IT-Anwendungen.

Durch den Einsatz eines DevOps-Architekturmodells und die Integration Ihrer Anwendungen in dieses Modell können Sie den Inventarisierungsprozess künftig vereinfachen. Sobald die Priorität einer Anwendung festgelegt und sie in Ihrer Multi-Cloud- oder SaaS-Umgebung bereitgestellt wurde, können Entwickler das Deployment mithilfe von Open-Source-Tools (z. B. Ansible, GitHub) paketieren. Anschließend wird das Deployment mit diesen Tools verwaltet, die Sicherheitsdienste, Patchmanagement und Code umfassen. Die Inventarinformationen werden zentralisiert und können schnell bereitgestellt werden. Somit kann sich die Anwendung in einer Cloud- oder SaaS-Umgebung befinden und dennoch von der Organisation identifiziert werden.

FedRAMP-Überlegungen

Jede Minute, die Sie darauf verwenden, die Genauigkeit Ihres Anwendungsinventars sicherzustellen, wirkt sich unmittelbar positiv auf Ihre Fähigkeit aus, FedRAMP-Systemgrenzen schnell zu definieren. Zudem können Sie so wesentlich zuverlässiger, schneller und präziser die für die Infrastruktur einer Anwendung – oder sogar für eine einzelne Komponente einer Anwendung – verantwortliche Stelle ermitteln, wenn die Zertifizierungsstelle dies verlangt.

Schließlich erfordern Ihre FedRAMP-Maßnahmen, dass Sie diese Prüfung kontinuierlich durchführen, möglicherweise mehrmals im Jahr. Es handelt sich um einen fortlaufenden Prozess, bei dem Sie im Blick behalten, welche Anwendungen und Datenspeicher genutzt werden, die Anforderungen der Benutzer überwachen und bewerten, wie sich Ihre Entwicklungsumgebungen weiterentwickeln.

Schritt 2: Bewerten Sie das Cyberrisiko für jede Anwendung

Zusammenfassung: Betrachten Sie das individuelle Risikoniveau jeder Anwendung und berücksichtigen Sie bei der Festlegung von Sicherheitsmaßnahmen zusätzlich alle relevanten Compliance-Anforderungen.

Cyberrisiken stellen für IT-Führungskräfte in US-Behörden ein erhebliches und wachsendes Problem dar. Um ihnen entgegenzuwirken, sollten Sie zunächst das Cyberrisiko für jede Ihrer Anwendungen bewerten.

Jede Anwendung in Ihrem Bestand sollte auf vier wesentliche Arten von Cyberrisiken untersucht werden:

1. Offenlegung sensibler interner Informationen (z. B. militärischer Geheimnisse)
2. Offenlegung sensibler Kunden-/Benutzerdaten (z. B. Personalakten, Steuerhistorie)
3. Manipulation von Daten oder Anwendungen
4. Dienstverweigerung für Daten oder Anwendungen

Bei Cyberrisiken sollte die Bedeutung eines digitalen Dienstes anhand der finanziellen Auswirkungen oder des Reputationsschadens bewertet werden, die ein Cyberangriff gemäß den oben genannten Kategorien für diesen Dienst verursachen könnte. Da verschiedene Organisationen das potenzielle Schadensausmaß für bestimmte Dienste unterschiedlich einschätzen, sollte jede Organisation auf Grundlage ihres festgelegten Auftrags eigene Schätzungen vornehmen. FISMA verlangt beispielsweise, das Risiko für den Auftrag oder den Geschäftszweck auf Behördenebene zu ermitteln. Häufig ist es jedoch sinnvoll, Risiken auch auf Anwendungsebene zu untersuchen, um darauf vorbereitet zu sein, dass die Compliance-Anforderungen für Ihren Auftrag unweigerlich strenger werden.

