NETFOX AG Sicherheit in der Cloud

Transkript

1 Systemintegrator für die Lösung anspruchsvoller und unternehmenskritischer IT-Anforderungen NETFOX AG Sicherheit in der Cloud ecomm Brandenburg Cloud Computing Impulse für die 23. Juni 2011

2 Agenda 1. Definitionen für Cloud Computing 2. Cloud-Anbieter - wie sicher sind sie? 3. Anforderungen und Risiken 4. Information Right Management 5. Fazit 2

3 Definitionsversuche für Cloud Computing 1. Definition von Google: Applikationen laufen irgendwo im World Wide Web. Applikationen können über einen Standard Browser genutzt werden. 2. Definition von Microsoft (nach Gartner): Eine Art von Computing, wo massiv skalierbare IT-gestützte Funktionen als Software as a Service" an externe Kunden mittels Internet-Technologien geliefert werden. 3. Definition vom NIST (National Institute of Standards and Technology) übernommen von der ENISA (Securing Europe's Information Society) übernommen vom BSI (Bundesamt für Sicherheit in der Informationstechnik): Cloud Computing ist ein Modell, das es erlaubt bei Bedarf, jederzeit und überall bequem über ein Netz auf einen geteilten Pool von konfigurierbaren Rechnerressourcen (z. B. Netze, Server, Speichersysteme, Anwendungen und Dienste) zuzugreifen, die schnell und mit minimalem Managementaufwand oder geringer Serviceprovider-Interaktion zur Verfügung gestellt werden können. 3

4 Die 5 Eigenschaften des Cloud Computing nach NIST 1. On-demand Self Service: Die Provisionierung der Ressourcen (z. B. Rechenleistung, Storage) läuft automatisch ohne Interaktion mit dem Service Provider ab. 2. Broad Network Access: Die Services sind mit Standard-Mechanismen über das Netz verfügbar und nicht an einen bestimmten Client gebunden. 3. Resource Pooling: Die Ressourcen des Anbieters liegen in einem Pool vor, aus dem sich viele Anwender bedienen können (Multi-Tenant Modell). Dabei wissen die Anwender nicht, wo die Ressourcen sich befinden, sie können aber vertraglich den Speicherort, also z. B. Region, Land oder Rechenzentrum, festlegen. 4. Rapid Elasticity: Die Services können schnell und elastisch zur Verfügung gestellt werden, in manchen Fällen auch automatisch. Aus Anwendersicht scheinen die Ressourcen daher unendlich zu sein. 5. Measured Services: Die Ressourcennutzung kann gemessen und überwacht werden und entsprechend bemessen auch den Cloud-Anwendern zur Verfügung gestellt werden. 4

5 Meine Definition des Cloud Computing Die ortsunabhängige Nutzung von Ressourcen und Services, die an beliebigen vom Nutzer nur bedingt bestimmbaren Orten zu jeder Zeit bereitgestellt werden. Beispiele: 1. Auskunftsdienste, die zum Beispiel telefonisch erreichbar sind. Wissen Sie, wo der Call-Center-Agent sitzt? 2. Telekommunikationsdienste. Wissen Sie, wer Ihr Gespräch abhört? 3. Übersetzungsdienste, die z.b. über Internet zur Verfügung gestellt werden. Wissen Sie wer Ihren Text später auch noch nutzen wird? 4. Finanzdienstleistungsdienste (Online Banking, Bezahldienste, Versicherungsdienste), die über Telefon, Internet oder Automaten bereitgestellt werden. Wissen Sie, was die Bank mit Ihrem Geld macht? 5

