CSPM

Cloud Security Posture Management (CSPM) prüft Cloud-Umgebungen laufend auf Fehlkonfigurationen. Es findet zum Beispiel öffentlich erreichbare Speicher, fehlende Verschlüsselung oder zu offene Netzwerkregeln.

So funktioniert es

Das CSPM liest die Konfiguration von Azure, AWS oder Google Cloud über Schnittstellen aus. Es vergleicht sie mit Regeln und Standards wie den CIS Benchmarks. Abweichungen erscheinen als Befunde mit Schweregrad und Empfehlung. Viele Lösungen zeigen auch, welche Befunde zusammen einen realistischen Angriffsweg ergeben.

Ein Beispiel aus der Praxis: Ein Entwickler richtet für einen Test einen Speicher mit öffentlichem Zugriff ein. Darin liegen Kopien von Kundendaten. Das CSPM meldet den Befund innert Stunden. Das Team entfernt den öffentlichen Zugriff und prüft in den Logs, ob jemand die Daten abgerufen hat.

Worauf Sie achten sollten

• Priorisieren Sie. Ein CSPM findet oft Tausende Befunde. Beginnen Sie mit öffentlichen Zugriffen und Identitäten.
• Weisen Sie Befunde klaren Verantwortlichen zu, meist den Teams, die die Ressourcen betreiben.
• Verhindern Sie Fehlkonfigurationen früh, etwa durch Prüfungen in der Infrastructure as Code.
• Beziehen Sie alle Konten und Abonnements ein, auch Test- und Entwicklungsumgebungen.

Abgrenzung

CSPM prüft die Konfiguration, also den Zustand der Umgebung. Es erkennt keine laufenden Angriffe. Dafür braucht es Cloud-Logs im SIEM und Detection-Regeln. CIEM ergänzt CSPM um die Analyse von Berechtigungen, CWPP schützt die Workloads selbst.

Schweiz und Regulierung

Wer Personendaten in der Cloud bearbeitet, muss nach revDSG angemessene technische Massnahmen treffen. Eine laufende Prüfung der Konfiguration hilft, dies zu belegen. Finanzinstitute müssen zudem die Anforderungen der FINMA an Auslagerungen und Datensicherheit in der Cloud erfüllen.

Typische Fehler

Häufig wird ein CSPM eingeführt, ohne einen Prozess für die Befunde festzulegen. Die Liste wächst dann, und niemand fühlt sich zuständig.

So setzen wir es um

Wir binden Befunde aus Ihrem CSPM und die Cloud-Logs ins SOC ein. Kritische Befunde mit Bezug zu einem Angriff behandeln wir als Case.