Sicherheitsbedenken und sanfte Migration

Sichere Anwendungen entscheiden die Zukunft der Cloud

| Autor: Ludger Schmitz

Noch hindern Sicherheitsbedenken ein Abheben ins Cloud-Computing; der F5-Autor Ralf Sydekum befürwortet eine sanfte Migration.
Noch hindern Sicherheitsbedenken ein Abheben ins Cloud-Computing; der F5-Autor Ralf Sydekum befürwortet eine sanfte Migration. (Bild: Jeanette Dietl/ Fotolia.com)

Anwender gehen zögerlich an Cloud-Computing heran. Ralf Sydekum, Manager Field Systems Engineering DACH bei der F5 Networks GmbH in München, erläutert, wie ein behutsames Herangehen an die Cloud funktioniert, an die Migration von On-premise-Applikationen zu Services.

Es hat Marktbeobachter überrascht, wie reserviert deutsche Anwender dem Cloud Computing im internationalen Vergleich gegenüber stehen. Welche Rolle spielen dabei welche Sicherheitsbedenken?

Ralf Sydekum: Zunächst zweifelt niemand daran, dass die Zukunft der elektronischen Datenverarbeitung eindeutig im Cloud Computing liegt. Analysten gehen davon aus, dass bereits in drei Jahren der Anteil von Cloud-Systemen größer als der von klassischen Rechenzentren sein wird. Zu eindeutig sind die Vorteile von Kosteneinsparungen, Flexibilität und Time-to-Market, als dass sich IT-Entscheider diesem Trend verschließen könnten.
Aber wie bei jedem neuen technologischen Ansatz gibt es eine Reihe von Hindernissen, die zu einer verzögerten Einführung in den Unternehmen führen kann. Sicherheitsbedenken spielen hier eine ganz zentrale Rolle, die sich ganz allgemein in zwei Bereiche einteilen lassen. Einerseits müssen gültige Datenschutzgesetze, Richtlinien und Compliance-Anforderungen berücksichtigt werden, zum anderen geht es um ganz pragmatische Umsetzungen und Übertragungen von technischen und betriebsrelevanten Sicherheitsregeln für eine Cloud-Umgebung.

Sind die Befürchtungen real oder gefühlt?

Ralf Sydekum: Unsere Beobachtungen und Gespräche mit Kunden zeigen eindeutig, dass derartige Befürchtungen ganz real sind. Das Ziel muss daher sein, den Anwendern Wege und Möglichkeiten aufzuzeigen, um in überschau- und planbaren Zeiträumen zumindest Teilschritte einer erfolgreichen Cloud-Migration erzielen zu können. Berater, Systemintegratoren und Hersteller sind hier gemeinsam gefordert, den IT-Entscheidern das notwendige Vertrauen dieser neuen Technologien zu vermitteln.
Sicherheitsfragen spielen eine zentrale Rolle in jedem Cloud-Projekt. Aber auch Themen wie Verfügbarkeit, Skalierbarkeit und Applikations-Performance bei steigenden Anforderungen sind Aspekte, die berücksichtigt werden müssen.

Das Ergebnis des Zögerns sind hybride Clouds, wobei große Unternehmen zur Einrichtung von private Clouds zu tendieren scheinen. Welche Hybrid-Cloud-Szenarien lassen sich auch mit den Mitteln eines mittelständischen Unternehmens umsetzen?

Ergänzendes zum Thema
 
CLOUD COMPUTING & VIRTUALISIERUNG Technology Conference

Ralf Sydekum: Tatsächlich ist es richtig, dass die Mehrzahl der Unternehmen zunächst einmal verstärkt über den Einsatz von Private Clouds nachdenken. Die Gemeinsamkeiten und Überschneidungen eines klassischen RZ-Betriebs mit dem einer Private Cloud sind hier sicherlich am größten.
Um jedoch die eingangs erwähnten Business-Vorteile heben zu können, werden Hybrid-Cloud-Systeme auch für mittelständische Unternehmen unumgänglich sein. Der Fokus auf die Kernkompetenzen der Unternehmen führt unter anderem dazu, nachgelagerte Aufgaben der IT an Dienstleister auszulagern, dies ist der stark wachsende und milliardenschwere Markt von Software-as-a-Service (SaaS).
Häufig werden Hybrid-Cloud-Szenarien schon dadurch eingeleitet, dass einzelne interne IT-Services, beispielsweise DNS oder DDoS-Mitigation, an Provider ausgelagert werden. Schnell folgen dann etwa CRM-, HR- und weitere Tools, die nicht unbedingt zur Kernkompetenz der Unternehmen gehören.

