Für Sicherheits- und Risikoexperten

Transkript

1 F&A: Cloud-Sicherheit entmystifiziert Ein Empowered-Bericht: Wie man der Angstmache zum Thema Cloud-Sicherheit entgeht von Chenxi Wang, Ph.D. mit Stephanie Balaouras und Lindsey Coit Kurzfassung Auf dem von Forrester 2010 in Boston veranstalteten Sicherheitsforum kamen Eran Feigenbaum, Sicherheitsdirektor bei Google Apps, und Archie Reed, Cheftechnologe für Cloud-Sicherheit bei HP, gemeinsam mit mir auf die Bühne, um ein Hauptforum zur Cloud-Sicherheit zu leiten. Wir haben Themen wie private und öffentliche Clouds im Vergleich, Cloud-Sicherheitsstandards und sich abzeichnende Trends behandelt. Dieses Dokument gibt die wesentlichen Inhalte der zwischen Publikum und Diskussionsleitern ausgetauschten Fragen und Antworten wieder. Fragen 1. Ist die Cloud zwangsläufig weniger sicher als meine eigene IT-Infrastruktur oder kann sie sogar sicherer sein? 2. Worin bestehen die wesentlichsten Sicherheitsbedenken? 3. Wie kann ich einen Cloud-Sicherheitsanbieter beurteilen? 4. Welche Haupttrends bestehen heute bei Cloud-Diensten? 5. Gibt es Normenausschüsse, die an einem allgemeinen Satz von sicherheitsbezogenen Standards für Cloud-Dienste arbeiten? Cloud-Dienste werden trotz Sicherheitsbedenken zunehmend in Anspruch genommen In der Branche schwirren schon seit einiger Zeit Meinungen über Cloud umher. Sicherheits- und Risikoexperten bleiben skeptisch bei der Frage, ob Cloud-Anbieter die Verantwortung für den Schutz der Benutzer und ihrer Daten und Privatsphäre gerecht werden können. Trotz dieser Bedenken werden Cloud-Dienste nach Befragungen mehrerer IT-Funktionsträger durch Forrester verstärkt angenommen. Es folgen ein paar unserer Umfrageergebnisse: IT-Entscheidungsträger und Personen mit Einfluss sagen, dass Cloud-Computing von größter Wichtigkeit ist oder eine hohe Priorität hat. In einer vor kurzem von Forrester durchgeführten Befragung von IT-Entscheidungsträgern gaben 49 % aus nordamerikanischen Unternehmen und 45 % aus europäischen Unternehmen an, dass die Verfolgung einer Strategie der Annahme von Cloud-Infrastrukturdiensten in den nächsten 12 Monaten hohe oder höchste Priorität genießt (siehe Abbildung 1). 1 Eine weitere Forrester-Umfrage vermeldet, dass jedes vierte Unternehmen bereits eine Art von Cloud-Computing nutzt. 2 Sitz Forrester Research, Inc. 400Technology Square, Cambridge, MA USA Tel.: Fax:

2 2 Sicherheitsaspekte haben keine endgültige Entscheidungsgewalt mehr. Sicherheitsexperten haben nicht mehr die Macht, den Zugang zu oder die Nutzung von Technologien wie Cloud-, mobile, soziale oder Videokonferenzdienste zu blockieren. Auf dem Forrester-Sicherheitsforum 2010 haben wir 85 anwesende Sicherheitsexperten danach befragt, wie sie die mit Empowered- Technologien ausgestatteten Mitarbeiter von heute unterstützen. 3 Von den 85 Befragten gaben nur 28 an, dass ihr Unternehmen keine Form von Cloud-Computing einsetzt oder im Pilotstadium testet. Außerdem gaben nur 12 der 85 Befragten an, dass sie noch ein Vetorecht bei Empowered-Technologien haben. Da Führungskräfte aus Wirtschaft und Informatik mit Volldampf auf die Cloud-Dienste zusteuern, ist es wahrscheinlich am besten, nicht mehr auf Cloud-Sicherheit zu beharren und sich auf den Wechsel zur Cloud einzustellen. Abbildung 1 Cloud-Dienste haben sowohl in Nordamerika als auch in Europa Vorrang Welche der folgenden Technologie-Initiativen wird in Ihrem IT-Unternehmen in den nächsten 12 Monaten wahrscheinlich