Ihren Sicherheitsstatus und Ihre Herausforderungen verstehen

Die Hauptziele von Sicherheitsteams ändern sich mit der Einführung von Power Platform nicht. Die Methoden zur Erreichung dieser Ziele werden sich jedoch weiterentwickeln. Sicherheitsteams müssen weiterhin der Reduzierung des Geschäftsrisikos durch Angriffe Priorität einräumen und sicherstellen, dass Vertraulichkeit, Integrität und Verfügbarkeit in allen Informationssystemen und Daten verankert sind.

Sicherheit ist der Schutz von IT-Systemen und Netzwerken vor Diebstahl, Beschädigung oder Störung. Power Platform ist ein Cloudangebot von Microsoft. Sie besitzen Ihre Daten, teilen aber die Kontrolle über Workloads mit Microsoft. Die betrieblichen und sicherheitsrelevanten Verantwortlichkeiten für Workloads werden zwischen Ihnen und Microsoft aufgeteilt.

Das folgende Diagramm veranschaulicht, wie Sicherheitsaufgaben zwischen Ihnen und Microsoft verteilt werden.

In diesem Artikel werden die Sicherheitsprinzipien und -praktiken erläutert, die für Power Platform gelten. Außerdem werden Sie aufgefordert, zu bewerten, was Sie heute tun, um Power Platform-Lösungen abzusichern, und es werden die nächsten Schritte zum Aufbau Ihres Aktionsplans erläutert.

Microsoft Sicherheitsgrundlegung

Organisationen existieren nicht isoliert. Sie arbeiten miteinander und mit ihren Kunden. Sie bilden die unerlässlichen Lieferketten, von denen wir alle abhängen. Wir müssen zusammenarbeiten, um unsere Mitarbeiter, Daten und Infrastruktur zu schützen. Microsoft bietet einen mutigen, umfassenden Ansatz für Sicherheit, der end-to-end, best-in-breed und KI-basiert ist.

Microsoft hat seit Mitte der 2000er Jahre massive Investitionen in Sicherheit getätigt. Mehr als 3.500 Microsoft Ingenieure arbeiten an proaktiver Bewältigung der sich ständig verschiebten Bedrohungslandschaft. Microsoft Sicherheit beginnt beim Bios-Kernel auf dem Chip und erweitert sich bis zur Benutzererfahrung. Heute ist unser Sicherheitsportfolio das fortschrittlichste der Branche. Microsoft wird allgemein als weltweiter Marktführer im Kampf gegen böswillige Akteure angesehen. Milliarden von Computern, Billionen von Anmeldungen und Zettabytes an Daten werden dem Schutz von Microsoft anvertraut.

Microsoft arbeitet an diesem Ziel, indem sie sich auf Tools und Funktionen konzentrieren, die die folgenden hohen Ziele unterstützen:

• Alles schützen. Schützen Sie Ihr gesamtes Unternehmen mit integrierten Sicherheitslösungen für Unternehmen, die plattform- und cloudübergreifend gut funktionieren. Zu diesem Ziel gehört es, die Power Platform-Lösungen Ihrer Organisation zu einem Teil Ihrer geschützten Ressourcen zu machen.
• Das Komplexe einfach machen. Priorisieren Sie die richtigen Risiken mit Management-Tools, die das menschliche Know-how in Ihrem Unternehmen optimal nutzen. Integrieren Sie die Verwaltung der Sicherheit von Power Platform-Geschäftsanwendungen in Ihre Verwaltungstools, um zusätzliche Komplexität zu vermeiden.
• Einfangen, was anderen entgeht. Nutzen Sie führende KI, Automatisierung und Fachwissen, um Cyberbedrohungen schnell zu finden und zu stoppen und Ihre Sicherheitsposition zu stärken.

