Ihren Sicherheitsstatus und Ihre Herausforderungen verstehen

Die Hauptziele von Sicherheitsteams ändern sich mit der Einführung von Power Platform nicht. Die Methoden zur Erreichung dieser Ziele werden sich jedoch weiterentwickeln. Sicherheitsteams müssen weiterhin der Reduzierung des Geschäftsrisikos durch Angriffe Priorität einräumen und sicherstellen, dass Vertraulichkeit, Integrität und Verfügbarkeit in allen Informationssystemen und Daten verankert sind.

Sicherheit ist der Schutz von IT-Systemen und Netzwerken vor Diebstahl, Beschädigung oder Störung. Power Platform ist ein Cloud-Angebot von Microsoft. Sie besitzen Ihre Daten, teilen sich aber die Kontrolle über Workloads mit Microsoft. Die Verantwortung für Betrieb und Sicherheit von Workloads wird zwischen Ihnen und Microsoft aufgeteilt.

Das folgende Diagramm veranschaulicht, wie die Sicherheitszuständigkeiten zwischen Ihnen und Microsoft aufgeteilt sind.

In diesem Artikel werden die Sicherheitsprinzipien und -praktiken erläutert, die für Power Platform gelten. Außerdem werden Sie aufgefordert, zu bewerten, was Sie heute tun, um Power Platform-Lösungen abzusichern, und es werden die nächsten Schritte zum Aufbau Ihres Aktionsplans erläutert.

Grundlagen der Sicherheit bei Microsoft

Organisationen existieren nicht isoliert. Sie arbeiten miteinander und mit ihren Kunden. Sie bilden die unerlässlichen Lieferketten, von denen wir alle abhängen. Wir müssen zusammenarbeiten, um unsere Mitarbeiter, Daten und Infrastruktur zu schützen. Microsoft verfolgt einen mutigen, umfassenden Sicherheitsansatz, der durchgängig, branchenführend und KI-gestützt ist.

Microsoft hat seit Mitte der 2000er Jahre massiv in Sicherheit investiert. Mehr als 3.500 Microsoft-Ingenieure arbeiten daran, die sich ständig verändernde Bedrohungslandschaft proaktiv anzugehen. Microsoft-Sicherheit beginnt beim On-Chip-BIOS-Kernel und erstreckt sich bis hin zur Benutzererfahrung. Heute ist unser Sicherheitsportfolio das fortschrittlichste der Branche. Microsoft gilt allgemein als weltweit führend im Kampf gegen böswillige Akteure. Milliarden Computer, Billionen Anmeldungen und Zettabytes an Daten vertrauen dem Schutz von Microsoft.

Microsoft arbeitet auf dieses Ziel hin, indem es sich auf Tools und Funktionen konzentriert, die die folgenden übergeordneten Ziele unterstützen:

• Alles schützen. Schützen Sie Ihr gesamtes Unternehmen mit integrierten Sicherheitslösungen für Unternehmen, die plattform- und cloudübergreifend gut funktionieren. Zu diesem Ziel gehört es, die Power Platform-Lösungen Ihrer Organisation zu einem Teil Ihrer geschützten Ressourcen zu machen.
• Das Komplexe einfach machen. Priorisieren Sie die richtigen Risiken mit Management-Tools, die das menschliche Know-how in Ihrem Unternehmen optimal nutzen. Integrieren Sie die Verwaltung der Sicherheit von Power Platform-Geschäftsanwendungen in Ihre Verwaltungstools, um zusätzliche Komplexität zu vermeiden.
• Einfangen, was anderen entgeht. Nutzen Sie führende KI, Automatisierung und Fachwissen, um Cyberbedrohungen schnell zu finden und zu stoppen und Ihre Sicherheitsposition zu stärken.