Compliance-Aspekte

Bei der Berechnung organisatorischer Risiken werden mitunter auch die Risiken berücksichtigt, die sich aus der Nichteinhaltung geltender Vorschriften, Richtlinien und Verträge ergeben. Bundesbehörden unterliegen zahlreichen Vorschriften und Standards, die bei der Bewertung von Anwendungen und digitalen Diensten allesamt berücksichtigt werden sollten. Ein an Anwendungen geknüpftes Modell zur Bewertung von Cyberrisiken erleichtert die Erfüllung der CDM-/ConMon-Anforderungen für die FedRAMP-Compliance, da sich der Betrachtungsrahmen damit auf überschaubare und angemessen granulare Gruppen von Diensten eingrenzen lässt.

Compliance mit SaaS vereinfachen

Die Nutzung von SaaS-Diensten kann dazu beitragen, Compliance-Bedenken innerhalb eines Unternehmens zu reduzieren. Die Verantwortung für Anwendungsrisiken und Compliance liegt beim SaaS-Anbieter. Dadurch kann sich das Unternehmen auf individuelle Anwendungen konzentrieren.

Erwägen Sie, Cloud-Sicherheitsdienste in die Anwendung zu integrieren, um Benutzerkonten, Finanzdaten und personenbezogene Daten zu schützen. Cloud-Sicherheitsdienste verfügen über Millionen von Datenpunkten, anhand derer die Anwendung feststellen kann, ob ein Client böswillig agiert oder ein legitimer Benutzer ist. Da die Datenpunkte kontinuierlich aktualisiert werden, können neue Bedrohungen erkannt werden. Regeln können in Echtzeit auf die Anwendung angewendet und in eine bestehende unternehmensweite Sicherheitsstrategie eingebunden werden.

Schritt 3: Ermitteln Sie, welche Anwendungsdienste benötigt werden

Zusammenfassung: Verschaffen Sie sich einen Überblick darüber, welche Anwendungsdienste – also die Lösungen, die Ihre Anwendungen im Hintergrund ausführen – für Ihr Unternehmen erforderlich sind.

Anwendungen sind selten eigenständig. Daher sollten neben dem Anwendungsbestand auch die Anwendungsdienste, auf denen Ihre Anwendungen ausgeführt werden, verwaltet und nachverfolgt werden. Anwendungsdienste sind vorkonfigurierte Lösungen für Anwendungsentwickler, die die Geschwindigkeit, Mobilität, Sicherheit und Betriebsfähigkeit einer Anwendung verbessern. Sie bieten dem Anwendungs-Workload mehrere wichtige Vorteile:

• Geschwindigkeit: Die Leistungsfähigkeit einer Anwendungslast und die Fähigkeit, sie schnell bereitzustellen.
• Mobilität: Die einfache Verlagerung einer Anwendungslast von einem physischen oder logischen Hosting-Standort zu einem anderen.
• Sicherheit: Der Schutz der Anwendungsauslastung und der damit verbundenen Daten.
• Betriebsfähigkeit: Die Gewährleistung, dass sich eine Anwendungslast einfach bereitstellen und zuverlässig betreiben lässt und dass Fehler leicht behoben werden können.

Eine gute Möglichkeit, abhängige Anwendungsdienste zu ermitteln, besteht darin, den Abschnitt „Kontrollen“ des FISMA- oder FedRAMP-Systemsicherheitsplans für Ihre Umgebung zu prüfen. Dort finden sich häufig Hinweise sowohl auf sicherheitsbezogene Anwendungsdienste als auch auf andere Dienste, die von diesen abhängig sind.

Anwendungsdienste können zwar für jede Anwendung von Vorteil sein, doch nicht jede Anwendung benötigt dieselben Anwendungsdienste.

