Es ist schon eine kleine Tradition geworden, unser Rückblick auf das vergangene Jahr im Bereich der IT- Sicherheitsarchitektur. In diesem Blogbeitrag zeigen wir, was unsere Kunden im Jahr 2023 bewegte und leiten Prognosen aus einer persönlichen Perspektive für das neue Jahr ab.
Zuerst stellen wir die Themen vor, die unseren Kunden besonders unter den Nägeln brannten. Danach kommen die «Schmankerl» des vergangenen Jahres. Das sind etwas ungewöhnlichere Aufträge, die darum umso mehr Freude machten. Wie diese ausgesehen haben, erfahren Sie in diesem Blogartikel.
Trend #1: Business Intelligence und Data Analytics
Das Thema Business Intelligence (BI) beschäftigt unsere Kunden schon länger. Mit BI können für das Business relevante Fragestellungen geklärt und neue Opportunitäten herausgearbeitet werden. Unstrukturierte Daten werden im «Data Lake» abgelegt und mit künstlicher Intelligenz (KI) gestützten Methoden analysiert. Strukturierte Daten können z.B. aus den unstrukturierten Daten im dem Data Lake mittels Datenumformung (Extract – Transform – Load, kurz ETL) erzeugt und in ein Data Warehouse geladen werden. Das Data Warehouse unterstützt das operative Geschäft durch Auswertungen, Reports usw.
BI wird heute von verschiedenen Anbietern als Cloud-Service angeboten. Damit stehen On-Demand die benötigten Ressourcen wie Rechenleistung und Speicher zur Verfügung. BI-Projekte mit Schnittstellen in die Cloud haben die Eigenschaft, dass knifflige Fragen bearbeitet werden müssen, z.B. «Wie kann die Datenverarbeitung gesetzeskonform durchgeführt werden?»
Prognose: Der Trend, Business Intelligence Services in der Cloud zu nutzen, wird anhalten. Kunden können sich so von der Komplexität von BI-Lösungen und deren Ressourcenbedarf abschirmen. Wir gehen davon aus, dass BI-Anbieter die Bestrebungen für Datenschutz konforme Lösungen weiter intensivieren.
Beitrag des Architektur-Teams: Mitarbeit in BI-Projekten und Einbringen der Sicherheitsperspektive. Wir begleiten Kunden bei der Entscheidungsfindung und führen Reviews von BI-Umgebungen mit Fokus auf Sicherheit durch.
Trend #2: Von DevOps weiter zu DevSecOps
Wer zur Cloud ja sagt, wir vermutlich früher oder später auch ja zu DevOps sagen. Der integrierte Entwicklungs- und Betriebsansatz bietet viele Vorteile und verkürzt die Auslieferungszeiten für neue Softwarefunktionen. Da DevOps die Build-Prozesse automatisiert, wozu nach «Good Practice» auch Tests gehören, steigt die Qualität der ausgelieferten Software.
Weil jede Medaille zwei Seiten hat, sollten auch die schwierigeren Punkte von DevOps erwähnt werden. Dazu gehört die Abgrenzung der Rechte und Zuständigkeiten von Entwicklern und Betrieb, Stichwort «Segregation of Duties». Die DevOps Lieferkette besteht aus Repositories, Build Servern, Middleware und Anwendungen sowie den erstellten Artefakten wie Laufzeit- und Konfigurations-Dateien. Fast alles läuft in, gegebenenfalls auch «on the fly» aufgesetzten, Containern und virtuellen Maschinen.
DevSecOps fügt die Facette Sicherheit zur DevOps Kette hinzu. Dazu gehören automatisierte und manuelle Prüfungen von Source Code auf Sicherheitslücken, die Berechtigungen, mit denen «Segregation of Duties» zwischen Entwicklern und Betrieb gewährleistet wird und der Schutz von Laufzeitumgebungen, Repositories und Konfigurationen. Wenn Sie an Konfigurationen denken, sollte dies auch Infrastructure as Code (IAC) einschliessen, womit ganze Laufzeitumgebungen definiert und hochgefahren werden. Ein sehr mächtiges und darum schützenswertes Werkzeug. Die Mächtigkeit von DevOps wird vielfach unterschätzt – und damit auch die Relevanz des «Sec» in DevSecOps.
Prognose: DevOps wird sich vor allem bei Unternehmen mit Hybrider oder reiner Cloud-Entwicklung weiter etablieren. Das Bedürfnis nach «intrinsischer» Sicherheit im DevOps Prozess, also DevSecOps, wird zunehmen.
