In einer kürzlich durchgeführten Umfrage wurde festgestellt, dass 88 % der befragten Teams in den letzten 12 Monaten mindestens einen Vorfall im Bereich der Cloud-Sicherheit erlebt haben. Von diesen betroffenen Teams berichteten 76 % von wiederholten Vorfällen, während 11 % sogar mehr als 10 Vorfälle in diesem Zeitraum verzeichneten.
Der aktuelle Branchentrendbericht „Securing the Cloud“ von SUSE präsentiert die Erkenntnisse einer umfangreichen Befragung von 501 Führungskräften und IT-Experten in den USA, Deutschland und Großbritannien. Dieser Bericht beleuchtet die größten Herausforderungen, mit denen IT-Teams bei der Sicherung von Cloud-Umgebungen konfrontiert sind, und bietet konkrete Lösungen und Handlungsempfehlungen.
Dr. Thomas Di Giacomo, Chief Technology und Product Officer von SUSE, weist darauf hin, dass kein Unternehmen dem Pfad der digitalen Transformation entkommen kann. SUSE erkennt die entscheidende Rolle von Open-Source-Lösungen bei der Beschleunigung dieses Prozesses. Im Trendbericht ‚Securing the Cloud‘ werden die Perspektiven von IT-Teams beleuchtet, die sich mit der zunehmenden Implementierung komplexer nativer Cloud-Technologien auseinandersetzen müssen. Aufgrund der ständigen Veränderungen in der globalen Bedrohungslandschaft entstehen neue Sicherheitsrisiken. SUSE ist optimal positioniert, um Unternehmen bei der Auswahl sicherer Open-Source-Lösungen für ihre geschäftskritischsten und innovativsten Workloads zu unterstützen und gleichzeitig ihre Migration in die Cloud voranzutreiben.
Angst vor Cloud-Sicherheit steigt und wird zum zentralen Anliegen
Gemäß den Ergebnissen der Umfrage haben IT-Entscheidungsträger im vergangenen Jahr durchschnittlich vier Sicherheitsvorfälle im Zusammenhang mit der Cloud erlebt. Interessanterweise ist die Anzahl der Vorfälle in den USA auf fünf gestiegen, während sie in Europa auf drei gesunken ist. Diese Unterschiede könnten auf verschiedene Faktoren wie unterschiedliche Sicherheitsstandards, Bedrohungslandschaften oder die Nutzung von Cloud-Sicherheitslösungen in den beiden Regionen zurückzuführen sein. Die gestiegene Anzahl von Sicherheitsvorfällen hat jedoch das Vertrauen in die Cloud beeinträchtigt und hindert viele Fachleute daran, Workloads in die Cloud und den Edge-Bereich zu verlagern, es sei denn, die Integrität ihrer Daten kann gewährleistet werden.
Neben den Datenspeichern gibt es weitere bedeutende Sicherheitsbedenken in der Cloud. Runtime-Angriffe von gefährlichen Akteuren, die Verwaltung von Sicherheitsrichtlinien sowie die Föderation und Automatisierung werden jeweils von 29 % der Befragten als zweitwichtigste Anliegen genannt. Dies unterstreicht die Notwendigkeit, nicht nur die Speicherung von Daten, sondern auch die Laufzeitumgebung sowie Sicherheitsrichtlinien und automatisierte Prozesse in der Cloud zu schützen.
Signifikanter Teil des IT-Budgets für Cloud Native Security eingeplant
Gemäß der Umfrage nutzen Unternehmen durchschnittlich 36 % ihres IT-Budgets für cloud-native Sicherheit. Es fällt auf, dass die Befragten in den USA mit 42 % einen größeren Teil ihres Budgets für diesen Zweck aufwenden als ihre europäischen Kollegen, bei denen der Anteil bei 33 % liegt. Dieser Unterschied könnte auf eine höhere Sensibilität für Sicherheitsfragen in den USA oder auf einen fortgeschritteneren Cloud-Adoptionsprozess in dieser Region hindeuten.