die höchste Priorität haben? Strategie der Annahme von Angeboten von Software als Dienstleistung verfolgen Strategie der Annahme von Cloud-Infrastruktur- Diensten (virtuelle Server oder Software- Plattformen bei Dienstanbietern) verfolgen Cloud-Computing-Strategie verfolgen/umsetzen 35% 37% Europa Nordamerika 36% 35% 45% 49% Basis: 562 IT-Entscheidungsträger und Personen mit Einfluss aus Europa 1195 IT-Entscheidungsträger und Personen mit Einfluss aus Nordamerika Quelle: Global IT Budgets, Priorities, And Emerging Technology Tracking Survey, Q Quelle: Forrester Research, Inc.] 1. Ist die Cloud zwangsläufig weniger sicher als meine eigene IT-Infrastruktur oder kann sie sogar sicherer sein? Es ist wichtig, dass man Cloud-Dienste nicht von vornherein wegen Sicherheitsbedenken abtut; die Vorteile der Cloud, darunter Effektivität und Ökonomie, sind überzeugend genug, um eine tiefgründigere Kosten-Nutzen-Analyse anzustellen. Außerdem kann ein Cloud-Anbieter über IT-Sicherheitsfunktionen verfügen, die den eigenen internen Möglichkeiten gleichkommen oder diese sogar übertreffen. Der Wechsel zu einem Cloud-Dienst kann Ihre Sicherheitslage in der Tat verbessern. Denken Sie einmal darüber nach: Ist es sicherer, sensitive Unternehmensdaten auf den Laptops und USBs von Endbenutzern oder in einer zentralen Datenbank bei einem von Ihnen gründlich überprüften Cloud-Anbieter zu speichern?

3 3 Zusätzlich zu anderen Bewertungskriterien sollten Sie nach einem Anbieter Ausschau halten, der homogene IT-Umgebungen erstellt hat. Die meisten Cloud-Anbieter brauchen sich nicht mit der Kompliziertheit von Legacy-Anwendungen und -Infrastrukturen abzugeben, wie sie in vielen Unternehmen vorhanden sind. Sie verwenden normalerweise in allen Datenzentren identische Server und Systemsoftware und unterhalten eventuell global eine Anwendungsversion. In einer solchen homogenen Umgebung kann man leicht erkennen, wenn etwas nicht stimmt, und sofort Abhilfe schaffen. Branchenzertifizierungen zum Nachweis seiner Sicherheitsreife durchlaufen hat. Anbieter von Cloud-Diensten wissen, dass sicherheitsbezogene Bedenken eine der wesentlichsten Schranken für eine schnellere Annahme von Cloud-Diensten darstellen. Als Reaktion darauf setzen viele Anbieter weithin anerkannte Industrienormen wie SAS 70 Typ II, ISO 27001/2 und FISMA in der Hoffnung um, einige dieser Bedenken auszuräumen. Diese Zertifizierungen allein sind nicht hinreichend, doch sollten sie bei Ihren Überlegungen berücksichtigt werden. ausgereifte Bedrohungsintelligenz und Threat Management-Fähigkeiten entwickelt hat. Manche Cloud-Dienste, vor allem Sicherheitsdienste, haben einen guten Überblick über Bedrohungen, weil sie ein so hohes Verkehrsaufkommen verarbeiten. Es empfiehlt sich zu gewährleisten, dass Ihr Anbieter diese Transparenz nutzt, um ausgereifte Bedrohungserkenntnisse und die Fähigkeit zur schnellen Reaktion darauf zu entwickeln. hochqualifiziertes Sicherheitspersonal aufgebaut hat. Wenn Sie einem Diensteanbieter ihre Daten anvertrauen, sollten Sie mit dessen Datenschutzmethoden zufrieden sein. Dabei kommt es am Ende darauf an, wen der Anbieter in seinem Sicherheitsteam hat und wie kompetent dieses Team ist. Google beschäftigt etwa 175 qualifizierte Sicherheitskräfte in der Sicherheitsgruppe. Ihr eigenes Unternehmen kann sich eine solche Investition unter Umständen nicht leisten. Letztendlich führt Cloud-Computing selbst nicht zwangsläufig zu mehr oder weniger Sicherheit. Sie müssen die Sicherheitsreife des Cloud-Anbieters genauso wie bei einem herkömmlichen Auslagerungsvorhaben beurteilen. 