Beitrag des Architektur-Teams: Mitarbeit bei der Definition von DevSecOps Setups, z.B. durch Erstellen von Richtlinien oder die Beurteilung von DevSecOps Architekturen.
Trend #3: Ab in die Cloud
War noch vor nicht allzu langer Zeit bereits die Diskussion über die Compliance zum Datenschutz der vorzeitige Show Stopper hat sich dies merklich verändert. Dies liegt wohl daran, dass Cloud Services vermehrt aus der Schweiz erbracht werden («Swiss Cloud») und Cloud Services zur Commodity geworden sind.
Dennoch möchten unsere Kunden auf der sicheren Seite stehen und suchen nach Möglichkeiten, Cloud und Datenschutz zu vereinen. Mit Anonymisierung, Pseudonymisierung, Verschlüsselung, Hashing und Secure Enklaven für Datenbanken kann einiges getan werden, um den Datenschutzanforderungen Genüge zu tun.
Prognose: Die Tendenz, Anwendungen für Enduser aus der Cloud zu beziehen sowie auch komplexe Verarbeitungen in die (Swiss) Cloud auszulagern, wird ungebrochen weiter gehen.
Beitrag des Architektur-Teams: Häufig gelangen Kunden mit Fragen zu spezifischen Cloud-Sicherheitsthemen an uns. Im Fokus stehen dabei die für den Kunden richtige Cloud Architektur und das entsprechende Setup.
Wir unterstützen bei Reviews mit Fokus Sicherheit von durch Kunden selbst erstellten Anwendungen oder von Teams, SharePoint usw.
Trend #4: Nachhaltigkeit
Bei grösseren Projekten wird umfangreicher abgeklärt, wie das neue Projekt die IT-Architektur beeinflusst.
Die Kunden sind sich bewusster, dass bei unsorgfältiger Planung Architektur Anti-Patterns mit nachhaltigen Kostenfolgen (und viel Frustrationspotential) implementiert werden. Das Thema «Architektur Anti-Pattern» würde bereits einen Blogbeitrag füllen. Zur Illustration ein paar Beispiele aus der Praxis. Nachahmung ist ausdrücklich nicht empfohlen.
- Building On Prem in the Cloud: Cloud Frameworks wie Azure basieren auf einer vorgegebenen Architektur. Dies ist Voraussetzung dafür, dass generelle Funktionen wie Monitoring oder Berechtigungen genutzt werden können. Das gilt für vom Kunden erstellten wie auch vom Cloud Provider zur Verfügung gestellten Services.
Damit dies wie gewünscht funktioniert, sollten Sie das Rad nicht neu erfinden, sondern nach der passenden Referenz-Architektur für Ihr Vorhaben suchen. So sind Sie auf der sicheren Seite und sparen erst noch Zeit.
Bei Infrastucture as a Service (IaaS) ist die Gefahr gross, dass «On Prem in der Cloud» implementiert wird – weil vermeintlich «die Migration schneller geht». Wir versichern Ihnen, dass in diesem Szenario in Zukunft jedes Deployment länger dauern wird als bei der Verwendung der adäquaten Architektur-Pattern. - Monolithen: Ihre Anwendungen verwenden brav das «Model-View-Controller» (MVC) Model. Dieses teilt eine Anwendung in einen Persistenz-Layer (Datenbank), einen Verarbeitungs- bzw. Logikteil (Controller) und ein schönes GUI ein. In der Cloud haben Service-Orchestrierung und damit Container und Micro Services das Sagen. Weil Orchestrierung nicht mit monolithischen Systemen, sondern mit granularen Microservices arbeitet.
Wenn Sie eine Anwendung selbst entwickeln und diese über Schnittstellen Kunden oder Partnern zur Verfügung stellen, sollten Sie sich über das «richtige Schneiden der Services» Gedanken machen. Denn nur wenn die Services granular gestaltet sind, können sie von andern nutzbringend über Schnittstellen (API) verwendet werden. Sie möchten mit einem Aufruf nicht zum Mond und zurück, sondern vielleicht erst mal zur Startrampe gefahren werden. - Neophyten Architekturen: Neophyten sind eingeschleppte Pflanzenarten. In der Tat gibt es diese auch in der IT-Architektur. «Eingeschleppte» Standardsoftware hat oft eine «Vorstellung», wie die Betriebsumgebung auszusehen hat. Vielleicht muss es ein Unix sein, eine exotische Datenbank oder – oft einschneidend – eine bestimmte Interface-Technologie wie z.B. Message Queues des Herstellers XY. Wenn Sie im Unternehmen niemanden haben, der diese Komponenten warten kann, bleiben ihnen diese Möglichkeiten: Die Standardsoftware als Managed Service zu beziehen, eine andere Software zu beschaffen oder die notwendigen Skills aufzubauen. Nur eines sollten Sie nicht tun: Die Neophyten unterschätzen.