In Bezug auf die aktuellen Cloud-Sicherheitspraktiken haben sich zwei Maßnahmen als besonders gängig erwiesen: die Sicherheitsautomatisierung und die Container-Firewall. Beide Praktiken machen jeweils 38 % der Gesamtnutzung aus. Die von Cloud-Anbietern bereitgestellten Sicherheitsrichtlinien und Management-Tools sind mit 36 % ebenfalls weit verbreitet, gefolgt von der Automatisierung von Sicherheitsrichtlinien mit 34 %. Interessanterweise zeigen IT-Entscheidungsträger in den USA eine signifikant höhere Präferenz für bestimmte Cloud-Sicherheitspraktiken im Vergleich zu ihren europäischen Kollegen. Insbesondere CSPM (Cloud Security Posture Management), CWPP (Cloud Workload Protection Platform) und CNAPP (Cloud Native Application Protection Platform) werden von 42 % der Entscheidungsträger in den USA bevorzugt, während es in Europa nur 26 % sind.
Bei Entscheidungsträgern in den USA ist die Nutzung von Überwachungs- oder Sicherheitstools, sei es kostenlos oder kostenpflichtig, mit 33 % höher als in Europa, wo nur 24 % solche Tools einsetzen. Dieser Trend spiegelt sich auch bei der Anwendung von PSP- (Policy Security Policy) oder PSA- (Policy Security Automation) Richtlinien wider, da 31 % der US-amerikanischen Entscheidungsträger solche Richtlinien verwenden, während dies nur bei 22 % der Fall ist in Europa. Ähnliche Unterschiede lassen sich auch bei der Nutzung von Kubernetes-Netzwerkrichtlinien feststellen, wobei 32 % der US-amerikanischen Entscheidungsträger auf diese setzen, im Vergleich zu nur 15 % in Europa. Darüber hinaus verwenden 26 % der US-amerikanischen Entscheidungsträger kostenlose CVE- (Common Vulnerabilities and Exposures) und kostenpflichtige Scanner, während dies bei ihren europäischen Kollegen nur bei 18 % der Fall ist.
Basierend auf dem qualitativen Feedback betonen die Befragten die maßgeblichen Vorteile von Open-Source-Software. Die Bündelung der Aufmerksamkeit der Entwickler führt zu einer effektiven Zusammenarbeit und einem regen Austausch von Wissen. Die Offenheit des Codes ermöglicht es der Gemeinschaft, potenzielle Schwachstellen zu identifizieren und gemeinsam Lösungen zu finden, was zu einer kontinuierlichen Verbesserung der Software führt.
Quellcode-Überprüfung im Kommen: Branchenweite Aufmerksamkeit steigt
Ein beträchtlicher Anteil der IT-Entscheidungsträger (33 %) geht davon aus, dass in den nächsten Jahren die Überprüfung des Quellcodes verstärkt neu bewertet und priorisiert wird. Dabei werden Tests durchgeführt und die Codebasis manuell überprüft, um Fehler aufzudecken. Gleichzeitig werden 30 % der Befragten einen Schwerpunkt auf die Qualität der erstellten Builds legen, während 28 % die SBOM-Tiefe, -Qualität und -Sicherheit priorisieren werden.
Eine detaillierte Analyse der Umfrageergebnisse aus den USA und Europa zeigt klare Unterschiede in den Prioritäten der Teilnehmer bezüglich der Sicherheit in Lieferketten. Die Befragten in den USA legen einen höheren Stellenwert auf die Auditierbarkeit des Quellcodes, was von 45 % der Teilnehmer betont wird, sowie auf die SBOM-Tiefe, -Qualität und -Sicherheit, was von 36 % der Teilnehmer unterstützt wird. Diese Aspekte werden als entscheidend angesehen, um die Sicherheitsziele in den Lieferketten zu erreichen. Im Gegensatz dazu schenken Deutschland und Großbritannien der Prüfung des Quellcodes weniger Beachtung, wobei nur 23 % bzw. 26 % der Teilnehmer dies als vorrangig erachten. Darüber hinaus sind die Ausgaben für die Cloud-Absicherung in diesen Ländern geringer. Auffällig ist jedoch, dass die europäischen Teilnehmer (40 %) im Vergleich zu ihren amerikanischen Kollegen (15 %) deutlich häufiger eine Neubewertung der Ziele für die Build-Qualität erwarten.