Zu den gängigen Anwendungsdiensten gehören:

• Lastverteilung
• DNS-Bereitstellung
• Globale Serverlastverteilung
• Web Application Firewalls
• DDoS-Prävention/-Schutz
• Anwendungsüberwachung und -analyse
• Identitäts- und Zugriffsmanagement
• Anwendungsauthentifizierung
• API-Gateways
• Steuerung des ein- und ausgehenden Container-Datenverkehrs
• SSL-Verschlüsselung

Kosten, Sicherheit und Leistung in Einklang bringen

Alle Anwendungsdienste verursachen gewisse Kosten, sowohl direkt (für den Dienst selbst) als auch indirekt (für den laufenden Betrieb). Anwendungen mit niedriger Priorität können gemeinsam genutzte Funktionen verwenden, um Kosten zu senken. Diese Funktionen gewährleisten Sicherheit und erhalten die Leistungsfähigkeit. Besonders wertvolle Ressourcen erfordern mehr Mittel, da sie für die Produktivität des Unternehmens von großer Bedeutung sind.

Es ist erwähnenswert, dass viele Anwendungsdienste speziell für eng begrenzte Anwendungskategorien konzipiert sind. Beispielsweise benötigen nur Anwendungen, die für IoT-Apps ausgelegt sind, ein IoT-Gateway. Anwendungen, die in einer herkömmlichen Architektur bereitgestellt werden, benötigen keine auf containerisierte Umgebungen ausgerichteten Anwendungsdienste. Daher sind Anwendungsdienste für die Ingress-Steuerung und Service Meshes möglicherweise nicht relevant.

In einigen Fällen müssen möglicherweise neue Anwendungsdienste beschafft werden, um die Einhaltung von Vorschriften sicherzustellen oder Risiken zu reduzieren. Auch wenn die Mindestkontrollen technisch gesehen den Compliance-Anforderungen genügen, sollten Sie stets der Versuchung widerstehen, sich mit ihnen zufriedenzugeben, und stattdessen auf Anwendungsdiensten bestehen, die Ihre Fähigkeit zum Umgang mit Cyberrisiken verbessern.

Schritt 4: Anwendungskategorien definieren

Zusammenfassung: Gruppieren Sie Anwendungen logisch nach Typ, Priorität und Anforderungen.

Sobald die Anwendungsinventarisierung abgeschlossen ist, besteht der nächste Schritt darin, Ihre Anwendungen anhand der Merkmale, die unterschiedliche Ansätze für das Management und die Anwendungsdienste erfordern (z. B. Zugriff auf sensible Daten, stärkere Bedrohungsexposition), in logische Kategorien einzuteilen.

Nach der Kategorisierung sollte die unternehmensweite Anwendungsrichtlinie festlegen, welche Leistungs-, Sicherheits- und Compliance-Profile auf die verschiedenen Anwendungstypen anzuwenden sind. Maßgeblich hierfür sind die Kritikalität und die unternehmensinterne Klassifizierung der jeweiligen Anwendung.

Wir empfehlen, mit vier grundlegenden Stufen zu beginnen.

Stufe 1

Anwendungsmerkmale
Anwendungen, die Sie als besonders wertvolle Ressourcen betrachten und die zugleich geschäftskritische digitale Dienste darstellen, die sensible Daten erfassen und verarbeiten

Erforderliche Anwendungsdienste
Lastverteilung, globale Serverlastverteilung, Web Application Firewall, DDoS-Schutz/-Abwehr, Bot-Erkennung, SSL-Ver- und -Entschlüsselung, Verwaltung von Benutzeridentitäten und Zugriffsrechten, Anwendungs-/Dienstidentität und -authentifizierung, Anwendungstransparenz/-überwachung

Zusätzliche Merkmale
Anwendungsdienste werden in unmittelbarer Nähe der Anwendung bereitgestellt und in die Anwendungsbereitstellung integriert. Schützen Sie sensible Daten wie Benutzerkonten, Kreditkarteninformationen und personenbezogene Daten mithilfe intelligenter Cloud-Dienste.