2. Worin bestehen die wesentlichsten Sicherheitsbedenken? Während Anbieter von Cloud-Diensten Maßnahmen zur Sicherung ihrer IT-Kerninfrastrukturen ergriffen haben wie zum Beispiel die Umsetzung ausgereifter Sicherheitsprozesse, Richtlinien und Normen und die Einstellung von qualifiziertem Personal bestehen dennoch ein paar weitere sicherheitsbezogene Bedenken. Forrester-Kunden haben uns mitgeteilt, dass sie über folgende Punkte am häufigsten besorgt sind:

4 4 Gewährleistung von Datensicherheit bei der Übertragung, Lagerung, Nutzung und Entsorgung. Viele Anbieter bieten sichere Datenübertragung in ihre und aus ihren Umgebungen über HTTPs oder andere sichere Kanäle an. Eine viel geringere Anzahl von ihnen bietet auch Datenschutz bei der Lagerung (z.b. Verschlüsselung). Noch weniger verbreitet ist eine Form des Schutzes von genutzten Daten (d.h. in der Anwendung) und die Garantie einer sicheren Datenentsorgung. Was wir brauchen, sind Dienste, die Daten über den gesamten Lebenszyklus vom ersten Auftreten in der Cloud-Infrastruktur bis zur permanenten Löschung sichern können. Die Cloud-Branche befindet sich insgesamt noch nicht auf diesem ausgereiften Niveau. Wahrung von Identitäts- und Zugangskontrolle. Es ist leicht, die Anmeldung bei einem oder selbst zwei verschiedenen Cloud-Diensten zu verwalten. Kompliziert wird das bei mehreren Cloud-Anbietern, der Verwaltung unterschiedlicher Standards und dem Abwickeln des Zugangs Dritter zu ihren Daten und Anwendungen in der Cloud-Umgebung. Die Aufrechterhaltung von Identitäts- und Zugangskontrolle in einer Umgebung mit privater Infrastruktur, öffentlichen und möglicherweise privaten Clouds stellt eine Herausforderung dar. 3. Wie kann ich einen Cloud-Sicherheitsanbieter beurteilen? Genau wie bei jedem anderen Auslagerungsdienst schwankt die Sicherheitsreife von Anbieter zu Anbieter. Es obliegt letztendlich den Sicherheits- und Risikoexperten, gemeinsam mit den entsprechenden Kollegen in der Sourcing- und Zuliefererverwaltung die einzelnen Cloud-Anbieter anhand einer Checkliste von Sicherheits- Compliance-, Datenschutz- und weiteren rechtlichen und vertraglichen Anforderungen zu beurteilen. Bei der Bewertung eines Cloud-Diensteanbieters sind SAS 70 II, ISO 27001/2, FISMA und andere Zertifizierungen nützlich, denn Sie sagen Ihnen, ob der Anbieter wesentliche Prozesse und Kontrollen eingerichtet hat. Doch die Zertifizierungen allein reichen nicht aus, denn sie wurden nicht speziell für Cloud-Dienste entwickelt. Sie brauchen noch immer Ihre eigene Anforderungsliste. Sie können bei Ihren Sicherheits- und Risikoanforderungen für Ihre internen IT-Systeme beginnen und diese entsprechend Cloud-spezifischen Problemen und Bedenken anpassen. Um Sie bei diesem Vorgang zu unterstützen, hat Forrester eine Checkliste von Hauptfragen und -problemen zusammengestellt. 4 Sie sollten auch einplanen, Ihre Anforderungen nach folgenden Gesichtspunkten anzupassen: Art des Cloud-Dienstes. Es gibt viele Arten von Cloud-Diensten, darunter Softwareas-a-Service (Software als Dienstleistung; SaaS), Platform-as-a-Service (Plattform als Dienstleistung; PaaS) und Infrastructure-as-a-Service (Infrastruktur als Dienstleistung; IaaS), die alle unterschiedliche Sicherheitsanforderungen haben. Zum Beispiel kann eine IaaS- Einrichtung Ihnen als Benutzer die vollständige Kontrolle über ein Gast-VM-Betriebssystem (VM: Virtual Machine) bis hoch zu Ihren Anwendungen einräumen. SaaS steht auf einem

5 5 anderen Blatt. Ein SaaS-Benutzer hat wenig Kontrolle über die Funktionsweise der Anwendung in der Cloud und noch weniger über deren Einfluss auf die Infrastruktur der unteren Ebene und auf Betriebssysteme. Je nach Art der Cloud-Dienste müssen Sie Ihre Bewertungskriterien von tatsächlichen Kontrollen auf die Überwachung von wesentlichen Leistungskennzahlen umstellen. Brisanz der Daten. Ihre Anforderungen ändern sich auch je nach dem Charakter Ihrer Daten. Wenn diese gesetzlichen Bestimmungen unterliegen oder sehr sensitiv sind und Angaben zur Identifizierung von Personen enthalten, müssen Sie striktere Sicherheits- und Datenschutzanforderungen anordnen. Wenn Ihr Cloud-Anbieter keine speziellen Kontrollen wie zum Beispiel Verschlüsselung bei Lagerung anbietet, können Sie entweder gemeinsam mit dem Anbieter an der Einrichtung dieser Kontrollmaßnahme arbeiten, was zu höheren Gebühren führen kann, oder einfach von diesem Anbieter Abstand nehmen. Aber ein Satz von Ausschlusskriterien wie die Kriterien zum Schutz von kritischen Daten ist genau das, was Sie zum raschen Aussortieren von nicht zu Ihren Anforderungen passenden Diensten brauchen. Standort des Dienstes. Obwohl der Cloud-Dienst überall verfügbar sein kann, wo es Internet- Zugang gibt, müssen die Server, die Ihre Anwendungen hosten und Ihre Daten verarbeiten, irgendwo ihren Standort haben. Wenn Sie in Ländern mit restriktiven Datenschutzgesetzen wie in der EU oder Japan tätig sind, müssen Sie den Dienst sorgfältig prüfen und darauf achten, dass keine Datenschutzgesetze verletzt werden, die den grenzüberschreitenden Datenverkehr einschränken. Zum Leidwesen vieler kleiner und mittlerer Unternehmen haben diese oft nicht genug Durchsetzungsvermögen, um auf einer internen Prüfung jedes Cloud-Diensteanbieters zu bestehen. Zum Beispiel melden sich über Unternehmen täglich bei Google Apps an. Bei diesem Umfang kann Google nicht jedem Auditantrag stattgeben. Tatsächlich müsste Google mehr als 30 Audits pro Tag durchführen, wenn nur 1 % dieser Unternehmen eine solche Überprüfung wünschten. Statt eines Audits muss man sich auf einen Satz von detaillierten Evaluierungskriterien zur Bestimmung der Anbietereignung verlassen. 4. Welche Haupttrends bestehen heute bei Cloud-Diensten? Einer der herausragendsten Trends besteht darin, dass Cloud-Benutzer an die Wahl der richtigen Art von Cloud für ihre Bedürfnisse differenzierter herangehen. Die Leute prüfen Möglichkeiten über öffentliche, private und gehostete private Clouds hinweg, um ihre Funktions-, Sicherheits- und Kostenanforderungen in Einklang zu bringen. 5 Hier nur ein paar der Cloud-Optionen, die Sie kennen sollten:

6 6 Sie können Ihre eigene private Cloud einrichten. Eine private Cloud ist eine virtualisierte Infrastruktur mit automatischer Arbeitslastverteilung, die sich hinter der Firewall eines Unternehmens befindet. So eine private Cloud ermöglicht Ihnen die größte Kontrolle, während Sie Ihren Unternehmensgruppen die Vorteile von einigen der Elastizitäts- und Skalierungsmerkmale der Cloud bietet. Allerdings werden Sie damit nicht in der Lage sein, das Cloud-Wirtschaftsmodell der Bezahlung nach Anforderung ('pay as you go') für sich zu nutzen, denn Ihr Unternehmen muss eine Vorabinvestition für die Einrichtung der privaten Cloud- Infrastruktur tätigen. Außerdem können Sie sich mit niemandem in die Verwaltungskosten ungenutzter