6 Die 3 Schichten eines IT-Systems 6

7 Die IT im Wandel Seit dem es die moderne Datenverarbeitung gibt, folgt sie im Wesentlichen dem Prinzip des Schichtenmodels. Durch die örtliche Trennung der Schichten erhöhte sich aber das Sicherheitsrisiko: 1970: Die Zeit der geschlossenen und proprietären Systeme: Die Datenschutzprobleme (Vertraulichkeit, Verfügbarkeit, Integrität) beschränkten sich auf rein technische oder interne organisatorische Gegebenheiten. Insbesondere die Weitergabe oder Übernahme von Daten erfolgte kontrolliert. 1990: Die Zeit der vernetzten offenen Client- Server- Systeme: Die Datenschutzprobleme (Vertraulichkeit, Verfügbarkeit, Integrität) wurden zunehmend zum Problem. Innerhalb einer Organisation konnten sie mit ähnlichen Mitteln wie in der Vergangenheit gelöst werden. Nach außen wurden diverse Schutzmechanismen entwickelt und eingeführt. 2010: Die Zeit der Cloud beginnt: Durch die örtliche Trennung der Schichten und auch der einzelnen Komponenten innerhalb einer Schicht erfolgt ein Paradigmenwechsel im Datenschutz. Nicht nur die einzelnen Komponenten sind zu schützen, sondern die Informationen im Netz sind zu schützen. 7

8 Die Schichten in der Cloud SaaS (Software as a Service) Google (z.b. GoogleDocs) Microsoft (z.b. Office 365) SAP (z.b. Business ByDesign) Salesforce (CRM).. PaaS (Platform as a Service) IBM Novell Citrix StoneOne. Iaas (Infrastructure as a Service) Amazon Fujitsu viele weitere 8

9 Was machen Google, salesforce & Co.? Amazon Web Services and Microsoft Office 365 are both ISO certified. However, Google Apps and Rackspace are not ISO certified, but are SAS-70. John Verry, ISO Certified Lead Auditor at Pivot Point Security wrote a great blog post called SAS-70 is Dead, Long Live the King (ISO 27001?). It is John s opinion that ISO is the "best general purpose form of information security attestation available right now". (Quelle: PivotPoint Security Blog, ) salesforce.com verfügt über umfassende Sicherheitszertifizierungen, einschließlich Prüfungen, die von mehreren Dritten durchgeführt wurden. Geografisch beschränkte Anerkennung TRUSTe EU Safe Harbor Seal (EU Safe Harbor-Siegel) TRUSTe Certified Privacy Seal (Zertifiziertes Datenschutzsiegel) Internationale Prüfungen ISO 27001, SAS 70 Typ II, SysTrust 9

10 Sicherheit der Microsoft-Rechenzentren Wesentliche Sicherheitsmerkmale: Geographisch verteilte und sich gegenseitig absichernde Rechenzentren (in Europa: Dublin in Irland und Amsterdam in den Niederlanden) Redundante Systeme innerhalb der Rechenzentren 9 Ebenen von Datensicherheit Erstklassiger Virenschutz und Spamfilter mit mehreren Virenscannern Verschlüsselte Datenkommunikation über SSL Betriebsprozesse an etablierten Konzepten (ITIL/MOF) ausgerichtet und laufend überprüft Permanenter Support, 24 Stunden am Tag, 365 Tage im Jahr Dienstgütevereinbarung (SLA) mit 99,9% garantierter Verfügbarkeit Entspricht den Normen ISO 27001, SAS 70 Type I, FERPA, HIPPA, FISMA, EU Safe Harbor Seal Quelle: Microsoft,

11 Vertrauen durch Transparenz (trust.salesforce.com) 11

12 BSI Mindestsicherheitsanforderungen für Cloud Anbieter Entwurfspapier des BSI vom 27. Sept Anforderung an die Portabilität von Daten Cloud-Dienste müssen so gestaltet sein, dass der Cloud-Nutzer seine Daten jederzeit aus der Cloud wieder exportieren kann (kein vendor lock-in). Hierzu müssen die Daten in einem anbieterunabhängigen Format gespeichert sein oder in ein solches umgewandelt werden können. Das gleiche gilt für den Import von Daten. Ziel muss es sein, ganze Anwendungen von einem Cloud-Anbieter zu einem anderen verschieben zu können, ohne dass der Nutzer sie neu entwickeln muss. Zusatzanforderungen an Public-Cloud-Anbieter für die Bundesverwaltung 12

