Experten-Statement zu Compliance Welche Standards ein Cloud-Service-Anbieter einhalten sollte

Nach der Virtualisierung der Rechenzentrums- und Netzwerk-Infrastruktur sind Cloud-Services der nächste logische Schritt. Ihr volles Potenzial entwickelt die Cloud aber nur, wenn sich Dienstleister wie Kunden konsequent auf ihren jeweiligen Verantwortungsbereich konzentrieren.

Anbieter zum Thema

Vogel IT-Medien GmbH

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Amazon Web Services Germany GmbH

Durch Cloud-Dienste lassen sich nicht nur Kostenvorteile realisieren, sondern ebenso ein höheres Maß an Agilität und Innovationskraft. Um diese Potenziale abzurufen, ist eine klare Definition der jeweiligen Verantwortlichkeiten auf Seiten von Anbieter und Kunden vonnöten.

Cloud-Dienstleister haben ein höchstmögliches Maß an Sicherheit sowie das Einhalten der Konformität mit gesetzlichen und regulatorischen Vorschriften zu gewährleisten. Während auf der Hand liegt, dass Cloud-Provider schon aufgrund ihres Geschäftsmodells ein sehr hohes Sicherheitsniveau vorweisen können sollten, ist der zentrale Stellenwert der Konformität zu Industrie-Standards weniger offensichtlich.

Überspitzt formuliert könnte man sagen: Cloud-Dienstleister, die versuchten, sämtliche Sicherheitsansätze ihrer Kunden zu adaptieren und diese in ihre Infrastruktur zu integrieren, gefährdeten dadurch sowohl Ihre generelle Skalierungsfähigkeit als auch das Sicherheitsniveau ihrer Infrastruktur.

Alles, was vom generellen „Standard“ des Cloud-Dienstleisters abweicht, erzeugt erhöhte Risiken für alle Kunden und damit einhergehend höhere Kosten. Somit bleibt einem Cloud-Kunden zunächst nur, seinem Dienstleister zu vertrauen. Speziell bei schutzbedürftigen Daten und IT-Verfahren wäre Vertrauen alleine aber natürlich nicht angemessen.

Im Idealfall wird die Konformität zu relevanten Sicherheitsstandards durch unabhängige Dritte geprüft, nachgewiesen und die zusammengefassten Ergebnisse der Prüfung werden transparent gemacht. So erhält ein Cloud-Kunde die Bestätigung eines hohen Schutzniveaus aller sicherheitsrelevanten Verfahren und Konfigurationen – auch von den Teilen der Infrastruktur, zu denen er keinen direkten Zugang hat.

Cloud-Anwender in Europa sollten sich davon überzeugen, dass nicht nur Teile der Infrastruktur, sondern auch die Dienstleistung vollständig konform ist. Diese Konformität sollte zumindest hinsichtlich

• ISO/IEC 27001:2013 (basierend auf den Maßnahmen von ISO27002),

• ISO/IES 27017 (eine spezielle Gruppe von Cloud-relevanten Maßnahmen) sowie

• ISO/IEC 27018 (eine weitere spezielle Gruppe von Maßnahmen für den Schutz von personenbezogenen Daten)

nachgewiesen sein.

Ebenso sollten durch Wirtschaftsprüfer erstellte SOC1 und SOC2 (Type II) Berichte vorgelegt werden können. Für den Fall, dass auch Kreditkartendaten verarbeitet werden, ist zudem eine Zertifizierung der Anwendung inklusive der Infrastruktur nach PCI DSS V3.1 unerlässlich.

Auch selber die Augen aufhalten

Neben den oben beschriebenen Maßnahmen, die vom Cloud-Dienstleister umgesetzt werden, hat der Kunde bezüglich der verwendeten Dienste im Vergleich zu Outsourcing-Verfahren zusätzliche Optionen für ein weitergehendes Maß an Kontrolle und Transparenz.

Diese Cloud-Optionen in Bereichen wie Monitoring, der automatisierten Prüfung von Einstellungen und Installationen als auch der Nachvollziehbarkeit jeder Konfiguration erzeugen ein neues Sicherheitsniveau. Alleine schon die detaillierte Abrechnung der genutzten Ressourcen bietet eine erweiterte Kontrolle.

Zudem sollten die genutzten Cloud-Dienste auch Aufzeichnungen der seitens des Cloud-Kunden vorgenommen Konfigurationen und Aktivitäten zur Verfügung stellen. Mit diesen können dann sowohl die Konfiguration als auch deren Entstehung und etwaige Veränderungen exakt nachvollzogen werden.

Die Cloud-Infrastrukturen bieten zudem klar definierte Eingangs- und Ausgangs-Punkte für den Netzwerkverkehr. Diese werden dann durch entsprechende Maßnahmen wie Firewalls oder IDS/IPS Systeme geschützt. Innerhalb der Cloud-Infrastruktur sind die Datenströme in der Folge transparent und können eindeutig nachvollzogen werden. IT-Verfahren in der Grauzone oder unbekannte Verfahren können somit weitgehend ausgeschlossen werden.

Bertram Dorn

Durch die Transparenz der Aktivitäten in der Cloud als auch durch die hinsichtlich Sicherheit optimierten Vorgänge, nachgewiesen durch die Konformitätsberichte von den Cloud-Dienstleistern, entstehen Konfigurationen, die in ihrer Kombination ein sehr geringes Risikoprofil aufweisen. Dieses ist in der Regel kleiner, als es die meisten Cloud-Kunden in ihrer eigenen Infrastruktur realisieren könnten.

* Bertram Dorn ist Solutions Architect EMEA bei Amazon Web Services.

(ID:44188946)