IT-Sicherheit beim Cloud Computing darf kein Luftschloss sein

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FAST LTA GmbH

(ISC)2 Inc.

Wichtige Sicherheitsaspekte beim Cloud Computing

Generell unterscheiden sich die Sicherheitsanforderungen an Cloud Computing auf den drei Ebenen IaaS, PaaS, und SaaS. Darüber hinaus gilt es, die Nachvollziehbarkeit über alle drei Ebenen hinweg herzustellen, damit die Basis nachhaltiger IT-Sicherheit geschaffen wird. Denn wichtige Themen wie Datenschutz betreffen alle drei Ebenen (z.B. IaaS: tatsächlicher Speicherort der Daten, PaaS: Zugriffskontrolle auf Plattformebene, SaaS: Verarbeitung der Daten durch die Anwendung).

Unternehmen, die sich für eine Cloud-Computing-Lösung interessieren, sollten daher folgende Punkte beachten:

Einhaltung von IT-Sicherheitsstandards und Compliance: Als Eigentümer der Daten sind die Unternehmen für die Einhaltung von IT-Sicherheits- und Compliance-Anforderungen verantwortlich. Diese müssen klar definiert sein, damit sie vom Provider für den Betrieb der Cloud umgesetzt werden können.

Personenbezogene Daten, die dem deutschen Bundesdatenschutzgesetz unterliegen, dürfen beispielsweise nicht ohne weiteres in ein Land außerhalb der EU übermittelt werden, in dem geringerer Datenschutz besteht. Vor allem in der Public Cloud besteht für den Nutzer und den Provider die Herausforderung, diverse Compliance-Richtlinien sowohl in den Anfordungen als auch im Systembetrieb zu berücksichtigen.

Zugriffsschutz und Trennung von Daten: Sensible Daten, die in der Cloud gespeichert und verarbeitet werden, müssen vor dem Zugriff durch administratives Personal des Providers geschützt werden. Hier kommt es auf die Professionalität des Providers an, dass entsprechende organisatorische (z.B. Rollentrennung), technische (z.B. Verschlüsselung) und personelle Maßnahmen (z.B. Überprüfung des Personals) umgesetzt werden.

Gerade in Public Clouds ist es erforderlich, Daten auch vor unberechtigtem Zugriff durch andere Kunden zu schützen. Dazu muss der Provider Mechanismen zur logischen oder physikalischen Trennung der Daten etablieren (z.B. durch Verschlüsselung) und die Zugriffsberechtigungen entsprechend setzen.

Identity and Access Management: Das Management der Accounts, Berechtigung und Zugangskontrolle zu den Services der Cloud sind essentiell, damit unberechtigter Zugriff verhindert und ein Auditing ermöglicht werden kann. Für den Provider besteht hierbei die Herausforderung, Auditing-Informationen auf Service-Ebene bereitzustellen, auch wenn der Service über verschiedene Server und Standorte hinweg verteilt ist.

Verfügbarkeit und Netzanbindung der Cloud: Mit der Auslagerung von IT-Komponenten in die Cloud, werden die Geschäftsprozesse der Unternehmen abhängig von der Verfügbarkeit der Clouds. Daher ist die Vereinbarung adäquater Service Level Agreements mit dem Provider der Cloud unerlässlich. Dabei sollten Unternehmen darauf achten, dass der Provider über entsprechende Erfahrungen mit Business Continuity und Disaster Recovery verfügt.

Die Verfügbarkeit der Services, die über die Cloud genutzt werden, ist abhängig von der Netzanbindung des Unternehmens an die Cloud. Eine entsprechend leistungsfähige und ausfallsichere Netzanbindung ist daher bereits in der Planungsphase zu berücksichtigen.

Viability: Für den Fall, dass ein Provider den Cloud Service nicht mehr anbieten sollte und diese von einem anderen Provider übernommen werden, sind vertragliche Regelungen erforderlich. Insbesondere ist zu regeln, dass die in der Cloud verteilten Daten und Informationen exportiert, sicherheitstechnisch gelöscht und in die Cloud des neuen Anbieters importiert werden können.

Seite 3: Cloud Computing birgt Verbesserungspotenzial

(ID:2041651)