IntelyCare

Wie ein innovatives SaaS-Unternehmen für Gesundheitstechnologien mithilfe von Tenable Cloud Security die Risikominderung und das Prinzip der geringsten Rechte automatisiert

Die Herausforderung

Als Unternehmen für Gesundheitstechnologie mit einem Cloud-nativen Ansatz entwickelt und betreibt IntelyCare das Geschäft mit mehreren AWS-Konten. Weil die Kunden- und Nutzerbasis des Unternehmens sowie die Nutzung von Gesundheitsdaten in jüngster Zeit enorm zugenommen haben, ist seine Cloud-Plattform durch Kriminelle gefährdet.

Larry Viviano, Director of Information Security bei IntelyCare, stellt fest: „Wir sind für Identitätsdiebe ein attraktives Ziel, weil unsere Telecare-Mitarbeiter sensible Daten hochladen – geschützte personenbezogene Daten wie COVID-Tests, Impfungen und Krankenakten der Patienten.“

Larry Viviano hatte eine klare Vorstellung davon, wie er seine Cloud-Infrastruktur schützen wollte. Zunächst richtete er sie an den Benchmarks des Center for Internet Security (CIS) aus. „Eines der ersten Dinge, nach denen CIS Sie fragt, ist Ihr Software- und Hardwarebestand.“ Um eine entsprechende Liste vorlegen zu können, benötigte Larry Viviano einen Überblick über alle Bestandskomponenten in der komplexen Cloud-Umgebung. Außerdem wollte er die Risikominderung automatisieren. „Mein Steckenpferd ist die Automatisierung. Wir sind ein kleines Sicherheitsteam, das viel zu tun hat. Deshalb setze ich entsprechende Tools ein, um die Mitarbeiter zu unterstützen und die Produktivität zu steigern.“

Allerdings musste Larry Viviano Folgendes feststellen: „Im Laufe der Jahre bin ich von vielen Automatisierungstools enttäuscht worden, die vorgeben, etwas zu können, was sie nicht können, und dadurch die Produktion stören. Das sorgt für einen schlechten Ruf der Sicherheitsfachkräfte beim DevOps-Team, das nicht will, dass die Sicherheit seine Systeme aushebelt.“ Um seine Ziele umzusetzen, wollte Larry Viviano seine Stakeholder in Sachen Cloud-Sicherheit an Bord haben – er wollte ihr Vertrauen gewinnen.

Die Lösung

Larry Viviano erinnert sich: „Ich habe mich früher bei einem anderen Unternehmen bereits etwas mit [Tenable Cloud Security] beschäftigt und festgestellt, dass diese Lösung Einblicke in den Zugriff und die Berechtigungen bietet, die normalerweise den Bereichen DevOps, Engineering oder Infrastruktur vorbehalten sind. [Tenable] ermöglichte mir einen umfassenden Einblick und demonstrierte den Stakeholdern, wie wir ihnen Arbeit abnehmen konnten – dies war der erste Anwendungsfall, und Tenable landete einen Volltreffer.“

Das Sicherheitsteam von IntelyCare begann zunächst mit der Bereitstellung von Tenable Cloud Security in einer seiner Staging-Umgebungen und konzentrierte sich dabei auf die höchsten Risiken. Die Plattform priorisiert diese nach Schweregrad. „[Tenable] erkennt Risiken und nennt Ihnen entsprechende Gegenmaßnahmen. Dieser verbindliche Ansatz ist großartig, wenn vielen verschiedenen Gruppen erklärt werden muss, was zu tun ist“, freut sich Larry Vivano. „Wir konnten das Vertrauen in die Sicherheit so weit stärken, dass wir gesagt haben: ‚Lasst uns damit beginnen, einige unserer Probleme mit AWS-Risiken zu beheben.‘ Mithilfe von [Tenable Cloud Security] haben wir alle privilegierten Konfigurationen für IAM-Benutzer und dann für Dienste eliminiert; wir haben alle automatischen Behebungsmaßnahmen durchgeführt, die wir konnten, und das innerhalb von zwei Monaten. All das hat keinen Schaden angerichtet. Also haben wir weitergemacht, die Liste abgearbeitet und weitere Risiken aus dem Weg geräumt.“

Larry Viviano fährt fort: „Da das Sicherheitspersonal AWS nicht auf dieser Ebene nutzt, setzen wir [Tenable] als Tool für die Zusammenarbeit ein. Damit können wir ein übersichtliches Playbook für Behebungsmaßnahmen an die relevanten Stellen weitergeben, um ihnen die Durchführung zu erleichtern. Wir erstellen ein Sicherheitsticket in [Tenable Cloud Security], weisen es unserem Jira-Workflow zu und das war’s.“

Die Plattform unterstützt die Sicherheitsstrategie von IntelyCare. Larry Viviano erklärt: „Wir müssen unsere CIS-Benchmarks im grünen Bereich halten. Genau dabei hilft uns [Tenable], denn es verschafft uns nicht nur einen Einblick in unsere Cloud-Identitäten, sondern auch in Fehlkonfigurationen, die sich auf die Benchmarks auswirken und daher behoben werden sollten – und das können wir dann auch tun.“ Im Rahmen von CIS-Benchmark-Initiativen hat IntelyCare außerdem kürzlich die Multi-Faktor-Authentifizierung eingeführt. Dies ist nur ein weiterer von vielen Risikofaktoren, die Tenable überwacht.

IntelyCare erweitert derzeit die Bereitstellung von Tenable Cloud Security auf alle AWS-Umgebungen. Dies erstreckt sich auch auf Kubernetes und die Produktionsumgebung. Larry Viviano führt aus: „[Tenable Cloud Security] ist für uns sehr wichtig, damit wir wissen, wie unsere AWS-Umgebungen genutzt werden. Die Alternative wäre mit einem extrem hohen manuellen Aufwand verbunden. Man müsste beispielsweise bei DevOps VM-Listen anfordern und dann versuchen, das Risiko zu ermitteln und herauszufinden, wie man sich davor schützen kann.“ Er fährt fort: „Was ich mit [Tenable] in wenigen Minuten darstellen und erledigen kann, hätte zwei oder drei Sicherheitsexperten Monate gekostet. Um ehrlich zu sein, halte ich genau das für den Punkt, an dem sich [Tenable] auszahlt: durch die Automatisierung dieser Vorgänge und die Bereitstellung von Snapshot-Einblicken.“

Larry Viviano fügt hinzu: „Demnächst werden wir die von [Tenable Cloud Security] empfohlenen Richtlinien umsetzen. Wir wollen in unserem Unternehmen unbedingt das Prinzip der geringsten Rechte nutzen – und [Tenable] hilft uns dabei, dieses Ziel zu erreichen. [Tenable] deckt einen Bereich ab, der von keiner unserer anderen Lösungen für die Cloud-Sicherheit unterstützt wird: Sichtbarkeit sowie Vertrauen und Zusammenarbeit zwischen dem Sicherheitsteam und DevOps und anderen Teams, um das Identitätsrisiko zu minimieren. Damit kann ich meine Sicherheitsziele für das Unternehmen erreichen.“