Stufe 2

Anwendungsmerkmale
Geschäftskritische digitale Dienste, die Zugriff auf sensible Daten ermöglichen

Erforderliche Anwendungsdienste
Lastverteilung, globale Serverlastverteilung, Web Application Firewall, DDoS-Schutz/-Abwehr, Bot-Erkennung, SSL-Ver- und -Entschlüsselung, Benutzeridentitäts- und Zugriffsverwaltung, Anwendungs-/Dienstidentität und -authentifizierung, Anwendungstransparenz/-überwachung

Zusätzliche Merkmale
Schützen Sie sensible Daten mithilfe intelligenter Cloud-Dienste, um Benutzerkonten, Kreditkarteninformationen und personenbezogene Daten zu schützen.

Stufe 3

Anwendungsmerkmale
Geschäftskritische digitale Dienste, die keine sensiblen Daten erfassen oder Zugriff darauf gewähren

Erforderliche Anwendungsdienste
Lastverteilung, globale Serverlastverteilung, DDoS-Schutz/-Abwehr, Anwendungstransparenz/-überwachung

Zusätzliche Merkmale
Sie können gemeinsam genutzte Dienste verwenden, um Kosten zu senken. Schützen Sie sensible Daten mithilfe intelligenter Cloud-Dienste, um Benutzerkonten, Kreditkarteninformationen und personenbezogene Daten zu schützen.

Stufe 4

Anwendungsmerkmale
Sonstige digitale Dienste

Erforderliche Anwendungsdienste
Lastverteilung, Anwendungstransparenz/-überwachung

Zusätzliche Merkmale
Sie können gemeinsam genutzte Dienste verwenden, um Kosten zu senken.

Der Wert der Kategorisierung

Da sich die Bedrohungen für Anwendungen je nach Hosting-Umgebung unterscheiden, kann diese Kategorisierung weiter ausdifferenziert werden, um zwischen verschiedenen Bereitstellungsumgebungen (z. B. On-Premises, Public Cloud) zu unterscheiden.

Wenn Sie Ihre Ziele auf diese Weise priorisieren, können Sie die von Ihnen bereitgestellten Anwendungen außerdem leichter vorab den entsprechenden FISMA-/FedRAMP-Stufen zuordnen. Wenn Sie sich an dieser Stelle etwas Zeit nehmen, um Ihre Missionsziele zu strukturieren, müssen Sie später deutlich weniger Zeit für Gespräche mit einem Prüfer aufwenden.

Keine Organisation verfügt über genügend Ressourcen, um alles, was sie sich vorgenommen hat, innerhalb eines akzeptablen Zeitrahmens umzusetzen. Indem Sie Ihre Anwendungen priorisieren, können Sie nach dem Triage-Prinzip entscheiden, welche Apps durch Anwendungsdienste gestärkt, welche modernisiert oder ersetzt und welche den Aufwand nicht wert sind. Stellen Sie bei Apps der letztgenannten Kategorie sicher, dass sie in Ihrem Netzwerk segmentiert sind, um zu verhindern, dass etwa ein harmlos erscheinendes IoT-Thermostat zu einer vollständigen Kompromittierung des Netzwerks führt. Dieser Prozess umfasst auch die Prüfung neuer Anwendungen, die neue Wertschöpfungspotenziale erschließen könnten und daher entweder intern entwickelt oder von einem Drittanbieter bezogen werden sollten.

Schritt 5: Parameter für die Bereitstellung und Verwaltung von Anwendungen definieren

Zusammenfassung: Definieren Sie Parameter für die Bereitstellung und Nutzung.

Bereitstellung und Betriebsmanagement bilden seit jeher einen grundlegenden Bestandteil jeder IT-Strategie. Eine moderne Strategie für Unternehmensanwendungen bringt dabei einige neue Aspekte ins Spiel, etwa die Bedeutung der Endbenutzererfahrung. Dazu gehört die Betrachtung folgender Punkte:

• Welche Bereitstellungsarchitekturen werden unterstützt (z. B. Hybrid Cloud, Multi-Cloud)?
• Bereitstellungsmodelloptionen für jede der Anwendungskategorien
• Welche Public Clouds als Zugriffspunkte für Anwendungen dienen können
• In welchem Umfang können native Public-Cloud-Dienste im Vergleich zu Drittanbieterdiensten genutzt werden?

