Experten-Statement zu Compliance

Welche Standards ein Cloud-Service-Anbieter einhalten sollte

| Autor / Redakteur: Bertram Dorn* / Stephan Augsten

Beim Outsourcing sollte der Kunde darauf Wert legen, dass sich die Datenströme in der Cloud genau überwachen lassen.
Beim Outsourcing sollte der Kunde darauf Wert legen, dass sich die Datenströme in der Cloud genau überwachen lassen. (Bild: Archiv)

Nach der Virtualisierung der Rechenzentrums- und Netzwerk-Infrastruktur sind Cloud-Services der nächste logische Schritt. Ihr volles Potenzial entwickelt die Cloud aber nur, wenn sich Dienstleister wie Kunden konsequent auf ihren jeweiligen Verantwortungsbereich konzentrieren.

Durch Cloud-Dienste lassen sich nicht nur Kostenvorteile realisieren, sondern ebenso ein höheres Maß an Agilität und Innovationskraft. Um diese Potenziale abzurufen, ist eine klare Definition der jeweiligen Verantwortlichkeiten auf Seiten von Anbieter und Kunden vonnöten.

Cloud-Dienstleister haben ein höchstmögliches Maß an Sicherheit sowie das Einhalten der Konformität mit gesetzlichen und regulatorischen Vorschriften zu gewährleisten. Während auf der Hand liegt, dass Cloud-Provider schon aufgrund ihres Geschäftsmodells ein sehr hohes Sicherheitsniveau vorweisen können sollten, ist der zentrale Stellenwert der Konformität zu Industrie-Standards weniger offensichtlich.

Überspitzt formuliert könnte man sagen: Cloud-Dienstleister, die versuchten, sämtliche Sicherheitsansätze ihrer Kunden zu adaptieren und diese in ihre Infrastruktur zu integrieren, gefährdeten dadurch sowohl Ihre generelle Skalierungsfähigkeit als auch das Sicherheitsniveau ihrer Infrastruktur.

Alles, was vom generellen „Standard“ des Cloud-Dienstleisters abweicht, erzeugt erhöhte Risiken für alle Kunden und damit einhergehend höhere Kosten. Somit bleibt einem Cloud-Kunden zunächst nur, seinem Dienstleister zu vertrauen. Speziell bei schutzbedürftigen Daten und IT-Verfahren wäre Vertrauen alleine aber natürlich nicht angemessen.

Im Idealfall wird die Konformität zu relevanten Sicherheitsstandards durch unabhängige Dritte geprüft, nachgewiesen und die zusammengefassten Ergebnisse der Prüfung werden transparent gemacht. So erhält ein Cloud-Kunde die Bestätigung eines hohen Schutzniveaus aller sicherheitsrelevanten Verfahren und Konfigurationen – auch von den Teilen der Infrastruktur, zu denen er keinen direkten Zugang hat.

Cloud-Anwender in Europa sollten sich davon überzeugen, dass nicht nur Teile der Infrastruktur, sondern auch die Dienstleistung vollständig konform ist. Diese Konformität sollte zumindest hinsichtlich

  • ISO/IEC 27001:2013 (basierend auf den Maßnahmen von ISO27002),
  • ISO/IES 27017 (eine spezielle Gruppe von Cloud-relevanten Maßnahmen) sowie
  • ISO/IEC 27018 (eine weitere spezielle Gruppe von Maßnahmen für den Schutz von personenbezogenen Daten)

nachgewiesen sein.

Ebenso sollten durch Wirtschaftsprüfer erstellte SOC1 und SOC2 (Type II) Berichte vorgelegt werden können. Für den Fall, dass auch Kreditkartendaten verarbeitet werden, ist zudem eine Zertifizierung der Anwendung inklusive der Infrastruktur nach PCI DSS V3.1 unerlässlich.

Auch selber die Augen aufhalten

Neben den oben beschriebenen Maßnahmen, die vom Cloud-Dienstleister umgesetzt werden, hat der Kunde bezüglich der verwendeten Dienste im Vergleich zu Outsourcing-Verfahren zusätzliche Optionen für ein weitergehendes Maß an Kontrolle und Transparenz.

Diese Cloud-Optionen in Bereichen wie Monitoring, der automatisierten Prüfung von Einstellungen und Installationen als auch der Nachvollziehbarkeit jeder Konfiguration erzeugen ein neues Sicherheitsniveau. Alleine schon die detaillierte Abrechnung der genutzten Ressourcen bietet eine erweiterte Kontrolle.

Zudem sollten die genutzten Cloud-Dienste auch Aufzeichnungen der seitens des Cloud-Kunden vorgenommen Konfigurationen und Aktivitäten zur Verfügung stellen. Mit diesen können dann sowohl die Konfiguration als auch deren Entstehung und etwaige Veränderungen exakt nachvollzogen werden.

Die Cloud-Infrastrukturen bieten zudem klar definierte Eingangs- und Ausgangs-Punkte für den Netzwerkverkehr. Diese werden dann durch entsprechende Maßnahmen wie Firewalls oder IDS/IPS Systeme geschützt. Innerhalb der Cloud-Infrastruktur sind die Datenströme in der Folge transparent und können eindeutig nachvollzogen werden. IT-Verfahren in der Grauzone oder unbekannte Verfahren können somit weitgehend ausgeschlossen werden.

Bertram Dorn
Bertram Dorn (Bild: DerbyPhotography)

Durch die Transparenz der Aktivitäten in der Cloud als auch durch die hinsichtlich Sicherheit optimierten Vorgänge, nachgewiesen durch die Konformitätsberichte von den Cloud-Dienstleistern, entstehen Konfigurationen, die in ihrer Kombination ein sehr geringes Risikoprofil aufweisen. Dieses ist in der Regel kleiner, als es die meisten Cloud-Kunden in ihrer eigenen Infrastruktur realisieren könnten.

* Bertram Dorn ist Solutions Architect EMEA bei Amazon Web Services.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44188946 / Cloud und Virtualisierung)