Kapazitäten teilen, wenn die Infrastruktur zu 40 % ausgelastet ist. Sie können einen Anbieter als Host einer privaten Cloud für Sie beauftragen. Eine gehostete private Cloud ist eine von einem Cloud-Anbieter gehostete, Ihnen allein zugewiesene Infrastruktur. Sie ähnelt einer privaten Cloud darin, dass niemand sonst Zugang zu dieser Infrastruktur hat, doch da sie ein Host verwaltet, ist Ihr Verwaltungs- und Betriebsaufwand deutlich geringer als die Unterhaltung einer privaten Cloud. Da die Infrastruktur zugewiesen ist, ist es möglich, dass sie bestimmte Sicherheitskontrollauflagen (z.b. PCI-Kontrollen) in Infrastruktur und den Anwendungen verfügen können. Manche Unternehmen haben gehostete private Clouds für einen guten Kompromiss zwischen Wirtschaftlichkeit und Sicherheit einer Cloud-Umgebung befunden. Sie können eine Cloud mit Ihren Freunden einrichten oder hosten. Gemeinschafts-Clouds sind ein weiterer interessanter Mikrotrend. Eine Gemeinschafts-Cloud ist für unterschiedliche Einheiten oder Unternehmen mit ähnlichen Bedürfnissen ausgelegt. Zum Beispiel hat das US- Verteidigungsministerium eine Gemeinschafts-Cloud für verschiedene Organisationseinheiten im Ministerium eingerichtet. Die Cloud-Infrastruktur ist in zwei Teile gegliedert, bei denen die vertraulichen Daten in dem einen und die öffentlichen Daten in dem anderen aufbewahrt werden. Jede Agentur im US-Verteidigungsministerium kann die Cloud einsetzen und die einzigartigen Schutzfunktionen der zweiteiligen Infrastruktur für sich nutzen. 6 Eine Gemeinschafts-Cloud ist attraktiv, weil sie einmal eingerichtet werden und dann die Anforderungen von vielen in einer bestimmten Branche oder mit einem ähnlichen Anforderungsprofil erfüllen kann. Vielleicht wird es bald Gemeinschafts-Clouds für PCI, HIPAA und andere Standards oder Bestimmungen geben. Eines der attraktiven Merkmale einer Gemeinschafts-Cloud besteht darin, dass der Cloud-Anbieter bei einer Änderung der gesetzlichen Bestimmung Infrastruktur und Praxis nur einmal zu ändern braucht und diese Änderungen sofort allen Benutzern zugute kommen.

7 7 5. Gibt es Normenausschüsse, die an einem allgemeinen Satz von sicherheitsbezogenen Standards für Cloud-Dienste arbeiten? Es gibt über 78 Branchengruppen, die an Cloud-Normen arbeiten, von denen über 48 behaupten, dass es einen Sicherheitsbestandteil gibt. Zum Beispiel arbeitet die Storage Network Industry Association (SNIA) an Sicherheitsstandards für die Daten- und Speicherverwaltung. Das National Institute of Standards and Technology (NIST), ein einflussreicher staatlicher Normenausschuss in den USA, verfügt über ein paar Spezialgruppen und Publikationen zum Cloud-Computing, aber noch über keine bestimmte Norm. Unter all diesen verschiedenen Gruppen hält Forrester die Cloud Security Alliance (CSA) für die bisher umfassendste, weil sie eine ganzheitlichere Sicht auf die Cloud-Sicherheit hat. Außerdem hat die CSA den breitesten Teilnehmerkreis aus Benutzern und Cloud-Anbietern. Sicherheits- und Risikoexperten sollten sich an den Branchenbemühungen wie der CSA beteiligen, um aufkommende Normen zu beeinflussen und ihre Meinungen einzubringen. Nichtsdestoweniger rechnen wir nicht mit einer einzelnen Cloud-Sicherheitsnorm. Es ist nicht möglich, eine allumfassende Norm zu definieren, die auf die verschiedenen Arten von Clouds anwendbar ist. Möglicherweise gibt es jedoch bald branchenspezifische Normen oder Standards für bestimmte Cloud-Arten wie IaaS und SaaS.