Verschiedene Anwendungen stellen unterschiedliche Anforderungen an Bereitstellungs- und Nutzungsmodelle. In dieser Phase der Entwicklung Ihrer Anwendungsstrategie sollten Sie sich ein klares Bild von den verschiedenen Bereitstellungsoptionen verschaffen, die jeweils unterschiedliche Nutzungsmodelle, Kostenauswirkungen und Compliance-/Zertifizierungsprofile aufweisen können.

Bei der Auswahl von Bereitstellungsmodellen empfiehlt es sich außerdem, die verfügbaren Kompetenzen und Fachkräfte zu erfassen und in die Entscheidung einzubeziehen. Wenn Sie sich beispielsweise für eine Bereitstellung auf AWS entscheiden, obwohl intern nicht genügend Fachkräfte für die Verwaltung zur Verfügung stehen und Sie keinen Zugang zu externen Fachkräften auf Vertragsbasis haben, kann dies den Fortschritt verlangsamen und zusätzliche Risiken mit sich bringen.

Vergessen Sie nie, dass Ihre Bereitstellungs- und Verwaltungsmechanismen möglicherweise selbst einer Autorisierung bedürfen – sei es gemäß FISMA oder FedRAMP ATO/P-ATO, je nachdem, welchen Standard Ihre Behörde für ihren Auftrag verwendet.

Schritt 6: Rollen und Verantwortlichkeiten klären

Zusammenfassung: Legen Sie für jedes Element Ihrer Strategie für Unternehmensanwendungen klare Verantwortlichkeiten fest.

Neben der Formulierung Ihrer Ziele und Prioritäten sollte die Strategie für Unternehmensanwendungen auch Aspekte zu Rollen und Verantwortlichkeiten umfassen.

Sie sollten Folgendes wissen:

• Wer ist befugt, Entscheidungen über die Optimierung und Absicherung des Anwendungsportfolios zu treffen (z. B. Technologieauswahl, Ausmusterung von Anwendungen, Verwaltung von Benutzerzugriffen)?
• Wer hat privilegierten Benutzerzugriff auf die einzelnen Anwendungen?
• Wer ist für die Bereitstellung, den Betrieb und die Wartung der einzelnen Anwendungen in den verschiedenen Umgebungen verantwortlich?
• Wer ist für die Einhaltung der Richtlinie für Unternehmensanwendungen verantwortlich?
• Wer wird die Einhaltung der Ziele der Unternehmensanwendungsstrategie überwachen? Und wem werden die entsprechenden Kennzahlen gemeldet?
• Wer wird überwachen, ob Anbieter – einschließlich Open-Source- und Drittanbieter von Komponenten und Diensten – die Vorgaben einhalten?
• Wer stellt sicher, dass alle Anwendungen und Anwendungsdienste erfasst werden (während sich Anwendungen und Dienste fortlaufend ändern und hinzugefügt bzw. entfernt werden)?

Diese Verantwortlichkeiten können einer einzelnen Person, abteilungsübergreifenden Ausschüssen oder sogar ganzen Abteilungen übertragen werden. In jedem Fall sollten sie klar und eindeutig festgelegt werden. Möglicherweise müssen sie sogar noch genauer definiert werden, als es Ihre Compliance-Vorgaben verlangen.

Fortschrittlichere Unternehmen werden operative Prozesse und Automatisierung einsetzen, um diese Verantwortlichkeiten bereits zu Beginn des Entwicklungsprozesses, also bei der Konzeption der Anwendung, zuzuweisen. In einer Multi-Cloud-Welt mit Hunderten oder sogar Tausenden von Anwendungen, die kritische Funktionen unterstützen, sollten die Anwendungsstrategie und die entsprechenden Richtlinien klare Verantwortungsbereiche festlegen.

