Auf einen Blick: Die Einführung von SaaS erfordert die Navigation durch finanzielle und sicherheitspolitische Überlegungen. Organisationen müssen Anbieter auf Sicherheitskontrolle und Datensouveränität prüfen, um Risiken zu mindern und die Einhaltung von Standards sicherzustellen.
- Wichtige Entscheidungspunkte umfassen finanzielle Präferenzen und Sicherheit.
- Sicherheitskontrolle und Datensouveränität sind entscheidend für die Einführung von SaaS.
Obwohl es viele Aspekte bei der Einführung von Software as a Service (SaaS) zu berücksichtigen gibt, durchläuft der Entscheidungsprozess zwei Hauptentscheidungspunkte oder Gates. Der erste bezieht sich auf finanzielle Präferenzen: CapEx oder OpEx. CapEx bedeutet, sich für On-Premises-Apps und deren damit verbundene Investitionsausgaben zu entscheiden. OpEx bedeutet, SaaS-Apps und deren Pay-as-you-go-Kostenmodell zu verwenden.
Das zweite Tor dreht sich ganz um Sicherheit. Während Organisationen ihre Entwicklung zu einem autonomen digitalen Unternehmen, dem zukünftigen Geschäftszustand, in Betracht ziehen, ist adaptive Cybersicherheit ein Pflichtgrundsatz, und Cloud kann aufgrund ihrer Flexibilität eine unterstützende Technologie sein. Um durch dieses Tor zu gelangen, müssen Sie den SaaS-Anbieter gründlich prüfen, um sicherzustellen, dass Ihre Geschäftsdaten das angemessene Sicherheitsniveau für Ihr Unternehmen erhalten. Die überzeugenden Vorteile von SaaS verleiten immer mehr Organisationen, ihre Bedenken bezüglich der Cloud zu überwinden und sich diesem zweiten Portal zu stellen.
Ganz ehrlich, die Sicherheitsleute in Ihrer Organisation halten die Schlüssel zum zweiten Gate. In vielen Fällen haben sie die Möglichkeit, ein SaaS-Projekt aus Sicherheitsgründen zu verzögern oder sogar zu stoppen.
In diesem Blog konzentriere ich mich auf dieses zweite Tor und darauf, was nötig ist, um es zu öffnen.
Das SaaS Security Gate verfügt über zwei Kontrollpunkte
Um das zweite Tor zu öffnen und sicher zu passieren, müssen Sie zwei Kontrollpunkte passieren: Sicherheitskontrollen und Datensouveränität.
Sicherheitskontrolle
Sicherheitskontrolle erfordert die Anpassung an eine neue Realität. Mit SaaS geben Sie Ihre Sicherheitskontrolle auf und übergeben sie dem SaaS-Anbieter. Der Anbieter ist nun für die Sicherheitspolitik zuständig. Die Situation ist vergleichbar mit dem Mieten eines Hauses im Vergleich zum Besitz. Wenn Sie ein Haus besitzen, legen Sie die Hausregeln fest. Wenn Sie ein Haus mieten, legt der Vermieter sie fest. Der Vermieter kann zum Beispiel die Anzahl der Personen begrenzen, die das Haus bewohnen dürfen.
An diesem Punkt ist es wichtig, ein häufiges Missverständnis auszuräumen. Manche Menschen glauben fälschlicherweise, dass die Kundenorganisation mit dem Abschluss eines SaaS-Anbietervertrags die gleichen Sicherheitsrichtlinien einhält, die auch für die Anbieterorganisation gelten. Die Richtlinien des Anbieters gelten jedoch nur für die Anbieterorganisation und nicht für die Kundenorganisation. Nur weil der Anbieter den Payment Card Industry Data Security Standard (PCI DSS) einhält, heißt das zum Beispiel nicht, dass der Kunde ihn einhalten muss.
Datensouveränität
Im Hinblick auf die Datensouveränität benötigen Sie vollständiges Wissen darüber, wo Ihre Daten gehostet werden, wo sie verarbeitet werden und wer darauf zugreifen wird. Das klingt einfach genug. Allerdings ist es äußerst kompliziert, da die Rechenzentren und das Personal eines SaaS-Anbieters typischerweise über verschiedene Standorte weltweit verteilt sind. In dieser komplexen Landschaft müssen Sie sicherstellen, dass:
- Die Daten werden nur in den Bereichen gespeichert, die durch Ihre internen Richtlinien, Industriestandards oder staatliche Vorschriften erlaubt sind.
- Die Daten werden nur in den Bereichen verarbeitet, die durch Ihre internen Richtlinien, Industriestandards oder Regierungsvorschriften erlaubt sind.
- Die Daten werden nur von den Personen abgerufen, die von Ihrer Organisation autorisiert sind.
