Trusted Cloud Service

Transkript

1 Trusted Cloud Service Sicherheit und Datenschutz in der Cloud Freitag, den

2 Trusted Cloud was geht und was geht nicht? Seite 2

3 Prüfstandard Trusted Cloud Inhalte und Anforderungen Seite 3

4 Trusted Cloud Entwicklung Zusammenwirken Seite 4

5 Trusted Cloud Konzept Validierte Standards fügen sich neu zusammen Trusted Cloud Standard mit Referenz zu Normen, Gesetzen und Best Practices ISO ISO ISO PCI-DSS Trusted Cloud Service IDW PS COBIT BSI IT- Grundschutz BDSG NIST Seite 5

6 Anforderungen an eine Trusted Cloud Umfassendes Prüfsystem Bewertungsgrundlage beruht auf relevanten Normen und Standards (COBIT, ITIL, ISO 27001, PS 330, NIST, PCI DSS ) sowie anwendbaren Gesetzen (BDSG, TKG, GoB, ) Mapping, Matching und Cross Referenzen der unterschiedlichen Standards Insgesamt 248 Prüfpunkte im Prüfkatalog Trusted Cloud Organisatorische Sicherheit Technische Sicherheit Cloud Betrieb Compliance Zuordnung der Relevanz der Anforderungen zu IaaS, PaaS, SaaS Prüfpunkte sind Zertifizierungsgrundlage nach Trusted Cloud für Cloud-Provider Seite 6

7 Trusted Cloud Service Vorgehen der Zertifizierung Das Vorgehen der Zertifikatserlangung unterteilt sich in folgende Schritte: Bestimmung des Scopes Dokumentenprüfung Organisatorische Prüfung Technische Prüfung Abschlussbericht und Zertifikatsvergabe Eintritt in den dreijährigen Zertifikatskreislauf mit jährlichem Überwachungsaudit Re-zertifizierung nach drei Jahren Seite 7

8 Inhalte der Prüfungen im Rahmen der Cloud-Zertifizierung Sichten der SLAs mit den Cloud-Service-Nehmern Begehungen der relevanten Rechenzentren Dokumentenanalyse Prozess- und Betriebsdokumentation Vereinbarungen mit Dienstleistern Interviews Nachvollziehen von Prozess- und Betriebsabläufen Stichproben Einsichtnahme in Tools Technische Überprüfungen SaaS: zusätzliche Untersuchungen des Applikationslayers Seite 8

9 Anforderungskatalog Themenfelder des Prüfkatalogs Technische Sicherheit Organisatorische Sicherheit Cloud Betrieb Compliance Netzwerk Risikomanagement Service Level Mnmgt Interne Vorgaben Firewalls Schwachstellen-Mnmgt Change Mnmgt Datenschutz Benutzerverwaltung Kommunikation Incident Mnmgt Standards und Gesetze Verschlüsselung Physikalische Sicherheit Capacity Mnmgt Audits Software-Entwicklung Klassifizierung & Handhabung von Daten ITSCM IT-Systeme Personal Configuration Management Schadcode Schulung Seite 9

