Essenzielle Cloud-Security-Strategien zur Minimierung von Risiken, Bedrohungen und Schwachstellen

Gehen Sie davon aus, dass Ihre Cloud-Daten gesichert und sicher vor Bedrohungen sind? Nicht so schnell.

Mit Rekordzahl an Cybersecurity-Angriffen 2018 ist klar: Alle Daten sind bedroht.

Jeder denkt: „Mir kann das nicht passieren.“ Realität: Kein Netzwerk ist 100 % sicher vor Hackern.

Laut Kaspersky Lab stieg Ransomware 2018 um über 250 % – Tendenz beängstigend. Die hier präsentierten Ratschläge sind die ultimative Versicherung gegen verheerende Auswirkungen signifikanten Cloud-Datenverlusts.

Wie starten Sie Cloud-Datensicherung? Was sind Best Practices für Cloud-Datenschutz? Wie sicher ist Cloud Computing?

Zum Jump-Start Ihrer Security-Strategie haben wir Experten zu Cloud Security Risks and Threats befragt.

Key Takeaways unserer Experten zu Cloud Protection & Security Threats

• Akzeptieren: Es ist nur Frage der Zeit, bis jemand Ihre Verteidigung durchbricht – planen Sie dafür.
• Nicht annehmen, dass Cloud-Daten gesichert sind.
• Two-Factor Authentication und IP-Location für Cloud-Applikationszugriff aktivieren.
• Verschlüsselung nutzen. Daten at rest verschlüsseln.
• Menschliches Element ist eine der größten Sicherheitsbedrohungen.
• Robusten Change Control Process implementieren, wöchentlichen Patch Management Cycle.
• Offline-Kopien Ihrer Daten für den Fall, dass Cloud-Daten zerstört oder als Lösegeld gehalten werden.
• 24×7 Security Monitoring Service beauftragen.
• Security Incident Response Plan haben.
• Advanced Firewall Technology nutzen inkl. WAF (Web Application Firewalls).
• Application Services, Layering, Micro-Segmentation nutzen.

1. Verfügbarkeit in der Cloud aufrechterhalten

Dustin Albertson, Senior Cloud Solutions Architect bei Veeam

Thema Cloud-basierte Security: Meist denken an Networking, Firewalls, Endpoint Security. Amazon definiert Cloud Security als:

„Security in der Cloud ähnelt Security in On-Premises-Rechenzentren – nur ohne Facility/Hardware-Wartungskosten. In der Cloud managen Sie keine physischen Server/Storage. Stattdessen nutzen Sie software-basierte Security-Tools zur Überwachung/Schutz des Informationsflusses in/aus Cloud-Ressourcen.“

Ein oft übersehenes Risiko: Verfügbarkeit aufrechterhalten. Mehr als Geo-Redundanz oder Hardware-Redundanz – ich meine: Sicherstellen, dass Daten und Applikationen abgedeckt sind. Cloud ist kein magischer Ort, wo Sorgen verschwinden; oft vermehren sich Ängste einfacher/günstiger. Robuste Data Protection Strategy ist Key. Veeam predigt „3-2-1 Rule“ (Peter Krogh).

Regel: Drei Datenkopien, auf zwei verschiedenen Medien, eine offsite. Offsite meist „Cloud“ – aber was, wenn Sie bereits in der Cloud sind?

Hier entstehen die meisten Cloud-Issues: Daten im selben Cloud gespeichert. Wichtig: Detaillierte Strategie beim Cloud-Move. Veeam Agents für Cloud-Workload-Schutz und Cloud Connect für Offsite-Backups nutzen, um Verfügbarkeit außerhalb desselben Datacenters/Cloud zu wahren. Nicht annehmen, Provider schützt Ihre Daten – das tut er nicht.

2. Cloud Migration überholt Evolution der Security Controls

Salvatore Stolfo, CTO von Allure Security

Laut ESG-Survey: 75 % der Orgs sagen, mindestens 20 % ihrer sensitiven Public-Cloud-Daten unzureichend gesichert. 81 % glauben, On-Premise Data Security reifer als Public Cloud Data.

Doch Migration in Cloud schneller denn je für Organisationsvorteile: 83 % der Business Workloads bis 2020 in Cloud (LogicMonitor Cloud Vision 2020). Zunehmend dringende Situation: Sensible Daten schneller in Cloud migriert als Security Controls evolvieren, um sie zu schützen.

Unternehmen müssen Lösungen prüfen, die Datenzugriff in Cloud-Shares basierend auf User-Permission-Level kontrollieren – aber auch Alerts bei ungewöhnlichem/verdächtigem Zugriff, sogar durch scheinbar vertrauenswürdige User.

Viele Hacker/Insider-Leaks kommen von Bad Actors mit gestohlenen, legitimen Credentials, die frei in Cloud-Share navigieren nach wertvollen Daten. Deception Documents (Decoys) können excellentes Tool zur Erkennung sein: Alert Security Teams early bei ungewöhnlichem Verhalten, täuschen Cyber-Diebe vor, wertvolle Daten gestohlen zu haben (Fake-Dokument).

