Fraunhofer FOKUS. Fraunhofer Institute for Open Communication Systems Kaiserin-Augusta-Allee Berlin, Germany.

Transkript

1 Fraunhofer Institute for Open Communication Systems Kaiserin-Augusta-Allee Berlin, Germany 1

2 Cloud Computing Potentiale für die öffentliche Verwaltung 2

3 Cloud Computing auf einen Blick? Definition des NIST Eigenschaften Bedarfsbetrieb mit Selbstbedienung Ortsunabhängige Ressoucenverfügbarkeit (Pooling) Breit verfügbarer Netzzugriff (auch von unterschiedlichen Endgeräten) Schnelle Elastizität (bedarfsgerechter Verbrauch) Überwachte Dienstnutzung (Dienstgüte) Dienstklassen (*-as-a-service) Software (SaaS) Plattform (PaaS) Infrastrukture (IaaS) Betriebsmodelle Closed Privat Bestimmte Gruppe von Kunden Anbieter Föderiert 1 Bestimmte Gruppe von Kunden Kooperation von Anbietern Open Öffentlich Unbestimmte Gruppe von Kunden Anbieter Hybrid Kunde priv. Anbieter öff. Anbieter 1. In der NIST Def. nicht betrachtet 3

4 Fragebogenaktion im Rahmen einer ISPRAT Studie Kooperatives egovernment Cloud Computing für die öffentliche Verwaltung 4

5 Umfrage Auslagerung von Dienstleistungen Ca. 75% aller Befragten haben IT- Dienstleistungen an Unternehmen öffentlichen Hand ausgelagert: Fachanwendungen Kommunikation und Infrastruktur 5

6 Umfrage Standardsoftware vs. angepasste Software Fachverfahren bzw. bereichsübergreifende Prozesse erfordern verstärkt angepasste Dienste Generische Dienste wie Kommunikation, Daten-/Dokumentenspeicherung können mit Standard-Software realisiert werden. 6

7 Umfrage IT-Kooperationen Was spricht dagegen? Die größten Hemmnisse sind: Nicht kalkulierbare Kosten Fehlende Standards 7

8 Umfrage Readyness für Cloud Computing? Virtualisierung wird in fast allen Rechenzentren eingesetzt Fast alle Behörden sind bereit, IT-Ressourcen kooperativ zu nutzen 8

9 Cloud-Computing: Rechtlicher Rahmen Kooperationsformen I Regiebetrieb rechtlich und wirtschaftlich unselbständig z.b. Angliederung an ein Amt Bundesbetrieb/Landesbetrieb/Eigenbetrieb rechtlich unselbständig, wirtschaftlich eigenständig z.t. gesetzliche Grundlage erforderlich, z.b. Budgetrecht des Parlaments, Sondervermögen Eigengesellschaft rechtlich und wirtschaftlich eigenständig 9

10 Cloud-Computing: Rechtlicher Rahmen Kooperationsformen II Kooperations-form Bedeutung Vergaberecht Beispiel Öffentlich-rechtliche Vereinbarung Unterliegt nur bei Beteiligung Privater dem Vergaberecht Abfallsent-sorgungsleistung zw. zwei Kommunen Kommunale Arbeitsgemeinschaft Anstalt öffentlichen Rechts Rechtlich nicht bestimmt Unterliegt nicht dem Vergaberecht Kaum vorhanden Universitäten, Sparkassen, DLZs Kommunaler Zweckverband Unterliegt i.d.r. nicht dem Vergaberecht Sonderschul-zweckverband 10

11 Cloud-Computing: Rechtlicher Rahmen Datenschutz/Auftragsdatenverarbeitung Datenabgabe an Dritte Ein Gesetz gestattet die Abgabe Die betroffene Person hat eingewilligt Auftragsdatenverarbeitung Zuständig für ordnungsgemäße Erhebung und Überwachung bleibt der Auftraggeber, die Bearbeitung ist ausgelagert Freie Bearbeitung innerhalb der EU ist grundsätzlich erlaubt Weitergabe von Daten zwischen öffentlichen Stellen erlaubt, falls erforderlich Erforderlich = Für die öffentliche Hand alternativlos Wirtschaftliche Zwecke sind nicht erforderlich Zu berücksichtigen sind Bundesdatenschutz und Landesdatenschutz 11

12 Risikomanagement Ausgangspunkte Risikoanalyse nach NIST ( ) (alternativ) BSI Schritt 1: Systemcharakterisierung Schritt 2: Bedrohungsidentifikation Schritt 3: Schwachstellenidentifikation ENISA Sammlung von 53 Schwachstellen in Clouds Organisatorisch Technisch Gesetzlich Definition Cloud-spezifischer Schwachstellen Schritt 4: Kontrollanalyse Schritt 5: Wahrscheinlichkeitsabschätzung Schritt 6: Wirkungsanalyse Schritt 7: Risikobestimmung Schritt 8: Kontrollempfehlungen 12

