Wenn ein Vertriebsteam von einem Zug aus auf seine Kundendaten zugreift oder ein Buchhalter einen monatlichen Abschluss ohne Einschalten des Büroservers durchführt, ist es das Cloud Computing, das dies ermöglicht. Hinter diesem Begriff steht ein einfaches Prinzip: die Nutzung von entfernten Servern, die mit dem Internet verbunden sind, um Daten zu speichern, Anwendungen auszuführen und die IT-Infrastruktur eines Unternehmens zu verwalten.
Cloud-Governance und geteilte Verantwortung: das eigentliche Thema vor der Migration
Die meisten Leitfäden zum Thema Cloud beschreiben die Modelle IaaS, PaaS oder SaaS. Weniger häufig wird erklärt, was passiert, wenn ein Vorfall eintritt. Wer ist verantwortlich? Sie oder der Anbieter?
Ergänzende Lektüre : Verstehen von elektrischen Entladungen im Kopf: Ursachen, Symptome und effektive Lösungen
Jeder Cloud-Service-Anbieter wendet ein sogenanntes Prinzip der geteilten Verantwortung an. Konkret sichert der Anbieter die physische Infrastruktur (Server, Netzwerk, Stromversorgung). Das Kundenunternehmen bleibt hingegen verantwortlich für die Konfiguration seiner Ressourcen, das Management der Benutzerzugriffe und die Klassifizierung seiner Daten.
Die ANSSI empfiehlt, diese Aufteilung von Anfang an zu formalisieren. Dies umfasst eine spezifische Risikoanalyse für die Cloud, vertragliche Klauseln zur Reversibilität (die Fähigkeit, seine Daten zurückzuholen, wenn man den Anbieter wechselt) und eine Protokollierung der Ereignisse, um Zugriffe und Änderungen nachzuvollziehen. Ein detaillierter Leitfaden behandelt Cloud Computing in Unternehmen auf Geekette und Greluche aus einer praktischen Perspektive.
Lesetipp : Entdecken Sie alle Neuheiten und Trends im Sportcoaching in Frankreich
Ohne klare Governance wird die Cloud zu einem Risiko statt zu einem Hebel. Der häufigste Fehler besteht darin, Anwendungen zu migrieren, ohne die sensiblen Daten zu inventarisieren oder festzulegen, wer darauf zugreifen kann.
Souveräne Cloud und Multi-Cloud: zwei Strategien, die die Entscheidungen in Europa neu gestalten
Haben Sie schon bemerkt, dass einige Unternehmen sich weigern, ihre Daten bei einem amerikanischen Anbieter zu hosten? Das ist kein unbegründetes Misstrauen. Die europäischen Vorschriften (DSGVO, NIS2-Richtlinie, DORA-Verordnung für den Finanzsektor) stellen strenge Anforderungen an die Lokalisierung und Kontrolle von Daten.
Die souveräne Cloud erfüllt diese Anforderung. Sie garantiert, dass die Daten auf europäischem Territorium gehostet werden, verwaltet von Entitäten, die dem europäischen Recht unterliegen. Die französische Doktrin “vertrauenswürdige Cloud” geht noch weiter, indem sie verlangt, dass der Anbieter unabhängig von jeglicher extraterritorialen Gesetzgebung ist.
Warum mehrere Cloud-Anbieter kombinieren
Die Multi-Cloud-Strategie besteht darin, die Dienste auf mehrere Anbieter zu verteilen. Ein Unternehmen kann seine Finanzdaten bei einem souveränen Anbieter speichern und gleichzeitig die Lösungen eines Hyperscalers für seine Kollaborationsanwendungen nutzen. Laut NTT Data beschleunigen europäische Unternehmen die Einführung hybrider und souveräner Cloud-Plattformen, um den regulatorischen Anforderungen gerecht zu werden.
Diese Wahl bietet einen konkreten Vorteil: die Abhängigkeit von einem einzigen Anbieter zu vermeiden. Wenn ein Anbieter seine Preise erhöht oder seine Bedingungen ändert, behält das Unternehmen einen Handlungsspielraum.