Kontrollpunkte überwinden
Größere Sicherheitsverletzungen sind sehr sichtbar und haben oft schwerwiegende Folgen. Daher geben Führungskräfte Sicherheitsexperten in der Regel ein starkes Vetorecht gegenüber SaaS-Lösungen. Wenn Sie die OpEx-Entscheidung getroffen haben, auf SaaS umzusteigen und mit minimaler Reibung durch das Security Gate gehen möchten, beziehen Sie das Sicherheitsteam von Anfang an ein. Dadurch werden kostspielige Überraschungen vermieden, die Ihre SaaS-Einführung verzögern oder sogar stoppen können.
Kehren wir kurz zur Analogie von Eigentum gegen Miete zurück. Bevor Sie einen Mietvertrag unterschreiben, ist es ratsam, die Bedingungen sorgfältig zu prüfen, um die Regeln des Vermieters vollständig zu verstehen. Ebenso sollten Sie, bevor Sie ein SaaS-Abonnement abschließen, den Lieferantenvertrag und die Sicherheitsrichtlinien prüfen, um zu wissen, welchen Schutzgrad Sie erwarten können. Ihre Sicherheitsleute können bei diesem Vorhaben eine wertvolle Ressource sein. Sie wissen genau, worauf sie achten müssen, und können Ihnen helfen, die richtigen Fragen zu stellen, um sicherzustellen, dass Ihre Daten oder Dienste nicht kompromittiert werden.
Das Erste, was zu tun ist, ist, den Anbieter um eine Liste der Sicherheitsstandards zu bitten, die der Anbieter einhält. Die weltweit üblichen Standards sind vielfältig, vielfältig und basieren auf Geografie und Branchensektor. Die häufigeren sind unten aufgeführt:
- ISO 27001 (International Organization for Standardization) ist ein weltweiter Zertifizierungsstandard für Informations- und Cybersicherheit.
- HIPAA (Health Insurance Portability and Accountability Act) ist ein US-amerikanisches Gesetz, das die Erstellung nationaler Standards vorschreibt, um sensible Gesundheitsinformationen von Patienten vor der Offenlegung ohne Zustimmung oder Wissen des Patienten zu schützen.
- Das National Institute of Standards and Technology (NIST) ist ein cybersicherheitspolitisches Rahmenwerk für Informationen zur Computersicherheit.
- PCI DSS (Payment Card Industry Data Security Standard) ist der Informationssicherheitsstandard für Organisationen, die gebrandete Kreditkarten der großen Kartenplattformen verwalten.
- FedRAMP (Federal Risk and Management Program) ist ein Programm für das Management von Cybersicherheitsrisiken für den Kauf und die Nutzung von Cloud-Produkten und -Dienstleistungen durch US-Bundesbehörden. Regierungsbehörden dürfen nur mit Cloud-Dienstleistern zusammenarbeiten, die die FedRAMP-Zulassung erhalten haben.
Sie müssen sicherstellen, dass der Anbieter alle für Ihre Situation relevanten Sicherheitsstandards einhält und dass die Sicherheitsrichtlinien des Anbieters Ihren Anforderungen entsprechen. Zum Beispiel können Sie verlangen, dass alle Daten innerhalb eines bestimmten Gebiets oder einer Region verarbeitet werden oder dass die Daten nach einem bestimmten Standard verschlüsselt werden.
Nachdem Sie den Lieferantenvertrag, die Einhaltung von Sicherheitsstandards und Sicherheitsrichtlinien geprüft haben, werden Sie wahrscheinlich Fragen haben. In diesem Fall kann das Sicherheitsteam Ihnen helfen, einen Fragebogen für den Anbieter zusammenzustellen. Viele Sicherheitsteams haben einen Fragebogen, der auf die spezifischen Anforderungen ihrer Organisation zugeschnitten ist. Falls nicht, sind online zahlreiche Fragebögen und anpassbare Fragebogenvorlagen verfügbar.
Fortschreiten zu den Leistungen
Sobald Sie die Kontrollpunkte bestanden und das Sicherheitstor passiert haben, sind Sie bereit, mit Ihrer SaaS-Implementierung fortzufahren. Bald werden Sie von den erheblichen Vorteilen von SaaS profitieren, darunter nahtlose Skalierbarkeit und größere Agilität bei der Bewältigung schnell verändernder Marktanforderungen. Am wichtigsten ist, dass Sie mit Sicherheit fortfahren können, in dem Wissen, dass Ihre Daten sicher sind.
Wenn Sie Unterstützung bei Ihrem Übergang zu SaaS benötigen, füllen Sie bitte unser Formular aus und ein BMC Customer Success Experte wird sich melden, um loszulegen.
Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.