5 Schritte zu einer sicheren, konformen und sicheren Automatisierungsumgebung in der Cloud

Während Unternehmen dazu übergegangen sind, alltägliche Prozesse zu automatisieren, um Kosten zu senken und Ressourcenprobleme während der Pandemie abzumildern, mussten sie sich auch mit neuen Sicherheitsherausforderungen auseinandersetzen, da der Zugriff auf sensible Daten von überall und jederzeit möglich ist.

„Derzeit arbeiten 60 % der Wissensarbeiter aus der Ferne und mindestens 18 % werden nicht ins Büro zurückkehren“, so Gartner. Fernarbeit kann zu einer erhöhten Gefährdung führen, die wiederum ein erhöhtes Cyberrisiko mit sich bringt. Cyber-Angreifer sind agil, schnell und hartnäckig. Sie sind immer auf der Suche nach Schwachstellen, die ausgenutzt werden können, um Zugriff auf sensible Unternehmensdaten zu erhalten. Leider waren sie dabei bis jetzt recht erfolgreich.

„Mehr als 80 % der US-amerikanischen Unternehmen geben an, dass ihre Systeme erfolgreich gehackt wurden, um wichtige Daten zu stehlen, zu ändern oder zu veröffentlichen. [...] Mehr als 85 % der Unternehmen in Asien, Europa, Afrika und Lateinamerika geben an, ebenfalls gehackt worden zu sein.“ Die Konsequenzen können teuer sein. Ein einziger Verstoß kann ein Unternehmen Millionen von US-Dollar für die Behebung des Problems und den Verlust von Aufträgen und Ansehen kosten.

Die Umstellung der Automatisierung auf eine Cloud-native Architektur ermöglicht eine schnellere Skalierung, höhere Verfügbarkeit, granulare Sicherheit und Innovation. Um mit der Geschwindigkeit des Unternehmens Schritt halten zu können, muss Ihre Automatisierungsplattform Folgendes bieten:

• Minimierung des Risikos von Gefährdungen und Sicherheitsvorfällen
• Starke proaktive Maßnahmen zur Risikominderung und Wiederherstellung im Katastrophenfall
• Einhaltung der wichtigsten Industrienormen
• Starke und zentralisierte Authentifizierung und Zugangskontrolle sowie Erweiterungen durch Integrationen

Zusätzlich zu diesen Überlegungen sind hier fünf Schritte aufgeführt, die Sie unternehmen können, um Ihre Automatisierungsplattform, Ihren Entwicklungslebenszyklus und Ihre Daten zu sichern.

SCHRITT 1: Sicherstellen, dass Authentifizierung und Zugang definiert und kontrolliert werden

Zunächst einmal müssen Sie sicherstellen, dass jeder, der auf Ihr System zugreift, authentifiziert ist. Daher sind eine mehrschichtige Authentifizierung und eine fein abgestufte Zugriffskontrolle für eine streng kontrollierte Umgebung unerlässlich. Im Folgenden finden Sie einige Best Practices, die Sie bei der Erstellung der richtigen Authentifizierung und des richtigen Zugangs berücksichtigen sollten:

• Schaffen Sie unterschiedliche Rollen wie RPA Administrator, Bot Builder, Bot Tester und RPA Operator innerhalb der Grundarchitektur und der primären Funktionen der Automatisierungsplattform. Gewähren Sie Benutzern eingeschränkten Zugriff auf Inhalte. Dieser Zugriff sollte auf der Berechtigung basieren, ihre Support- und Fehlerbehebungsaufgaben zu erfüllen. Diese Art von Kontrolle macht es möglich, High-Fidelity-Rollen zu erstellen, die über austarierte Zugriffskontrollen verfügen, um die Anforderungen der strengsten, sichersten und durch Compliance regulierten Umgebungen zu erfüllen.
• Stellen Sie sicher, dass Ihre Automatisierungsplattform einen eingebetteten Anmeldedatentresor oder die Möglichkeit zur Integration mit Anmeldedatentresoren bietet. In einem Anmeldedatentresor werden alle System- und Benutzeranmeldeinformationen sowie die von Automatisierungen zur Laufzeit benötigten Anmeldeinformationen gespeichert. Infolgedessen können Bot-Ersteller die unsichere Praxis der Festkodierung von Anmeldedaten und anderer sensibler Daten/Argumente direkt in ihren Automatisierungen vermeiden.
• Erstellen Sie mehrere Optionen für die Verwaltung der Benutzerauthentifizierung. Beispielsweise sollten Rollen und Berechtigungen wie Active Directory über LDAP, Active Directory über Kerberos, SAML2.0 und lokale Authentifizierung über einen eingebetteten Anmeldedatentresor verfügbar sein.

SCHRITT 2: Aufbau einer hochverfügbaren Entwicklungsumgebung mit zuverlässiger Unterstützung für das Management des Lebenszyklus der Softwareentwicklung

Sobald der Zugang gesichert ist, können Sie zu anderen Bereichen übergehen, um mögliche Schwachstellen zu beseitigen. So können beispielsweise die folgenden bewährten Verfahren zu einer erfolgreichen und sicheren Entwicklung von Automatisierungssoftware-Bots führen:

• Ziehen Sie einen/ein Sicherheitsplan/-protokoll für die Code-Entwicklung in Betracht, für den/das laufendes Scannen mit mehreren Tools und Schichten erforderlich ist, um Softwareschwachstellen zu erkennen und zu beseitigen.
• Vergewissern Sie sich, dass Ihr Plattformanbieter proaktiv Pen-Tests durch Code-Scans auf Schwachstellen durchführen kann.
• Gewährleisten Sie die Sicherheit des Geräts, auf dem die Automatisierung ausgeführt wird, indem Sie Lösungen zur Erkennung und Reaktion auf Endgeräte (Endpoint Detection and Response, EDR) und zum Schutz vor Datenverlust (Data Loss Prevention, DLP) einsetzen, um Richtlinien durchzusetzen, Anomalien zu erkennen und Bedrohungen proaktiv zu beseitigen.
• Bewerten Sie die Komponentenarchitektur. Sie sollte sich nahtlos in Ihre bestehende Hochverfügbarkeits-/Disaster-Recovery-Infrastruktur und -Prozesse integrieren lassen.

