IT Security September/Oktober 2023

IT SECURITY | 73
PDCA ZYKLUS
• Verantwortung des Top Management
• Probleme erkennen und analysieren
• Ursachen identifizieren
• Ziele definieren
PLAN
• Maßnahmen planen
• Umsetzung veranlassen
DO
• Schulungen
• Umsetzung koordinieren
• Ressourcen einsetzen
• Dokumentieren
die Grundlage des gesamten Prozesses.
Compliance-Anforderungen und Risiken
in der Cloud sind dabei auf verschiedene
Ebenen zu beachten:
• Managementbewertung
• Wirksamkeit überprüfen
• Nichtkonformität identifizieren
• neue Ziele festlegen
• Maßnahmen planen
• fortlaufende Verbesserungen
ACT
Cloud-Sicherheit
GEFAHREN EFFIZIENT HANDHABEN
Peter Sakal hat einen Master in Computer
Science und arbeitet seit über 20
Jahren im Bereich Cybersecurity. Seit 3
Jahren ist er Manager für Cybersecurity
& Dataprotection bei der TÜV SÜD
Akademie. Mit seiner tiefgreifenden Expertise
konnte er uns interessante Einblicke
darüber geben, wie Unternehmen
die Herausforderungen, die mit
einer Cloud-Lösung einhergehen, meistern
können.
it security: Wieso ist die Cloud so
wichtig für Unternehmen?
Peter Sakal: Mithilfe der Cloud können
innovative Geschäftsmodelle entwickelt
werden, welche mithilfe von
moderner IT-Infrastruktur agiler und skalierbarer
denn je sind. Dennoch birgt
die Cloud neue Risiken. Ihre Nutzung
erfordert technische und organisatorische
Veränderungen in nahezu allen
Bereichen des Unternehmens. Informa-
ERFOLGREICHE
CLOUD-SECURITY
IST DAS ERGEBNIS
EINES ANDAUERNDEN
PROZESSES.
Peter Sakal, Manager Cybersecurity &
Dataprotection, TÜV SÜD, www.tuvsud.com
CHECK
• Kontrolle und Überwachung
• Monitoring
• Auswertung der Ergebnisse
• Interne Audits
• IST-SOLL Abgleich
tionssicherheits-, Compliance- und Datenschutzmaßnahmen
müssen entsprechend
ergänzt und angepasst werden.
it security: Wie können sich Unternehmen
vor diesen Gefahren schützen?
Peter Sakal: Indem Sie einen CISO mit
dieser Aufgabe betrauen. Die Rolle des
CISO hat in den letzten Jahren massiv
an Bedeutung gewonnen. Einem Angreifer
reicht eine einzige Schwachstelle,
um erfolgreich zu sein. Der CISO
und sein Team müssen eine 360-Grad-
Sicht einnehmen, um ein konstant hohes
Sicherheitsniveau auf allen Ebenen der
Organisation zu gewährleisten. Nur mit
einer umfassenden Strategie lassen sich
IT-Ausfälle, Cyber-Attacken, Verstöße
gegen Datenschutzbestimmungen oder
finanzielle Verluste durch Bußgelder
und Rufschäden vermeiden.
Ein wichtiger Bestandteil dieser Strategie
ist die Risikobewertung zur Erfüllung
von Compliance-Anforderungen (beispielsweise
Datenschutz, IT-Sicherheitsgesetz,
Telemedien-/Urheberrechtsgesetz)
und Informationssicherheitsanforderungen
(BSI-Grundschutz und die
ISO/IEC 27000 Serie). Der Plan-Do-
Check-Act-Zyklus (siehe Grafik) bildet
• Gesetze im Land der Cloud-Betreiber,
mit Einwirkung auf die Daten
(auch auf EU-Servern).
• Datenverfügbarkeit hängt allein vom
Cloud-Provider ab.
• Angriffsfläche bei Cloud-Strukturen
ist häufig größer als On-Premises,
Cyberrisiken wie Ransomware nehmen
rasant zu.
• Datenlöschung in der Cloud ist häufig
intransparent.
• Erhöhtes Risiko für Regelverstöße, da
Mitarbeitern häufig unklar ist, welche
Daten wo gespeichert werden.
it security: Welche Lücke sehen sie
in den aktuellen Security-Strategien
der Unternehmen?
Peter Sakal: Ein wichtiges aber oft unterschätztes
Element der Cyberresilience
sind Schulungen. Um Mitarbeitenden
die Themen beizubringen, die – an den
Arbeitsalltag angepasstes – Wissen vermitteln,
müssen spezielle Lernstrategien
eingesetzt werden. Unterschiedliche
Schulungsformate tragen dazu bei, dass
Mitarbeitende die Inhalte gemäß ihres
persönlichen Lerntypus verinnerlichen
und auch anwenden können. Erfolgreiche
Cloud-Security ist das Ergebnis eines
andauernden Prozesses. Unternehmen,
die sich dessen bewusst sind, können die
Chancen der Cloud umso besser nutzen.
it security: Herr Sakal, wir danken
für das Gespräch.
www.it-daily.net | September/Oktober 2023