Diese Sicherheitsziele fördern die Innovation in den folgenden Microsoft integrierten Sicherheitsprodukten:

• Microsoft Defender: Stoppen Sie Cyberangriffe auf Ihren Geräten, Identitäten, Apps, E-Mails und Clouds mit branchenführenden Produkten für erweiterte Erkennung und Reaktion (XDR).
• Microsoft Sentinel: Schützen Sie sich vor Cyberbedrohungen mit KI-gestützter Sicherheits- und Ereignisverwaltung (SIEM), die Daten aus Ihrem gesamten Unternehmen aggregiert, um Ihnen eine unübertroffene Sichtbarkeit zu bieten.
• Microsoft Entra: Überprüfen Sie jede Identitäts- und Zugriffsanforderung in Ihren Clouds, Plattformen und Geräten mit einer einheitlichen Gruppe von Identitäts- und Zugriffsprodukten.
• Microsoft Purview: Schützen Sie Daten, wo immer sie sich befinden, mit Produkten für Informationsschutz, Governance und Compliance, die darauf ausgelegt sind, nahtlos zusammenzuarbeiten.
• Microsoft Priva: Respektieren Sie den Datenschutz von Kunden und Mitarbeitern mit Produkten, die Risiken reduzieren und die Compliance auf einer einzigen Plattform verwalten.
• Microsoft Intune: Stärken Sie die Gerätesicherheit und ermöglichen nahtlose hybride Arbeitserfahrungen mit einer Familie von Endpoint-Verwaltungsprodukten.

Diese Produkte arbeiten zusammen, um eine stärkere Abwehr zu bilden. Power Platform baut auf dieser Grundlage auf, um die Sicherheit der von Ihnen erstellten Geschäftsanwendungen noch weiter zu erhöhen.

Sicherheit in Power Platform

Power Platform baut auf einer Sicherheitsgrundlage auf. Es verwendet den gleichen Sicherheitsstapel, der Azure als vertrauenswürdigen Verwahrer der vertraulichsten Daten der Welt positioniert und nahtlos in die erweiterten Informationsschutz- und Compliance-Tools von Microsoft 365 integriert. Power Platform bietet einen End-to-End-Schutz, der auf die größten Herausforderungen unserer Kunden zugeschnitten ist.

Der Power Platform-Dienst unterliegt den Microsoft Online services Terms und den Microsoft Enterprise Privacy Statement. Informationen zum Ort der Datenverarbeitung finden Sie in den Nutzungsbedingungen für Bedingungen von Microsoft Online Services und im Datenschutznachtrag.

Das Microsoft Trust Center ist die primäre Ressource für Power Platform-Complianceinformationen. Weitere Informationen finden Sie unter Microsoft Compliance-Angebote.

Der Power Platform-Dienst folgt dem Security Development Lifecycle (SDL). Das SDL ist eine Reihe strenger Praktiken, die die Sicherheitsgewährleistung und Compliance-Anforderungen unterstützen. Weitere Informationen: Microsoft Security Development Lifecycle Practices

Erfahren Sie mehr über einzelne Sicherheitsfunktionen und finden Sie Antworten auf häufig gestellte Sicherheitsfragen:

• Microsoft Power Platform-Dokumentation zu Sicherheit und Governance
• Überblick über die Power Platform-Sicherheit
• Datenspeicherung und Data-Governance
• Häufig gestellte Fragen zur Sicherheit in Power Platform

Bewerten Sie Ihre aktuelle Sicherheitslage

Die Bewertung Ihres aktuellen Sicherheitsstatus ist wichtig, um sicherzustellen, dass Ihre Power Platform-Umgebungen und -Workloads sicher sind und den organisatorischen und gesetzlichen Anforderungen entsprechen. Dieser Prozess beinhaltet eine gründliche Bewertung Ihrer vorhandenen Sicherheitsmaßnahmen, -Tools und -praktiken, um Lücken und verbesserungswürdige Bereiche zu identifizieren.

