Digitale Transformation, aber sicher

Digitalisierung ist in Zeiten von Pandemie und Homeoffice das Gebot der Stunde. Doch bei aller Freude darüber, dass der Zugriff vom Heimarbeitsplatz auf das Firmen-LAN ein kontinuierliches Weiterarbeiten ermöglicht, dürfen Securitykonzepte und -maßnahmen nicht vergessen werden. Christian Linhart weiß, worauf dabei zu achten ist und welche Rolle Verschlüsselung dabei spielt. [...]

Fakt ist: Covid hat die Digitalisierung vorangetrieben. Dabei ist oft die schnelle Einrichtung eines Fernzugriffs auf das Firmennetz vom Homeoffice aus gemeint; Security-Konzepte wie auch Compliance-Anforderungen finden weit weniger Beachtung. Ist das auch Ihr Eindruck? Wie sehen Sie diesbezüglich die Digitalisierung in Österreich?

Letztes Jahr mussten österreichische Unternehmen schnell reagieren und zunächst den sicheren Zugriff aus der Ferne ermöglichen. Hierfür lag der Schwerpunkt zunächst auf der Einführung von Access-Management- und Authentifizierungslösungen und weniger auf dem Schutz der Informationen selbst. Hand in Hand mit der Digitalisierung stieg auch die Nutzung von Cloud-Infrastrukturen deutlich. Hier mussten die Unternehmen teilweise rasch reagieren, um die Geschäftsabläufe aufrecht zu erhalten. Jetzt im zweiten Schritt finden die Unternehmen die Zeit, sich um die Sicherheit der Daten zu kümmern, und damit rückt das Thema Verschlüsselung immer mehr in den Vordergrund. Darüber hinaus sind auch die Compliance-Anforderungen gewachsen und wurden sogar verschärft, beispielsweise Schrems II. Daher ist das Thema Verschlüsselung mittlerweile auch in den Führungsetagen als die technische Maßnahme für den Schutz der Daten angekommen.

Ein wichtiger Faktor der Digitalisierung ist für die meisten Branchen die Cloud. Worauf müssen Unternehmen achten, wenn sie Ihre Daten On-Premises und/oder in der Cloud schützen möchten? Gibt es Unterschiede, falls ja welche?

Die Cloud ist in Österreich angekommen, dies zeigt nicht zuletzt auch das Investment der Firma Microsoft in die geplante Rechenzentrumsregion Österreich Ost. Die Basis der Digitalisierung und der Cloud Transformation ist Vertrauen. Thales ermöglicht die sichere Transformation, indem sie dieses Vertrauen durch flexible Krypto-Frameworks schafft. Dabei ist egal, ob sich die Daten in der Cloud befinden oder On-Premises in einer lokalen IT-Infrastruktur, das Schutzbedürfnis ist das Gleiche. Das stellt Unternehmen zunehmend vor Herausforderungen. Sie müssen zum einen ihre sensiblen Daten lokalisieren und zum anderen entsprechend schützen sowie die Zugriffe darauf reglementieren. Außerdem müssen Unternehmen immer öfter bei Security-Audits nachweisen können, welche Zugriffe auf welche Daten wann stattfinden und wie diese geschützt werden. Sie benötigen also eine Lösung, die es ihnen ermöglicht das nötige Schutzniveau für ihre Daten einheitlich über hybride Infrastrukturen umzusetzen.

Sollen alle Daten gleich geschützt werden oder muss hier je nach Art der Daten unterschiedlich vorgegangen werden?

Lassen Sie mich das an einem Vergleich erklären: Stellen Sie sich ein Haus mit Garten und Zaun vor. Wenn ein Fußgänger einen Apfel vom Apfelbaum stiehlt, ist das weniger wichtig. Wenn ein Unbefugter Zugang zum Haus und dann z.B. ihrer Brieftasche auf dem Küchentisch hat, ist das schon deutlich schwerwiegender. Wirklich wichtige Dokumente und Wertgegenstände gehören dann besonders geschützt in einem Tresor verwahrt. Dieser Tresor wiederum ist nur mit einem einzigen Schlüssel zu öffnen.