10 Prüfkatalog Auszug aus dem Katalog Prüfungs-MUSS Themencluster Thema Anforderungsbeschreibung Maßnahmen-ID Maßnahme Detailbeschreibung Cloud Betrieb Kapazitätsmanagement IT-Ressourcen sind durch ein TC-Op-12 Überwachung und Steuerung von IT-Ressourcen Verfügbarkeit, Qualität und ausreichende Kapazitäten und Ressourcen Kapazitätsmanagement zu überwachen und müssen so gemessen und analysiert werden, dass die erforderliche Systemzu steuern. Die Ergebnisse des Performance in Einklang mit rechtlichen, vertraglichen und geschäftlichen Kapazitätsmanagements sind regelmäßig zu Anforderungen zur Verfügung gestellt werden kann. reporten und Kapazitätserweiterungen sind frühzeitig zu planen. TC-Op IT-Strategie Ist Zusammenhang von IT-Strategie zur Geschäftsstrategie hergestellt? D.h. wie wird insbesondere sichergestellt, dass auch der zukünftige Bedarf an IT bekannt ist? TC-Op Technologische Entwicklung Wie wird die fortschreitende technologische Entwicklung beobachtet und berücksichtigt? TC-Op Application Sizing Prognosen (aufgrund von Schätzungen oder Simulationen) über zukünftige Kapazitätsanforderungen müssen getroffen werden, um das Risiko einer Überlastung von Systemen zu mindern. ISO ISO COBIT IT-Grundschutz IDW PS ISO PCI-DSS allg. Gesetze TKG BDSG IaaS PaaS SaaS Kunde Provider A X X X X X 6.5 DS3 M A DS3 M X X X A DS3 M X X X X A DS3 M X X X Datenschutz Datenschutz - allgemeine Vorgaben Bei der Übermittlung personenbezogener Daten sind europäische oder anerkannt angemessene Datenschutzniveaus zu gewährleisten. Entsprechende Regelungen sind zu etablieren. Technische Sicherheit Firewalls Die Übergänge zu nicht vertrauenswürdigen Netzen sind durch Firewalls abzusichern. Ein Firewall-Management muss etabliert sein. Software-Entwicklung TC-Op Reporting Auswertungen bzgl. der realisierten Verfügbarkeiten und Kapazitäten müssen zur Verfügung gestellt werden. TC-Op Entwurf der Verfügbarkeit Maßnahmen für die angeforderte Verfügbarkeit und Wiederherstellung müssen konzipiert und implementiert sein TC-TS Implementierung von Firewalls Alle Verbindungen aus öffentlichen Netzen sind nur zu definierten Systemen erlaubt. Verbindungen aus öffentlichen Netzen sollen per se als nicht vertrauenswürdig betrachten werden und entsprechend authentifiziert und autorisiert. TC-TS Regelwerk Eingehende Verbindungen mit internen IP-Adressen sollen auf die externen Interfaces geblockt werden. Die Prüfung von eingehenden und ausgehenden Verbindungen sollen wenn möglich mit zustandsorientierten Paketüberprüfung (Stateful Inspection) erfolgen TC-TS Regelwerk-Änderung Neue Regeln sowie Regeländerungen sollten über den Standard-Change- Management-Prozess abgewickelt werden. Firewall-Regeln sollten stets zeitlich befristet und dokumentiert sein. Der Freigabeprozess soll nach dem Vier-Augen-Prinzip erfolgen. TC-TS Klartext-Protokolle Nicht verschlüsselte Protokolle wie z.b. FTP, RSH und Telnet sollten standardmäßig geblockt werden und nur in begründeten Fällen mit Sonderfreigaben zugelassen werden. TC-TS Ermitteln von Sicherheitsanforderungen Für jedes Projekt sollten Sicherheitsanforderungen identifiziert werden, die dazu geeignet sind, Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit der verarbeitenden Daten sicherstellen. 6.5 DS3 X X X X X 6.3 X X X Themencluster Thema Anforderungsbeschreibung Maßnahmen-ID Maßnahme Detailbeschreibung Cloud Betrieb TC-Op Kapazitätssteuerung Kapazitätsmanagement Wie wird sichergestellt, dass nicht zu viel oder zu wenig Kapazität IT-Ressourcen vorgehalten wird? sind durch ein TC-Op-12 Überwachung und Steuerung von IT-Ressourcen Verfügbarkeit, Qualität und ausreichende Kapazitäten und Ressourcen müssen Wie wird sichergestellt, dass Investitionen im richtigen Moment getätigt Kapazitätsmanagement werden (Vermeidung von Panikkäufen)? zu überwachen und zu so gemessen und analysiert werden, dass die erforderliche System- TC-DS-01 Übermittlung von Daten ins Ausland steuern. Personenbezogene