Sie kennen den alten Witz, dass Sie, wenn Sie und ein Halbling von einem wütenden Drachen verfolgt werden, nicht schneller laufen müssen als der Drache, sondern nur schneller sein müssen als der Halbling? Unter der Annahme, dass nicht böswillige Benutzer * den Zugriff auf die öffentliche Cloud nicht einschränken müssen, reicht es aus, die Benutzerfreundlichkeit der öffentlichen Cloud zu verringern, als die der Unternehmenslösung für den nicht schreibtischgebundenen Datenzugriff . Durch die ordnungsgemäße Implementierung wird das Risiko von nicht böswilligen Lecks erheblich reduziert und ist mit einem Bruchteil der Kosten realisierbar.
In den meisten Fällen sollte eine einfache schwarze Liste ausreichen. Legen Sie Google Drive, Dropbox und die Apple Cloud darauf. Blockieren Sie auch den Datenverkehr zu Amazon AWS - die meisten dieser Start-ups, die einen weiteren Cloud-Service erstellen, erstellen kein eigenes Rechenzentrum. Sie haben soeben die Anzahl der Mitarbeiter, die wissen, wie sie in die Public Cloud gelangen, von 90% auf 15% gesenkt (sehr grobe Zahlen, je nach Branche unterschiedlich). Erklären Sie anhand einer geeigneten Fehlermeldung, warum öffentliche Clouds verboten sind, was den Eindruck einer mutwilligen Zensur mindert (leider wird es immer Benutzer geben, die nicht bereit sind, dies zu verstehen).
Die restlichen 15% können Anbieter erreichen, die nicht auf der schwarzen Liste stehen, aber sie werden sich wahrscheinlich nicht darum kümmern. Google Drive und Co unterliegen stark positiven Netzwerkeffekten (der wirtschaftlichen Art, nicht der technischen Art). Jeder nutzt die gleichen 2-3 Dienste, so dass sie überall eingebaut werden. Benutzer erstellen bequeme, optimierte Workflows, die diese Dienste enthalten. Wenn der alternative Cloud-Anbieter nicht in einen solchen Workflow integriert werden kann, haben die Benutzer keinen Anreiz, ihn zu verwenden. Und ich hoffe, dass Sie eine Unternehmenslösung für die grundlegendste Verwendung einer Cloud haben, z. B. das Speichern von Dateien an einem zentralen Ort, der von einem physischen Standort außerhalb des Campus aus erreichbar ist (mit VPN, wenn Sicherheit erforderlich ist).
Fügen Sie dieser Lösung eine Menge Mess- und Analysefunktionen hinzu. (Dies wird immer benötigt, wenn Benutzer betroffen sind). Entnehmen Sie Datenverkehrsproben, insbesondere, wenn verdächtige Muster vorliegen (Upstream-Datenverkehr in Bursts, die groß genug sind, um Dokumente hochzuladen, die an dieselbe Domain gerichtet sind). Sehen Sie sich die identifizierten verdächtigen Domänen genau an. Wenn Sie feststellen, dass es sich um einen Cloud-Anbieter handelt, finden Sie heraus, warumBenutzer verwenden es, sprechen mit dem Management über die Bereitstellung einer Alternative mit gleicher Benutzerfreundlichkeit und informieren den anstößigen Benutzer über die Alternative. Es wäre großartig, wenn Ihre Unternehmenskultur es Ihnen ermöglicht, gefangene Benutzer sanft umzuerziehen, ohne dass Sie zum ersten Mal Disziplinarmaßnahmen ergreifen. Dann werden sie sich nicht besonders schwer vor Ihnen verstecken müssen, und Sie können leicht Abweichungen erkennen und mit der Situation umgehen auf eine Weise, die das Sicherheitsrisiko verringert, dem Benutzer jedoch ermöglicht, seine Arbeit effizient zu erledigen.
Ein vernünftiger Manager ** wird verstehen, dass diese schwarze Liste zu Produktivitätsverlusten führen wird. Die Benutzer hatten einen Grund, die öffentliche Cloud zu nutzen - sie sind motiviert, produktiv zu sein, und der bequeme Workflow steigerte ihre Produktivität (einschließlich der Menge an unbezahlten Überstunden, zu denen sie bereit sind). Es ist Aufgabe eines Managers, den Kompromiss zwischen Produktivitätsverlust und Sicherheitsrisiken zu bewerten und Ihnen mitzuteilen, ob er bereit ist, die Situation unverändert zu lassen, die schwarze Liste umzusetzen oder geheimdienstwürdige Maßnahmen zu ergreifen sehr unpraktisch und bieten immer noch keine 100% ige Sicherheit).
[*] Ich weiß, dass Menschen, deren Job die Sicherheit ist, zuerst an kriminelle Absichten denken. Tatsächlich ist ein entschlossener Krimineller viel schwerer aufzuhalten und kann viel schlimmer Schaden anrichten als ein nicht böswilliger Benutzer. In Wirklichkeit gibt es jedoch nur wenige Organisationen, die infiltriert werden. Die meisten Sicherheitsprobleme hängen mit der Dummheit wohlmeinender Benutzer zusammen, die die Konsequenzen ihrer Handlungen nicht erkennen. Und weil es so viele von ihnen gibt, sollte die Bedrohung, die sie darstellen, genauso ernst genommen werden wie der gefährlichere, aber viel seltenere Spion.
[**] Ich bin mir bewusst, dass, wenn Ihre Chefs diese Forderung bereits gestellt haben, die Wahrscheinlichkeit besteht, dass sie nicht der vernünftige Typ sind. Wenn sie vernünftig, aber falsch sind, ist das großartig. Wenn sie unvernünftig und hartnäckig sind, ist dies unglücklich, aber Sie müssen einen Weg finden, mit ihnen zu verhandeln. Solch eine Teillösung anzubieten, auch wenn man sie nicht dazu bringen kann, sie zu akzeptieren, kann ein guter strategischer Schachzug sein - richtig präsentiert, zeigt es ihnen, dass Sie "auf ihrer Seite" sind, ihre Bedenken ernst nehmen und bereit sind zu suchen nach Alternativen zu technisch nicht umsetzbaren Anforderungen.