Policy as Code im Fokus: Warum jetzt und wie kann es helfen?

Wie oft wird in den Nachrichten von einem Datenleck oder einem Systemausfall berichtet, der durch menschliche Fehler oder einen Angriff einer externen Organisation verursacht wurde? Wenn Sie in der IT-Abteilung des betroffenen Unternehmen arbeiten, können die direkten und indirekten Auswirkungen signifikant sein, und dieses Ausmaß an Auswirkungen spiegelt sich in der gesamten IT-Branche wider. Betrachten wir einige Datenpunkte: Der Sicherheitsbericht 2023 von Splunk zeigt, dass die Raffinesse der Angriffe die größte Herausforderung für 38 % der Befragten darstellt und 28 % aufgrund hoher Arbeitslasten in einem reaktiven Verhaltensmuster gefangen sind. Der Bericht von IBM über die Kosten von Sicherheitsverletzungen zeigt, dass die durchschnittlichen Kosten eines Datenbruchs 4,45 Millionen USD betragen, was einem Anstieg von 15 % innerhalb von drei Jahren entspricht. Statistiken wie diese deuten darauf hin, dass die Raffinesse und das Volumen der Angriffe sowie die gemeldeten Schwachstellen weiterhin zunehmen. Damit verbunden ist ein erhöhtes Risiko von Sicherheitsvorfällen und finanziellen Auswirkungen. Die Antwort darauf ist nicht, zurückhaltender zu werden – es geht darum, intelligenter zu arbeiten. 

Die meisten Unternehmen haben das letzte Jahrzehnt damit verbracht, ihre Unternehmensanwendungen und -dienste zu modernisieren und in die Hybrid Cloud zu verlagern, um schneller und flexibler agieren zu können, denn die heutigen Anforderungen sind größer denn je. Darüber hinaus kämpft nahezu jeder Kunde, mit dem ich spreche, mit der Komplexität ihrer Umgebungen, ohne dass ein Ende in Sicht ist, da immer mehr Technologien wie Edge, KI und andere hinzukommen.  

Was bedeutet das für Ihre unternehmensweiten KI-Workloads? Jetzt verarbeiten Sie massive Datenmengen auf einer weiteren hybriden Infrastruktur und führen KI-basierte Anwendungen aus oder möchten diese betreiben, die sehr hohe Anforderungen an Ihre Technologieinfrastruktur stellen. Dies ist ein sehr herausforderndes Szenario, wenn Sie das Management der Lösung nicht automatisiert haben, da manuelle Prozesse den Fortschritt bei KI-Lösungen und Innovationen erheblich verlangsamen können.

Compliance-Anforderungen erfüllen und betriebliche Konsistenz für geschäftskritische Workloads fördern 

In dieser komplexen Umgebung, die jetzt KI umfasst, müssen Sie weiterhin interne und externe Richtlinien einhalten, um Kosten zu kontrollieren, Risiken zu reduzieren und Konsistenz aufrechtzuerhalten, während Sie versuchen, agil zu bleiben. Es ist ein internes und externes GRC-Management (Governance, Risiken und Compliance) erforderlich – aber die Automatisierung ist ein viel intelligenterer Ansatz, der Ihnen auch hilft, agil zu bleiben.

Oft sind es Ihre geschäftskritischen Systeme, die entweder Einnahmen für Ihr Unternehmen generieren, die Produktivität steigern oder Ihnen helfen, Prozesse zu steuern, die am stärksten von internen und externen Compliance-Richtlinien betroffen sind. Sie müssen sicher, leistungsfähig und überprüfbar bleiben, mit wenigen Verstößen und guten Fehlerbehebungsprozessen. All dies erfordert Zeit und zusätzliche Arbeitszyklen, damit jede erforderliche Vorgabe erfüllt wird. Auditoren und Prüfer benötigen ebenfalls Informationen, was auch noch Zeit von der Entwicklung und Ausführung kritischer Anwendungen wegnimmt. Das Endergebnis ist Frustration für jede Rolle in Ihrem Team und mangelnde Geschwindigkeit und Effizienz beim Entwicklungs- über den Test- bis hin zum Produktionsprozess.  

Wenn es um interne und externe GRC-Prozesse geht, stellen Sie sich vor, Sie könnten:

• Umständliche und langsame manuelle Validierungsprozesse durch automatisierte und nahtlose Prüfungen ersetzen, die erfolgen, bevor eine Aktion durchgeführt wird.
• Compliance durch schnelle, effiziente automatisierte Prozesse skalieren.
• Ihrem gesamten Team eine optimierte Erfahrung bieten und es Mitarbeitenden ermöglichen, sich auf ihre Hauptaufgaben zu konzentrieren und die allgemeine Zufriedenheit mit dem Prozess zu verbessern.