Frage: Kontrolle über Dokumente behalten, auch wenn sie aus Cloud-Share geliftet wurden. Hier brechen viele Security-Lösungen zusammen. Einmal aus Cloud-Repository heruntergeladen: Wie Tracken, wohin Datei reist, wer sie ansieht? Mehr Investment in Geofencing, Telemetry nötig.

3. Cloud Computing Bedrohungen und Schwachstellen mit Security Plan minimieren

Nic O’Donovan, Solutions Architect und Cloud Specialist bei VMware

Hybrid Cloud wächst in Popularität bei Enterprises – Deployment-Speed, Skalierbarkeit, Kosteneinsparungen attraktiver. Infrastruktur evolviert rasch in Cloud – Security muss ähnliches Tempo halten. Essenziell: Enterprise arbeitet mit Cloud Service Provider mit verlässlichem Cloud-Security-Ansatz.

Partnerschaft mit Cloud Provider wird zunehmend wichtig, um gemeinsam Security Plan zu verstehen/implementieren für Datensicherheit.

Security Controls: Multi-Factor Authentication, Data Encryption, erforderliches Compliance-Level – Fokusbereiche beim Security Plan Aufbau.

4. Nie aufhören, über größte Vulnerabilities zu lernen

Isacc Kohen, CEO von Teramind

Immer mehr Companies fallen Cloud zum Opfer – wegen Cloud-Misconfiguration und Employee Negligence.

1. Größte Bedrohung für Datensicherheit: Ihre Mitarbeiter. Fahrlässig oder böswillig – Top-Grund für Malware-Infektionen, Data Loss. Malware/Phishing in News, weil „einfache“ Wege für Hacker. Social Engineering: Kriminelle tricksen Mitarbeiter zu Passwort/Credential-Herausgabe für kritische Business/Enterprise-Data-Systeme. Prävention: Effektives Employee Training Program und Employee Monitoring, das System aktiv probt.
2. Nie aufhören zu lernen. In kontinuierlich wandelnder Branche: Up-to-date bleiben zu Trends/Vulnerabilities. Beispiel IoT: Erst „Spitze des Eisbergs“ beim Schutz über erhöhte Wi-Fi-Connections, Online-Data-Storage. Mehr kommt, direkter Impact auf kleine Businesses.
3. Storage-Funktionsweise recherchieren, verstehen, dann educaten. Stories: Data Exposure durch Cloud oft durch Misconfiguration von Cloud-Settings. Mitarbeiter müssen Security-Natur der Applikation verstehen – Settings leicht manipulierbar, „on“ geschaltet, exponieren Data extern. Security Awareness durch Training Programs educaten.
4. Access Points limitieren. Einfache Mitigation: Access Points begrenzen. Häufiger Cloud-Exposure-Fehler: Mitarbeiter ermöglichen versehentlich globale Permissions, exponieren Data offener Connection. Mitigation: Verstehen, wer/was Zugriff auf Data Cloud hat – alle Access Points – und Connections gründlich monitoren.
5. Systeme monitoren. Progressiv, thorough. Langzeitschutz: User-Analytics/Monitoring-Platform für schnellere Breach Detection. Monitoring/Analytics streamlinen Data, erstellen Standard-„Profil“ von User – Employee und Computer. Integriert, folgen entscheidenden Data Deposits (Admin in Detection Software angegeben). Wenn spezifische Cloud-Daten manipuliert/verschoben/gebrochen: System „pingt“ Admin sofort – Character Change angezeigt.

5. Hybrid-Lösungen in Betracht ziehen

Michael V.N. Hall, Director of Operations bei Turbot

Wesentliche Punkte zu Cloud Security:

1. Passwörter sind Macht – 80 % aller Passwort-Breaches verhindert durch Multi-Factor Identification: Personal Identity Verification via Text/Email alertet bei Zugriffsversuchen.
2. Größter Schuldige: Weakened Credentials. Passwörter, Passkeys, Passphrases gestohlen via Phishing, Keylogging, Brute-Force.
3. Passphrases sind die neuen Passwörter. Random, easy-to-remember Passphrases besser – länger, komplexer. „MyDonkeysEatCheese47“ – kompliziert, unrelated (außer Sie besitzen Esel/Käsehersteller). Upper/Lowercase, volles Punctuation-Spektrum nutzen.
4. Kontakt zu Hosting-Provider halten. Richtigen Provider wählen – reputable Company mit High-Security-Standards. Regelmäßige Kommunikation hält Sie abreast von Changes/Developing Issues.
5. Hybrid-Lösung erwägen. Sichere, statische Systeme für kritische Daten In-House, niedrigere Priorität Data für Cloud-Versatility.

6. Lernen, wie Cloud Security Systems funktionieren

Tom DeSot, CIO von Digital Defense, Inc.

Businesses müssen Cloud Computing Security Risks/Benefits evaluieren – sich educaten, was Move in Cloud bedeutet, bevor großer Sprung von eigenen Datacentern.

