Cloud Computing: Ratgeber IT-Sicherheit Detail - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


16.02.2011 Martin Schweinoch, Thomas Störtkuhl*

Cloud Computing: Ratgeber IT-Sicherheit

Lesen Sie, welche Security-Risiken das Cloud Computing birgt und was Sie dagegen tun können.

Cloud Computing wirft ein neues Licht auf bekannte Themen. Ein zentraler Aspekt ist die IT-Sicherheit. Das gilt gerade für allgemein zugängliche Public Clouds, deren Anbieter oft sehr einfache Verfahren für den Vertragsabschluss und die Leistungserbringung einschließlich der Migration von Daten in die Cloud vorsehen. Dadurch sinken die Sicherheitsbedürfnisse und -anforderungen der Kunden allerdings nicht. Schon der Schutz personenbezogener Daten in der Cloud verlangt angemessene technische und organisatorische Maßnahmen auch für die IT-Sicherheit (Paragraf 9 Bundesdatenschutzgesetz).

Complianceanforderungen des Kunden und gesetzliche Regelungen für spezifische Daten setzen zusätzliche Kriterien für die IT-Sicherheit. Die Umsetzung erfordert nicht nur die Analyse und Bewertung der Sicherheitsmaßnahmen des Providers durch den Kunden. Notwendige Maßnahmen sind vor Beginn der Nutzung der Cloud-Lösung zu vereinbaren und zu realisieren.

Dieser Artikel dreht sich um eine Auslagerung von kritischen Funktionen (Applikationen, Plattformen, Infrastruktur) in eine Public Cloud oder Hybrid Cloud (mit Public Cloud-Anteil). Die Auslagerung in allgemein zugängliche Public Cloud Ressourcen weist eine typische Besonderheit auf: Die Provider und die "Standorte" einer Public Cloud sind anonym über die Welt verteilt. Gerade diese Besonderheit führt aber zu neuen Risiken, denen das in Abbildung 1 dargestellte Vorgehen begegnet.

Bei der Auslagerung von sensitiven Daten ist ein Vorgehen wie in Abbildung 1 dargestellt kaum verzichtbar. Insoweit wird das „klassische“ Paradigma der Public Cloud verlassen, was zu höheren Kosten für die Auslagerung von Funktionen führen kann.

DIE 10 GRÖSSTEN SECURITY-RISIKEN IN DER CLOUD Allgemein sind folgende Risiken bei dem Einsatz von Leistungen aus einer Public oder Hybrid Cloud zu beachten:

Verletzung der Vertraulichkeit und Integrität der Daten Eine Lokalisierung der Daten ist in einer Public oder Hybrid Cloud für den Dateneigentümer nicht mehr einfach möglich. Daher ist der Schutz der Daten auf der Infrastruktur-, Plattform und Applikationsebene häufig nicht mehr mit üblichen Mitteln zu gewährleisten. Gerade für sensitive Daten kann eine ausreichende Zugriffskontrolle nur schwer realisiert werden. Auch die Infrastruktur der Cloud selbst kann angegriffen oder missbraucht werden.

Löschung von Daten Daten müssen in vielen Fällen (etwa aufgrund gesetzlicher Bestimmungen) gelöscht werden. Auch hier besteht das Risiko einer nur unzureichenden oder unvollständigen Löschung auf allen Plattformen und Datenbanken der Cloud, da die Lokalisierung der Daten nur schwer möglich ist. Auch nach Beendigung des Auftrags müssen die verarbeiteten Daten und alle Zwischenergebnisse in der Public Cloud gelöscht werden.

Ungenügende Mandantentrennung Bei nicht ausreichend abgesicherter Mandantentrennung besteht die Gefahr, dass Dritte unautorisiert Daten einsehen oder manipulieren können. Dieses Risiko ist in einer Public Cloud erhöht, da durch Virtualisierung und Grid Computing keine physikalische Trennung der Daten unterschiedlicher Mandanten erfolgt.

Verletzung der Compliance Da Daten in einer Public Cloud prinzipiell in allen Ländern der Welt in deren spezifischen Rechtsordnungen verarbeitet werden können, ist die Erfüllung aller gesetzlicher Anforderungen eine wesentliche Aufgabe bei der Nutzung von Public Cloud Leistungen.

Verletzung von Datenschutzgesetzen Es ist nicht von vornherein klar, in welchen Ländern, Rechenzentren, auf welchen Servern und mit welcher Software die Daten gespeichert und verarbeitet werden. Auch sind die Datenflüsse unbekannt. Es besteht dadurch die Gefahr der Verletzung von Datenschutzvorschriften.

Insolvenz des Providers Die Insolvenz eines Providers bedeutet meist nicht die Insolvenz aller Rechenzentren, die der Provider verwendet hat. Rechenzentren werden zudem bei Insolvenz mit großer Wahrscheinlichkeit an andere Provider verkauft werden. In allen diesen Fällen besteht das Risiko, dass Daten nicht vor unberechtigtem Zugriff geschützt sind.