Durchsetzung der unternehmensweiten Anwendungsstrategie

Sobald die Strategie für Unternehmensanwendungen entwickelt wurde, muss ihre Einhaltung sichergestellt werden, damit sie ihren Zweck erfüllen kann. Die Durchsetzungsmechanismen sollten sowohl „harte“, in die Prozessautomatisierung integrierte Leitplanken (z. B. Benutzerzugriffskontrollen und Scans auf Schwachstellen im Code beim Einchecken) als auch „weiche“ Maßnahmen wie Mitarbeiterschulungen sowie den Aufbau von Kompetenzen oder Bewusstsein umfassen.

Robuste Zugriffskontrollen implementieren

Ihre Richtlinie zur Zugriffskontrolle sollte die in der Unternehmensanwendungsstrategie definierten betrieblichen Rollen und Verantwortlichkeiten unterstützen und für alle Anwendungen gelten – sowohl lokal als auch in der Cloud. Besonderes Augenmerk sollte auf den Zugriff privilegierter Benutzer gelegt werden, da dieser ein Risiko für die Anwendung darstellt. Dazu gehört auch die Gefahr, dass diese Benutzer aufgrund ihrer Administrator- oder Root-Berechtigungen für die Anwendung ins Visier hochentwickelter APTs geraten.

Zu den empfohlenen besonderen Maßnahmen für privilegierte Benutzer gehören:

• Privilegierte Benutzer sollten immer separaten Gruppen zugeordnet sein. Sie sollten in Ihrer Zugriffskontrolllösung als „hohes Risiko“ eingestuft werden, sodass für sie Sicherheitskontrollen erforderlich sind, die Sie möglicherweise nicht für alle Benutzer oder alle Klassifizierungsstufen von Anwendungen implementieren möchten.
• Für die Remote-Authentifizierung sollten mehrere Faktoren erforderlich sein. Wenn Zugriffsversuche mit gültigen Anmeldedaten erfolgen, die die zweite Authentifizierungsanforderung nicht erfüllen (etwa wenn Angreifer bei einer Datenschutzverletzung gültige, mehrfach verwendete Anmeldedaten erbeutet haben), oder von einem Standort aus unternommen werden, der angesichts der letzten gültigen Anmeldung physisch nicht plausibel ist (beispielsweise wenn sich derselbe Benutzer zwei Stunden nach einer erfolgreichen Anmeldung in den USA in Osteuropa anzumelden versucht), sollte das Konto bis zum Abschluss einer weiteren Sicherheitsüberprüfung gesperrt werden.
• Administrativer Zugriff sollte nur entsprechend qualifiziertem und geschultem Personal gewährt werden, das diese Zugriffsebene regelmäßig zur Erfüllung seiner Aufgaben benötigt. Vorübergehende Zugriffsrechte, die für Notfälle oder besondere Projekte gewährt werden, sollten über eine separate Benutzergruppe vergeben werden. Für diese sollte eine automatisierte Nutzungsüberwachung eingerichtet sein, die Systemadministratoren daran erinnert, die Zugriffsrechte wieder zu entziehen. Die Angemessenheit der Zugriffsrechte sollte regelmäßig überprüft werden. Um Interessenkonflikte zu vermeiden, sollte diese Überprüfung unabhängig von dem Team erfolgen, das für die Anwendung oder die Vergabe von Zugriffsrechten auf die Anwendung verantwortlich ist. Wenn ein privilegierter Benutzer über einen längeren Zeitraum nicht auf ein Konto zugreift, sollte geprüft werden, ob er diese Zugriffsrechte tatsächlich benötigt.
• Alle Zugriffe privilegierter Benutzer auf die Anwendungen sollten ordnungsgemäß protokolliert werden. Dies umfasst alle über das Benutzerkonto vorgenommenen Änderungen.

Ein solches Maß an Transparenz und Automatisierung bei der Zugriffskontrolle in der Cloud zu erreichen, kann schwierig und kostspielig sein, da diese Funktionen in der Regel nicht nativ verfügbar sind. Mithilfe von Drittanbieterlizenzen ist dies jedoch möglich, und angesichts der Bedeutung lohnt sich diese Investition auf jeden Fall.