Hier ist ein detaillierter Blick darauf, was diese Bewertung beinhaltet:

1. Sicherheitstools und -technologien: Untersuchen Sie die Sicherheitstools und -technologien, die Sie derzeit zum Schutz Ihrer Power Platform-Umgebung verwenden. Bedenken Sie Folgendes:
   • Datenrichtlinien: Verwenden Sie Datenrichtlinien, um nicht autorisierte Datenfreigaben zu verhindern?
   • Verschlüsselung Sind sowohl Ihre ruhenden und in Übertragung befindliche Daten verschlüsselt?
   • Identity and Access Management (IAM): Verwenden Sie erweiterte Features von Microsoft Entra ID, z. B. bedingten Zugriff oder Privileged Identity Management (PIM), zur Authentifizierung und Autorisierung?
2. Sicherheitsrichtlinien und -leitlinien: Überprüfen Sie alle vorliegenden Sicherheitsrichtlinien oder -leitlinien, die für Power Platform insbesondere gelten. Überlegen Sie, ob diese Richtlinien aktuell und umfassend genug sind, um aktuellen Bedrohungen zu begegnen. Zu den wichtigsten zu bewertenden Bereichen gehören:
   • Benutzerzugriffssteuerung: Gibt es klare Richtlinien dafür, wer auf welche Daten und Ressourcen zugreifen darf?
   • Entwicklungsrichtlinien: Haben Sie sichere Codierungspraktiken für die App- und Workflowentwicklung eingerichtet? Sind diese Richtlinien für Ihre Entwickler leicht zugänglich? Verfügen Sie über Prozesse, um neue Entwickler in Bezug auf diese Richtlinien zu schulen?
3. Überwachung und Prüfung: Bewerten Sie, wie Sie derzeit Aktivitäten in Power Platform überwachen und prüfen. Eine effektive Überwachung und Prüfung ist für die Erkennung und Reaktion auf Sicherheitsvorfälle unerlässlich. Unter anderem sollten Sie sich die folgenden wichtigen Fragen stellen:
   • Aktivitätsprotokolle: Erfassen Sie detaillierte Protokolle über Benutzeraktivitäten und Änderungen in der Plattform?
   • Warnmechanismen: Haben Sie Warnungen für verdächtige Aktivitäten oder Richtlinienverstöße eingerichtet?
4. Gesetzliche und Compliance-Anforderungen: Ermitteln Sie alle spezifischen gesetzlichen oder Compliance-Anforderungen, die für Ihre Organisation gelten. Zum Beispiel Datenschutz-Grundverordnung (DSGVO), Health Insurance Portability and Accountability (HIPAA) oder andere branchenspezifische Standards. Stellen Sie sicher, dass Ihre Power Platform-Sicherheitsmaßnahmen diesen Anforderungen entsprechen. Bedenken Sie Folgendes:
   • Compliance-Prüfungen: Führen Sie regelmäßig Prüfungen durch, sicherzustellen, dass Vorschriften eingehalten werden?
   • Dokumentation: Verfügen Sie über die erforderlichen Unterlagen, um die Einhaltung der Vorschriften bei Prüfungen nachweisen zu können?

Bewerten Sie diese Aspekte, gewinnen Sie ein klares Verständnis Ihrer aktuellen Sicherheitslage und entwickeln Sie dann einen strategischen Plan zur Verbesserung Ihrer Sicherheitsmaßnahmen.

Für die Entwicklung einer robusten Sicherheitsstrategie für Power Platform ist es unerlässlich, dass sie wissen, wie ausgereicht Ihr Sicherheitsstatus ist. Bewerten Sie Ihre aktuelle Sicherheitslage, um festzustellen, wo Sie in Bezug auf Sicherheitspraktiken und -kontrollen stehen. Kategorisieren Sie Ihre Organisation in einen bestimmten Reifegrad – anfänglich, fähig oder effizient –, um eine klare Ausgangsbasis zu schaffen. Diese Baseline hilft Ihnen, bestimmte Aktionspunkte zu identifizieren, die erforderlich sind, um den nächsten Reifegrad zu erreichen. Durch das Umsetzen dieser Aktionspunkte verbessern Sie Ihre Sicherheitsmaßnahmen und sorgen für einen besseren Schutz Ihrer Daten, Anwendungen und Benutzer.

Typische Sicherheitsherausforderungen in Geschäftsanwendungen

Im Zeitalter der KI entwickelt sich die Datenschutzlandschaft rasant weiter. Da die Angriffe immer ausgefeilter werden und Unternehmen Daten zunehmend in KI-gesteuerten Szenarien verwenden, wächst die Nachfrage nach Datenzugriff. Gleichzeitig passen sich die Vorschriften und Anforderungen an, um diesen neuen Bedürfnissen gerecht zu werden. Geschäftsanwendungen stehen vor einzigartigen Sicherheitsherausforderungen, die sich über alle Branchen erstrecken.

