Sicher durch die Wolken

Unternehmen stehen dem Konzept teilweise skeptisch gegenüber und bleiben lieber bei stationären und konventionellen IT-Lösungen. Die eigene IT oder sensible Firmendaten in externe Hände zu legen, wird oft als unsicher empfunden. Laut einer Studie des Marktforschungsunternehmens Vanson Bourne im Auftrag von Dell und Intel machen nur 17 Prozent der befragten Firmen von den Möglichkeiten des Cloud Computing Gebrauch, mehr als ein Drittel hat sich mit der Materie noch gar nicht beschäftigt. Dabei können Unternehmen durch die Cloud neue Lösungen nutzen, die ihnen früher nicht zur Verfügung standen, da beispielsweise die Implementierung an hohen Lizenzkosten scheiterte.

Und dennoch, die Implementierung von Cloud Computing birgt Risiken, die nicht von der Hand zu weisen sind. Ein Manko ist die im Vorfeld zu beachtende Migrationsfähigkeit: Ein Unternehmen lagert beispielsweise seine Daten an einen Cloud-Dienstleister aus, wächst und baut im Lauf der Zeit eine eigene IT-Abteilung auf – diese soll die Daten dann selbst verwalten. Wie kommt das Unternehmen nun aus einer Cloud-Lösung wieder heraus? Gibt es die Möglichkeit, alle Daten zurückzuerhalten? Das sind Fragen, die im Vorfeld geklärt werden müssen und Bestandteil einer jeden gut durchdachten Cloud-Computing-Policy sein sollten.

Unternehmen sollten ihre Dienstleister im Vorfeld genau prüfen und entsprechende Verträge schließen. Ein Baustein kann dabei ein Vertrag zur Auftragsdatenverarbeitung nach § 11 BDSG sein. Dabei ist insbesondere auf die „Exit-Strategie“ zu achten und diese mit konkreten Maßnahmen festzulegen. Die Fragen, die in diesem Zusammenhang beantworteten werden sollten, lauten: Welches Exportformat wird für die Daten bei der Migration gewählt? Wo werden die Daten sicher zum Export bereitgestellt? Wie sorgt der Dienstleister dafür, dass die exportierten Daten sicher gelöscht werden? Darüber hinaus besteht auch die Gefahr, dass ­Datenschutzvorschriften verletzt werden: Kann der Dienstleister sicherstellen, dass personenbezogene Daten im europäischen Rechtsraum gehalten werden? Für Unternehmen ist es elementar zu wissen, in welchen Ländern, auf welchen Servern und mit welcher Software ihre Daten und die ihrer Kunden gespeichert und verarbeitet werden. Die Verantwortlichen sollten daher genau prüfen, ob die Vertraulichkeit der Daten gewährleistet werden kann: Sind die Daten vom Front­end bis zur Datenbank verschlüsselt? Sind auch die Datenbanken verschlüsselt und die Daten in einer eigenen Datenbankinstanz speicherbar? Das Ausspionieren von Daten kann damit weitgehend verhindert werden. Außerdem kann sichergestellt werden, dass das Trennungsgebot des Datenschutzes eingehalten wird.

Wer verwaltet den Schlüssel für die Verschlüsselung? Idealerweise kann der Nutzer eine eigene Verschlüsselungslösung in einem ausreichend sicheren Verfahren einsetzen. In diesem Fall erhält der Cloud-Dienstleiter nur verschlüsselte Daten. Dadurch ist sichergestellt, dass die Cloud-Lösung verwendet werden kann, der Anbieter jedoch keinen Zugriff auf die Daten im Klartext hat. Dies ist beispielsweise in Lösungen wie Outlook des Microsoft Office365 anwendbar, wo das anwendende Unternehmen S/MIME implementieren kann.

Außerdem ist es für die Unternehmen sinnvoll, Sicherheits- und Verfügbarkeitsanforderungen zu definieren: Welche Verfügbarkeiten und welche Service Level sind erforderlich? Wie werden Wartungsfenster abgestimmt? Sicherheitsanforderungen können idealerweise direkt anhand des anerkannten Technikstandes festgelegt werden. Dabei obliegt die Bewertung der Risiken dem Anwender, der dann möglichst konkrete Anforderungen an den Dienstleister stellt. Dort wo der Dienstleister keine adäquaten Lösungen anbieten kann, muss das Unternehmen selbst Maßnahmen implementieren – oder darüber entscheiden, ob die Risiken akzeptiert werden können. Dies hängt maßgeblich davon ab, wie sensibel die Daten sind. Gut anwendbar für einen Anforderungskatalog ist etwa Anhang A der ISO/IEC 27001 – dieser kann zusätzlich an einigen Stellen um konkrete Anforderungen ergänzt werden. Unternehmen legen also beispielsweise Klassifizierungsstufen fest, ebenso wie den notwendigen Schutz für klassifizierte Informationen – nicht aber die Technik, die ein Partner verwenden muss. Der Auftraggeber kann hierbei den Anhang A der ISO/IEC 27001 als Struktur verwenden.

Um immer auf dem neuesten Stand zu bleiben, ist es wichtig, dass der Dienstleister sicherheitskritische Ereignisse, wie beispielsweise einen unbefugten Angriff von außen auf das System, zuverlässig an seine Kunden kommuniziert. Das Unternehmen sollte zudem ein Auditrecht haben und regelmäßig Reports zu Sicherheitsvorfällen, Verbrauch von Ressourcen wie Strom und Kapazitätsauslastung der Hard- und Software erhalten. Dabei ist zu beachten: Nur der Mix aus Reports, Zertifikaten, Vor-Ort-Audits und Meldungen von Sicherheitsvorfällen ist wirksam. Firmen sollten sich nicht auf eine oder nur wenige Methoden verlassen. Rechtliche, länderübergreifende Standards für die neuen IT-Dienste gibt es nämlich nicht – allerdings sollen noch in diesem Jahr einheitliche europäische Regeln für Datenschutz veröffentlichen werden. Denn im Falle einer unsachgemäßen Handhabung der Daten trägt alleine der Unternehmer die Verantwortung.

Policy für Cloud Computing

In einer Policy für das Cloud Computing sollten u.a. folgende Aspekte berücksichtigt werden:

• Wie werden Cloud-Lösungen in die vorhandene IT-Strategie eingebunden?
• Wie wird die IT-Strategie fortgeführt und wie werden Cloud-Lösungen dabei berücksichtigt?
• Welche Arten von Informationen „dürfen“ in eine Cloud-Lösung, welche müssen aufgrund ihrer Klassifizierung und Kritikalität nur in eigenen Lösungen verarbeitet und gespeichert werden?
• Wie sehen Migrationsprozesse aus, wie kann also aus einer Cloud-Lösung migriert werden?
• Welche Sicherheitsanforderungen gelten für Cloud-Services im Unternehmen mit Hinblick auf: Verschlüsselung, Zugangskontrollen, Trennung von Rechten, Logfiles, Wartungstätigkeiten, Trennung von Test-, Validierungs- und Produktionsumgebung, Backup-Verfahren, physische Sicherheit des Rechenzentrumsbetriebs, Überprüfung der Informationssicherheit beim Dienstleister?
• Wie, durch wen und wie oft will das Unternehmen die Einhaltung der Sicherheitsanforderungen überprüfen?
• Wie werden Änderungen gemanagt? Wie und in welchen Frequenzen können diese umgesetzt werden?

Quelle: Rühl Consulting, www.ruehlconsulting.de

Bildquelle: iStockphoto.com/joggiebotma