13 Risiken bei der Nutzung der Cloud aus der KES * 1. Monetäre Risiken Ungeplante Kosten aufgrund fehlender oder falscher Planungsannahmen Vertragskosten bei Rückabwicklung Preisanpassungen 2. Datensicherheitsrisiken Dolose Handlungen durch Betriebspersonal Verlust der Datensicherheit durch Konfigurationsfehler und Nutzung durch mehrere Organisationen Fehlende Flexibilität bei der Anwendung von Kryptografie 3. Technologische Risiken Limitationen der Anpassbarkeit von Cloud-Services Kompatibilitätsprobleme zu anderen Anbietern Auswahl der falschen Technologie * Zeitschrift für Kommunikations- und EDV-Sicherheit 13

14 Risiken bei der Nutzung der Cloud aus der KES 4. Operationelle Risiken Fehlende Flexibilität bei SLA Kontrollverlust hinsichtlich der Qualität Verlässlichkeit des Services und Verfügbarkeit 5. Regulatorische Risiken Fehlende Kontrollmöglichkeiten hinsichtlich regulatorischer Anforderungen Unterschiedliche Rechtsräume bei Betrieb grenzüberschreitender Clouds 6. Anbieter Risiken Verlässlichkeit des Anbieters Insolvenzrisiko Übernahmerisiko 14

15 IRM/ DRM Informations-/ Digitales Rechtemanagement Das Problem: Die meisten Systeme für die Informationssicherheit kontrollieren den Zugang zu den Informationen. Mit anderen Worten, der Fokus liegt auf der Verhinderung eines Zugriffs von einem nicht autorisierten Benutzer auf die vertraulichen Dokumente. Die meisten Datenlecks entstehen jedoch dann, wenn ein autorisierter Benutzer Informationen absichtlich oder versehentlich an nicht berechtigte Personen weiterleitet. Solche Vorfälle stellen eine gravierende Gefährdung der Informationssicherheit dar und sind eine Bedrohung für laufenden Geschäfte und die Marktposition des Unternehmens. Ein IRM System löst diese Probleme durch: Zentrale Steuerung der Rechte für Dokumente (z.b. mit FileSecure) Genaue Kontrolle von Nutzungsrechten (betrachten / drucken / bearbeiten) pro Dokument Dauerhafte Nutzungsrechte, d.h. die Rechte sind nicht abhängig vom Speicherort. Möglichkeit die Nutzungsrechte für die Dokumente per Fernzugriff zu modifizieren. Dokumentensicherheit ohne dokumentenspezifische Passwörter. Vollständige Dokumentation über den Zugriff und Nutzung der Dokumente 15

16 Fazit Die Cloud ist eine konsequente Weiterentwicklung auf Basis von alt bekannten Prinzipien. Sicherheit in der Cloud erreicht man durch zuverlässige und vertrauenswürdige Anbieter und informationsbezogene Datenschutzmaßnahmen. Die Abhängigkeiten von Externen wachsen und die eigenen Kontrollmöglichkeiten nehmen ab. Auch in der Cloud gilt: Sicherheit verursacht Kosten und die können in der Cloud höher sein, müssen aber nicht. Das hängt vom Schutzbedarf der Informationen ab. Zum Abschluss ein Beispiel, dass die Cloud durchaus auch die Informationssicherheit erhöhen kann. 16

17 Vielen Dank für Ihre Aufmerksamkeit NETFOX AG Dr. Ortwin Wohlrab Leiter Vertrieb Heinrich-Hertz-Straße 1b Kleinmachnow Telefon: +49 (0) NETFOX AG Mit modernen, effizienten Lösungen und Ideen den Mittelstand stärken! 17