Wir leben heute im Zeitalter von Big Data, wo Unternehmen große Mengen von Daten pro Sekunde generieren, erfassen und speichern, die von streng vertraulichen geschäftlichen oder privaten Kundendaten bis hin zu weniger sensiblen Daten wie Verhaltens- und Marketinganalysen reichen.

Bei den immer größer werdenden Datenmengen, die Unternehmen abrufen, verwalten und analysieren können müssen, setzen Organisationen zunehmend Cloud-Dienste ein, um Agilität und schnellere Markteinführung zu ermöglichen sowie die zunehmende Anzahl an Mitarbeitern im Homeoffice oder Mitarbeitern, die hybrid arbeiten, zu unterstützen.

Der traditionelle Netzwerkperimeter verschwindet schnell und die Sicherheitsteams haben erkannt, dass sie aktuelle und frühere Ansätze überdenken müssen, wenn es um den Schutz von Cloud-Daten geht. Da Daten und Anwendungen nicht mehr in Ihrem Rechenzentrum gespeichert sind und mehr Mitarbeiter als jemals außerhalb eines physischen Büros arbeiten, müssen Unternehmen Lösungen für den Schutz von Daten und deren Zugriff entwickeln, während diese durch mehrere Umgebungen wandern.

• Datenvertraulichkeit: Daten dürfen nur von autorisierten Personen oder Prozessen abgerufen oder geändert werden. Mit anderen Worten: Sie müssen dafür sorgen, dass die Daten Ihrer Organisation privat bleiben.
• Datenintegrität: Daten sind vertrauenswürdig, also mit anderen Worten: Sie sind genau, authentisch und zuverlässig. Entscheidend ist hier, Richtlinien oder Maßnahmen zu implementieren, die verhindern, dass Ihre Daten manipuliert oder gelöscht werden.
• Datenverfügbarkeit: Sie möchten zwar nicht autorisierte Zugriffe verhindern, aber die Daten müssen weiterhin für autorisierte Personen und Prozesse verfügbar und zugänglich sein, wenn sie benötigt werden. Sie müssen für eine kontinuierliche Betriebszeit sorgen und dafür, dass Systeme, Netzwerke und Geräte reibungslos funktionieren.

Diese drei Säulen werden häufig auch als CIA-Triade bezeichnet. Sie bilden die Kernkonzepte, die die Grundlage für eine starke, effektive Sicherheitsinfrastruktur bilden – oder das Sicherheitsprogramm einer Organisation. Jeder Angriff, jede Sicherheitslücke oder jeder andere Sicherheitsvorfall verstößt wahrscheinlich gegen mindestens einen dieser Grundsätze. Aus diesem Grund verwenden Sicherheitsfachleute dieses Framework, um potenzielle Risiken für die Datenbestände eines Unternehmens zu bewerten.

Da immer mehr Daten und Anwendungen aus einem zentralen Rechenzentrum und weg von traditionellen Sicherheitsmechanismen und -infrastrukturen verschoben werden, steigt das Risiko einer Gefährdung. Obwohl viele der grundlegenden Elemente der lokalen Datensicherheit bestehen bleiben, müssen sie an die Cloud angepasst werden.

Zu den häufigsten Herausforderungen beim Datenschutz in Cloud- oder Hybridumgebungen gehören:

• Mangelnde Sichtbarkeit Unternehmen wissen nicht, wo sich ihre Daten und Anwendungen befinden und welche Assets in Ihrem Inventar enthalten sind. 
• Weniger Kontrolle. Da Daten und Apps in der Infrastruktur eines Drittanbieters gehostet werden, haben Unternehmen weniger Kontrolle darüber, wie Daten abgerufen und geteilt werden. 
• Verwirrung über geteilte Verantwortung. Unternehmen und Cloud-Anbieter teilen sich die Verantwortung für die Cloud-Sicherheit. Dies kann zu Lücken bei der Abdeckung führen, wenn Pflichten und Aufgaben nicht richtig verstanden oder definiert sind.
• Uneinheitliche Abdeckung. Viele Unternehmen sind der Meinung, dass Multi-Cloud- und Hybrid-Cloud besser auf ihre geschäftlichen Anforderungen zugeschnitten sind. Die verschiedenen Anbieter bieten jedoch unterschiedliche Abdeckung und Funktionen, die zu einem inkonsistenten Schutz führen können.
• Zunehmende Internetsicherheitsbedrohungen. Cloud-Datenbanken und Cloud-Datenspeicher sind ideale Ziele für Onlinekriminelle, die einen großen Reibach machen wollen, insbesondere da sich Unternehmen immer noch selbst weiterbilden, was die Datenverarbeitung und -verwaltung in der Cloud angeht.
• Strenge Compliance-Anforderungen: Unternehmen sind gezwungen, strenge Datenschutzmaßnahmen und Datenschutzbestimmungen einzuhalten, die Sicherheitsrichtlinien in mehreren Umgebungen durchsetzen und eine strenge Data Governance erfordern.
• Verteilte Datenspeicherung. Das Speichern von Daten auf internationalen Servern kann für eine geringere Latenz und mehr Flexibilität sorgen. Dennoch kann es auch zu Problemen bezüglich der Datenhoheit führen, die möglicherweise kein Problem darstellen, wenn Sie in Ihrem eigenen Rechenzentrum arbeiten.

Cloud-Anbieter und -Kunden tragen die Verantwortung für die Cloud-Sicherheit gemeinsam. Die genaue Aufschlüsselung der Verantwortlichkeiten hängt von Ihrer Bereitstellung und davon ab, ob Sie IaaS, PaaS oder SaaS als Cloud-Computing-Dienstmodell auswählen.

Im Allgemeinen übernimmt ein Cloud-Anbieter die Verantwortung für die Sicherheit der Cloud selbst. Sie sind für die Sicherheit von allem innerhalb der Cloud, wie Daten und Nutzeridentitäten und deren Zugriffsberechtigungen (Identitäts- und Zugriffsverwaltung) verantwortlich.

Bei Google Cloud folgen wir einem Fate-Sharing-Modell. Das bedeutet, dass wir aktive Partner sind, die dafür sorgen, dass unsere Kunden sicher auf unserer Plattform bereitstellen. Wir können Sie bei der Implementierung von Best Practices unterstützen, indem wir standardmäßig sichere Konfigurationen, Blueprints, Richtlinienhierarchien und erweiterte Sicherheitsfunktionen anbieten, um für Konsistenz in Sachen Sicherheit auf Ihren Plattformen und Tools zu sorgen.  

Compliant sein erfordert im Kontext der Cloud, dass sämtliche Dienste und Systeme die Daten gemäß gesetzlicher Normen und Bestimmungen in puncto Datenschutz und Datenhoheit schützen und sie im Einklang mit Gesetzen zur Datenlokalisierung schützen. In einigen Branchen, z. B. im Gesundheitswesen oder im Finanzdienstleistungssektor, gibt es zusätzliche Gesetze, die obligatorische Richtlinien und Sicherheitsprotokolle enthalten, die beachtet werden müssen.

Daher ist es wichtig, Cloud-Anbieter zu vergleichen und ihre Cloud-Sicherheit sorgfältig zu prüfen. Renommierte Cloud-Anbieter sind nicht nur bestrebt, ihre eigenen Dienste und Plattformen konform zu machen, sondern sollten auch bereit sein, direkt mit Ihnen zusammenzuarbeiten, um Ihre spezifischen regulatorischen und Risikomanagement-Anforderungen zu verstehen und zu bewältigen.