Ihre Cloud-Konten absichern

Die vorigen drei Lektionen dieses Kurses behandelten, wer wofür verantwortlich ist, warum Identität der eigentliche Perimeter ist, und was mit Ihren Daten geschieht, sobald sie gespeichert sind. Diese Lektion macht daraus eine kurze, wiederkehrende Überprüfung — die Art von Pflege, die eine kleine Organisation realistischerweise aufrechterhalten kann, statt einer einmaligen Einrichtung, die still veraltet.

Aktive Sitzungen und Geräte überprüfen

Jeder große Kontoanbieter führt eine Liste der derzeit angemeldeten Geräte und Sitzungen sowie ein Protokoll der letzten Aktivität. Sie regelmäßig zu prüfen, beantwortet eine einfache Frage: Ist außer den Personen, die es sein sollten, noch jemand in diesem Konto? Ein unbekanntes Gerät, eine Anmeldung von einem unerwarteten Ort oder eine Sitzung, die sich nie von einem Gerät abgemeldet hat, das Sie nicht mehr besitzen, sind allesamt Grund für sofortiges Handeln — die Sitzung beenden und das Passwort ändern. Das folgt direkt aus der Identitäts-Lektion weiter vorn in diesem Kurs: Ein gestohlenes Passwort bleibt für einen Angreifer nur so lange nützlich, wie die daraus entstehende Sitzung unbemerkt bleibt.

Zugriff von Drittanbieter-Apps überprüfen

Die Identitäts-Lektion behandelte auch OAuth: Jede „Weiter mit“-Verbindung oder Kalenderintegration ist eine dauerhafte Zugriffsgewährung, die bestehen bleibt, bis sie widerrufen wird. Die meisten Anbieter listen jede verbundene App unter den Sicherheits- oder Datenschutzeinstellungen eines Kontos auf und zeigen, was jeder davon gewährt wurde — E-Mails lesen, den Kalender verwalten, auf Dateien zugreifen —, oft für einen Dienst, den Sie vor Jahren einmal ausprobiert und dann vergessen haben. Diese Liste wiederholt gelegentlich auszudünnen, indem Sie alles Ungenutzte oder Unbekannte entfernen, verringert die Zahl der Wege in ein Konto, ohne überhaupt das Passwort anzufassen.

Bestätigen, dass Backups tatsächlich existieren, und wo

Ein Ausfall eines Cloud-Kontos — eine Aussperrung, eine versehentliche Löschung, ein Dienstausfall — ist selbst ein Risiko, das die Lektion zur geteilten Verantwortung auf die Kundenseite der Linie gestellt hat. Der auf GitHub veröffentlichte Leitfaden zur Cloud-Sicherheit, gegen den diese Lektion querprüft, listet „Backups, getestete Wiederherstellung“ unter den zentralen Resilienz-Praktiken, die er empfiehlt, neben regelmäßiger Rotation von Zugangsdaten und Zugriffsüberprüfungen; das deckt sich mit der entsprechenden Anleitung, die große Anbieter für ihre eigenen Kunden veröffentlichen. Für eine Einzelperson oder kleine Organisation bedeutet das zwei konkrete Gewohnheiten: wissen, wo Ihr Backup tatsächlich liegt (ein zweiter Cloud-Dienst, eine verschlüsselte externe Festplatte, oder beides), und die Wiederherstellung daraus gelegentlich tatsächlich testen, denn ein Backup, das niemand je geöffnet hat, ist nur eine Hoffnung, kein Plan.

Protokollierung und Benachrichtigungen aktivieren, wo sie existieren

Die meisten Privat- und Kleinunternehmens-Cloud-Konten bieten irgendeine Form von Sicherheitsbenachrichtigung — eine E-Mail oder Push-Benachrichtigung bei einer neuen Anmeldung, einer Passwortänderung oder einem neu hinzugefügten Gerät. Diese sind meist optional oder in den Einstellungen versteckt, statt standardmäßig aktiviert zu sein. Sie zu aktivieren kostet nichts und verkürzt unmittelbar die Lücke zwischen der Kompromittierung eines Kontos und dem Moment, in dem jemand es bemerkt — oft der einzelne wichtigste Faktor dafür, wie viel Schaden ein Eindringen anrichtet.

Daraus eine Gewohnheit machen, keine einmalige Aufgabe

Keine dieser vier Prüfungen dauert einzeln mehr als ein paar Minuten, und keine erfordert Sicherheitswissen. Wirksam macht sie die Wiederholung: Ein vierteljährlicher Durchgang durch Sitzungen, verbundene Apps, Backup-Status und Benachrichtigungseinstellungen erfasst die schleichende Ansammlung vergessener Zugriffe, die eine einzelne Einrichtung nie erfassen wird. Das schließt den Kreis, den dieser Kurs mit dem Modell der geteilten Verantwortung eröffnet hat: Der Anbieter sichert die Infrastruktur einmal ab und pflegt sie fortlaufend; die Kundenseite dieses Deals ist eine Gewohnheit, keine abzuschließende Aufgabe.