SCHRITT 3: Schutz von Daten im Ruhezustand, bei der Verwendung und bei der Übertragung

Verfügen Sie über einen End-to-End-Datenschutz? Es ist essenziell, die Vertraulichkeit und Integrität von geschäftskritischen Prozessen und sensiblen Daten zu wahren. Ihre Automatisierungsplattform sollte Sicherheitsvorkehrungen bieten, die Daten nicht nur im Ruhezustand und bei der Übertragung schützen, sondern auch während der Nutzung in einzelnen Systemen. Zu den Sicherheitsvorkehrungen gehören:

• Verschlüsseln lokaler Anmeldedaten und Auswahl der von Bots verwendeten Laufzeitdaten, die dem Anmeldedatentresor einen sicheren Speicher für vertrauliche Konfigurationsparameter und Details zu den integrierten Versionskontroll- und E-Mail-Diensten bieten.
• Anwendung des Datenmanagement- und De-Identifizierungsverfahrens Pseudonymisierung. Bei der Pseudonymisierung werden Daten in künstliche Identifikatoren umgewandelt, sodass es nicht mehr möglich ist, die Daten zur Identifizierung einer natürlichen Person zu verwenden, ohne dass zusätzliche, separat gespeicherte Informationen vorliegen.
• Alle Netzdienste sollten Transport Layer Security (TLS) 1.2 (oder andere Industriestandards) verwenden, um die Sicherheit und Integrität der Daten beim Transport zwischen den Komponenten zu gewährleisten.
• Die Automatisierungsplattform sollte branchenübliche Verschlüsselungstechnologien verwenden, um die Verschlüsselung Ihrer Daten zu gewährleisten. Der Datenverkehr von/zu den Benutzern sollte mit HTTPS + SSL / TLS 1.2 verschlüsselt werden, um mit der Automatisierungsumgebung zu kommunizieren. Die im Dienst gespeicherten Daten, wie z. B. die Daten im Ruhezustand, sollten mit AES-256 verschlüsselt werden.

SCHRITT 4: Compliance

Jetzt, wo Ihre Mitarbeiter Zugriff auf die für ihre Aufgaben geeigneten Bereiche in Ihrem Unternehmen haben und in einer sicheren Umgebung arbeiten, können Sie sich zurücklehnen und die Compliance überprüfen.

Die Bewertung und Verwaltung der Compliance konzentriert sich auf die Bewertung von Systemen und Prozessen, um sicherzustellen, dass Industriestandards und gesetzliche Anforderungen erfüllt werden. Dies sollte ein fortlaufender Prozess sein. Wenn das Unternehmen wächst, setzen die Abteilungen Lösungen ein, die bei der Skalierung helfen. Neue Anwendungen müssen überprüft werden, damit sie nicht die mehrfache Sicherheitscompliance gefährden. Umfassende und kontinuierliche Audit-Protokollierungsfunktionen auf Ihrer Plattform tragen dazu bei, die Einhaltung von Sicherheits- und Qualitätsstandards auf Unternehmensebene zu gewährleisten. In stark regulierten Branchen wie dem Gesundheitswesen oder dem Finanzwesen können Unternehmen Bußgelder und andere Strafen auferlegt werden, wenn die Compliance-Standards, einschließlich HIPAA, PCI-DSS und FISMA, nicht eingehalten werden.

SCHRITT 5: Proaktive Überwachung der Sicherheitsmaßnahmen

Sicherheit ist kein einmaliges Ereignis. Neue Schwachstellen und Techniken von Cyber-Angreifern können jederzeit auftauchen. Daher sollten Ihre Sicherheitsmaßnahmen kontinuierlich überwacht und auf einem hohen Niveau gehalten werden. Zu diesem Zweck gibt es einige Best Practices, die Sie beachten sollten:

• Stellen Sie sicher, dass Ihre Automatisierungsplattform einen sicheren SDLC-Prozess (Software Development Life Cycle) mit Prüfungen und Zertifizierungen bietet, die von verschiedenen Administratoren mit unterschiedlichen Rollen und Berechtigungen durchgeführt werden.
• Eine strikte Aufgabentrennung und mehrschichtige Steuerelemente sollten standardmäßig integriert sein, um sicherzustellen, dass die Software-Entwicklungspipeline zuverlässig, skalierbar, effizient, sicher und konform ist.
• Ein spezialisiertes Sicherheitsteam, das für die Entwurfsprüfung, die Modellierung von Bedrohungen, die manuelle Codeüberprüfung und Stichproben sowie laufende Penetrationstests zuständig ist, gewährleistet Ihre Cloud-Sicherheit.
• Neben dem Betrieb sollte auch die Wiederherstellung im Katastrophenfall proaktiv verwaltet werden, sodass die Überwachung und Benachrichtigung von Incidents eine rechtzeitige Reaktion ermöglicht.

Wir von Automation Anywhere können Ihnen helfen, Ihre Verteidigung zu stärken, um Ihre Daten und Ihren Betrieb mit unserer Cloud-nativen Automation 360™ Plattform und Support zu schützen.