Zu oft: Migration ohne Plan/Wissen über Security-Implikationen. Erkennen: Software „lebt“ auf Shared Systems mit anderen Customers – Breach anderer Customer Platform kann ihr System kompromittieren.

Cloud Customers müssen verstehen: Wo werden Daten gespeichert? Nur US, oder Provider repliziert zu anderen Kontinenten? Echtes Issue bei sensiblen Daten (PII, HIPAA, andere Regulatory Statutes). SLA des Cloud Providers genau prüfen – muss eigenes SLA spiegeln.

Cloud-Move befreit Computing-Ressourcen, sichert Uptime – aber in kleinen Schritten, um „in der Cloud sein“ zu appreciaten.

7. Due Diligence bei Cloud-Sicherung betreiben

Ken Stasiak, CEO von SecureState

Art der Daten in Cloud verstehen und mandated Security Requirements darum.

Sobald Business Idee hat, welche Daten in Cloud gespeichert werden: Festes Verständnis für Level der Due Diligence bei Cloud-Provider-Assessment. Beispiel: Cloud Provider für Protected Health Information (PHI) – Security Standards Assessment und HIPAA Compliance vor Data Move verlangen.

Gute Fragen bei Evaluation:

• Regelmäßige SOC Audits/Assessments?
• Schutz vor Malicious Activity?
• Background Checks auf alle Mitarbeiter?
• Systeme für Employee Monitoring, Access Determination, Audit Trails?

8. Access Controls und Security Permissions einrichten

Michael R. Durante, President von Tie National, LLC

Cloud wächst durch Flexibilität (Scaling, Collaboration across Locations) – aber wirft Security Concerns auf durch Potential für Exposing Vulnerabilities außerhalb Ihrer Kontrolle.

Beispiel: BYOD Herausforderung, wenn User nicht regelmäßig Security Patches/Updates anwenden. Top-Tip: Verfügbare Access Controls optimal nutzen.

Businesses müssen Access Controls nutzen, um Security Permissions auf Actions zu limitieren, die zu Job-Funktionen der Mitarbeiter gehören. Durch Limitierung: Kritische Files nur für Staff verfügbar, der sie braucht – Reduktion Exposition gegenüber falschen Parties. Einfacheres Revoking von Access Rights sofort bei Employment Termination – Schutz sensibler Inhalte egal wo Remote-Zugriff versucht wird.

9. Pedigree und Prozesse des Suppliers/Vendors verstehen

Paul Evans, CEO von Redstor

Cloud-Technologien ermöglichen Businesses aller Größen Performance-Verbesserungen, Effizienz durch Remote Working, Higher Availability, Flexibilität.

Mit zunehmenden disparaten Systemen und vielen Cloud-Suppliers/Software: Kontrolle über Data Security wird challenging. Bei Cloud-Service-Implementierung: Pedigree und Prozesse des Suppliers/Vendors gründlich verstehen. Industry Standard Security Certifications (z. B. ISO 27001) sind guter Start – beweisen internationale Information Security Management Standards, höher zu werten als ohne.

Vollständiges Verständnis: Wo Daten geografisch hingehen, wer Zugriff hat, ob verschlüsselt – Key zum Schutz. Auch wichtig: Supplier-Prozesse bei Data Breach/Loss/Downtime. Acceptable Downtime in contracted SLAs, finanziell backed für Reassurance.

Für Orgs, die Cloud Platforms nutzen: Cloud Security Threats beachten – Wer hat Data Access? Wo stored? Encrypted? Meist können Cloud Platforms diese Fragen beantworten, haben High Security Levels. Orgs müssen Data Protection Laws/Regulations kennen, contractual Agreements mit Cloud Providers accurately verstehen. Wie Data Protected? Viele Regulations/Industry Standards geben Guidance für sensitive Data Storage.

Unsecured/unencrypted Data Copies erhöhen Risiko. Knowledge of Security Levels von Cloud Services vital.

Retention Policies? Backup? Cloud Platforms variieren widely – kann Issues verursachen/verhindern. Cloud-stored Data vulnerable zu Ransomware/Corruption – Multiple Copies Retention/Backup verhindert dies. Garantierte Prozesse verbessern Security Levels, geben Verständnis für Risk Sources.

10. Starke Passwörter und Multi-Factor Authentication nutzen

Fred Reck, InnoTek Computer Consulting

Starke Passwörter für alle Cloud-User erfordern, bevorzugt Multi-Factor Authentication.

Laut Verizon Data Breach Investigations Report 2017: 81 % aller Hacking-Related Breaches nutzten gestohlene/schwache Passwörter. Größter Cloud-Vorteil: Company Data weltweit auf jedem Device zugänglich. Kehrseite: Jeder („Bad Guys“) mit Username/Password kann potenziell Business Data zugreifen. Starke Passwörter erzwingen = Brute Force Attacks (Raten aus random characters) massiv erschweren.

