Sicht auf die Cloud verändert sich

com! professional: Wie verändert das die Sicht auf die Cloud?

Hölzle: Die Frage, die sich IT-Verantwortliche heute stellen, lautet: Bin ich als Anwender in der Lage, die Cloud sicher zu nutzen? In jüngster Zeit gab es immer wieder Vorfälle wie Datenbanken, die praktisch ungeschützt öffentlich zugänglich waren. Kürzlich passierte dies sogar Microsoft mit 250 Millionen Datensätzen aus dem Kunden-Support. Die Lücke wurde nach Bekanntwerden sofort geschlossen. Solche Sicherheitsvorfälle sind aber kein typisches Cloud-Security-Pro­blem im Sinne eines technischen Fehlers, sondern Folgen menschlichen Versagens.

com! professional: Was sind die Folgen?

Hölzle: IT-Verantwortliche entwickeln ein Risikodenken. Man weiß, dass die Cloud-Infrastruktur technisch sicher ist, aber man weiß nicht genau, wie man sie korrekt nutzen muss, um Fehler im Umgang mit der Technik zu vermeiden. Das führt zu dem Trugschluss, dass die IT beim Betrieb in der Cloud unsicherer ist, als wenn man sie im eigenen Data-Center betreibt.

com! professional: Wie begegnen Sie diesem Dilemma?

Hölzle: Darauf gibt es keine einfache Antwort. Tatsächlich sprechen wir hier über eines der größten Hindernisse beim Einsatz von Cloud-Computing. Natürlich sind wir dafür verantwortlich, dass unsere Technologien funktionieren. Aber die Frage ist, wie wir Kunden helfen können, keine Datenbank versehentlich öffentlich zugänglich zu machen. Eine Möglichkeit wäre, eine Policy für alle Accounts eines Kundenunternehmens zu setzen. So könnte man etwa verhindern, einen Public Bucket auf einer Google-Cloud-Instanz anzulegen. Hier wird die Gemengelage aber komplex.

com! professional: Wieso das?

Hölzle: Wenn man die Sicherheit der IT komplett an uns abtreten würde, müssten wir Kunden wiederum Rechte an ihrer IT wegnehmen - das ist weder praktikabel noch wünschenswert. Daher versuchen wir, dieser Situation mit der Vereinfachung und Automatisierung von Rechtevergaben zu begegnen. Wir unterstützen hier die Kunden, sodass es am Ende stets das Regelwerk des Anwenderunternehmens bleibt. Speziell im Hinblick auf die Automatisierung von Cloud-Security braucht es daher eine tiefe Zusammen­arbeit zwischen Anbietern und Anwendern.

com! professional: Worauf kommt es bei der Zusammenarbeit von Dienstleistern und Kunden bei der Cloud-Sicherheit an?

Hölzle: Man muss sich zunächst darüber einig sein, welche Workloads überwacht werden müssen und welche Partei wofür verantwortlich zeichnet.