Hier sind einige der typischen Herausforderungen und wie Power Platform Ihnen helfen kann, sie zu bewältigen:

• Eingeschränkte Kontrollen, um Angreifer aufzuhalten: Die meisten Geschäftsanwendungen verfügen nur über minimale Kontrollen, um Angreifer aufzuhalten, sobald sie Zugriff erhalten. Herkömmliche Sicherheitsmaßnahmen reichen oft nicht aus, um ausgeklügelte Angriffe zu stoppen, die Schwachstellen im System ausnutzen.
• Insider-Bedrohungen: Bei den Angreifern handelt es sich häufig um Insider, die über legitime Berechtigungen zur Nutzung der Systeme verfügen. Diese Insider wissen, wie sie integrierte Kontrollen umgehen und Ausnahmen innerhalb der Organisation ausnutzen können. Die Erkennung und Abwehr von Insider-Bedrohungen erfordert fortschrittliche Sicherheitsmaßnahmen, die über die standardmäßigen Zugriffskontrollen hinausgehen.
• Subtile Angriffe: Am schwierigsten zu erkennen sind Angriffe, bei denen geringfügige Anpassungen vorgenommen werden, die dem Angreifer zugute kommen, während sie dem Unternehmen Schaden zufügen. Diese subtilen Veränderungen können ohne robuste Überwachung und Analyse leicht unbemerkt bleiben.

Power Platform bietet eine Reihe von Sicherheitskontrollen und -tools, mit denen Sie diese Herausforderungen effektiv bewältigen können – hier sind einige Beispiele dafür, wie die Power Platform-Features Ihren Sicherheitsstatus unterstützen. Lesen Sie die anderen Artikel dieser Reihe, um eine tiefere Abdeckung dieser Bereiche zu erhalten, und lesen Sie unsere Sicherheits- und Governancedokumentation , um zu erfahren, wie Sie Sicherheit und Governance für Power Platform einrichten und verwalten.

1. Umfassende Überwachung und Integration: Um Probleme zu erkennen reicht es nicht aus, sich nur auf die Überwachung der Aktivitäten innerhalb Ihrer Geschäftsanwendungen zu verlassen. Sie müssen diese Anwendungen in andere Datenquellen integrieren, um verdächtige Aktivitäten, die andernfalls möglicherweise unbemerkt bleiben, zu erkennen und darauf zu reagieren. Wenn Sie beispielsweise sehen, dass ein Cloud-Flow Kundeninformationen aus Dataverse abruft und eine E-Mail sendet, ist dies an sich vielleicht nicht verdächtig. In Kombination mit anderen Signalen, wie z. B. der Häufigkeit der Cloud-Flow-Ausführungen, ungewöhnlichen geografischen Standorten oder Aktivitäten außerhalb der Geschäftszeiten, können Sie jedoch komplexere Insider-Bedrohungen erkennen. Die Integration von Power Platform in Microsoft Sentinel ermöglicht erweiterte Bedrohungserkennung und -reaktion. Durch das Korrelieren von Daten aus verschiedenen Quellen können Microsoft Sentinel Muster und Anomalien identifizieren, die potenzielle Sicherheitsbedrohungen angeben und proaktive Maßnahmen zur Risikominderung ermöglichen.