Zusätzlich zu sicheren Passwörtern: Viele Cloud Services nutzen Employee Cell Phone als zweites, physisches Security Auth Piece in Multi-Factor Strategy – accessible, affordable. User braucht Password + physischen Zugriff auf Cell Phone für Account Access.

Zuletzt: Feature implementieren, das User Account nach vordefinierter Anzahl fehlgeschlagener Logins lockt.

11. IP-Location Lockdown aktivieren

Chris Byrne, Co-Founder und CEO von Sensorpro

Companies sollten Two-Factor Authentication und IP-Location Lockdown für Cloud-Applikationszugriff aktivieren.

2FA: Weitere Challenge zu Email/Password via Text Message. IP Lockdown: Ringfence Access von Office IP oder Remote Worker IPs. Plattform unterstützt nicht? Provider bitten, zu aktivieren.

Cloud Platform Provision: Data at Rest Encryption Option bereitstellen. Irgendwann so ubiquitous wie HTTPS (SSL/TLS). Sollte Unvorstellbares passieren – Data in falsche Hände (Device gestohlen/vergessen in Zug) – Data at Rest Encryption = letzte Verteidigungslinie gegen Zugriff ohne richtige Encryption Keys. Selbst bei Diebstahl: Unnutzbar. Hätte z. B. Equifax Breach gemildert.

12. Cloud Storage Security Solutions mit VPNs

Eric Schlissel, President und CEO von GeekTek

VPNs (Virtual Private Networks) bei jeder Cloud-Verbindung nutzen. VPNs oft für Semi-Anonymisierung Web Traffic (Geo-Blocked Streaming wie Netflix USA, BBC Player). Aber: Crucial Security Layer für jedes Device connecting to your Cloud. Ohne VPN: Potential Intruder mit Packet Sniffer könnte Cloud Account Access bestimmen, Login Credentials stehlen.

Data at Rest verschlüsseln. Wenn User Account kompromittiert auf Public/Private/Hybrid Cloud: Unterschied Plaintext vs. Encrypted = Hunderttausende Dollars – konkret $229.000 durchschnittlicher Cyber Attack Cost (Hiscox Survey). Encrypting/Decrypting weit weniger schmerzhaft als Alternative.

Two-Factor Authentication und Single Sign-On für alle Cloud-Accounts. Google, Facebook, PayPal nutzen 2FA (unique software-generated code vor Sign-In). Ob Business deren Statur anstrebt oder nicht – Core Component der Security Strategy emulieren. SSO vereinfacht Access Management: Ein Credential-Pair signiert Employee in alle Accounts. Admin löscht einen Account statt mehreren, die vergessen/ später von Ex-Employee re-accessed werden.

13. Human Element Risk beachten

Steven J.J. Weisman, Lawyer und Professor an Bentley University

Shakespeare paraphrasiert: Schuld nicht in Cloud; Verantwortung in uns.

Sensible Daten in Cloud speichern = gute Option für Data Security auf vielen Levels. Aber: Egal wie sicher Technologie – Human Element präsentiert immer potenzielle Security Danger für Cyberkriminelle. Viele Cloud Security Breaches nicht durch Cloud-Technology-Lapses, sondern durch Actions individual Cloud Users.

Sie gaben unknowingly Usernames/Passwords an Cyberkriminelle, die via Spear Phishing Emails, Calls, Text Messages zu kritischen Infos für Cloud Account Access persuadierten.

Beste Vermeidung: Bessere Employee Education zur Erkennung/Prävention Spear Phishing + Dual Factor Authentication (One-Time Code an Employee Cell Phone bei Cloud Account Access Attempt).

14. Data Retrieval von Cloud Vendor sicherstellen

Bob Herman, Co-Founder und President von IT Tropolis

1. 2FA schützt vor Account Fraud. Viele User fallen Phishing-Attempts zum Opfer (Fake Website Login). Bad Actor loggt als Victim auf Real Site ein – Damage je nach Site App/User Access. 2FA erzwingt zweiten Code bei Login (meist Phone Code).
2. Eigenes Data Ownership und Retrieval bei Vendor-Wechsel imperative. Legitime Cloud Vendors spezifizieren in Terms: Customer owns Data. Nächstes: Confirm Extract/Export in usable Format oder Vendor provides auf Request.