Problematik der Subunternehmer Ein weiteres Problem stellt die Auftragsweitergabe an Subunternehmer dar. Der Provider wird häufig Subunternehmer für gewisse Leistungen verpflichten. In einer Public Cloud bleibt auch diese Komplexität dem Benutzer häufig verborgen (und soll ja nach der Philosophie des Cloud Computing verborgen bleiben). Daten können sich dann auf Computing-Ressourcen eines unbekannten Subunternehmers irgendwo in der Welt befinden.

Beschlagnahmung von Hardware Eine Beschlagnahme von Hardware kann in allen Ländern erfolgen, in denen der Provider Computing-Ressourcen nutzt. Meist werden sich Daten des Auftraggebers auf beschlagnahmten Servern befinden. Logdaten auf Servern und Routern können Schlussfolgerungen auf die Geschäftstätigkeit des Kunden auch ermöglichen, wenn keine sonstigen Geschäftsdaten vorliegen.

Handel mit Ressourcen wird denkbar Denkbar ist auch, dass Provider einen Handel mit ihren Ressourcen untereinander aufbauen und damit eine "Ressourcenbörse" realisieren wie sie in Abbildung 2 angedeutet ist. Auf dieser Börse werden Ressourcen zu einem bestimmten Preis angeboten. In Leistungsspitzen würde etwa der Preis pro CPU Stunde auf der Börse höher gehandelt. Welche Konsequenzen dies für die Sicherheit der Daten haben kann, ist noch vollkommen unklar.

Erpressungsversuche Die Gefahr von Erpressungsversuchen steigt, da der Personenkreis mit Administrationsaufgaben für Ressourcen der Public Cloud unüberschaubar groß ist. Das eingesetzte Personal verfügt im Allgemeinen über unterschiedliches Ausbildungsniveau und Sicherheitsbewusstsein. Auch sind die Motivationslagen der Mitarbeiter in vielen Ländern nicht kalkulierbar.

AUSLAGERN IN DIE PUBLIC CLOUD: SO SOLLTEN SIE VORGEHEN Jedes Unternehmen, das den Einsatz von Leistungen einer Public Cloud plant, sollte zunächst über eine Strategie für Outsourcing-Vorhaben nachdenken. Die Outsourcing-Strategie stellt dar, wie ein Outsourcing-Vorhaben in die gesamte Strategie (insbesondere auch in die Risikostrategie) des Unternehmens zu integrieren ist. Dazu gehören Aspekte wie generelle Zielvorgaben, Etablierung eines Outsourcing-Managements mit Organisationsstrukturen und definierten Verantwortlichkeiten, die Festlegung akzeptabler Risiken und Entwicklung von Fallback-Strategien.

Insbesondere muss geklärt werden, welche Funktionen nicht in eine Public Cloud ausgelagert werden dürfen (wegen gesetzlichen Anforderungen, zu hohen Risiken oder anderen Gründen). Weiter ist das Outsourcing-Management in das Managementsystem des Unternehmens zu integrieren. Als weitere Mindestanforderung darf keine Auslagerung einer Funktion in eine Public Cloud ohne Sicherheitskonzepte, SLAs und Verträge mit definierten, messbaren Leistungen realisiert werden. Wesentlich ist die Implementierung eines Outsourcing-Prozesses, der gemäß Abbildung 1 näher erläutert wird.

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • Bechtle IT-Systemhaus Österreich

    Bechtle IT-Systemhaus Österreich WLAN-Systeme, Netzwerk-Systeme (LAN, MAN, WAN), Netzwerk-Management, Server-Betriebssysteme, Verschlüsselungs- und Kryptografie Software, Security Audits, Notfalls-Rechenzentren,... mehr
  • abaton EDV-Dienstleistungs GmbH

    abaton EDV-Dienstleistungs GmbH VPN, Überwachungssysteme, SPAM-Filter, Notfalls-Rechenzentren, Firewalls, Datensicherung, Backup und Recovery Systeme,... mehr
  • Matrix42 AG

    Matrix42 AG Mobile Lösungen und Applikationen, Zugangs- und Zutrittskontrolle, Security Audits, Übernahme von Softwareprojekten, Programmierung, IT-Asset- und Lizenzmanagement, IKT-Consulting,... mehr
  • KORAM Softwareentwicklungsgesellschaft m.b.H:

    KORAM Softwareentwicklungsgesellschaft m.b.H: Betriebsdaten- und Zeiterfassung, Kaufmännische Software (ERP), Management Informationssysteme (MIS), Bauwesen, Einzelhandel, Fertigung, Produktion und Konstruktion, Freie Berufe,... mehr

Hosted by:    Security Monitoring by: