CeSeC Certified Secure Cloud

Transkript

1 CeSeC Certified Secure Cloud 1 Bayerischer IT-Sicherheitscluster e.v

2 Was ist CeSeC Certified Secure Cloud? Die Certified Secure Cloud, oder kurz CeSeC genannt, ist ein technischer und organisatorischer Leitfaden für kleine und mittlere Unternehmen, der auch die ökonomische Sicht betrachtet. Dieser Zielgruppe soll einfach und verständlich erläutert werden, ob, wenn und wie sie Teile oder Ihre gesamte IT-Umgebung in die Cloud migrieren können. Zertifizierte Berater begleiten auf Wunsch das Unternehmen bei der Migration und unterstützen bei Planung, Überwachung und Abnahme. Es wird eine fachlich kompetente Kontroll- und Beratungsinstanz geschaffen, um für größtmögliche Sicherheit und Transparenz während des Projektes Migration in die Cloud zu sorgen. 2 Bayerischer IT-Sicherheitscluster e.v

3 Organisatorische und rechtliche Betrachtung 3 Bayerischer IT-Sicherheitscluster e.v

4 Welche Rechtsgebiete können betroffen sein Vertragsrecht Datenschutzrecht Urheberrecht Strafrecht Steuerrecht Lizenzrecht 4 Bayerischer IT-Sicherheitscluster e.v

5 Themen die berücksichtigt werden müssen Lizenzierung vollumfängliche Standortprüfung Bezahlmodelle Notfallmanagement Überwachungs- und Meldungsmanagement administrative Hoheit und Administrierbarkeit Compliance Haftung und Risikoverlagerung 5 Bayerischer IT-Sicherheitscluster e.v

6 Was gilt es insbesondere bei den Providerverträgen zu prüfen Laufzeiten Beauftragung von Subunternehmern exakte Verfügbarkeitsdefinition Nutzungsvereinbarung im Bezug auf die Nutzungszeit physischer Zugang und Auditierung des Rechenzentrums Datensicherung und Wiederherstellung Zugang zu Self Service Portalen Einbindung in das Überwachungsmanagement Dokumentationspflichten aufgrund des BDSG Berichtswesen und Statistiken 6 Bayerischer IT-Sicherheitscluster e.v

7 Was gilt es beispielsweise bei Datenschutz zu beachten Auftragsdatenverarbeitung nach 11 BDSG physische Sicherheit des Rechenzentrums Anwendbarkeit von TKG und TMG Dokumentationspflicht Aufbewahrungspflicht von Daten Nachweispflichten Hinweispflichten dem Betroffenen gegenüber Geotracking und Geolokation 7 Bayerischer IT-Sicherheitscluster e.v

8 Was gilt es beispielsweise bei Compliance zu beachten Prüfung bestehender Kundenverträge Prüfung von Hinweispflichten berufsrechtliche Vorschriften Risikobewertung 8 Bayerischer IT-Sicherheitscluster e.v

9 9 Bayerischer IT-Sicherheitscluster e.v Technische Betrachtung

10 Bedrohungen und Risiken Zusätzlich zu den klassischen Risikobetrachtungen, müssen beim Betrieb von Anwendungen in der Cloud weitere Bedrohungen und Risiken im Vorfeld betrachtet werden. Cloud-spezifische Bedrohungen und Risiken 10 Bayerischer IT-Sicherheitscluster e.v

11 Bedrohungen und Risiken bzgl. Daten und Dienst Im Vergleich zum klassischen Inhouse-Betrieb der Anwendung, kann es in der Cloud weitere Schwachstellen, Bedrohungen und Angriffe, die ebenfalls im Vorfeld betrachtet werden müssen: Schwachstelle, Verwundbarkeit, Bedrohung und Risiko Datenpannen Datenverlust Nicht autorisierte Zugriffe auf Daten bzw. Dienste Unsichere Schnittstellen Angriffe Bösartige Innentäter Missbrauch von Cloud-Diensten Mangelhafte Planung des Umstiegs auf Cloud-Dienste Verwundbarkeiten aufgrund von Ressourcenteilung 11 Bayerischer IT-Sicherheitscluster e.v

12 Wie plane ich den Weg in die Cloud? Der erfolgreiche Umzug einer Anwendung in die Cloud gelingt am Besten mit einer guten Planung: Anwendungen für die Nutzung in der Cloud auswählen Anwendungen für die Umsetzung bewerten und priorisieren Total Cost of Ownership (TCO) ermitteln Umfang der Änderungen im Unternehmen gewichten Die auszulagernden Dienste festlegen Klärung der rechtlichen Rahmenbedingungen mit einem Experten Auswahl eines geeigneten Beraters Projektplanung gemeinsam mit dem ausgewählten Berater Pilotprojekt durchführen Migration in die Cloud durchführen 12 Bayerischer IT-Sicherheitscluster e.v

13 Technische Sicherheit Bei technischer Umsetzung ist zunächst die technische Sicherheit zu prüfen und ggf. herzustellen: Rechenzentrumssicherheit Server-Sicherheit Art der Datenspeicherung Ort der Datenspeicherung (Datenschutz) Art der Verschlüsselung, Schlüsselmanagement ID- und Rechtemanagement Sekundärdaten (Logdateien, Abrechnungsdaten, usw.) Verbindungen (andere Dienste, Partner) zum Cloud-Service Notfallmanagement 13 Bayerischer IT-Sicherheitscluster e.v

14 Betrieb der Anwendung in der Cloud Während des Betriebs der Anwendung in der Cloud muss die Sicherheit und die Verfügbarkeit kontinuierlich überprüft werden: ID- und Rechtemanagement Monitoring Notfallmanagement (Business Continuity) Sicherheitsprüfungen und -Audits, Penetrationstests (des Kunden beim CSP) Allgemein (CSP selbst) In Bezug auf die eigenen Dienste und Daten Datenschutz und rechtliche Bestimmungen (Compliance) Absicherung der Anwendung (WAF, IDS/IPS, SecaaS) 14 Bayerischer IT-Sicherheitscluster e.v

15 Wie steige ich aus der Cloud aus? Bei Beendigung oder Wechsel des Cloud-Dienstes müssen die Daten zurückgeführt und beim CSP gelöscht werden: Konzept einer Rückführung Interoperabilität und Portabilität (wie bei der Planung erstellt) Daten umziehen Daten exportieren Daten migrieren (bei Umzug) Daten sicher löschen Alle Daten beim CSP sicher löschen Verbindungen deaktivieren, blockieren Vertragliche Erklärungen 15 Bayerischer IT-Sicherheitscluster e.v

16 CeSeC Hilft Ihnen einfach und sicher 16 Bayerischer IT-Sicherheitscluster e.v

17 Die Aufgaben von CeSeC Bereitstellung von Erfahrungen und Best Practice Schaffung von Transparenz und Vertrauen Management anhand einer 3 dimensionalen Projektmanagementmethode Abarbeitung der Aufgaben nach dem CeSeC-Modell Zur Verfügung stellen von Handlungsempfehlungen und Checklisten Informieren über relevante IT-Sicherheitsthemen Erstellung von Ablaufplänen Empfehlungen zur Überwachung und Auditierung 17 Bayerischer IT-Sicherheitscluster e.v

18 Welche Servicemodelle werden berücksichtigt? Technologie Servicemodelle und Beispiele Anwender Saas- Software as a Service Software Microsoft Office 365 Google Docs Salesforce.com mit seiner CRM Applikation Konzerne Unternehmen Abteilungen Privatanwender Plattform Infrastruktur PaaS Platform as a Service Microsoft Windows Azure Google mit seiner App Engine IaaS Infrastruktur as a Service Fujitsu Cloud HP Cloud Amazon EC2 Entwickler Abteilungen von Unternehmen große Unternehmen mittelständische Unternehmen kleine Unternehmen 18 Bayerischer IT-Sicherheitscluster e.v

19 Was stellt die CeSeC zur Verfügung Leitfaden mit verständlich erklärten Fachthemen, die es zu berücksichtigen gilt nicht nur für IT Fachkräfte Workbook mit konkreten Handlungsempfehlungen und Checklisten Angepasste Projektmanagementmethode CeSeC M 3 Software zur Dokumentation des Projektes Zertifizierte Berater und Betreiber 19 Bayerischer IT-Sicherheitscluster e.v

20 CeSeC M 3 - Modell, Management und Methode in 3 Dimensionen 20 Bayerischer IT-Sicherheitscluster e.v

21 Die Gründer von CeSeC - Certified Secure Cloud Der Bayerische IT Sicherheitscluster e.v. ein privatwirtschaftlicher Verein mit Mitgliedern aus der IT-Branche, Hochschulen und Anwendern GOGU Systems GmbH, München Kanzlei Paluka, Sobola, Loibl & Partner, Regensburg KCT Systemhaus GmbH, Schwandorf Netzwerk GmbH, Ismaning Ostbayerische Technische Hochschule Amberg-Weiden Ostbayerische Technische Hochschule Regensburg sic[!]sec GmbH, Gröbenzell 21 Bayerischer IT-Sicherheitscluster e.v

22 Kontakt Bayerischer IT-Sicherheitscluster e.v. Clustermanagerin und Vorstandsvorsitzende: Sandra Wiesbeck 0941/ sandra.wiesbeck@it-sec-cluster.de Bayerischer IT-Sicherheitscluster e.v. Vorstandsmitglied: Christian Paulus 0941/ christian.paulus@it-sec-cluster.de 22 Bayerischer IT-Sicherheitscluster e.v