03.01.2023 IBM startet neues Projekt mit der Cloud Security Alliance

Cloud-Risiken minimieren

Von: Gesa Müller

Finanzdienstleister auf dem Weg in die Cloud unterstützen – das ist das Ziel einer Zusammenarbeit der IBM mit der Cloud Security Alliance beim Management von Risiken und Vorschriften. Die CSA ist eine gemeinnützige Organisation, die mit Standards, Zertifizierungen und „Best Practices“ die Sicherheit beim Cloud-Computing verbessern will.

Howard Boville, Leiter der IBM Cloud Platform, will es Unternehmen ermöglichen, „Workloads vertrauensvoll in der Cloud zu hosten und gleichzeitig das Risiko von Dritt- und Viert-Anbietern in ihrer gesamten Lieferkette zu minimieren“.

IBM bringt das „Cloud Framework for Financial Services“ in die Zusammenarbeit ein. Bei diesem Framework stehen Ausfallsicherheit, Sicherheit, Compliance und Performance im Vordergrund, um die Sicherheits- und Compliance-Position der Kunden zu automatisieren. Das Framework ist ein zentraler Bestandteil der IBM Cloud for Financial Services, die über integrierte Sicherheits- und Compliance-Kontrollen verfügt. Diese Kontrollen sollen bei der Risikominimierung, bei der Bewältigung laufender Regulierungen und bei der zügigen Cloud-Einführung helfen.

Die 2008 gegründete CSA hat auch eine Reihe von Tools entwickelt, um die Vorgänge der Cloud zu bewerten. Dieses „Governance, Risk Management and Compliance“- bzw. GRC-Stack genannte Toolset hilft Cloud-Anwendern zu bewerten, inwiefern Cloudservice-Provider (CSP) bewährten Methoden und Standards folgen und Compliance-Anforderungen erfüllen. Schon im Jahr 2013 haben die CSA und die British Standards Institution das sogenannte „Security, Trust & Assurance Registry“ (Star) ins Leben gerufen, ein kostenloses, öffentlich zugängliches Register, in dem CSPs ihre CSA-bezogene Selbsteinschätzung veröffentlichen können. Es basiert auf zwei Hauptkomponenten des GRC-Stack:

Cloud Controls Matrix (CCM): ein Framework, das grundlegende Sicherheitsprinzipien in 16 Bereichen abdeckt, um Cloud-Kunden bei der Bewertung des Gesamtsicherheitsrisikos eines CSPs zu unterstützen.
Consensus Assessments Initiative Questionnaire (CAIQ): ein Satz von über 140 Fragen basierend auf dem CCM, die man CSPs stellen kann, um ihre Compliance mit den Methoden der CSA zu bewerten.

Das „Cloud Framework for Financial Services“ wurde nun der „Cloud Controls Matrix“ zugeordnet. Dank dieser Anpassung können Unternehmen, die die CSA-Kontrollen übernommen haben, nun vertrauensvoll Cloud-Dienste nutzen oder mit SaaS-Anbietern in der IBM Cloud for Financial Services arbeiten.

„Da sich die globalen Vorschriften ständig weiterentwickeln, ist es für alle Unternehmen von entscheidender Bedeutung, die sich ändernden Anforderungen einzuhalten und gleichzeitig in einer sicheren Cloud-Umgebung zu arbeiten – für stark regulierte Branchen wie Finanzdienstleistungen ist dies jedoch noch wichtiger“, sagte Jim Reavis, CEO der Cloud Security Alliance. „Gemeinsam wollen wir Finanzdienstleister dabei unterstützen, ihr Wachstum voranzutreiben und systemische Risiken durch eine sicherere Cloud-Landschaft zu reduzieren, indem wir sie in die Lage versetzen, die sich weltweit entwickelnden Vorschriften zu erfüllen – vom Digital Operational Resilience Act“ der EU (kurz Dora) bis zur Datensouveränität.

Die Cloud for Financial Services wurde speziell für die regulierten Finanzdienstleister entwickelt und 2019 in Zusammenarbeit mit Partnerbanken wie Bank of America und BNP Paribas eingeführt. Sie soll Finanzdienstleistern helfen, die besonderen Anforderungen der Branche an Cybersicherheit, Regulierung und Betrieb zu erfüllen und gleichzeitig die Vorteile und Flexibilität der Cloud in einer sicheren Umgebung zu nutzen.

Hinter der Plattform steht die kollektive Intelligenz des „Financial Services Cloud Council“ - eines Netzwerks von inzwischen über 120 CIOs, CTOs und Risiko- und Compliance-Beauftragten aus aus über 70 Banken, darunter BNP Paribas, Discover Financial Services, Banco Sabadell, Banco Bradesco, Nationwide, Virgin Money und anderen. Mit diesem Know-how wurden branchenspezifische, integrierte Kontrollen entwickelt, die Finanzinstituten helfen sollen, alle Sicherheits- und Compliance-Anforderungen zu erfüllen. IBM hat diese Kontrollen als Teil der Cloud for Financial Services implementiert, stellt sie aber auch Kunden zur Verfügung, die sie in verschiedenen Clouds (öffentlich oder privat) nutzen wollen – durch die Verwaltung von Workloads mit IBM Cloud Satellite und die Überwachung ihrer Compliance durch IBM.

„Da Unternehmen bestrebt sind, mit den neuesten regulatorischen Anforderungen und sich entwickelnden Gesetzen zur Datensouveränität Schritt zu halten, stehen Sicherheit und Compliance im Mittelpunkt unseres Ansatzes“, so Howard Boville, Leiter der IBM Cloud Platform. Man habe den Cloud-Service speziell für stark regulierte Workloads entwickelt und ermögliche es so Finanzdienstleistern und Unternehmen aus anderen regulierten Branchen, „Workloads vertrauensvoll in der Cloud zu hosten und gleichzeitig das Risiko von Dritt- und Viert-Anbietern in ihrer gesamten Lieferkette zu minimieren“, denn die Einhaltung von Sicherheits- und Compliance-Anforderungen sollte nicht auf Kosten der Innovation gehen. Der gesparte Zeit- und Kostenaufwand für die Einhaltung von Vorschriften könne Ressourcen für Innovationen freisetzen. Das neue Angebot biete Funktionen zur Überwachung der Sicherheitslage mit integrierten Kontrollen und Profilen, was die Einhaltung von Branchenanforderungen wie dem CCM der CSA erleichtere, und ermögliche es Kunden, ihre Compliance-Lage proaktiv zu überwachen. Hinzu kommen Funktionen für vertrauliches Computing und Verschlüsselung, um sicherzustellen, dass die Daten der Kunden ausschließlich ihnen gehören.