Diese Sicherheitsziele treiben die Innovation in den folgenden Microsoft integrierten Sicherheitsprodukten voran:

• Microsoft Defender: Halten Sie Cyberangriffe auf Ihre Geräte, Identitäten, Apps, E-Mails und Clouds mit branchenführenden Produkten für Extended Detection and Response (XDR) auf.
• Microsoft Sentinel: Bleiben Sie Cyberbedrohungen mit KI-gestütztem Security Information & Event Management (SIEM), das Daten aus Ihrem gesamten Unternehmen aggregiert und Ihnen so eine unübertroffene Transparenz bietet, einen Schritt voraus.
• Microsoft Entra: Überprüfen Sie jede Identitäts- und Zugriffsanfrage in Ihren Clouds, Plattformen und Geräten mit einem Satz zusammengehörender Identitäts- und Zugriffsprodukte.
• Microsoft Purview: Schützen Sie Daten, wo immer sie sich befinden, mit Informationsschutz-, Governance- und Compliance-Produkten, die darauf ausgelegt ist, zusammenzuwirken.
• Microsoft Priva: Respektieren Sie die Privatsphäre von Kunden und Mitarbeitenden mit Produkten, die Risiken reduzieren und die Einhaltung von Vorschriften auf einer einzigen Plattform steuern.
• Microsoft Intune: Stärken Sie die Gerätesicherheit und ermöglichen Sie ein nahtloses hybrides Arbeiten mit einer Reihe von Produkten für die Verwaltung von Endpunkten.

Diese Produkte arbeiten zusammen, um eine stärkere Abwehr zu bilden. Power Platform baut auf dieser Grundlage auf, um die Sicherheit der von Ihnen erstellten Geschäftsanwendungen noch weiter zu erhöhen.

Sicherheit in Power Platform

Power Platform baut auf einer Sicherheitsgrundlage auf. Sie verwendet dasselbe Sicherheitsportfolio, durch das sich Azure seine Rolle als vertrauenswürdiger Wächter über die sensibelsten Daten der Welt erworben hat, und lässt sich mit den fortschrittlichsten Informationsschutz- und Compliance-Tools von Microsoft 365 integrieren. Power Platform bietet einen End-to-End-Schutz, der auf die größten Herausforderungen unserer Kunden zugeschnitten ist.

Der Power Platform-Dienst ist Gegenstand der Microsoft Online Services-Nutzungsbedingungen und der Microsoft Enterprise-Datenschutzbestimmungen. Informationen zum für die Datenverarbeitung vorgesehenen Speicherort finden Sie in den Microsoft Online Services-Nutzungsbedingungen und der Datenschutzzusatzvereinbarung.

Das Microsoft Trust Center ist die Hauptanlaufstelle für Power Platform Complianceinformationen. Weitere Informationen finden Sie unter Microsoft-Complianceangebote.

Der Power Platform-Dienst folgt dem Security Development Lifecycle (SDL). Das SDL ist eine Reihe strenger Praktiken, die die Sicherheitsgewährleistung und Compliance-Anforderungen unterstützen. Weitere Informationen: Praktiken des Microsoft Security Development Lifecycle

Erfahren Sie mehr über einzelne Sicherheitsfunktionen und finden Sie Antworten auf häufig gestellte Sicherheitsfragen:

• Sicherheits- und Governance-Dokumentation für die Microsoft Power Platform
• Überblick über die Power Platform-Sicherheit
• Datenspeicherung und Data-Governance
• Häufig gestellte Fragen zur Sicherheit in Power Platform

Bewerten Sie Ihre aktuelle Sicherheitslage

Die Bewertung Ihres aktuellen Sicherheitsstatus ist wichtig, um sicherzustellen, dass Ihre Power Platform-Umgebungen und -Workloads sicher sind und den organisatorischen und gesetzlichen Anforderungen entsprechen. Dieser Prozess beinhaltet eine gründliche Bewertung Ihrer vorhandenen Sicherheitsmaßnahmen, -Tools und -praktiken, um Lücken und verbesserungswürdige Bereiche zu identifizieren.