8 8 Endnoten 1 Quelle: Global IT Budgets, Priorities, And Emerging Technology Tracking Survey, Q Quelle: Enterprise And SMB Networks And Telecommunications Survey, North America And Europe, Q1, Quelle: Josh Bernoff und Ted Schadler, Empowered: Unleash Your Employees, Energize Your Customers, Transform Your Business, Harvard Business Review Press, 2010 ( 4 Wenn Ihre Organisation an Cloud-Computing interessiert ist, gibt es ein paar wichtige Fragen zu Sicherheit und Datenschutz, Compliance und rechtlichen Aspekten, die Sie mit Ihrem Diensteanbieter besprechen müssen. Um Sie bei diesem Vorgang zu unterstützen, haben wir eine Checkliste von Hauptfragen und -problemen zusammengestellt. Siehe den Bericht Cloud Computing Checklist: How Secure Is Your Cloud? [Cloud-Computing-Checkliste: Wie sicher ist Ihre Cloud?] vom 30. Oktober Cloud-Computing-Plattformen sind mehr als nur gemeinsam von mehreren Mietern genutzte Infrastrukturen im öffentlichen Internet. Es gibt eigentlich drei Cloud-Einrichtungsoptionen für Infrastructure-as-a-Service mit jeweils einzigartigen Merkmalen und ökonomischen Modellen, die zur Optimierung der Zielstellungen in Bezug auf die Einrichtung von Anwendungen und Diensten beitragen können. Siehe den Bericht Which Cloud Computing Platform Is Right For You? [Welche Cloud-Computing-Plattform ist die richtige für Sie?] vom 13. April Cloud-Computing gestattet Organisationen, Geld zu sparen und flexibler zu werden, indem IT-Ressourcen wie Anwendungen, Speichergeräte und Server gemeinsam genutzt werden. Das US-Verteidigungsministerium möchte von diesen Vorteilen profitieren. Quelle: Head in the Clouds: DoD Turns to Cloud Computing, Defense Industry Daily, May 25, 2010 ( Forrester Research, Inc. (Nasdaq: ist ein unabhängiges Forschungsunternehmen, das pragmatische und vorausschauende Beratung für globale Führer in Wirtschaft und Technologie bereitstellt. Forrester arbeitet mit Fachkräften in 19 Schlüsselfunktionen bei Großunternehmen, die firmeneigene Forschung, Kundeneinsichten, Beratung, Veranstaltungen und Peer-to-Peer-Programme für Führungskräfte anbieten. Seit über 27 Jahren hat Forrester Führungskräften aus der Industrie in den Bereichen IT, Marketing und Technologie täglich zum Erfolg verholfen. Weitere Informationen finden Sie unter , Forrester Research, Inc. Alle Rechte vorbehalten. Unbefugte Vervielfältigung ist streng verboten. Die Informationen basieren auf den besten verfügbaren Ressourcen. Meinungen spiegeln die Einschätzung zum jeweiligen Zeitpunkt wider, wobei Änderungen vorbehalten sind. Forrester, Technographics, Forrester Wave, RoleView, TechRadar, und Total Economic Impact sind Warenzeichen von Forrester Research, Inc. Alle sonstigen Warenzeichen sind Eigentum ihrer jeweiligen Inhaber. Wenn Sie Nachdrucke dieses Dokuments erwerben möchten, senden Sie eine an clientsupport@forrester.com. Weitere Informationen erhalten Sie unter