13 Cloud-Computing und Grundschutz BSI-Grundschutzbaustein Outsourcing Raster zur Bewertung von Cloud-Technologien Cloud-spezifische Schwachstellen (und entsprechende Maßnahmen) nicht betrachtet Nachbesserungsbedarf (in Vorbereitung) Die Nutzung von Cloud Computing ist einer Risikoabwägung zu unterziehen Closed Clouds Potentiel höheres Sicherheitsniveau vergl. mit kassischen Dienstanbietern: Einheitliche Infrastruktur Einheitliche Sicherheitsrichtlinien und konsolidiertes Sicherheitsmanagement Problem Lock-in durch proprietäre Cloud- Technologie Open Clouds Probleme Perimeter-Ansatz (d.h. vertrauenswürdiges, nach außen abgeschirmtes Netz) nicht anwendbar Zusätzliche privilegierte öffentliche Zugänge (Selbstbedienung) Keine dedizierten SLAs (nur AGBs) 13

14 Gestaltungsoptionen Private Cloud Intranet Private Cloud Cloud-basiertes Datenzentrum für eine oder mehrere Behörden Vorteile konsolidierte IT-Expertise, reduziere Hardware, reduzierte/keine Betriebskosten einfache Bereitstellung von SaaS wie , CRM, ERP - ohne Administration Nachvollziehbarkeit durch Cloud-Anbieter (Management, Governance) einheitliche und aktuelle Sicherheitsmechanismen Wenig Standards erforderlich (VM Format, ) Probleme Migration verursacht Kosten wer bezahlt (z.b. Länderfinanzausgleich) Wirtschaftlichkeitsmodelle? 14

15 Gestaltungsoptionen Hybride Cloud Intranet Private Cloud Internet Öffentliche Cloud Cloud-basiertes Datenzentrum mit temporären oder permanenten Backup in einer öffentlichen Cloud Vorteile Dynamische Lastverteilung und Ressourcen, reduzierte Betriebskosten (Pay as you go) Standards: Interoperabilität Identity Management Sicherheit Probleme Datenschutz Lizenzen Mandantenfähigkeit Sicherheit transfer data in, transfer data out backup to cloud restore from cloud archive/preservation to cloud 15

16 Gestaltungsoptionen Föderierte Cloud Intranet Private Cloud Vorteil Skalierbare DLZ übergreifende Nutzung von Ressourcen (transparent für den Kunden) konsolidierte IT-Expertise, reduziere Hardware, Sicherheit, etc Cloud Provider muss ortsspezifische Speicherung ermöglichen Intranet Private Cloud Intranet Bereitstellung einer föderierten Cloud durch den Zusammenschluss mehrerer DLZ Standards Föderiertes Identity Management, Accounting, etc. Anwendungsspezifische Datenund Dokumenteninteroperabilität Dienstmanagement Sicherheit Prozessketten 16

17 Trust in der Cloud: Electronic Safe Sichere Aufbewahrung von Dokumenten und Daten 17

18 Sichere Identitäten in der Cloud egovernment Services ebusiness Services Identity/Attribute Social Networks OnProvider esafe Sichere Identität in the Cloud Sichere Authentisierung und Zugriff Neuer Personalausweis 18

19 Schlussfolgerungen Private Clouds für die Verwaltungen sind umsetzbar Erste Schritte, z.b.: Dienstleistungszentren als Cloud Provider Föderierte Cloud als längerfristiges Ziel Über 400 Rechenzentren in Deutschland Kooperationen mit Cloud Providern Erfahrungen der Hersteller nutzen Öffentliche/hybride Clouds für Anwendungen mit niedrigem Schutzbedarf Open Data in öffentlichen Clouds (public sector Information) Nachholbedarf im Bereich Sicherheit/Grundschutz Umfassende Standardisierung notwendig 19

20 Vielen Dank für Ihre Aufmerksamkeit! 20

21 Standardisierungsaktivitäten Cloud Interoperabilität DIN (NIA-38) und der ISO (JTC 1/SC 38) Distributed Management Task Force: Open Cloud Standards Incubator ETSI STF on ICT GRID Technologies Interoperability and Standardization NIST Cloud Computing Project Global Inter-Cloud Technology Forum, Japan Cloud Computing Use Cases Group Open Cloud Consortium OMG - Cloud Standards Coordination Cloud Security Alliance 21