Welche Herausforderungen bestehen dabei, On-Premise-Anwendungen zu Services in der hybriden Cloud zu migrieren?

Ralf Sydekum: Diese Frage stellt völlig zu recht den Blickwinkel der Anwender und IT-Verantwortlichen in den Mittelpunkt. Es geht ausschließlich um Anwendungen, denn sie sind es, die das Business der Unternehmen tragen, und ohne Anwendungen hätten die klassischen IT-Silos wie Netzwerk, Server oder Storage keinerlei Daseinsberechtigungen. Demgegenüber stehen sehr häufig viele Cloud-Ansätze und Lösungen von Herstellern, die eben genau mit Building-Blocks diese Silos bedienen und sich im Service- und Orchestrierungsansatz darauf beschränken.
Langfristig können sich Cloud-Systeme nur dann durchsetzen, wenn der Applikations-zentrische Ansatz in den Mittelpunkt rückt. Die Anwendung ist vielleicht nicht der Nabel der Welt, ganz sicher jedoch der Nabel eines jeden einzelnen Unternehmens und muss es somit auch heutiger und zukünftiger Cloud Umgebungen sein.
F5 trägt mit seinem Konzept der „Software Defined Application Services“ (SDAS) diesem Ansatz Rechnung. Es ergänzt klassische und häufig auf Infrastruktur beschränkte SDN-Lösungen zum umfassenden Software Defined Data Center (SDDC).

On-Premise sind Anwendungen – hoffentlich – umgeben von einem überlegtem Sicherheitskonzept. Wie lässt sich das in die Cloud übertragen?

Ralf Sydekum: „My home is my castle“ - so lässt sich vereinfacht der Security-Ansatz von selbst betriebenen Datacenter beschreiben. Es wird eine Trutzburg mit Wassergräben und Zugangskontrollen aufgebaut. Darüber hinaus werden Personen- und Objektkontrollen eingerichtet und das alles nur, um den Burgherrn (Anwendung) zu schützen. Doch was helfen all diese ausgeklügelten Schutzmaßnahmen, wenn der Burgherr sein Schloss verlässt?

Doch lassen Sie uns konkreter und technischer werden. Dies sind einige der möglichen sicherheitsrelevanten Überlegungen, die beim Übergang in die Cloud eine Rolle spielen können:

  • Wie kann die Einhaltung gültiger Gesetze wie das Bundesdatenschutzgesetz (BDSG) gewährleistet werden, wie der Schutz personenbezogener Daten (§11, BDSG)?
  • Wie lassen sich Richtlinien, Leitfäden (etwa vom BSI) oder Compliance-Anforderungen (beispielsweise PCI) effizient in der Cloud umsetzen?
  • Was geschieht mit Firewall-Regeln und anderen Security-Tools, wenn die zu schützende Anwendung in die Cloud verlagert wird?
  • Wie lassen sich Attacken (DDoS, Viren, Trojaner etc.) zukünftig effizient abwehren?
  • Wie werden Authentifizierung, Autorisierung und Access-Regeln in der Cloud umgesetzt, was passiert mit unternehmenseigenen Zertifikaten und Schlüsselsystemen?

Welche Anforderungen stellen sich an das Identity-Management bei der Nutzung von Software-as-a-Service?

Ralf Sydekum, Manager Field Systems Engineering DACH bei der F5 Networks GmbH, München
Ralf Sydekum, Manager Field Systems Engineering DACH bei der F5 Networks GmbH, München (Ralf Sydekum, F5)

Ralf Sydekum: Dieser Aspekt beleuchtet die Frage, wie man einerseits die Benutzer-Akzeptanz von SaaS unter Vermeidung mehrfacher User-Credentials erhöhen kann, ohne gleichzeitig die unternehmenseigenen „Kronjuwelen“ (User-Datenbanken, Active Directory, Zertifikate etc.) einem Cloud-Provider anvertrauen zu müssen.Der technische Ansatz dieser Problematik ist eine „Identity-Federation“, in der das unternehmenseigene Identity-Managementsystem eine Vertrauensstellung zum Cloud-Provider etabliert: Nach einer erfolgreichen und internen Authentifizierung wird ein Anwenders vom Service-Provider anstandslos akzeptiert. Somit muss sich der User nur einmal am Unternehmensportal anmelden und wird aus seiner Sicht transparent zu Cloud-Anwendungen "durchgeschleust".

* Das Interview führte Ludger Schmitz, freierberuflicher Journalist in Kelheim.

Was meinen Sie zu diesem Thema?

Schreiben Sie uns hier Ihre Meinung ...
(nicht registrierter User)

Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
Kommentar abschicken
copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43586048 / Virtualisierung)