Cloud Security

Cloud Supply Chain Security (2023)

Supply-Chain-Attacken haben in letzter Zeit deutlich zugenommen und betreffen auch bekannte Unternehmen. Die Attacken erfolgen über vertrauenswürdig eingestufte Komponenten und IT Services Dritter und sind daher von Anwendern schwer zu verhindern. Der jetzt veröffentlichte TeleTrusT-Leitfaden beschreibt neben Software Bill of Materials (SBOM) weitere Schutzmaßnahmen, die von Anwenderunternehmen zur Verbesserung der Cloud Supply Chain Security getroffen werden können.

In der IT ist die Supply Chain die Lieferkette aller Teilprodukte und Lieferungen, aus denen sich ein IT Service oder eine Anwendung zusammensetzt. Für jede Art von Software, aber insbesondere für Cloud-Dienste, besteht eine solche Lieferkette aus unzähligen Lieferanten und Produkten, die entweder direkt oder indirekt genutzt werden oder zur Erstellung oder Ausführung der Teile beitragen. Im besten Fall wird der Produzent oder Anbieter der Teile die direkt genutzten Komponenten selbst auf Sicherheitseigenschaften überprüfen. Der Anwender hat aber normalerweise weder die Möglichkeit, die Nutzung einer betroffenen Komponente festzustellen, noch auf eine Behebung von Schwachstellen hinzuwirken - ein inakzeptabler Zustand.

Um das Problem der mangelnden Transparenz zu lösen, führt der Weg über die Software Bill of Materials (SBOM). Eine SBOM ist eine Aufstellung aller Komponenten, die in einer Software-Anwendung enthalten sind. Wenn neue Erkenntnisse zu Fehlern und Schwachstellen in diesen Komponenten auftauchen, können Anwender schnell ermitteln, ob sie möglicherweise betroffen sind und die von ihnen genutzten Anwendungen gefährdet sind. Es wird erwartet, dass sich die Bereitstellung von SBOMs durch Lieferanten und Betreiber von Software und Services zum Marktstandard entwickelt.

Download

Cloud Supply Chain Security Download

Cloud Security - Sichere Nutzung von Cloud-Anwendungen (2021)

Cloud Computing ist inzwischen ein breit akzeptiertes IT-Betriebsmodell und wird von den allermeisten Unternehmen genutzt. Auch viele IT-Anbieter haben in ihrer Strategie auf "Cloud First" gewechselt, zum Teil sogar auf "Cloud Only". Die Bedrohungslage hat sich ebenfalls verändert: Cloud-Plattformen sind zunehmend im Blickfeld von Cybercrime. Die sichere Nutzung von Cloud Services ist deshalb ein zentraler Baustein der IT-Sicherheit von Unternehmen insgesamt. Der TeleTrusT-Leitfaden "Cloud Security" richtet sich vorwiegend an kleine und mittlere Unternehmen. Er beginnt mit einer systematischen Betrachtung der Risiken bei der Nutzung von Cloud-Diensten, gegliedert nach allgemeinen IT-Risiken, Cloud-spezifischen Risiken und rechtlichen Anforderungen. Betrachtet werden auch die Sicherheitsvorteile von Cloud Services. 

Der Leitfaden zeigt technische, organisatorische und rechtliche Maßnahmen zur Reduktion und Beherrschung ermittelter Risiken auf. Neben Mechanismen und Konfigurationsmöglichkeiten, die integraler Bestandteil der Cloud-Dienste sind, wird fokussiert auf externe Sicherungsmechanismen eingegangen: Identity Provider, Cloud Access Security Broker (CASB), Cloud Encryption Gateways, E-Mail Security Gateways, Cloud VPNs, Cloud Firewalls, Confidential Computing, Backup und Notfallplanung.

Im Bereich organisatorischer Maßnahmen wird auf die Aufgabenverteilung zwischen Anbieter und Nutzer sowie auf die Vertragsgestaltung eingegangen. Der Leitfaden schließt mit einer Betrachtung von Testaten und Zertifikaten im Cloud-Umfeld.

Download