2. Datenschutz: Durch die Implementierung von Datenrichtlinien in Power Platform können nicht autorisierte Datenfreigaben verhindert und sichergestellt werden, dass vertrauliche Informationen geschützt sind. Diese Richtlinien können auf spezifische organisatorische Anforderungen und Compliance-Anforderungen zugeschnitten werden. Das Feature der IP-Firewall in Power Platform ermöglicht es Administrationsfachkräften, eine IP-basierte Zugriffssteuerung festzulegen und durchzusetzen, um sicherzustellen, dass nur befugte IP-Adressen auf die Power Platform-Umgebung zugreifen können. Mit IP-Firewalls können Unternehmen Risiken im Zusammenhang mit unbefugtem Zugriff und Datenpannen eindämmen und so die Sicherheit ihrer Power Platform-Bereitstellungen insgesamt verbessern. Virtual Network Support in Power Platform ermöglicht Organisationen, ihren Netzwerkdatenverkehr zu isolieren und strenge Sicherheitsrichtlinien durchzusetzen. Virtual Network Integration ermöglicht es Power Platform-Umgebungen, eine sichere Verbindung mit lokalen Netzwerken und anderen Azure-Diensten herzustellen und sicherzustellen, dass Daten innerhalb vertrauenswürdiger Netzwerkgrenzen verbleiben.

3. Identity and Access Management (IAM): Verwenden Sie Microsoft Entra ID für eine robuste Identitäts- und Zugriffsverwaltung. Funktionen wie bedingter Zugriff und Multifaktorauthentifizierung erhöhen die Sicherheit, indem sie sicherstellen, dass nur autorisierte Benutzer auf kritische Ressourcen zugreifen können.

4. Sichere Entwicklungspraktiken: Die Einrichtung sicherer Codierungspraktiken für die Workload-Entwicklung ist von entscheidender Bedeutung. Stellen Sie sicher, dass diese Richtlinien für Ihre Entwickler leicht zugänglich sind, und schulen Sie neue Entwickler zu diesen Praktiken. Diese Strategie trägt dazu bei, sichere Anwendungen von Grund auf neu zu entwickeln.

5. Verwaltete Sicherheit: Verwaltete Sicherheit ist eine Suite aus Premium-Funktionen, die erweiterten Schutz bietet und es Fachkräften für die Sicherheitsadministration erlaubt, den Zugriff auf Kundendaten und -ressourcen effektiv zu verwalten und zu sichern. Sie vereint Microsofts fortschrittlichsten Bedrohungsschutz, Datenschutz und Privatsphäre, Identitäts- und Zugriffsverwaltung sowie Compliance-Funktionen, um Kunden dabei zu helfen, den heutigen Herausforderungen der Cybersicherheit zu begegnen.

Die zehn größten Sicherheitsrisiken laut OWASP berücksichtigen

Die Open Worldwide Application Security Project ® (OWASP) ist eine gemeinnützige Stiftung zur Verbesserung der Softwaresicherheit. OWASP identifizierte die wichtigsten 10 Risiken für die Bürgerentwicklung im Zusammenhang mit Low-Code-/No-Code-Plattformen. Diese Liste wird regelmäßig auf der Grundlage des Feedbacks der Sicherheits-Community aktualisiert, um sicherzustellen, dass sie relevant und umfassend bleibt.

Diese Risiken sind auf allen Low-Code-/No-Code-Plattformen vorhanden, und ihre Behebung erfordert eine Kombination aus plattformspezifischen Sicherheitsfunktionen und organisatorischen Sicherheitsprozessen. Die Verwendung einer Low-Code/No-Code-Plattform kann zwar einige Sicherheitsrisiken mindern, beseitigt aber nicht alle.

Während die Richtlinien von OWASP generisch sind und für jedes Produkt und jede Organisation gelten, veröffentlicht Microsoft spezifische Anleitungen zur Reduzierung der wichtigsten 10 Sicherheitsrisiken mit geringem Code und ohne Code, die auf Power Platform zugeschnitten sind. Dieser Leitfaden enthält detaillierte Strategien und bewährte Methoden, mit denen Sie Ihre Power Platform-Umgebung effektiv schützen können. Weitere Informationen: Microsofts Leitfaden zu Sicherheitsrisiken von Low-Code/No-Code für die Power Platform

Wenn Sie diese 10 größten Sicherheitsrisiken verstehen und angehen, können Sie die Sicherheit Ihrer Low-Code-/No-Code-Lösungen erheblich verbessern. Berücksichtigen Sie Ihre aktuellen Sicherheitsherausforderungen und wie sie mit diesen Risiken zusammenhängen. Die Implementierung der empfohlenen Sicherheitsmaßnahmen trägt zum Schutz der Daten und Anwendungen Ihrer Organisation bei und macht die Power Platform-Umgebung sicher und resilient.

