7 Fragen für CIOs IT-Sicherheit in der Cloud neu denken

Wir bewegen uns schneller, als wir für möglich halten, in die „Cloud“. Ob im Privatleben, in Unternehmen oder in Behörden, die „Cloud“ ist schon da. Wir werden lernen müssen, dass das Rechnen in virtuell verteilten und mandantenfähigen Umgebungen eine Änderung unserer Vorstellungen über die Sicherheit digitaler Infrastrukturen erfordert.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Die Akzeptanzdefizite von Cloud Computing kreisen vornehmlich um das Thema IT-Sicherheit. IT-Verantwortliche in Organisationen sind daran gewöhnt, die Kontrolle über ihre Systeme und Daten zu haben. Die Vorstellung, dass Dritte irgendeine Hoheit über ihre Daten und die von ihnen genutzten IT-Systeme erlangen, erscheint ihnen äußerst bedrohlich.

Im „klassischen“ Enterprise Computing sitzen Nutzer und Daten gemeinsam hinter den digitalen „Befestigungsanlagen“. Im Cloud Computing ist das anders. Da gibt es zwar auch Schutzmechanismen und Verteidigungsstrategien, aber der Nutzer sitzt außerhalb der „Befestigungsanlagen“. Wie kann da Vertrauen in das System entstehen?

Cloud Computing stützt sich auf ein Leistungsversprechen abstrakter technischer Systeme und die Erwartung, dass die Repräsentanten und Experten, die das System bereitstellen und kontrollieren, ebenso wie die in das System eingebauten Kontrollen vertrauenswürdig sind. Vertrauen in Cloud Computing ist daher aufs engste mit der Frage verknüpft, welche Voraussetzungen oder Reputationsmechanismen der Cloud-Anbieter schafft, damit Vertrauen entstehen kann.

Im sozialen Miteinander erwächst Vertrauen vor allem aus Nähe, persönlicher Erfahrung von Integrität, Kompetenz und Verlässlichkeit oder Reputation. Kategorien, die schwer auf Cloud Computing übertragbar sind. Was also ist ein „Maß“ für Vertrauen in die Cloud? Jede Organisation, die den Schritt in die Cloud in Erwägung zieht, sollte daher sich und dem möglichen Cloud-Dienstleister folgende Fragen vorlegen:

1. Welche Sicherheitsstandards liegen dem Betrieb des Cloud-Dienstleisters nachprüfbar zugrunde?

Fehlende Standards im Cloud Computing und unzureichende oder unklare Sicherheitsbestimmungen machen vergleichbare Risikoanalysen von Cloud-Dienstleistungen alles andere als einfach. Dessen ungeachtet geben Sicherheitsanforderungen aus verschiedenen Standards wie ISO 27000:2005 oder NIST SP 800-53, Empfehlungen und Anforderungen staatlicher Behörden (BSI, NIST) und Konsortien, wie der Cloud Security Alliance (CSA), sehr wohl Anhaltspunkte, um die Qualität des Informations- und Sicherheitsmanagements von Cloud-Dienstleistern zu bewerten.

Dabei sollte man freilich berücksichtigen, dass die veröffentlichten Dokumente verschiedene Ansprüche haben. So ist der ISO-Standard mit internationaler Gültigkeit zertifizierbar, der NIST-Standard stellt Anforderungen auf, das Eckpunktepapier des BSI „Sicherheitsempfehlungen für Cloud Computing Anbieter“ gibt Empfehlungen, und die CSA Cloud Control Matrix (CMM) beschreibt Kontrollmaßnahmen, um das Risikomanagement zu unterstützen.

2. Wo sind meine Daten und Anwendungen?

Im klassischen IT-Outsourcing ist bekannt, wo Daten erfasst, verarbeitet oder gespeichert werden, eine Verlagerung von Daten ist ohne Zustimmung des Kunden nicht möglich. Anders im Cloud Computing. Aus technischer Sicht ist der Ort an dem die Daten verarbeitet oder Anwendungen bereitgestellt werden, völlig unerheblich, für das geltende Recht jedoch nicht.

Lesen Sie bitte auf der nächsten Seite weiter.

(ID:43505504)