Als weltweit agierendes Pharmaunternehmen mit über 850 externen Partnern braucht AstraZeneca die Möglichkeit, ortsunabhängig und schnell Daten auszutauschen. Die bevorzugte Lösung des Unternehmens wäre eine Cloud-Lösung, die allen Beteiligten Zugriff ermöglicht. Aber ist das auch sicher? Ein Cloud Access Security Broker (CASB) sorgt für die nötigen Schutz- und Kontrollmechanismen.

AstraZeneca ist eines der führenden forschenden Arzneimittelunternehmen und agiert weltweit in über 100 Ländern. Insgesamt arbeiten rund 61.500 Menschen für den Pharmakonzern, der im Entwicklungsbereich mit mehr als 850 externen Partnern kooperiert, darunter namhafte wissenschaftliche Einrichtungen und Biotech-Unternehmen.

Komfortabler Datenaustausch und mehr Transparenz

Bei einem Unternehmen, das auf so viele Standorte verteilt ist, spielt eine reibungslose Zusammenarbeit über Ländergrenzen hinweg eine entscheidende Rolle für den Geschäftserfolg. So müssen z.B. mehrere zehntausend Vertriebsmitarbeiter von überall auf der Welt schnell auf aktuelle Daten zugreifen. Auch mit den externen Partnern ist ein komfortabler Datenaustausch wichtig. Das Unternehmen nutzt dafür den Cloud-basierten File-Sharing-Dienst Box. Er ermöglicht einen flexiblen, orts- und geräteunabhängigen Zugriff auf Daten. Kollegen und Partner können damit zudem in Echtzeit gemeinsam Dokumente erstellen, bearbeiten und prüfen. Für einen sicheren Zugang zum File-Sharing-Dienst mussten die Mitarbeiter bisher eine VPN-Verbindung nutzen – ein Virtual Private Network, das wie ein Tunnel vor neugierigen Blicken von außen schützt. Das war jedoch recht umständlich, zumal viele Anwender die Notwendigkeit für diesen Zwischenschritt nicht sahen. „Wir haben deshalb nach einer Lösung gesucht, wie wir den Public-Cloud-Dienst auch ohne VPN sicher machen können“, sagt Jeff Haskill, Chief Information Security Officer bei AstraZeneca. „Außerdem wollten wir wissen, welche Public-Cloud-Dienste sonst noch bei uns im Einsatz sind, wo unsere Daten hinfließen, was mit ihnen passiert und wer Zugang dazu hat.“

Wie in vielen Unternehmen hatte sich bei AstraZeneca im Laufe der Zeit eine Schatten-IT entwickelt. Mitarbeiter nutzten Cloud-Services in eigener Regie, ohne dass die IT-Abteilung darüber informiert war. Da die Dienste einfach verfügbar sind und man für die Einführung kein technisches Spezialwissen braucht, entstand schnell ein Wildwuchs. Dieser verursacht nicht nur unnötige Kosten, sondern birgt auch Sicherheitsrisiken. Denn viele der Cloud-Services entsprechen nicht den Datenschutzrichtlinien im Unternehmen. Sensible Daten können so in falsche Hände gelangen.

Die Cloud-Nutzung sicher machen

AstraZeneca entschied sich für die Einführung des Cloud Access Security Brokers (CASB) von Skyhigh Networks. Ein solches System wird zwischen Public-Cloud-Dienste und Unternehmensnetz geschaltet und bietet eine Vielzahl an Sicherheitsfunktionen, die speziell auf die Cloud abgestimmt sind. Zunächst deckt es auf, welche Cloud-Services von welchen Mitarbeitern wie genutzt werden. Unsichere Dienste lassen sich blockieren. Ruft ein Nutzer sie auf, wird er auf sichere, von der IT-Abteilung abgesegnete Alternativen umgeleitet. Außerdem kann der CASB Kontrollmechanismen, Rechtevergabe und Maßnahmen zum Datenschutz auf die Cloud-Dienste anwenden. Dabei integriert er sich nahtlos in die bestehende IT-Landschaft und arbeitet mit anderen Sicherheitslösungen zusammen.

AstraZeneca hatte bereits die Cloud-basierte Internet-Security-Plattform Zscaler im Einsatz. Sie überwacht als Proxy den allgemeinen Datenverkehr im Unternehmen im Hinblick auf Mitarbeiter, Geräte oder Ort und schützt vor bösartigen oder kompromittierten Websites. Der CASB übernimmt nun die Daten des Proxy-Servers, analysiert sie und erkennt, welche der besuchten Websites Cloud-Dienste sind. Er überprüft, ob sie sicher sind oder gefährliche Inhalte enthalten, und blockiert sie gegebenenfalls. Anhand einer umfangreichen Datenbank kann der CASB individuelle Risikobewertungen für mehr als 20.000 Cloud-Dienste vornehmen.

AstraZeneca setzt den CASB von Skyhigh Networks auch für die Absicherung des File-Sharing-Dienstes Box ein. Damit kann die IT-Sicherheitsabteilung sehen, wer Zugang zu sensiblen Daten hat und mit wem sie geteilt werden. Zugriffsrechte lassen sich abhängig von Nutzerrollen, Standort und Gerätetypen vergeben – etwa ob ein Gerät gemanagt oder nicht gemanagt ist. Wenn das System kompromittierte Nutzerkonten oder Missbrauch entdeckt, verständigt es automatisch das Security Operations Center. So lassen sich zeitnah geeignete Maßnahmen ergreifen. Auf diese Weise kann AstraZeneca die Vorteile eines File-Sharing-Dienstes wie Box voll ausschöpfen und ist gleichzeitig auf der sicheren Seite.

Einfacheres Sicherheitsmanagement

Für die IT-Abteilung bringt der CASB noch weitere Vorteile mit sich: Die Security-Experten erhalten jetzt laufend Daten zur Cloud-Nutzung und -Sicherheit und können dadurch in Meetings mit Fachbereichsleitern und Geschäftsleitung auf fundierter Basis argumentieren. Entscheidungen haben so ein solides Fundament und beruhen nicht mehr auf Vermutungen oder Meinungen. Zudem können Cloud-Applikationen künftig viel schneller im Unternehmen bereitgestellt werden. Sie werden zunächst vom CASB auf ihre Sicherheit überprüft und dann mit den erforderlichen Kontrollmechanismen, Zugriffsrechten oder Einschränkungen versehen, um ihre Nutzung den Anforderungen entsprechend abzusichern.

„Wir möchten in Zukunft den Großteil unserer Applikationen in die Cloud verlagern, um die Kollaborationsmöglichkeiten zwischen unseren Mitarbeitern und Partnern über alle Standorte hinweg weiter zu verbessern“, sagt Jeff Haskill. „Der CASB-Einsatz vereinfacht dies. Wir konnten das Applikation-Management von zuvor zwei Wochen auf zwei Stunden reduzieren. In der gewonnenen Zeit können wir uns um andere Dinge kümmern.“