Hier ist ein detaillierter Blick darauf, was diese Bewertung beinhaltet:

1. Sicherheitstools und -technologien: Untersuchen Sie die Sicherheitstools und -technologien, die Sie derzeit zum Schutz Ihrer Power Platform-Umgebung verwenden. Erwägen:
   • Datenrichtlinien: Verwenden Sie Datenrichtlinien, um nicht autorisierte Datenfreigaben zu verhindern?
   • Verschlüsselung Sind sowohl Ihre ruhenden und in Übertragung befindliche Daten verschlüsselt?
   • Identity & Access Management (IAM): Verwenden Sie erweiterte Features von Microsoft Entra ID, wie bedingten Zugriff oder Privileged Identity Management (PIM) für die Authentifizierung und Autorisierung?
2. Sicherheitsrichtlinien und -leitlinien: Überprüfen Sie alle vorliegenden Sicherheitsrichtlinien oder -leitlinien, die für Power Platform insbesondere gelten. Überlegen Sie, ob diese Richtlinien aktuell und umfassend genug sind, um aktuellen Bedrohungen zu begegnen. Zu den wichtigsten zu bewertenden Bereichen gehören:
   • Benutzerzugriffssteuerung: Gibt es klare Richtlinien dafür, wer auf welche Daten und Ressourcen zugreifen darf?
   • Entwicklungsrichtlinien: Haben Sie sichere Codierungspraktiken für die App- und Workflowentwicklung eingereichtet? Sind diese Richtlinien für Ihre Entwickler leicht zugänglich? Verfügen Sie über Prozesse, um neue Entwickler in Bezug auf diese Richtlinien zu schulen?
3. Überwachung und Prüfung: Bewerten Sie, wie Sie derzeit Aktivitäten in Power Platform überwachen und prüfen. Eine effektive Überwachung und Prüfung ist für die Erkennung und Reaktion auf Sicherheitsvorfälle unerlässlich. Unter anderem sollten Sie sich die folgenden wichtigen Fragen stellen:
   • Aktivitätsprotokolle: Erfassen Sie detaillierte Protokolle über Benutzeraktivitäten und Änderungen in der Plattform?
   • Warnmechanismen: Haben Sie Warnungen für verdächtige Aktivitäten oder Richtlinienverstöße eingerichtet?
4. Gesetzliche und Compliance-Anforderungen: Ermitteln Sie alle spezifischen gesetzlichen oder Compliance-Anforderungen, die für Ihre Organisation gelten. Zum Beispiel Datenschutz-Grundverordnung (DSGVO), Health Insurance Portability and Accountability (HIPAA) oder andere branchenspezifische Standards. Stellen Sie sicher, dass Ihre Power Platform-Sicherheitsmaßnahmen diesen Anforderungen entsprechen. Erwägen:
   • Compliance-Prüfungen: Führen Sie regelmäßig Prüfungen durch, sicherzustellen, dass Vorschriften eingehalten werden?
   • Dokumentation: Verfügen Sie über die erforderlichen Unterlagen, um die Einhaltung der Vorschriften bei Prüfungen nachweisen zu können?

Bewerten Sie diese Aspekte, gewinnen Sie ein klares Verständnis Ihrer aktuellen Sicherheitslage und entwickeln Sie dann einen strategischen Plan zur Verbesserung Ihrer Sicherheitsmaßnahmen.

Für die Entwicklung einer robusten Sicherheitsstrategie für Power Platform ist es unerlässlich, dass sie wissen, wie ausgereicht Ihr Sicherheitsstatus ist. Bewerten Sie Ihre aktuelle Sicherheitslage, um festzustellen, wo Sie in Bezug auf Sicherheitspraktiken und -kontrollen stehen. Kategorisieren Sie Ihre Organisation in einen bestimmten Reifegrad – anfänglich, fähig oder effizient –, um eine klare Ausgangsbasis zu schaffen. Diese Baseline hilft Ihnen, bestimmte Aktionspunkte zu identifizieren, die erforderlich sind, um den nächsten Reifegrad zu erreichen. Durch das Umsetzen dieser Aktionspunkte verbessern Sie Ihre Sicherheitsmaßnahmen und sorgen für einen besseren Schutz Ihrer Daten, Anwendungen und Benutzer.

Typische Sicherheitsherausforderungen in Geschäftsanwendungen

Im Zeitalter der KI entwickelt sich die Datenschutzlandschaft rasant weiter. Da die Angriffe immer ausgefeilter werden und Unternehmen Daten zunehmend in KI-gesteuerten Szenarien verwenden, wächst die Nachfrage nach Datenzugriff. Gleichzeitig passen sich die Vorschriften und Anforderungen an, um diesen neuen Bedürfnissen gerecht zu werden. Geschäftsanwendungen stehen vor einzigartigen Sicherheitsherausforderungen, die sich über alle Branchen erstrecken.

