Applied Systems

Gemeinsamer Schutz für Mitarbeitende, Anwendungen und Netzwerke zur Beschleunigung der digitalen Transformation

Das 1983 gegründete Unternehmen Applied Systems entwickelt SaaS-Lösungen für die Versicherungsbranche. Es hat seinen Sitz in Chicago und beschäftigt mehr als 2.500 Mitarbeitende in den USA, Großbritannien, Kanada, Westeuropa und Indien. Applied Systems ist ein weltweit führender Anbieter in der Versicherungsbranche, dessen Dienste sich an unabhängige Versicherungsmakler gleich welcher Größe richten – von internationalen und großen Unternehmen bis hin zu lokalen Agenturen und KMU.

Das Unternehmen hat weltweit Anerkennung für seinen bahnbrechenden Ansatz im Bereich Insuretech erhalten, darunter Auszeichnungen als „Best Broker Software Management House“ in Großbritannien für das Jahr 2022 durch Insurance Times und den ersten Platz in seinem Segment bei den US 2023 Golden Bridge Business and Innovation Awards.

Die Herausforderung: Beschleunigung der digitalen Transformation

Sicherheit war für Applied Systems schon immer von größter Bedeutung. Das Unternehmen muss für seine Versicherungskunden große Mengen an regulierten und sensiblen Informationen schützen – darunter Finanz- und Zahlungsdaten sowie personenbezogene Daten.

Nach dem Antritt eines neuen CEO und eines neuen Führungsteams im Jahr 2019 wurde bei Applied zunehmend Initiativen zur digitalen Transformation Vorrang eingeräumt, um größere und anspruchsvollere Unternehmenskunden bedienen zu können. Als Chief Information Security Officer Tanner Randolph im Jahr 2021 seine Tätigkeit aufgenommen hat, bedeutete dies, die Technologiearchitektur von Applied neu zu bewerten und nach Möglichkeiten zur Steigerung der Agilität, Effizienz und Sicherheit zu suchen.

„Applied hat einen Weg eingeschlagen. Wir entwickeln uns immer schneller zu einem cloudnativen Unternehmen“, so der Manager. „Als ich zu Applied kam, waren bei uns verschiedene Komponenten von unterschiedlichen IT-Sicherheitsanbietern wie Zscaler und Cisco im Einsatz und es gab mehrere Netzwerkpfade zu unseren Rechenzentren. In den letzten Jahren haben wir uns darauf konzentriert, das alles in einem einzigen Sicherheits- und Netzwerk-Stack zusammenzuführen.“

2022 hat Applied Systems mit der Bündelung großer Teile der Sicherheits- und Netzwerkfunktionen bei Cloudflare begonnen. Dazu zählen:

• Verbesserung von Schutz und Performance öffentlich zugänglicher Websites und Anwendungen
• Sichere und skalierbare Verbindungen für die gesamte Netzwerkinfrastruktur
• Zero Trust-Sicherheitsniveau für Mitarbeitende und interne Ressourcen

„Unser bisheriges System setzte sich aus Lösungen verschiedener Anbieter zusammen, die wir über diverse Konsolen bedient haben. Diese Steuerungsfunktionen haben wir nun bei Cloudflare zusammengeführt, sodass sich meine Teams darauf konzentrieren können, das Geschäft voranzubringen“, fügte Randolph hinzu. „Ich kenne nicht viele Sicherheitsteams, die das von sich behaupten können.“

Schutz von Websites und Anwendungen

Einer der Hauptgründe des Unternehmens, Cloudflare in Erwägung zu ziehen, war die Notwendigkeit, die Softwareerfahrung für Kunden zu modernisieren – insbesondere angesichts einer Migration von Funktionen aus Client-Anwendungen mit vielen Altsystemen in SaaS-Umgebungen.

„Wir wollten eine Partnerschaft mit einem Anbieter eingehen, der cloudnativ ist und weiß, was cloudnative Kunden erwarten“, erläuterte Randolph. „So konnten wir bei allen unseren neuesten Anwendungen durchgängig großartige und sichere Kundenerfahrungen bieten.“

Applied Systems hat mit den Anwendungsdiensten von Cloudflare, einschließlich Web Application Firewall (WAF), Content Delivery Network (CDN), DDoS-Abwehr und Durchsatzbegrenzung, schädlichen Datenverkehr blockiert und die Performance von Anwendungen verbessert. Laut Randolph hat die Zuverlässigkeit von Cloudflare die Migration der Webanwendungen von Applied Systems in die Cloud erleichtert.

„Cloudflare hat sich bei der Absicherung unserer Anwendungen gegen bösartigen Datenverkehr und bei der Verringerung der Latenz als äußerst leistungsfähig und beständig erwiesen“, sagte Randolph.

