Cloud Computing Compliance Controls Catalogue Microsoft Azure Deutschland erhält C5-Testat vom BSI

Microsofts Cloud-Plattform Azure Deutschland erhält ein Testat nach dem Anforderungskatalog „Cloud Computing Compliance Controls Catalogue“ (C5), der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entworfen wurde.

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Keeper Security EMEA Ltd.

Microsoft Deutschland GmbH

Im Rahmen des regelmäßigen Audits wurde aktuell für Azure Deutschland ebenfalls die Cloud Controls Matrix (CCM) der Cloud Security Alliance (CSA), die Trust-Prinzipien – Sicherheit, Verfügbarkeit, Integrität und Vertraulichkeit – der Service Organization Controls (SOC) und die Wirksamkeit der implementierten Kontrollen (Prüfung nach Typ II) attestiert.

Im Rahmen der regelmäßigen SOC 1/SSAE16-, SOC 2/AT Section 101- und ISAE 3402-Prüfungen wurden die im Report aufgeführten Dienste der Cloud-Plattform Microsoft Azure Deutschland und dem Datentreuhändermodell der Microsoft Cloud Deutschland untersucht. Geprüft wurde nach Typ II. Das heißt, die getesteten Cloud-Dienste von Azure Deutschland wurden über den im Report benannten Zeitraum bezüglich ihrer Wirksamkeit der implementierten Kontrollen beobachtet und es wurde ein uneingeschränkter Bestätigungsvermerk durch den Prüfer ausgesprochen.

Dazu ein Statement von BSI-Präsident Arne Schönbohm: „Als nationale Cyber-Sicherheitsbehörde gestaltet das BSI Informationssicherheit in der Digitalisierung auch durch die Schaffung von IT-Sicherheitsstandards wie den C5-Katalog. Die Erteilung des Testats an Microsoft Azure Deutschland ist ein erneuter Beleg dafür, dass der C5-Katalog vom Markt angenommen wird. Die Cloud-Anbieter haben erkannt, dass IT-Sicherheit ein Verkaufsargument ist, das den Anwendern immer wichtiger wird, um den Herausforderungen der Digitalisierung zu begegnen.“

Mit der C5-Testierung betont Microsoft sein Engagement zu einem bedeutenden Informationssicherheits- und IT-Compliance-Programm. Microsoft bietet seinen Kunden aufgrund der erfolgreichen Testierung mehr Transparenz zur Sicherheit seiner Dienste. Außerdem wird ein Dialog über ein definiertes Mindestniveau an Informationssicherheit gefördert. Im Vergleich zu anderen Sicherheitsstandards bietet der Anforderungskatalog C5 die Umfeldparameter, die Auskunft über Datenlokation, Diensterbringung, Gerichtsstandort, Zertifizierungen sowie Ermittlungs- und Offenbarungspflichten gegenüber staatlichen Stellen geben. Aufgrund der geschaffenen Transparenz wird dem Kunden die Entscheidung erleichtert, ob Cloud-Dienste den gesetzlichen Vorschriften (zum Beispiel im Datenschutz), den eigenen Richtlinien oder auch der Gefährdungslage bezüglich Wirtschaftsspionage entsprechen.

BSI Anforderungskatalog Cloud Computing (C5)

Compliance für die Cloud mit BSI C5

Bestätigung auch seitens Cloud Security Alliance

Neben der C5-Testierung wurden ausgewählte Cloud-Dienste von Azure Deutschland auf Grundlage der Sicherheitsmaßnahmen der Cloud Controls Matrix (CCM) geprüft. Die Cloud Security Alliance (CSA) ist ein neutraler Dritter, der Cloud-Kunden mit der CCM Informationen über die Sicherheitsverfahren der Cloud-Anbieter liefert, sodass diese die allgemeinen Sicherheitsrisiken besser einschätzen können. Die CSA bietet Anbietern von Cloud-Diensten die notwendigen Tools, um ein solides Sicherheitskonzept umzusetzen, sowie die Möglichkeit, die Sicherheit auf Basis weiterer Zertifizierungen zu bewerten. Die CSA bietet zudem umfassende Informationen und bewährte Vorgehensweisen, die für Prüfer, Zertifizierungsstellen und Sicherheitsberater relevant sind.

Die geprüften Trust-Prinzipien Sicherheit, Verfügbarkeit, Integrität und Vertraulichkeit der Service Organization Controls (SOC) stimmen mit den bereits seit langem bestehenden Zusagen von Microsoft im Hinblick auf Sicherheit, Datenschutz und Transparenz überein.

Datenspeicherung in Deutschland mit deutschem Datentreuhänder

Über die Microsoft Cloud Deutschland stellt Microsoft Geschäftskunden Public-Cloud-Dienste aus deutschen Rechenzentren in Frankfurt/Main und Magdeburg bereit. Ausschließlich der Datentreuhänder, T-Systems International GmbH, hat die Kontrolle über den Zugriff auf Kundendaten, soweit der Zugriff nicht vom Kunden oder von Endnutzern des Kunden ausgeht. Wird die Zustimmung durch den Datentreuhänder erteilt, greift Microsoft nur unter dessen Aufsicht zeitlich begrenzt auf die Kundendaten zu.

Der Datentreuhänder steuert durch zwei Cloud Control Center an den Standorten Berlin und Magdeburg die Rechenzentren der Microsoft Cloud Deutschland. Durch den redundanten Aufbau kann der Ausfall eines Control Centers problemlos abgefangen werden.

Trusted-Cloud-Prinzipien

Die Microsoft Cloud Deutschland basiert auf Microsofts weltweiten Trusted-Cloud-Prinzipien: Sicherheit, Datenschutz, Compliance und Transparenz. Die deutschen Rechenzentren nutzen die gleichen Technologien und bieten die gleichen Service-Level und Sicherheitsstandards wie die globalen Microsoft-Cloud-Angebote. Dazu gehören Multi-Faktor-Authentifizierungen, biometrische Scans, Smartcards, Datenverschlüsselungen nach SSL/TLS-Protokollen, physische Sicherheitsmaßnahmen, Sicherungen gegen Naturkatastrophen und Stromausfälle.

Neben dem aktuellen Audit hat TÜV NORD CERT GmbH, ein Unternehmen der TÜV NORD GROUP, der Microsoft Deutschland MCIO GmbH bereits im Januar 2017 die Konformität ihres Informationssicherheits-Managementsystems nach ISO/IEC 27001:2013 für die Public-Cloud-Dienste von Microsoft Azure Deutschland bestätigt. Die Zertifizierung nach ISO/IEC 27001 sagt aus, dass Microsoft insbesondere die eigenen hohen Sicherheitsstandards und darüber hinaus zahlreiche regulatorische und gesetzliche Anforderungen in Bezug auf die Informationssicherheit einhalten.

Kostenfreies Microsoft Compliance-Handbuch

Microsoft Deutschland bietet eine deutsche Version des „IT Grundschutz Compliance Workbook Microsoft Azure Germany”. Das Handbuch unterstützt Kunden mit Empfehlungen, wie sie für Anwendungen, die auf Microsoft Azure basieren, ein „IT Grundschutz“-Zertifikat erhalten können. Die deutsche Version steht zum kostenlosen Download zur Verfügung.

(ID:44842764)