Hier sind einige der typischen Herausforderungen und wie Power Platform Ihnen helfen kann, sie zu bewältigen:

• Eingeschränkte Kontrollen, um Angreifer aufzuhalten: Die meisten Geschäftsanwendungen verfügen nur über minimale Kontrollen, um Angreifer aufzuhalten, sobald sie Zugriff erhalten. Herkömmliche Sicherheitsmaßnahmen reichen oft nicht aus, um ausgeklügelte Angriffe zu stoppen, die Schwachstellen im System ausnutzen.
• Insider-Bedrohungen: Bei den Angreifern handelt es sich häufig um Insider, die über legitime Berechtigungen zur Nutzung der Systeme verfügen. Diese Insider wissen, wie sie integrierte Kontrollen umgehen und Ausnahmen innerhalb der Organisation ausnutzen können. Die Erkennung und Abwehr von Insider-Bedrohungen erfordert fortschrittliche Sicherheitsmaßnahmen, die über die standardmäßigen Zugriffskontrollen hinausgehen.
• Subtile Angriffe: Am schwierigsten zu erkennen sind Angriffe, bei denen geringfügige Anpassungen vorgenommen werden, die dem Angreifer zugute kommen, während sie dem Unternehmen Schaden zufügen. Diese subtilen Veränderungen können ohne robuste Überwachung und Analyse leicht unbemerkt bleiben.

Power Platform bietet eine Reihe von Sicherheitskontrollen und -tools, mit denen Sie diese Herausforderungen effektiv bewältigen können – hier sind einige Beispiele dafür, wie die Power Platform-Features Ihren Sicherheitsstatus unterstützen. Lesen Sie die anderen Artikel dieser Reihe, um einen tieferen Einblick in einige dieser Bereiche zu erhalten. Gehen Sie außerdem unsere Sicherheits- und Governance-Dokumentation durch, um zu erfahren, wie Sie die Sicherheit und Governance für Power Platform einrichten und aufrechterhalten.

1. Umfassende Überwachung und Integration: Um Probleme zu erkennen reicht es nicht aus, sich nur auf die Überwachung der Aktivitäten innerhalb Ihrer Geschäftsanwendungen zu verlassen. Sie müssen diese Anwendungen in andere Datenquellen integrieren, um verdächtige Aktivitäten, die andernfalls möglicherweise unbemerkt bleiben, zu erkennen und darauf zu reagieren. Wenn Sie beispielsweise sehen, dass ein Cloud-Flow Kundeninformationen aus Dataverse abruft und eine E-Mail sendet, ist dies an sich vielleicht nicht verdächtig. In Kombination mit anderen Signalen, wie z. B. der Häufigkeit der Cloud-Flow-Ausführungen, ungewöhnlichen geografischen Standorten oder Aktivitäten außerhalb der Geschäftszeiten, können Sie jedoch komplexere Insider-Bedrohungen erkennen. Die Integration von Power Platform mit Microsoft Sentinel ermöglicht eine erweiterte Erkennung von und Reaktion auf Bedrohungen. Durch die Korrelation von Daten aus verschiedenen Quellen kann Microsoft Sentinel Muster und Anomalien identifizieren, die auf potenzielle Sicherheitsbedrohungen hinweisen, und so proaktive Maßnahmen zur Risikominderung ermöglichen.