15. Real-Time und Continuous Monitoring

Sam Bisbee, Chief Security Officer bei Threat Stack

1. Real-Time Security Observability & Continuous Systems Monitoring erstellen
   Modern Cloud Environments (besonders SaaS): Changes häufiger, Impacts immediate. Elastic Infrastructure: Jederzeit accidental/malicious Actions könnten Dev/Prod/Test Systems schwer impacten. Ohne Real-Time Observability/Continuous Monitoring = Blindflug. Kein Insight in Environment, keine immediate Mitigation bei Issues. Application und Host-based Access monitoren für Application State over Time.
   • Manual User Actions monitoren – wichtig in DevOps World (Engineers haben Production Access). Manual Tasks möglich – Opportunity für Automation Identification.
   • Application Performance over Time tracken für Anomaly Detection. „Who did what and when“ fundamental für Investigation von Changes.
2. Configuration Settings setzen & kontinuierlich monitoren
   Security Configs (z. B. Amazon Direct Connect) kompliziert – leicht Inadvertently Access zu Systems/Data offen für Welt (S3 Leaks). Changeable/Volatile SaaS Environments: Services real-time created/removed. Failure to Configure/Monitor = Security jeopardized, Customer Trust eroded. Configs gegen Baseline setzen + Continuous Monitoring = Problems beim Setup vermeiden, Config Issues schneller detect/respond.
3. Security & Operations Priorities für Cloud Security Solutions/Infrastructure alignen
   Good Security = Proper Operations. Oft Teams at odds. Security seen als Business-Slowdown – Over-Focus auf Policing Dev/Ops. Aber Security kann Business Enabler sein. Security sollte Automation Testing Tools, Security Controls, Monitoring across Network Management, User Access, Infrastructure Config, Vulnerability Management (Application Layer) leveragen – drives Business forward, reduces Risk across Attack Surface, maintains Operational Availability.

16. Auditing Tools für Cloud Data Security nutzen

Jeremey Vance, US Cloud

1. Auditing Tool nutzen: Wissen, was alles in Cloud ist, was User in Cloud nutzen. Can't secure Data you don't know about.
2. Zusätzlich: Welche Services auf Network laufen, wie/warum genutzt, von wem, wann.
3. Auditing Process als Routine Teil von Network Monitoring – nicht One-Time Event. Bandbreite nicht da? Outsourcen an qualified Third Party (z. B. US Cloud).

17. Meiste Breaches starten an simplen ungesicherten Punkten

Marcus Turner, Chief Architect & CTO bei Enola Labs

Cloud sehr sicher, aber: Proper Configuration essenziell für Company Data Security.

AWS spezifisch: AWS Config bestes Tool dafür. Richtig konfiguriertes AWS = eines der sichersten Cloud Computing Environments weltweit. Aber: Meiste Data Breaches nicht Hacker mit komplexen Programmen für Critical Data Access – sondern simple unsecured Points, Low Hanging Fruit, die Company Data vulnerable machen.

Selbst mit bester Cloud Security: Human Error oft Schuld an kritischstem Gap/Breach. Routinen zur Validierung kontinuierlicher Configuration Accuracy = most underused/under-appreciated Metric für Cloud Data Security.

18. Cloud Vendor Key Security Questions stellen

Brandan Keaveny, Ed.D., Founder von Data Ethics LLC

Bei Cloud-Based Solution Exploration: Adequate Supports für Breach Case sicherstellen. Vor Agreement mit Cloud Provider folgende Fragen stellen:

• Frage: Wie viele Third Parties nutzt Provider für Service Facilitation?
  Grund: Processes/Documentation müssen procedural Safeguards/Coordination mit Cloud Solution updaten. Security Level des Providers klar verstehen. Erhöhte Security Levels nötig für Privacy/Security Requirements der stored Data.
• Frage: Wie werden Sie bei Breach ihrer Systeme benachrichtigt? Werden sie Ihr Company bei Client/Customer Notification assistieren?
  Grund: Cloud Solution fügt Time Dimension zu Notification Requirements hinzu (bei Breach). Timing Factors in Breach Notification Procedures/Privacy Policies incorporieren.

Switch von Locally Hosted zu Cloud: Security Risk Assessment Process updaten. Vor Switch: Risk Assessment für Current State der Data Integrity (to be migrated).

Zusätzlich: Research zu Data Transfer in Cloud Environment. Questions:

• Frage: Sind Daten transport-ready?
  Grund: Data Quality Assessment Zeitpunkt: vor Migration, nicht nachträglich.
• Frage: Wird Transfer vom Cloud Provider facilitiert?
  Grund: Security Parameters für Data Transfer verstehen – besonders bei Large Data Sets.

19. Cloud Account über Passwort hinaus sichern

Beigetragen vom Team bei Dexter Edward

Cloud Account selbst sichern. Schutz auf Server/OS/Applikation nützt nichts, wenn Anyone Controls übernehmen kann.

• Starkes, sicheres Passwort auf Account + 2-Factor Authentication.
• Cloud Keys/Credentials routinemäßig rotieren.
• IP Whitelists nutzen.
• Role-Based Access auf associated Cloud Keys/Credentials nutzen.

Access zu Compute Instances in Cloud sichern.

• Firewalls der Cloud Provider nutzen.
• Sichere SSH Keys für Devices mit Login Access Requirement.
• Passwort für Administrative Tasks erfordern.
• Applikation so konstruieren, dass sie ohne Root Privilege operiert.
• Applikationen: Encryption für Communications außerhalb Cloud.
• Authentication vor Public Communications etablieren.

Private Cloud Network so viel wie möglich nutzen.

• Services nicht an alle Public Networks binden.
• Private Network nutzen, um sogar Login Access zu isolieren (VPN Option).

Monitoring, File Auditing, Intrusion Detection nutzen, wenn von Cloud Providern angeboten.

• Cloud ist made to move – Feature nutzen für Network Location Changes.
• Instances abschalten when not in use. Daily Images für häufigeres Server/Applikation Moving around Internet.

20. Managed Virtual Desktops implementieren in Betracht ziehen

Michael Abboud, CEO und Founder von TetherView

Naturkatastrophen, Cyber Threats, Data Breaches, Hardware Problems, Human Factor erhöhen Risk kostspieliger Outages/Disruptions.

Move zu Managed Virtual Desktops via Private Cloud: Unique Opportunity für Orgs, Kosten zu reduzieren, Secure Remote Access für Staff, Business Continuity Support, Downtime Risk Mitigation.

Standby Virtual Desktops: Proper Business Continuity Solution liefert Foundation für Security/Compliance.

Virtual Desktop Deployment: User Flexibility für Remote Work via Browser-based Environment, gleichzeitig IT Central Management Endpoints, Lockdown Business Critical Data. Performance, Security, Compliance unbeeinflusst.

Standby Virtual Desktops: Pre-configured, instant Deploy Ready – Team bleibt „Business as Usual“ bei plötzlicher Disaster.

Zusätzlich: Regelmäßige Data Audits und Backups sicherstellen.

Nicht wissen, was in Cloud ist? Jetzt herausfinden. Häufig Data Audit, alles Backed Up. Prüfen: Wer hat Zugriff? Alte Employees/Those ohne Need mehr: Permissions revoked.

Latest Security Measures nutzen: Multi-Factor Authentication, Default Encryption. Employees up-to-speed halten, trainieren für Potential Threat Spotting – sofortiges Dealing.

21. Provider Security Policies beachten

Jeff Bittner, Founder und President von Exit Technologies

Viele Businesses expandieren in Cloud, verlassen sich auf On-Premise Infrastructure (Cost/Benefit bis Reluctance, Mission-Critical Data/Systems in Third-Party Hands). Tracking: Was Assets wo in Hybrid Environment = Tricky, Security Gaps Resultat.

Security Responsibility in Cloud: Shared zwischen Service Provider und Subscriber. Subscriber muss nicht nur Provider Security Policies kennen, sondern auch Hardware Refresh Cycles.

Cyber Attackers adept at Finding/Exploiting Gaps in Older OS/Applikationen (Obsolete, No Updates). Spectre/Meltdown Vulnerabilities: Chip-Level Errors/Oversights Exploitation.

Hardware (Server/PCs) hat Limited Life Cycle – aber Businesses betreiben oft nach Vendor Support Withdrawal/Discontinued Firmware/Software Updates für neue Security Threats.

Zusätzlich zu Provider Awareness: Business muss eigene Assets tracken, refreshen/decommissionen as needed. Repurposed Computer Systems für Non-Critical Purposes: Zu leicht fallen sie außerhalb Risk Management/Security Oversight.

22. Backups vor Cloud-Upload verschlüsseln

Mikkel Wilson, CTO bei Oblivious.io

1. File Metadata genauso vigilant sichern wie Data selbst. Angreifer kann nicht an Data – aber Filenames/File Sizes = Important Info Leak. Beispiel: Lawyer reveals File „michael_cohen_hush_money_payouts.xls“, 15 MB – Fragen, die Sie lieber nicht beantworten.
2. Backups vor Cloud-Upload verschlüsseln. Backups = High-Value Target für Attacker. Viele Companies (even mit eigenen Datacentern) speichern Backups in Cloud (z. B. Amazon S3). S3 Encryption Features on – aber Amazon speichert Encryption Keys mit Data. Wie Auto abschließen, Keys auf Haube lassen.

23. Wissen, wo Data Resides, um Cloud Threats zu reduzieren

Vikas Aditya, Founder von QuikFynd Inc

Bewusstsein: Wo Data stored today – proaktiv identifizieren, ob Data bei Breach Risk.

Heute: Data in Multiple Cloud Locations/Applikationen + Storage Devices in Business. Companies adopt Cloud Storage (Google Drive, Dropbox, OneDrive) + Online Software Services für alle Business Processes. Result: Vaste Fragmentation Company Data – Manager oft keine Idee, wo alle Data sind.

Beispiel: Confidential Financial Report in Cloud Storage (Auto-Sync Devices). Sensitive Business Conversation in Cloud Messaging (Slack). Cloud Companies haben Right Intentions für Customer Data Safety – aber Prime Target für Hacker (Better ROI: Access zu Millions of Subscribers Data).

Was sollte Company tun?

Cloud Services weiter adoptieren, Data in vielen Locations – aber Search/Data Organization Tools nutzen, die zeigen, was Data in diesen Services existiert. Full-Text Search Capabilities: Schnell herausfinden, ob Information Potential Risk bei Breach. Can't protect what you don't know where it is. Won't know if stolen. Companies protecting Business Data: Steps zum Awareness aller Information Locations.

