Wer ist für die Cloud-Sicherheit zuständig? Provider oder Firmenkunde? Für viele Unternehmen ist dies alles andere als klar, wie eine Studie von Palo Alto Networks zeigt.
Wenn es darum geht, wer für die Cybersicherheit innerhalb der Public Cloud verantwortlich ist, scheint es in Unternehmen Widersprüche und fehlerhafte Wahrnehmungen zu geben. Dies zeigt eine neue Studie zur Cloud-Sicherheit im Auftrag von Palo Alto Networks.
Der zugrundeliegenden Umfrage nach glaubt nämlich fast ein Drittel der Befragten fälschlicherweise, dass der Cloud-Service-Provider die Hauptverantwortung für den Schutz der Unternehmensdaten innerhalb einer Public-Cloud-Infrastruktur trägt. Das Modell der gemeinsamen Verantwortung (Shared Responsibility) macht jedoch Service-Provider nur für ihre Cloud-Infrastruktur verantwortlich, während Unternehmen für den Schutz ihrer eigenen Daten und Anwendungen verantwortlich sind.
Des weiteren fand die Studie heraus, dass eine sehr große Mehrheit von 83 Prozent der befragten Cybersicherheitsexperten sich zuversichtlich zeigt, dass ihr Cloud-Service-Provider die Infrastruktur schützt. Allerdings gaben nur 51 Prozent der Befragten an, dass sie sich des Modells der gemeinsamen Verantwortung voll bewusst sind. Jeder zehnte Befragte ist schließlich fälschlicherweise der Ansicht, dass sich das Modell der gemeinsamen Verantwortung auf mehrere Cloud-Anbieter bezieht, die sich die Sicherheitsverantwortung teilen. Somit scheint es Missverständnisse zu geben hinsichtlich der Verantwortlichkeiten für die Daten- und Infrastruktursicherheit in der Cloud.
Viele haben mehr als einen Cloud-Provider
Wenig Bedenken haben die Unternehmen, mehrere Cloud-Service-Provider-Umgebungen gleichzeitig zu betreiben. Im Durchschnitt berichteten die meisten Befragten, dass ihr Unternehmen auf zwei Cloud-Provider zurückgreift. Fast 44 Prozent gaben, dass sie sogar drei oder mehr Cloud-Provider nutzen.
Weitere Ergebnisse der Studie zeigen, dass sich die Sicherheitsexperten mehr Kontrolle über die Sicherheitsfunktionen von Cloud-Service-Providern wünschen. Mehr als die Hälfte (52 Prozent) gab jedoch an, dass ihr Unternehmen bei der Auswahl eines Cloud-Providers nicht sorgfältig genug in Bezug auf die Cybersicherheitsanforderungen vorgegangen ist. Dies deutet darauf hin, dass die Sicherheit nicht angemessen ausgerichtet werden kann, wie es die Größenordnung der Projekte erfordern würde.
“Unsere Umfrage wirft ein Licht auf eine aufschlussreiche Anomalie: Cybersicherheitsexperten haben großes Vertrauen in Cloud-Service-Provider, sind sich aber immer noch nicht ganz sicher bezüglich ihrer eigenen Verantwortung für ihre Daten- und Anwendungssicherheit”, kommentiert Greg Day, Vice President und CSO für die EMEA-Region bei Palo Alto Networks. “Cybersicherheitsteams können aber nicht davon ausgehen, dass die von den Cloud-Betreibern angebotenen Sicherheitsmaßnahmen einen konsistenten und ganzheitlichen Schutz bieten”, meint Day weiter. Nur etwas mehr als jeder zehnte Cybersicherheitsexperte habe angegeben, in der Lage zu sein, konsistente Sicherheitsrichtlinien über die gesamte IT-Umgebung aufrechterhalten zu können, einschließlich typischerweise mehrerer Clouds, berichtet er weiter. “Dies ist eine Situation, die sich deutlich verbessern muss”, lautet daher Days Fazit.