Absicherung der Netzwerkverbindungen

Zur Unterstützung des Wachstums und der Ambitionen von Applied Systems hat das Unternehmen seine Architektur für die Netzwerkkonnektivität mit Cloudflare optimiert und insbesondere Magic Transit und die Firewall as a Service Magic Firewall implementiert. Im Zuge des Unternehmenswachstums haben diese Services den Netzwerktraffic beschleunigt, vor Bedrohungen (einschließlich L3-DDoS-Angriffen) geschützt und es den Administratoren ermöglicht, bei Bedarf Sicherheitsfilter einzusetzen.

„Cloudflare skaliert mit uns – das ist unser bedeutendster Gewinn“, so Randolph. „Wenn unsere größten Kunden auf unsere cloudnativen Implementierungen umsteigen, kann Cloudflare den höheren Datenverkehr bewältigen, ohne dass wir zusätzlich Netzwerk-Appliances oder Bandbreite kaufen müssen. Mit unseren vorherigen Anbietern hätten sich die Kosten mehr als verdoppelt.“

Applied Systems hat bei der Erweiterung und Kombination von Firewall-Richtlinien besondere Agilität an den Tag gelegt. Die ersten Firewall-Richtlinien waren einfach gehalten; es ging dabei etwa um das Blockieren von Datenverkehr aus bestimmten Regionen. Mit der Zeit hat Applied Systems aber begonnen, eigene Firewall-Regeln auf Grundlage der im SIEM analysierten Protokolldaten zu erstellen und die Implementierung dieser benutzerdefinierten Regeln zu automatisieren. Dafür wurde die API-basierte Integration von Cloudflare mit dem Infrastructure as Code-Tool Terraform genutzt.

„Wir haben eine drastische Reduzierung des gefährlichen Traffics festgestellt. Es ist großartig, allgemeingültige Regeln für alle unsere Rechenzentren verfassen zu können“, erläuterte er. „Durch die Einführung von Best Practices für DevOps und eine Automatisierung sind wir beim Rollout von Änderungen mit Cloudflare extrem effizient geworden.“

Einführung von Zero Trust und Ersatz von Zscaler und Cisco

Die Einführung einer Zero Trust-Architektur hatte für Randolph oberste Priorität, als er bei dem Unternehmen anfing.

Zuvor hatte Applied Systems Dienste von Zscaler und Cisco genutzt – insbesondere Zscaler Internet Access für ausgehende Verbindungen zum Internet und Cisco AnyConnect VPN für den Zugriff auf interne Anwendungen. Randolph zufolge führte die Verwaltung dieser unterschiedlichen Einzellösungen zu Komplexität und Sichtbarkeitslücken für sein Team. Außerdem wurde erwartet, dass sich diese Konstellation auf lange Sicht als kostspielig erweisen würde, da das Unternehmen weiter wächst.

Randolph nannte auch einige spezifische Probleme der jeweiligen Dienste: Die Entwickler beschwerten sich häufig darüber, dass Zscaler Websites blockierte, die für die Arbeit wichtig waren, und so der Produktivität schadete. Daraufhin begann Applied Systems, die Richtlinien zu lockern und mehr Risiken einzugehen, als eigentlich erwünscht. Cisco AnyConnect VPN war nicht nur langsam für die Endnutzer, sondern schuf auch ein übermäßiges Risiko, denn die Lösung gewährte Mitarbeitenden Zugriff auf das gesamte Netzwerk, anstatt jede Anfrage an bestimmte Anwendungen zu überprüfen.

Der Ersatz dieser Anbieter durch Cloudflare Zero Trust hat Applied dabei geholfen, die Sicherheitskontrollen für webbasierte, cloudbasierte und private Anwendungsumgebungen zu vereinheitlichen.

„Wir haben großartige Rückmeldungen zu Cloudflare Zero Trust erhalten – die Lösung ist leichter zu implementieren und besser für unsere Mitarbeitenden“, so Randolph. „Wir sind als Unternehmen viel sicherer, und das mit dem gleichen Zeitaufwand.“

Anwendungsfall: Zugriff auf selbstgehostete Anwendungen standardmäßig verweigern

Der Zero Trust Network Access (ZTNA)-Dienst von Cloudflare hat Applied Systems dabei geholfen, präzisere Richtlinien für selbstgehostete Anwendungen und Infrastruktur bezüglich der mehr als 2.500 Mitarbeitenden des Unternehmens zu implementieren.

„Cloudflare hat uns bei der Umstellung von einem negativen auf ein positives Sicherheitsmodell geholfen“, sagte Randolph. „Wir haben eine Überprüfung des Sicherheitsstatus eingerichtet. So können wir den Zugriff auf Grundlage der Informationen gewähren, die uns darüber zur Verfügung stehen, zu welcher Nutzergruppe jemand gehört, welches Gerät er oder sie nutzt und vieles mehr.“

Das Sicherheitsteam verfügt über die Flexibilität, strengere oder weniger strenge Kontrollen anzuwenden, um den unterschiedlichen Nutzeranforderungen und dem Risikoniveau der Anwendung gerecht zu werden. So können beispielsweise Mitarbeitende, die den Geräte-Client von Cloudflare auf einem privaten Gerät einsetzen, zur Einreichung von Urlaubsanträgen weiterhin auf ihr Personalportal zugreifen. Entwickler müssen hingegen ein verwaltetes Gerät nutzen und strengere Kontrollen bestehen, um auf Produktionsumgebungen zuzugreifen, die vergleichsweise höheren Risiken ausgesetzt sind.

Anwendungsfall: Absicherung neuer KI-Tools und Schutz von Daten

Cloudflare Zero Trust hilft Applied Systems auch dabei, die Interaktion von Nutzern mit neuartigen Tools wie ChatGPT, die künstliche Intelligenz (KI) einsetzen, und die dortige Verwendung von sensiblen Daten abzusichern.

Konkret führt Applied die öffentliche Instanz von ChatGPT in einem von Cloudflare isolierten Browser aus. Da der gesamte Webcode für dieses ChatGPT-Tool im Cloudflare-Netzwerk ausgeführt wird, kann das IT-Sicherheitsteam von Randolph den Umgang von Nutzern mit Daten in dem Tool kontrollieren. Unter anderem lassen sich so der Download, Upload, das Kopieren und das Einfügen von Daten einschränken.

„Wir wollten, dass unsere Angestellten gefahrlos von KI profitieren können“, so Randolph. „Wir hindern Nutzer daran, sensible Daten aus anderen Anwendungen in unsere isolierte ChatGPT-Instanz zu kopieren. Auf diese Weise wird vermieden, dass viele Firmendaten in das Tool gelangen.“

Die Isolierung von ChatGPT hat dem Unternehmen zu mehr Sicherheit verholfen, während es mit dem Tool experimentierte. Das wiederum hat Applied Systems das nötige Vertrauen gegeben, eine eigene Instanz in Slack zu entwickeln und zu verbessern. Dieser Anwendungsfall zeugt von der allgemeinen Herangehensweise Randolphs an das Thema Datenschutz: Sicherheitskontrollen sollten „pragmatisch“ sein und nicht auf Kosten der Produktivität der Mitarbeitenden gehen.

„Wir übertragen diese Philosophie auf E-Mails“, erläuterte er. „Die Leute wollen ihre privaten E-Mails abrufen können. Sie müssen aber nicht unbedingt in der Lage sein, dort etwas zu kopieren bzw. einzufügen oder etwas hoch- bzw. herunterzuladen.“

Der Einsatz von Cloudflare-Diensten wie dem E-Mail-Sicherheitsservice, dem Cloud Access Security Broker (CASB) und Data Loss Prevention (DLP) wird Randolph und seinem Team dabei helfen, die Kontrolle und den Überblick über weitere Umgebungen und Daten zu erlangen und zu verbessern. Das Unternehmen wird nicht nur Informationen schützen können, sondern auch in der Lage sein, die sich verändernden Vorschriften in den USA und im Rest der Welt einzuhalten.

„Wenn wir von unseren Kunden nach der Einhaltung von Vorschriften gefragt werden, können wir dem CISO auf der anderen Seite einfach sagen, dass wir Kunden von Cloudflare sind und die von uns verwendeten Produkte erläutern“, sagte Randolph. „Damit sind in der Regel alle üblicherweise gestellten Fragen beantwortet.“

Was kommt als Nächstes?

Die Investition in neue Sicherheitskontrollen geht Hand in Hand mit der Investition in eine hochwertige IT- und Sicherheitserfahrung. Aus diesem Grund war Applied Systems ein früher Anwender von Cloudflare Digital Experience Monitoring (DEX). DEX bietet sowohl rückblickend als auch in Echtzeit einen Überblick über die Konnektivität von Endnutzern und Geräten, die Anwendungsperformance und die Netzwerkverbindungen im gesamten Unternehmen.

„Je mehr Informationen uns zur Verfügung stehen, desto effektiver können meine Teams eine IT bereitstellen, mit der sich die Produktivität unserer Mitarbeitenden gewährleisten lässt“, so Randolph. „Tools wie Cloudflare DEX haben das Potenzial, einen großen Unterschied zu machen: Sie bieten uns den Überblick und die Erkenntnisse, die wir für zukünftige Entwicklungsentscheidungen benötigen.“

Arbeiten mit Cloudflare

In nur wenigen Jahren hat Applied Systems bereits erhebliche Fortschritte bei der Konsolidierung und Modernisierung der Sicherheit der Mitarbeitenden, Anwendungen und des firmeneigenen Netzwerks mit Cloudflare erzielt.

Die enge Zusammenarbeit mit Cloudflare bei verschiedenen Arten von Implementierungen hat dazu beigetragen, die Reaktionsfähigkeit und Qualität des Kundensupports im Lauf der Zeit zu verbessern – insbesondere, da die Teams von Cloudflare mit der Architektur von Applied inzwischen besser vertraut sind.

„Ich kann den Unterschied von Monat zu Monat sehen, was die Qualität des Produkts und des Supports angeht“, berichtete Randolph. „Meine Teams arbeiten mit Cloudflare im Rücken effektiver und können sich auf unsere Sicherheitsstrategie konzentrieren.“