Sicherheit in der Wolke

Berechnungen des Bitkom zufolge wird die Cloud bis 2016 jährlich um fast 40 Prozent wachsen. Trotz dieser glänzenden Aussichten darf man die riskanten Seiten des Cloud Computing nicht ausblenden. Vor allem Public Clouds erschweren die Einhaltung von Datenintegrität, Privatsphäre und Compliance. In der Regel muss der Cloud-Anbieter garantieren, dass seine Infrastruktur sicher ist, weshalb der Anwender seiner Sorgfaltspflicht aber nicht entbunden ist.

Spezifische Cloud-Governance-Aufgaben sollten als Teil des globalen Governance-Prozesses definiert werden. Zum Beispiel können Service Level Agreements (SLAs) mit dem Cloud-Anbieter ausgehandelt und überwacht werden. Alle sensiblen Daten sowie solche, die von Compliance-Regeln betroffen sind, müssen auf der Cloud-Sto­rage-Infrastruktur ordnungsgemäß getrennt und, falls sie einer bestimmten Risikoklasse angehören, verschlüsselt übertragen und gespeichert werden. Die Verwaltung von Schlüsseln und deren Übertragung in das Provider-Rechenzentrum ist entscheidend für die Einhaltung des Datenschutzes und der Compliance-Anforderungen. Deshalb müssen die Daten anhand unterschiedlicher Risikostufen klassifiziert werden, die regeln, wer Zugang zu den Daten haben darf und wie diese Daten verschlüsselt, gespeichert sowie archiviert werden müssen.

Das deutsche Bundesdatenschutzgesetz ist die wichtigste der von Gesetzgebern verordneten Regeln im ­Bereich Compliance. Ein weiteres relevantes Gesetz ist die EG-Dual-Use (ISO 38500). Hierbei handelt es sich um allgemeine Exportkontrollbestimmungen, wovon insbesondere Speicherorte im Ausland betroffen sind. Das Sarbanes-Oxley-Gesetz (SOX) gehört ebenfalls dazu und gibt die Art und Dauer der Speicherung aller Geschäftsberichte vor. In den Verträgen sollte genau beschrieben sein, wie und wo der Cloud-An­bieter die Daten speichert, verarbeitet und vor allem schützt. Eine Verlagerung von Daten in andere Staaten sollte nur mit Zustimmung des Cloud-Kunden möglich sein.

Identitäts- und Zugriffsmanagement

Für den breiten Einsatz von Cloud Computing sollte ein föderatives Identitätsmanagement (FIM) eingesetzt werden, um den sicheren und einfachen Austausch von Informationen über Identitäten zu gewährleisten. Alternativ empfiehlt sich, einen Cloud IDM Gateway zu implementieren. Dieser kann die gesamte Komplexität der Authentifizierung und Autorisierung der Benutzer hinter einer einfachen Schnittstelle kapseln.

Anbieter müssen gewährleisten, dass physische Ma­schinen ausreichend sicher sind und dass der Zugang zu diesen Maschinen nur autorisiertem Personal erlaubt ist und dokumentiert wird. Die Anbindung muss dabei stets verschlüsselt erfolgen, wobei die Verschlüsselungsstärke konfigurierbar und mindestens genauso stark wie die Unternehmens-VPN-Verschlüsselung sein sollte.

Bildquelle: Logica