- Analysis Paralysis: Nein, Sie denken nicht zu wenig. Im Gegenteil. Mit der Folge, dass vor lauter Bedenken gute Ideen nie umgesetzt werden. Hier sollte der Nutzen von Cloud Services und Virtualisierung nicht vergessen gehen. Rasch ist eine Sandbox aufgesetzt und es wird transparent, wie komplex die Umsetzung der Idee wirklich ist. Und das Beste daran: Ein Anfang ist gemacht. Stolpersteine wie das bereits erwähnte Neophyten-Problem werden rasch identifiziert und es kann über das weitere Vorgehen entschieden werden.
Prognose: Das Bestreben der Kunden, Nachhaltigkeit durch Implementieren der passenden IT-Architektur zu erzielen, nimmt zu. Die Möglichkeit, Dinge in der Cloud oder on Prem auf virtuellen Maschinen auszuprobieren, wird genutzt. Dadurch werden die Innovationszyklen verkürzt.
Beitrag des Architektur Teams: Unterstützung beim Aufbau und Review von Sicherheits-Architekturen verschiedener Ausprägung. Unsere Cloud Engineers führen auch Cloud Security Reviews mit Einsichtnahme in die Azure Umgebung durch.
Meine Schmankerl aus meinem Architektur-Job 2023
Ganz uneigennützig: Das Schmankerl ist jedes Jahr das Sahnehäubchen auf den Architektur-Job. Gerne machen wir hier etwas Werbung dafür. Einfach, weil wir Freude an den nicht alltäglichen Kundenaufträgen haben. Dies ist unser inoffizieller «Boutique» Architektur-Service.
Code Review
Schmankerl-Potential hatte ein Code Review. Da kamen Erinnerungen an vergangene Zeiten als Developer im Security Bereich hoch. Wir identifizierten mögliche Angriffsvektoren und besprachen diese mit dem Kunden.
Prognose: Es wird immer ein Bedürfnis nach Code Reviews geben. Automatisierte Auswertungstools machen einen hervorragenden Job, für besonders kritische Anwendungen schafft ein durch erfahrene Entwickler durchgeführtes Review zusätzliche Sicherheit.
Beitrag der Architektur: Code Review mit Fokus Sicherheit von komplexen Anwendungen. Vielleicht erinnern sich Kunden daran, dass wir auch Code Review können.
White Paper Business Intelligence
Dieses Schmankerl war eine InfoGuard interne Initiative zum Thema Business Intelligence und Data Analytics. InfoGuard hat die Zeit dafür zur Verfügung gestellt. Weil wir denken, dass BI und Data Analytics in Zukunft breitere Kreise interessiert, durften wir unsere Erkenntnisse anhand der «Laubhaufen AG» und den Igeln erklären. Letztere halten gerade Winterschlaf.
Die Grundlage zum White Paper waren Kundenprojekte, bei denen es galt, sich in die Materie einzuarbeiten.
Prognose: Siehe Trend #1.
Beitrag der Architektur: Architekten wissen nicht alles im Voraus. Sich in neue Gebiete einzuarbeiten und diese mit bestehendem Wissen verknüpfen, macht, wie das Wissen weitergeben, Freude.
Was wohl alles in 2024 auf das InfoGuard Team zukommen wird?
Ich und meine Kolleg*innen vom Architekturteam sind immer wieder inspiriert von den unterschiedlichen und spannenden Aufgabenstellungen. Die Möglichkeit, mit den Kunden auf unterschiedlichen Ebenen zusammenzuarbeiten, hat sich etabliert. Falls nun auch Sie Lust haben, ein spannendes, herausforderndes Architekturprojekt mit uns anzugehen, dann kontaktieren Sie uns! Wir freuen uns auf Sie.
Wenn Sie auch im kommenden Jahr meinen Architektur Digest nicht verpassen wollen, abonnieren Sie gleich hier und jetzt unsere Blog-Updates. Gleich anmelden!