24. Systeme regelmäßig patchen, um Cloud Vulnerabilities zu vermeiden

Adam Stern, CEO von Infinitely Virtual

Business User nicht defenseless, selbst nach Recent Attacks (WannaCry, Petya/NotPetya).

Bestes Antidot: Patch Management. Sound Practice: Systems/Servers up-to-date mit Patches – kürzester Pfad zu Peace of Mind. „Patch Management Consciousness“ Teil übergreifender Mantra: Security ist Process, nicht Event – Mindset, nicht Checkboxen abhaken. Vigilance = Everyone's Default Mode.

Spam = No One's Friend. Wary of Emails Unknown Sources – nicht öffnen. Small/Mid-Size Businesses gewinnen durch Strategic Emphasis auf Security Protections: Clustered Firewalls, Intrusion Detection/Prevention Systems (IDPS).

25. Security Processes Enforcement nötig – Staff oft Risk nicht realisieren

Murad Mordukhay, CEO von Qencode

1. Security als Priority
   Security Measures Enforcement schwierig bei Deadlines/Complex New Features. Teams biegen Rules eigener Security Processes ohne Risk Realisierung. Well Thought Out Security Process muss Well Enforced sein für Goal: Data Protected. Companies mit Cloud Security als Priority in Product Development Process reduzieren Exposure zu Lost Data/Security Threats drastisch.
2. Passwörter & Verschlüsselung
   Zwei wichtige Teile Cloud Data Security: Passwords, Encryption. Poor Password Management = Biggest Opportunity für Bad Actors (Social Engineering: Phishing Emails, mostly Poor Employee Education). Proper Employee Training + Email Monitoring Processes gehen weit für Exposing Password Info. Zusätzlich: Passwörter lang, Numbers, Letters, Symbols. Nie aufschreiben, in Email/Chat/Ticket Comments sharen. Additional Layer: Encryption. Data lange in Cloud stored → Locally Encrypt before Send Up. Practically Inaccessible bei Small Chance Compromise.

26. Two-Factor Authentication aktivieren

Tim Platt, VP of IT Business Services bei Virtual Operations, LLC

Best Cloud Server Security: Two Factor Authentication (2FA, Multi-Factor, Two-Step) wherever possible.

Was ist das? 2 Factor kombiniert „Something You Know“ mit „Something You Have“. Password + Unique Code via Text an Smartphone = Both Things. Jemand kennt Password → Still Can't Access. Benötigt Password + Cell Phone Access. Nicht unmöglich, aber dramatisch schwieriger. Suchen Elsewhere für Easier Target. Beispiel: iCloud, Gmail support 2FA – Popular mit Business Usern. Empfehlung: Everyone Use It.

Warum wichtig für Cloud Security?
Cloud Services oft nicht durch Firewall/Other Mechanism geschützt für Service Access Control. 2FA = Excellent Additional Layer. Manche Services (Salesforce) haben Efficient, Easy 2FA Implementation – Not Significant Burden auf User.

27. Nicht annehmen: Cloud-Daten sind Backed-Up

Mike Potter, CEO & Co-Founder bei Rewind

Backing Up Data in Cloud: Großes Misconception um Cloud-Based Platforms (Shopify, QuickBooks Online, Mailchimp, WordPress) Backup. Typisch: Cloud-Based Apps Maintain Disaster Recovery Cloud Backup der gesamten Platform. Server Issue → Try Recover Everyone's Data zu Last Backup. Aber: Als User kein Access zu deren Backup für Your Data Restore.

Risk: Manual Undo Unwanted Changes oder Permanent Data Loss wenn:

• 3rd Party App integrated in Account Causes Problems.
• Series of Changes Unroll nötig.
• You/Team Member Makes Mistake.
• Disgruntled Employee/Contractor Deletes Data Maliciously.

Secondary Backup Cloud Accounts Access = Greater Control/Freedom über Own Data. Vendor Server Issue oder Individual Account Issue → Quick Recover = Thousands Dollars Saved (Lost Revenue, Repair Costs, Time).

28. File Permissions minimieren und verifizieren

Randolph Morris, Founder & CTO bei Releventure

1. Cloud-Based Server: Monitoring und Patching Spectre Vulnerability/Variations sicherstellen. Cloud Server Especially Vulnerable. Vulnerability Bypassed Any Cloud Security Measures inkl. Encryption für Data Being Processed at Exploit Time.
2. File Access für Each Service Review/Tighten. Too Often: Full Access Accounts für „Software Works“ (Past Permission Issues). Wenn möglich: Each Service Own Account, Only Restricted Permission für Vital, Minimum Required Permissions.

29. Files in Cloud sichern: Data Locally First Encrypt

Brandon Ackroyd, Founder und Mobile Security Expert bei Tiger Mobiles

Meiste Cloud Storage User Assume: Services Use Own Encryption. Tun sie – Dropbox z. B. Excellent Encryption für Files.

Problem: Sie nicht Encrypting → No Decryption Key. Dropbox Holds Decryption Key → Anyone With Same Key Can Decrypt Your Data. Decryption Automatic bei Dropbox Login → Anyone Accessing Your Account (via Hacking) Gets Non-Encrypted Data.