Mitarbeitende und relevante Stakeholder kontinuierlich schulen

Angesichts der stetig wachsenden Zahl von Anwendungen und der Fülle an öffentlich verfügbaren Informationen, anhand derer Angreifer herausfinden können, welche Anwendungen sie ins Visier nehmen sollten und wer Zugriff darauf hat, waren Schulungen zum Sicherheitsbewusstsein noch nie so wichtig wie heute.

Da Spear-Phishing die bevorzugte Vorgehensweise von Angreifern ist, sollte der Schwerpunkt auf Phishing-Schulungen liegen. Der F5 Labs Phishing and Fraud Report 2018 ergab, dass sich die Erfolgsquote von Phishing-Angriffen von 33 % auf 13 % senken lässt, wenn Mitarbeitende mehr als zehnmal geschult werden. Dennoch werden Schulungen zum Sicherheitsbewusstsein nur selten häufig genug und mit den richtigen Inhalten durchgeführt. Bei standardisierten Sensibilisierungsschulungen, die lediglich der Erfüllung von Compliance-Vorgaben dienen, besteht die Gefahr, dass Mitarbeitende ihre Rolle für die Informationssicherheit nicht verstehen und sich nicht persönlich dafür verantwortlich fühlen. Wenn das Ziel darin besteht, das Risiko einer Sicherheitsverletzung zu verringern, sind häufige, auf Ihr Unternehmen zugeschnittene Schulungen der richtige Weg.

Angreifer kennen keine Auszeiten, daher müssen Mitarbeiter stets wachsam bleiben. Eine von kontinuierlicher Aufmerksamkeit und kritischem Hinterfragen geprägte Kultur sollte in allen Organisationen selbstverständlich sein, insbesondere in Bundesbehörden oder Unternehmen, die die Bundesregierung mit Produkten und Dienstleistungen beliefern. Mitarbeiter sollten sich bewusst sein, dass sie aufgrund ihres Zugriffs auf Anwendungen und Daten ein Ziel darstellen. Sie sollten außerdem wissen, wie dieser Zugriff oder diese Daten von feindlich gesinnten Staaten genutzt oder von gewinnorientierten Cyberkriminellen verkauft werden (und anschließend von Angreifern erworben werden).

Fazit

Um den Erfolg ihrer digitalen Transformation sicherzustellen, sollten alle Organisationen eine unternehmensweite Anwendungsstrategie und entsprechende Richtlinien einführen und ihre Mitarbeitenden darin schulen. Im Bereich der US-Bundesbehörden mit seiner großen Vielfalt an Legacy-, Hybrid- und modernen Anwendungen ist dies besonders wichtig. Nur so können Sie erfolgreich einen zuverlässigen, sicheren und autorisierten digitalen Dienst bereitstellen.

Anwendungen bilden das Herzstück der digitalen Transformation eines jeden Unternehmens. Angesichts des rasanten Wandels bei der Entwicklung und Bereitstellung von Software sind sie zugleich die größte Wertschöpfungsquelle und die größte Schwachstelle eines Unternehmens. Die hier beschriebenen Komponenten einer Anwendungsstrategie und entsprechender Richtlinien schaffen die wesentlichen Grundlagen, um die digitalen Ziele eines Unternehmens abzusichern. Da das Risikoprofil des Anwendungsportfolios täglich zunimmt, müssen Unternehmen ihre Strategie und ihre Richtlinien zügig formalisieren.

_{¹ Cloud-Smart-Strategie des Office of Management and Budget
² F5 Labs: Erkenntnisse aus einem Jahrzehnt voller Datenschutzverletzungen
³ Kriminelle hacken ein Aquarium, um Daten aus einem Casino zu stehlen, Forbes
⁴ Target-Datenschutzverletzung geschah aufgrund eines grundlegenden Fehlers bei der Netzwerksegmentierung, ComputerWorld
⁵ Bericht zum Stand der Software-Lieferkette 2018, Sonatype}

VERÖFFENTLICHT AM 11. JANUAR 2021