Der State of Cloud Security Report 2022 von Snyk ist da

Cloud Computing hat in der jüngeren Vergangenheit den tiefgreifendsten Wandel in der Informationstechnologie ausgelöst. Mithilfe von Cloud-Technologie können Unternehmen ihre Anwendungen schneller denn je entwickeln, bereitstellen und skalieren. Doch die Einführung cloudnativer Tools und Prozesse bringt auch neue Sicherheitsherausforderungen mit sich. Komplexe Cloud-Infrastrukturen und die zunehmende Verbreitung cloudbasierter Services eröffnen Angreifern eine größere Angriffsfläche als noch vor wenigen Jahren.

Snyk hat es sich schon immer zum Ziel gesetzt, Security-Tools zu entwickeln, bei denen Entwicklerinnen und Entwickler im Mittelpunkt stehen. Mit Snyk Cloud erweitern wir unseren Fokus jetzt auf Cloud-Sicherheit. Im Zuge unserer wachsenden Investitionen, mit denen wir Teams dabei unterstützen, ihre Anwendungen und die Cloud-Umgebungen, in denen sie ausgeführt werden, zu schützen, präsentieren wir stolz den Snyk State of Cloud Security Report 2022. Im zweiten Quartal 2022 führte Snyk eine gezielte Umfrage durch, um zu verstehen, wie sich Cloud-Sicherheit auf Unternehmen auswirkt, vor welchen Herausforderungen Teams stehen und womit sie erfolgreich sind. Für diesen Report kombinierten die Cloud-Sicherheitsforscherinnen und -forscher von Snyk ihre Analyse der Umfragedaten mit Erkenntnissen aus ihrer eigenen Erfahrung.

Sicherheitsvorfälle in der Cloud sind weit verbreitet

Der Report zeigt, wie Sicherheitsexpertinnen und -experten sowie Cloud-Security-Engineers mit den komplexen Sicherheitsrisiken und Herausforderungen umgehen, die sich aus der raschen Einführung der Cloud und der Zunahme cloudnativer Anwendungsentwicklung ergeben. Konkret haben wir festgestellt:

• 80 % der Unternehmen hatten im vergangenen Jahr mindestens einen schwerwiegenden Cloud-Sicherheitsvorfall, etwa einen Datendiebstahl, ein Datenleck oder einen Einbruch in ihre Umgebung.

• 41 % der Befragten geben an, dass cloudnative Services die Komplexität erhöhen und ihre Sicherheitsbemühungen zusätzlich erschweren.

• Fast die Hälfte (49 %) der Unternehmen kann dank verbesserter Cloud-Sicherheit Anwendungen schneller bereitstellen.

Unternehmen unterschiedlicher Größe und Branchen berichteten, in den vergangenen zwölf Monaten von schwerwiegenden Cloud-Sicherheitsvorfällen betroffen gewesen zu sein. Am stärksten betroffen waren Start-ups (89 %) und Organisationen des öffentlichen Sektors (88 %). Großunternehmen schnitten besser ab – vermutlich dank höherer Investitionen in die Cloud-Infrastruktur. Kleine und mittelständische Unternehmen berichteten von den besten Ergebnissen, wahrscheinlich aufgrund einer kleineren Cloud-Umgebung und weniger komplexer Infrastrukturen.

Teams brauchen klare Sicherheitsziele

Eine weitere wichtige Erkenntnis aus der Umfrage: Vielen Teams ist nicht klar, wer in ihrem Unternehmen für die Cloud-Sicherheit verantwortlich ist. 42 % der befragten Cloud-Engineers geben an, dass ihr Team dafür zuständig ist. Das glauben jedoch nur 19 % der Sicherheitsexpertinnen und -experten. Der Schutz von Cloud-Ressourcen erfordert koordinierte Anstrengungen und ein Bewusstsein für das Thema in allen Teams – eine Praxis, die viele Unternehmen noch nicht eingeführt haben.

„(Cloud-Sicherheit) verdeutlicht, wie wichtig es ist, Verantwortlichkeiten gut zu verstehen und zugleich klar zu definieren. So lassen sich Missverständnisse vermeiden, wenn das Unternehmen gemeinsam darauf hinarbeitet, seine Cloud-Umgebungen vor Hackern zu schützen.“

Ashish Rajan, Principal Cloud Security Advocate bei Snyk

Weitere wichtige Faktoren: bessere Schulungen und Infrastructure as Code

Die Umfragedaten zeigen außerdem, dass viele der heutigen Cloud-Sicherheitsvorfälle auf mangelnde teamübergreifende Zusammenarbeit und unzureichende Schulungen zurückzuführen sind. Wenn verschiedene Teams unterschiedliche Tools oder Richtlinien-Frameworks einsetzen, kann es schwierig sein, ihre Arbeit aufeinander abzustimmen und eine einheitliche Durchsetzung sicherzustellen. Zudem können unzureichende Tools, die Fehlalarme erzeugen, zu einer Alarmmüdigkeit bei Sicherheitsteams führen. Dadurch steigt das Risiko menschlicher Fehler, wenn kritische Probleme erkannt und behoben werden müssen.

Einige Unternehmen, die die Cloud nutzen, setzen bereits zumindest teilweise Infrastructure as Code (IaC) ein. IaC ermöglicht einen Softwareentwicklungslebenszyklus für die Cloud-Infrastruktur – und damit die Möglichkeit, Cloud-Sicherheit nach links zu verlagern. Infrastructure as Code unterstützt Teams nicht nur dabei, effizienter und konsistenter zu arbeiten und zu skalieren, sondern bietet auch eine hervorragende Möglichkeit, Cloud-Sicherheit bereits vor der Bereitstellung von Anwendungen nach links zu verlagern. Indem sie IaC mit automatisierten Prüfungen absichern, die Policy as Code verwenden, können Cloud-Engineering-Teams Entwicklungs- und Testumgebungen erstellen, die der Produktionsumgebung und all ihren Sicherheitskontrollen entsprechen.

Ein Blick in die Zukunft

Tag für Tag nutzen mehr Unternehmen die Cloud, um ihre Anwendungen zu entwickeln und auszuführen. Dabei setzen sie zunehmend auf cloudnative Architekturen wie containerbasierte und serverlose Umgebungen. Wer die Risiken der Cloud-Infrastruktur kennt und Teams mit Tools und Richtlinien ausstattet, um sich davor zu schützen, erzielt messbare Ergebnisse. Eine verbesserte Cloud-Sicherheit bringt Unternehmen Vorteile, die weit über die bloße Abwehr von Sicherheitsvorfällen hinausgehen.

Über dieses Projekt

Dieser Report basiert auf einer Umfrage unter mehr als 400 Fachkräften und Führungskräften aus den Bereichen Cloud Engineering und Security, die in Unternehmen unterschiedlicher Art und Größe sowie in verschiedenen Branchen tätig sind. Die Umfrage wurde im zweiten Quartal 2022 von Propeller Insights durchgeführt.