Kostensenkung in der IT durch die Cloud: was sich wirklich ändert
Die Cloud verwandelt eine Investitionsausgabe (Kauf von Servern, Wartung, Erneuerung) in eine monatliche Betriebskostenlast. Man zahlt, was man nutzt, und passt je nach Aktivität nach oben oder unten an.
Für ein KMU bedeutet das, keinen überdimensionierten Server “für alle Fälle” mehr finanzieren zu müssen. Für ein saisonales Unternehmen bedeutet es, die Speicher- und Rechenkapazität während der Spitzenzeiten zu erhöhen und sie dann im Rest des Jahres zu reduzieren.
Der Hauptgewinn besteht nicht im Stückpreis, sondern in der Elastizität der Ausgaben. Mehrere Kostenposten verschwinden oder verringern sich:
- Der Kauf und der regelmäßige Austausch von IT-Hardware (Server, Speicherarrays, USV), die Kapital bindet.
- Die Personalkosten, die der physischen Wartung der Infrastruktur gewidmet sind, insbesondere die 24/7-Überwachung und Hardware-Updates.
- Der Energieverbrauch eines internen Serverraums, der Kühlung, Notstromversorgung und Bodenfläche umfasst.
Im Gegenzug erzeugt die Cloud neue Ausgabenposten: Softwarelizenzen pro Benutzer, Bandbreite und manchmal Datenexportgebühren (egress fees), die anfallen, wenn man Daten in eine andere Umgebung exportiert.
Best Practices für Cloud-Sicherheit zum Schutz von Unternehmensdaten
Die Sicherheit in der Cloud beruht nicht ausschließlich auf dem Anbieter. Die Mehrheit der Vorfälle resultiert aus Konfigurationsfehlern auf der Kundenseite, nicht aus Schwachstellen in der Infrastruktur des Anbieters.
Einige Praktiken, die sofort bei der Bereitstellung angewendet werden sollten:
- Aktivieren Sie die Multi-Faktor-Authentifizierung für alle privilegierten Konten. Ein Passwort allein schützt nichts mehr.
- Klassifizieren Sie die Daten vor der Migration: öffentliche, interne, vertrauliche, regulierte Daten. Jede Kategorie erfordert ein unterschiedliches Maß an Verschlüsselung und Zugriffskontrolle.
- Überwachen Sie die Konfigurationen kontinuierlich. Ein Speicher-Bucket, der versehentlich öffentlich zugänglich ist, ist ein Datenleck in Wartestellung.
- Planen Sie einen getesteten Reversibilitätsplan: wissen, wie man seine Daten in einem nutzbaren Format extrahiert, mit einem vertraglich festgelegten Zeitraum.
Protokollierung und Anomalieerkennung
Das CERT-FR betont die Notwendigkeit einer zentralisierten Protokollierung von Zugängen und Ereignissen. Das bedeutet, ein Protokoll darüber zu führen, wer wann und von wo auf was zugegriffen hat. Diese Protokolle ermöglichen es, anormales Verhalten (z.B. Anmeldung aus einem ungewöhnlichen Land, massenhafter Dateidownload) zu erkennen, bevor es zu einem Vorfall wird.
Die Governance der Cloud-Sicherheit zeigt sich auch in einem regelmäßigen Inventar der Vermögenswerte: wie viele virtuelle Maschinen laufen, welche Anwendungen bereitgestellt sind, welche Konten aktiv sind. Ohne dieses Inventar zahlt das Unternehmen für vergessene Ressourcen und setzt unnötige Angriffsflächen aus.
Die Einführung von Cloud Computing in Unternehmen beschränkt sich nicht darauf, zwischen IaaS, PaaS oder SaaS zu wählen. Die eigentliche Arbeit beginnt nach der Migration: Governance der Zugriffe, Überwachung der Konfigurationen, vertragliche Kontrolle der Reversibilität. Die Unternehmen, die das Beste aus der Cloud herausholen, sind diejenigen, die ihren Anbieter als einen geregelten Partner und nicht als unsichtbaren Dienstleister betrachten.