Wenn wir dieses Bild auf die IT übertragen, dann ist das Grundstück die Cloud. Die Äpfel am Baum sind wenig schützenswerte Daten, die Brieftasche im Haus repräsentiert sensible Informationen und die Gegenstände im Tresor sind reglementierte, besonders schützenswerte Daten.

Bei Daten mit niedrigem Schutzniveau, im Beispiel die Äpfel, vertrauen Sie vielleicht zu 100 Prozent den Schutzmaßnahmen ihres Cloud-Anbieters. 

Für sensible Daten, hier die Brieftasche, möchten Sie die Zugriffe einschränken und kontrollieren – die Schlüssel zu Ihrer Haustüre bekommen nur ausgewählte Personen. Bei der Cloud bedeutet dies, Sie nützen die Verschlüsselung des Anbieters, kontrollieren und verwalten aber die Schlüssel.

Der Tresor mit seinem besonders schützenswerten Inhalt steht für das »Bring your own Encryption (BYOE)« -Konzept, Sie kümmern sich sowohl um die Verschlüsselung als auch um die dazugehörigen Keys. In diesem Fall hat der Cloud-Anbieter keinerlei Zugriff mehr auf Ihre Informationen.

Diese Unternehmensanforderungen wurden von den Cloud-Anbietern erkannt und wohlwollend unterstützt. Sie stellen immer mehr Möglichkeiten zur Verfügung, um verschiedene Schutzniveaus abzubilden. Ein Beispiel für besonders schützenswerte Daten ist Microsofts neue Double-Key-Encryption für Office 365, die zusammen mit unseren Luna Hardware Security Modules (HSMs) hochsensible Informationen schützt und regulatorische Anforderungen wie die DSGVO oder das Schrems II-Urteil unterstützt.

Wie kann Verschlüsselung beim Schutz der Daten helfen und welche Lösungen bieten Sie hier an?

Eine starke Verschlüsselung der Daten in der Cloud wird auch von der EU-DSGVO und der Cloud Security Alliance (CSA) mit der Publikation „Key Management when using Cloud Services“ empfohlen. Letztlich ist Verschlüsselung die einzige Möglichkeit, um eine durchgehende Datensicherheit zu gewährleisten. Bei der Verschlüsselung sind die Schlüssel das A und O und die Hoheit darüber muss bei den Unternehmen bleiben. Deshalb ist es wichtig, die Schlüssel immer getrennt von den Daten zu verwalten. Unsere Lösung dafür ist die CipherTrust Data Security-Plattform. Mit ihr profitieren Unternehmen von einem einheitlichen und zentralen Krypto-Framework. Mit dieser Lösung können sie Daten sowohl in Cloud-Infrastrukturen als auch On-Premises lokalisieren, klassifizieren und verschlüsseln. Die Schlüssel dazu werden zentral verwaltet – Ausgabe, Back-up und Rotieren der Schlüssel wird somit deutlich erleichtert. Bereits vorhandene Keys von Drittherstellern beziehungsweise Cloud-Anbietern können selbstverständlich übernommen und auch verwaltet werden.

Ein Multi-Cloud-Ansatz erhöht die Ausfallssicherheit und Flexibilität sowie die Unabhängigkeit von den Anbietern. Wie kann Verschlüsselung hier helfen? Welche Konzepte verfolgen Sie?

In vielen Fällen sehen wir, dass Kunden mehr als eine Cloud-Infrastruktur nutzen, um unabhängig zu bleiben. Jeder Cloud-Anbieter bietet unterschiedliche Möglichkeiten der Verschlüsselung an. Daher wünschen sich die Unternehmen eine einheitliche Oberfläche, um an zentraler Stelle cloud-übergreifend Schlüssel verwalten zu können. Das spart Zeit, Geld und Nerven, speziell für den CISO und im Falle eines Audits. Als Thales legen wir besonderen Wert darauf, mit den Lösungen aller führenden IT-Hersteller und Cloud-Anbieter zu integrieren, um so unseren Kunden eine einheitliche Plattform für die Umsetzung ihrer Datenschutz-Initiativen zur Verfügung zu stellen – egal wo sich die Daten befinden.

Weitere Informationen zu den Lösungen von Thales erhalten Sie von der Arrow ECS unter sales.ecs.at@arrow.com.