2. Datenschutz: Durch die Implementierung von Datenrichtlinien in Power Platform können nicht autorisierte Datenfreigaben verhindert und sichergestellt werden, dass vertrauliche Informationen geschützt sind. Diese Richtlinien können auf spezifische organisatorische Anforderungen und Compliance-Anforderungen zugeschnitten werden. Das Feature der IP-Firewall in Power Platform ermöglicht es Administrationsfachkräften, eine IP-basierte Zugriffssteuerung festzulegen und durchzusetzen, um sicherzustellen, dass nur befugte IP-Adressen auf die Power Platform-Umgebung zugreifen können. Mit IP-Firewalls können Unternehmen Risiken im Zusammenhang mit unbefugtem Zugriff und Datenpannen eindämmen und so die Sicherheit ihrer Power Platform-Bereitstellungen insgesamt verbessern. Durch die Unterstützung des virtuellen Netzwerks in Power Platform können Organisationen ihren Netzwerkdatenverkehr isolieren und strenge Sicherheitsrichtlinien durchzusetzen. Durch die Virtual-Network-Integration können Power Platform-Umgebungen eine sichere Verbindung mit lokalen Netzwerken und anderen Azure-Diensten herstellen, sodass Daten immer innerhalb vertrauenswürdiger Netzwerkgrenzen bleiben.

3. Identity & Access Management (IAM): Verwenden Sie Microsoft Entra ID für ein robustes Identity & Access Management. Funktionen wie bedingter Zugriff und Multifaktorauthentifizierung erhöhen die Sicherheit, indem sie sicherstellen, dass nur autorisierte Benutzer auf kritische Ressourcen zugreifen können.

4. Sichere Entwicklungspraktiken: Die Einrichtung sicherer Codierungspraktiken für die Workload-Entwicklung ist von entscheidender Bedeutung. Stellen Sie sicher, dass diese Richtlinien für Ihre Entwickler leicht zugänglich sind, und schulen Sie neue Entwickler zu diesen Praktiken. Diese Strategie trägt dazu bei, sichere Anwendungen von Grund auf neu zu entwickeln.

5. Verwaltete Sicherheit: Verwaltete Sicherheit ist eine Suite aus Premium-Funktionen, die erweiterten Schutz bietet und es Fachkräften für die Sicherheitsadministration erlaubt, den Zugriff auf Kundendaten und -ressourcen effektiv zu verwalten und zu sichern. Es vereint die fortschrittlichsten Funktionen von Microsoft in den Bereichen Bedrohungsschutz, Datenschutz und Privatsphäre, Identitäts- und Zugriffsmanagement sowie Compliance, um Kunden bei der Bewältigung der heutigen Herausforderungen im Bereich der Cybersicherheit zu unterstützen.

Die zehn größten Sicherheitsrisiken laut OWASP berücksichtigen

Das Open Worldwide Application Security Project® (OWASP) ist eine gemeinnützige Stiftung, die sich der Verbesserung der Softwaresicherheit verschrieben hat. OWASP hat die zehn größten Sicherheitsrisiken im Zusammenhang mit Low-Code/No-Code-Plattformen identifiziert. Diese Liste wird regelmäßig auf der Grundlage des Feedbacks der Sicherheits-Community aktualisiert, um sicherzustellen, dass sie relevant und umfassend bleibt.

Diese Risiken sind auf allen Low-Code-/No-Code-Plattformen vorhanden, und ihre Behebung erfordert eine Kombination aus plattformspezifischen Sicherheitsfunktionen und organisatorischen Sicherheitsprozessen. Die Verwendung einer Low-Code/No-Code-Plattform kann zwar einige Sicherheitsrisiken mindern, beseitigt aber nicht alle.

Der OWASP-Leitfaden ist zwar allgemein gehalten und gilt für jedes Produkt und jede Organisation, doch Microsoft veröffentlicht spezifische Leitlinien zur Eindämmung der zehn größten Low-Code-/No-Code-Sicherheitsrisiken, die auf Power Platform zugeschnitten sind. Dieser Leitfaden enthält detaillierte Strategien und bewährte Methoden, mit denen Sie Ihre Power Platform-Umgebung effektiv schützen können. Weitere Informationen: Microsoft-Leitfaden zu Low-Code-/No-Code-Sicherheitsrisiken für Power Platform

Wenn Sie diese 10 größten Sicherheitsrisiken verstehen und angehen, können Sie die Sicherheit Ihrer Low-Code-/No-Code-Lösungen erheblich verbessern. Berücksichtigen Sie Ihre aktuellen Sicherheitsherausforderungen und wie sie mit diesen Risiken zusammenhängen. Die Implementierung der empfohlenen Sicherheitsmaßnahmen trägt zum Schutz der Daten und Anwendungen Ihrer Organisation bei und macht die Power Platform-Umgebung sicher und resilient.