Lösung: Files/Data selbst encrypten (Encryption App/Software) vor Send to Chosen Cloud Storage Service.

30. Exposed Buckets in AWS S3 sind Vulnerable

Todd Bernhard, Product Marketing Manager bei CloudCheckr

1. Meiste Common/Publicized Data Breaches Past Year: Public Read Access zu AWS S3 Storage Buckets. Default Config = Private, aber People Make Changes, Forget, Put Confidential Data auf Exposed Buckets.
2. Data Encrypt: In Traffic und At Rest. Data Center: End Users, Servers, App Servers Same Building. Cloud: All Traffic Over Internet → Encrypt Data Moving in Public. Wie Brief in Umschlag vs. Postkarte (Jeder liest Contents).

31. Gold-Standard der Verschlüsselung nutzen

Jeff Capone, CEO von SecureCircle

False Sense of Privacy bei Businesses Using Cloud Services (Gmail, Dropbox) für Communication/File Sharing. Password-Protected Cloud = Auto-Assumed Secure/Private. Realität: Nicht.

Organsationen können Data Secure durch neue Encryption Methods: End-to-End Encryption für Emailing/File Sharing. „Gold Standard“ – No Central Points of Attack → Protects User Data Even When Server Breached.

Advanced Encryption Methods Most Useful mit Well-Aligned Internal Policies: Decentralizing Data Access Where Possible, Minimizing/Eliminating Privileged Access Accounts, Carefully Considering Risks bei Data Sharing/SaaS Services.

32. Comprehensive Access Controls implementieren

Randy Battat, Founder und CEO, PreVeil

All Cloud Providers Capability: Access Controls für Your Data (Listing Who Has Access). Ensure: „Anonymous“ Access Disabled, Access Only Authenticated Accounts That Need It.

Zusätzlich: Encryption nutzen für Data Protection From Prying Eyes. Multitude Options Depending on Cloud Provider. Balance Utility of Accessing Data mit Need to Protect – Some Methods More Secure (Client-Side Key/Encryption Process). Dann: Even If Someone Has Access (Point #1) → Only Encrypted Version, Still Need Key to Decrypt.

Continuous Compliance zu Governance Policies. Items Above Implemented + Myriad Other Security/Protection Standards Laid Out → Remain In Compliance. Viele Orgs Experienced Cloud Data Breaches: Risk Not Cloud Provider Platform. It's What Staff Does With Platform. Ensure Compliance: Monitor Changes, Better: Implement Tools für Automated Corrective Actions bei Configuration Drift.

33. 5 Fundamentals für Cloud Data Security

David Gugick, VP of Product Management bei CloudBerry

• Penetration Testing für Vulnerability Detection/Correction.
• Firewall für Private Network → Unauthorized Users Out.
• Data Encrypt mit AES Encryption + Key Rotation → Data Protected In Transit und At Rest.
• Logging und Monitoring → Track Who Does What With Data.
• Identity und Access Control → Restrict Access/Type zu Only Users/Groups Who Need It.

34. Sichere Multi-Tenant Environment sicherstellen

Anthony Dezilva, CISO bei PhoenixNAP

Cloud Assoziationen: Cost Savings via Shared Infrastructure Efficiencies, Cloud Storage Security Risk.

Obwohl viele Published Breaches Cloud Misconfiguration Attributed – überrascht, wenn Zahl Non-Cloud Based Environments Breaches übersteigt.

Beste Cloud Service Providers: Vested Interest in Secure Multi-Tenant Environment. Aggregate Spending darauf weit höher als Most Company IT Budgets, Let Alone Security Budgets. Argument: Richtig konfigurierte Cloud Environment = Far Higher Security Level als SMB On-Prem erstellen kann.

Furthermore: Security Talent Grave Shortage → No Way Org Finds/Affords Needed Talent. Next Best Thing: Business Associate Relationship mit Provider, der Strong Secure Infrastructure + Cloud Monitoring Security Solutions hat.

Cloud Computing Threats and Vulnerabilities: Need to Know

• Solution Architect wie On-Prem Design Process;
• Application Services Layering und Micro-Segmentation nutzen;
• Transaction Processing Layers mit Strict ACLs für Inter-Process Communication. PKI Infrastructure für Authenticate, Encrypt Inter-Process Communication;
• Advanced Firewall Technology inkl. WAF (Web Access Firewalls) für Front-End Web-Based Applications → Minimize Impact Vulnerabilities Underlying Software;
• Encryption bis Record Level Leveragen;
• Akzeptieren: Only Matter of Time Before Breach Defenses → Plan For It. Architect All Systems zu Minimize Impact;
• Flat Network Never Okay!
• Robust Change Control Process, Weekly Patch Management Cycle;
• Offline Copies Data Maintain → Mitigate Risk Cloud Service Collapse, Malicious Attack Wipes Cloud Environment;
• Contract mit 24×7 Security Monitoring Services mit Incident Response Component.