Finden Sie das richtige Maß an Sicherheitsreibung

Finden Sie die richtige Balance bei den Sicherheitsmaßnahmen, um sowohl die Produktivität als auch die Sicherheit in Ihrem Unternehmen aufrechtzuerhalten. Benutzende benötigen ausreichende Hinweise zur Sicherheit, um ihre Ressourcen zu schützen, übermäßig restriktive Maßnahmen können sie jedoch weniger effizient machen. Wenn Sicherheitsprotokolle zu umständlich sind oder nicht gut verstanden werden, können Benutzer frustriert sein und versuchen, sie zu umgehen, was zu riskanten „Schatten-IT“-Praktiken führt. Solche Praktiken untergraben nicht nur die Sicherheitsbemühungen, sondern erhöhen auch das Gesamtrisiko für das Unternehmen. Daher ist es wichtig, robuste und dennoch benutzerfreundliche Sicherheitsmaßnahmen zu implementieren, damit Benutzende effizient arbeiten und gleichzeitig ihre Ressourcen schützen können.

Durch Sicherheit entsteht unweigerlich Reibung, die Prozesse verlangsamen kann. Es ist wichtig zu ermitteln, welche Elemente in Ihren IT-Prozessen fehlerfrei sind und welche nicht.

• Gesunde Reibung: Ähnlich wie der Widerstand beim Training einen Muskel stärkt, stärkt die Integration des richtigen Maßes an Sicherheitsreibung das System oder die Anwendung, da sie zur rechten Zeit zum kritischen Denken zwingt. Dieser Prozess umfasst die Überlegung, wie und warum ein Angreifer versuchen könnte, eine Anwendung oder ein System während des Entwurfs zu kompromittieren (bekannt als Bedrohungsmodellierung), und die Überprüfung, Identifizierung und Behebung potenzieller Schwachstellen, die Angreifer in Softwarecode, Konfigurationen oder Betriebspraktiken ausnutzen können.

• Ungesunde Reibung: Ungesunde Reibung beeinträchtigt eher den Wert, als dass sie schützt. Beispiele hierfür sind Sicherheitslücken, die durch Tools generiert werden, die eine hohe Falsch-Positiv-Rate zurückgeben (z. B. Fehlalarme), oder wenn der Aufwand, Sicherheitsprobleme zu erkennen oder zu beheben, die potenziellen Auswirkungen eines Angriffs bei weitem übersteigt.

Machen Sie Sicherheit zu einer Priorität

Sicherheit sollte Ihre erste Priorität sein, wenn Sie mit der Einführung der Power Platform beginnen, und nicht nachträglich bedacht werden. Das Ignorieren von Sicherheitsanforderungen kann zu ernsthaften rechtlichen, finanziellen und geschäftlichen Risiken und Verzögerungen in Ihrem Projekt führen. Dies kann sich auch auf die allgemeine Skalierbarkeit und Leistung der Lösung auswirken.

Machen Sie Sicherheit vom ersten Tag an zur Priorität. Berücksichtigen Sie, wie sich Sicherheit auf Skalierbarkeit, Leistung, Compliance, Rolloutpläne, Berichterstellung und betriebliche Aspekte auswirkt.. Fügen Sie spezifische Beispiele aus jedem Produkt hinzu, die auf den besprochenen Konzepten aufbauen.

Nächster Schritt

Durch eine umfassende Sicherheitsstrategie für die Power Platform-Einführung entsteht ein Framework, das sensible Daten schützt, gesetzliche Standards einhält und die Skalierbarkeit des Unternehmens unterstützt.

Verwandte Informationen

• Low-Code-Sicherheit und -Governance
• Microsoft Compliance
• Microsoft Power Platform-Dokumentation zu Sicherheit und Governance
• Microsoft Copilot Studio Sicherheits- und Governancedokumentation
• Microsoft Copilot Studio Complianceangebote
• Verantwortungsvolle KI: Häufig gestellte Fragen zu Microsoft Power Platform
• Verantwortliche KI FAQs für Copilot Studio