Finden Sie das richtige Maß an Sicherheitsreibung

Finden Sie die richtige Balance bei den Sicherheitsmaßnahmen, um sowohl die Produktivität als auch die Sicherheit in Ihrem Unternehmen aufrechtzuerhalten. Benutzende benötigen ausreichende Hinweise zur Sicherheit, um ihre Ressourcen zu schützen, übermäßig restriktive Maßnahmen können sie jedoch weniger effizient machen. Wenn Sicherheitsprotokolle zu umständlich sind oder nicht gut verstanden werden, können Benutzer frustriert sein und versuchen, sie zu umgehen, was zu riskanten „Schatten-IT“-Praktiken führt. Solche Praktiken untergraben nicht nur die Sicherheitsbemühungen, sondern erhöhen auch das Gesamtrisiko für das Unternehmen. Daher ist es wichtig, robuste und dennoch benutzerfreundliche Sicherheitsmaßnahmen zu implementieren, damit Benutzende effizient arbeiten und gleichzeitig ihre Ressourcen schützen können.

Durch Sicherheit entsteht unweigerlich Reibung, die Prozesse verlangsamen kann. Es ist wichtig zu ermitteln, welche Elemente in Ihren IT-Prozessen fehlerfrei sind und welche nicht.

• Gesunde Reibung: Ähnlich wie der Widerstand beim Training einen Muskel stärkt, stärkt die Integration des richtigen Maßes an Sicherheitsreibung das System oder die Anwendung, da sie zur rechten Zeit zum kritischen Denken zwingt. Dieser Prozess umfasst die Überlegung, wie und warum ein Angreifer versuchen könnte, eine Anwendung oder ein System während des Entwurfs zu kompromittieren (bekannt als Bedrohungsmodellierung), und die Überprüfung, Identifizierung und Behebung potenzieller Schwachstellen, die Angreifer in Softwarecode, Konfigurationen oder Betriebspraktiken ausnutzen können.

• Ungesunde Reibung: Ungesunde Reibung beeinträchtigt eher den Wert, als dass sie schützt. Beispiele hierfür sind Sicherheitslücken, die durch Tools generiert werden, die eine hohe Falsch-Positiv-Rate zurückgeben (z. B. Fehlalarme), oder wenn der Aufwand, Sicherheitsprobleme zu erkennen oder zu beheben, die potenziellen Auswirkungen eines Angriffs bei weitem übersteigt.

Machen Sie Sicherheit zu einer Priorität

Sicherheit sollte für Sie absoluten Vorrang haben, wenn Sie mit der Einführung von Power Platform beginnen, und Ihnen nicht erst am Ende einfallen. Das Ignorieren von Sicherheitsanforderungen kann zu ernsthaften rechtlichen, finanziellen und geschäftlichen Risiken und Verzögerungen in Ihrem Projekt führen. Dies kann sich auch auf die allgemeine Skalierbarkeit und Leistung der Lösung auswirken.

Machen Sie Sicherheit vom ersten Tag an zur Priorität. Berücksichtigen Sie, wie sich Sicherheit auf Skalierbarkeit, Leistung, Compliance, Rolloutpläne, Berichterstellung und betriebliche Aspekte auswirkt.. Fügen Sie spezifische Beispiele aus jedem Produkt hinzu, die auf den besprochenen Konzepten aufbauen.

Nächster Schritt

Durch eine umfassende Sicherheitsstrategie für die Power Platform-Einführung entsteht ein Framework, das sensible Daten schützt, gesetzliche Standards einhält und die Skalierbarkeit des Unternehmens unterstützt.

Verwandte Informationen

• Low-Code-Sicherheit und -Governance
• Microsoft-Compliance
• Sicherheits- und Governance-Dokumentation für die Microsoft Power Platform
• Sicherheits- und Governance-Dokumentation für die Microsoft Copilot Studio
• Microsoft Copilot Studio Einhaltungsangebote
• Häufig gestellte Fragen zur verantwortungsvollen KI für Microsoft Power Platform
• Häufig gestellte Fragen zur verantwortungsvollen KI für Copilot Studio