Automatisierung mit einem Policy as Code-Ansatz ist eine bewährte Methode, die Ihnen helfen kann, Compliance-Vorgaben einzuhalten und gleichzeitig die Komplexität zu bewältigen, Risiken zu reduzieren und anspruchsvolle KI- und andere Anwendungen mit der Geschwindigkeit und Agilität bereitzustellen, die Ihre Stakeholder von Ihren Teams erwarten. Mit einem automatisiertem Policy as Code-Ansatz sind Sie besser positioniert, Fortschritte, die Sie durch Hybrid Cloud Computing erreicht haben, aufrechtzuerhalten und gleichzeitig Ihre gesamte GRC-Position zu verbessern.

Wenn Sie eine vorhersehbare und nahtlose Möglichkeit haben, Richtlinien anzuwenden, arbeiten Sie konsistenter und gewinnen mehr Vertrauen in Ihren Technologiestack. Qualifikationslücken haben weniger Einfluss auf Ihre Abläufe und Sie können menschliche Fehler reduzieren, die oft die Ursache für Sicherheitsvorfälle und Probleme sind. Die Automatisierung mit einem Policy as Code-Ansatz kann Ihnen helfen, die Produktivitätsverluste Ihrer Teams zu minimieren.

Policy as Code über den gesamten Lebenszyklus automatisieren

Die Automatisierung mit einem Policy as Code-Ansatz bietet einen besseren Weg, ausgehend davon, dass Sie Validierungs- und Compliance-Richtlinienprüfungen nahtlos gestalten können. Red Hat Ansible Automation Platform ist eine gängige Automatisierungsplattform, die Kunden zur Automatisierung von IT-Prozessen nutzen, um Geschwindigkeit, Effizienz, Agilität und natürlich ROI zu erreichen. Es handelt sich um eine hochflexible Lösung, mit der sich nahezu alle denkbaren IT-Prozesse automatisieren lassen – einschließlich der Automatisierung von Policy as Code. Nutzen Sie die Automatisierung von Policy as Code zum:

• Erstellen: Überprüfen Sie die Durchsetzung von Richtlinien automatisch während des Entwicklungszyklus, damit Entwicklungsteams konforme Entwicklungs- und Testplattformen erstellen und die Konformität von Anfang an in Produktionsumgebungen und Code integrieren können. Stellen Sie sicher, dass Ihr Team alle anwendbaren Richtlinien ohne zeitaufwändige Meetings und manuelle Doppelprüfungen anwenden kann.  
   
• Verwalten: Integrieren Sie je nach Bedarf die Durchsetzung von Richtlinien, z. B. diskretionäre oder obligatorische Richtlinienprüfungen, die vor oder nach der Ausführung eines Automatisierungsauftrags durchgeführt werden. Erhalten Sie Warnungen, wenn eine Technologie in Ihrem Stack nicht mehr konform ist, und/oder reagieren Sie automatisch auf den Bedarf. Stellen Sie sicher, dass Cloud- und andere Technologieinstanzen Ihren Konfigurationsvorgaben entsprechen, damit Sie die Kosten kontrollieren und eine konsistente, vertrauenswürdige Betriebsumgebung gewährleisten können. Identifizieren Sie mühelos das Inventar, das von einer Richtlinienänderung betroffen sein könnte, und wenden Sie die Änderung automatisch an.
   
• Skalieren: Automatisieren Sie das Reporting und die Ausgabe an auditbezogene Systeme und verringern Sie so den verbundenen Aufwand für das gesamte Team.

Sie können Policy as Code automatisieren, indem Sie Richtlinien in Ihre Ansible Playbooks einfügen. Diese können manuell oder über einen Automatisierungscontroller ausgeführt werden. Wenn Sie Event-Driven Ansible (Teil von Ansible Automation Platform) hinzufügen, können Sie eine End-to-End-Reaktion automatisieren, beispielsweise wenn eine Richtlinie abweicht und Ihr Observability- oder Überwachungstool diese Abweichung kennzeichnet und/oder nach Ihrem Ermessen behebt. 

Vorbereitung auf vollautomatisierte Policy as Code

Das klingt alles großartig, aber wie kommen Sie in großem Umfang und über Ihre Organisationen hinweg dorthin? Hier sind einige Möglichkeiten, wie Sie sich vorbereiten können:

• Erweitern Sie Ihren Einsatz von Automatisierung. Wie viele Ihrer Teams (Netzwerk, Cloud, Infrastruktur, Sicherheit, Anwendungsentwicklung, SRE usw.) verwenden eine einzige, konsistente Automatisierungsplattform? Wenn Sie den unternehmensweiten Einsatz von Automatisierung erweitern, können Sie innerhalb und zwischen den Bereichen automatisieren, sodass die Richtlinien über den gesamten Technologiestack abgestimmt sind. Die Idee ist, dass Sie eine erweiterte Automatisierung haben, auf der Sie den automatisierten Policy as Code-Ansatz für geschäftskritische Workloads oder Anwendungen implementieren können. 
• Modularisieren und Automatisierung in einem „as Code“-Modell zentralisieren. Können Ihre Richtlinien anbieterunabhäng verfassen, sodass sie zentralisiert und dann auf spezifische Anbieterlösungen angewendet oder in Ansible Playbooks oder Ansible Rulebooks aufgenommen werden können? Identifizieren Sie ein zentrales Repository für die Speicherung der Standardkonfigurationsdateien, Playbooks und anderer Automatisierungsressourcen, die Sie konsistent verwenden möchten. Dies ist ein "Infrastructure as Code"- und/oder "Configuration as Code"-Modell und bietet Ihnen mehr Optionen, um dann die Automatisierung von Policy as Code hinzuzufügen.
• Bewerten Sie Ihre automatisierten Compliance-Anforderungen und richten Sie Ihr Team aus. Identifizieren Sie kritische Compliance- und Sicherheitsanforderungen, die Sie erfüllen müssen, und erstellen Sie dann einen Fahrplan mit wichtigen Meilensteinen und Zielen. Versammeln Sie Ihr Team und schaffen Sie ein gemeinsames Verständnis für die Ziele, Vorteile, Rollen und Verantwortlichkeiten. Bereiten Sie den Einsatz vor, beispielsweise implementieren und testen Sie alle Richtlinien bevor sie in einem Bereitstellungs-Workflow verwendet werden.
• Denken Sie an Monitoring und Durchsetzung. Sobald Ihre kritischen Anwendungen und Workloads live sind, bestimmen Sie, wie Sie Verstöße gegen Richtlinien überwachen und darauf reagieren werden. Eine Option besteht darin, Event-Driven Automatisierung zu verwenden, um sofort und ohne manuelle Intervention auf ein Sicherheitsrisiko oder eine geänderte risikoreiche Konfiguration zu reagieren. 
• Gründen Sie eine Community für Automation. Red Hat hat diesen Ansatz seit vielen Jahren empfohlen, um den Einsatz von Automatisierung zu fördern und zu erweitern. Diese Gruppe kann sich mit Automatisierung im Allgemeinen befassen und Ihnen auch dabei helfen, die Automatisierung mit einem automatisierten Policy as Code-Ansatz einzuführen. Das Handbuch für Automatisierungsarchitekten gibt Ihnen einige Ideen, um Ihre interne Community zu organisieren. 

Erste Schritte mit Policy as Code: „klein anfangen, groß planen“.

Unabhängig davon, wie Sie momentan arbeiten, ein automatisierter Policy as Code-Ansatz kann bei GRC helfen. Da Sie für die Einhaltung von Compliance-Vorschriften den gesamten Technologiestack abdecken müssen, der Ihre Anwendung unterstützt, sollten Sie über eine Ausweitung der Automatisierung nachdenken, bis hin zu dem Punkt, an dem Sie von einer Single Source of Truth automatisieren. Auch wenn Sie diesen Punkt noch nicht erreicht haben, können Sie Richtlinien automatisieren, jedoch sind sie dann wahrscheinlich eher interner Natur (z. B. eine bestimmte Version von Linux muss spezifische Sicherheitsrichtlinien angewendet haben, um in Ihrer Umgebung zu laufen). 

Der allgemeine Ansatz von Red Hat besteht darin, mit einfachen Anwendungsfällen zu beginnen und von dort aus in Umfang und Raffinesse zu wachsen. Policy as Code kann auf diese Weise implementiert werden. Beispielsweise können Ihre Anwendungsfälle sein:

• Erstellung eines Inventarberichts über Systeme, die nicht mit einer bestimmten Richtlinie übereinstimmen.
• Anwendung einer Laufzeitrichtlinie wie „Eine Firewall kann nur auf einem bestimmten Port geöffnet werden“.
• Erstellung einer Cloud-Instanz, die nicht größer als eine bestimmte Größe ist, um Cloud-Kosten zu kontrollieren.
• Automatisierung einer Änderung an einem bestimmten Server, die nicht vorgenommen werden kann, es sei denn, der Server befindet sich in einem Wartungsfenster.

Sobald Sie in der Lage sind, einfache Anwendungsfälle rund um Policy as Code zu implementieren, können Sie eine größere Anzahl und komplexere Anwendungsfälle angehen.  

Nachdem Sie nun die Sichtweise von Red Hat zur Automatisierung mit einem Policy as Code-Ansatz kennengelernt haben, hoffe ich, dass Sie sich weiter mit diesem Thema und wie Sie Policy as Code nutzen können, um mühsame und zeitaufwändige Prozesse zu erleichtern, beschäftigen. Abschließend möchte ich Sie daran erinnern, dass Ansible Automation Platform hochflexibel ist. Sobald Sie wissen, was Sie implementieren möchten, ist diese Plattform hervorragend geeignet, die gewünschten Maßnahmen zu ergreifen, auch wenn es um Policy as Code geht. Seien Sie gespannt, wie Policy as Code das Management vom Lebenszyklus einfacher und intelligenter gestalten kann.