Die Ergebnisse Daten dürfen nur des an Stellen im Ausland übermittelt Performance in Einklang mit rechtlichen, vertraglichen und geschäftlichen (EU/Schutzniveau) werden, die im Anwendungsbereich des Rechts der Europäischen Kapazitätsmanagements Gemeinschaften liegen oder sich in Ländern sind befinden, regelmäßig die über ein zu Anforderungen zur Verfügung gestellt werden kann. TC-DS-02 Übermittlung von Daten ins Ausland (BCR) anerkannt angemessenes Schutzniveau verfügen. reporten und Kapazitätserweiterungen sind Personenbezogene Daten dürfen an Stellen im sonstigen Ausland nur TC-Op IT-Strategie Ist Zusammenhang von IT-Strategie zur Geschäftsstrategie hergestellt? D.h. wie frühzeitig übermittelt zu werden, planen. wenn diese schaffen, um ein einheitliches wird insbesondere sichergestellt, dass auch der zukünftige Bedarf an IT bekannt verbindliche unternehmensinterne Regeln Datenschutzniveau auf dem Stand der ist? europäischen Richtlinien zu erreichen. TC-Op Technologische Entwicklung Wie wird die fortschreitende technologische Entwicklung beobachtet und X A DS3 M X X X A A B : b X X X X X 4b Abs.2,3 X X X X X X X X X berücksichtigt? TC-Op Application Sizing Prognosen (aufgrund von Schätzungen oder Simulationen) über zukünftige Kapazitätsanforderungen müssen getroffen werden, um das Risiko einer Überlastung von Systemen zu mindern. TC-Op Reporting Auswertungen bzgl. der realisierten Verfügbarkeiten und Kapazitäten müssen A B : X X X X A B 1.14 PS 330 (77-78) X X X X zur Verfügung gestellt werden. TC-Op Entwurf der Verfügbarkeit Maßnahmen für die angeforderte Verfügbarkeit und Wiederherstellung müssen konzipiert und implementiert sein A B 5.3 M X X X TC-Op Kapazitätssteuerung Wie wird sichergestellt, dass nicht zu viel oder zu wenig Kapazität vorgehalten X A wird? TC-TS Organisatorischer Prozess Ein formaler Prozess zur Implementierung, Test, Dokumentation, Freigabe, B 1.9 Inbetriebnahme und regelmäßigen Prüfung von Firewalls soll definiert M Wie wird sichergestellt, dass Investitionen im richtigen Moment getätigt werden werden und im unternehmensweiten Dokumentenmanagementsysten integriert werden. (Vermeidung von Panikkäufen)? TC-TS Firewall-Management Firewalls sollen im Patchmanagement Prozess integriert werden und A M Datenschutz Datenschutz - allgemeine Vorgaben TC-TS Benutzer-Verwaltung Regelmäßig Patches und Fixes versorgt werden. Bei der Übermittlung personenbezogener Die Benutzer-Verwaltung von berechtigten Benutzer soll zentral in einer TC-DS-01 X A 11.2 B 1.14 Übermittlung von Daten ins Ausland (EU/Schutzniveau)Personenbezogene Daten dürfen nur an Stellen im Ausland übermittelt werden, M Daten Verzeichnis-Struktur sind europäische erfolgen. Die Authentifizierung oder anerkannt und Autorisierung die im Anwendungsbereich des Rechts der Europäischen Gemeinschaften kann M M 4.13 mittels eines AAA-Protokolls erfolgen. angemessene Es sollte eine vom Datenschutzniveaus Management bestätigte Leitlinie über zu die Sicherheit liegen oder sich in Ländern befinden, die über ein anerkannt angemessenes Es muss eine Leitlinie für den Software- TC-TS Security-Policy im A.12 M PS 880 (47) Entwicklungsprozess existieren. Die Leitlinie muss für alle Adressaten gewährleisten. aktuellen Version bekannt Entsprechende und zugänglich sein. Regelungen Schutzniveau verfügen. Entwicklungsprozess existieren. Diese muss in der M 2.80 PS 880 (51-52) Vorgaben zum Umgang mit M 2.83 sind zu etablieren. TC-DS-02 Übermittlung von Daten ins Ausland (BCR) Personenbezogene Daten dürfen an Stellen im sonstigen Ausland nur Sicherheitsanforderungen, Vorgaben zur Bedrohungsanalyse, Testverfahren, Quality übermittelt werden, wenn diese verbindliche unternehmensinterne Regeln TC-TS Security Advisor Alle Für jedes Software-Projekt sollte ein Sicherheitsbeauftragter benannt Gates, etc beinhalten. werden, der die Verantwortung für die Sicherheit des Produktes trägt und schaffen, um ein einheitliches Datenschutzniveau auf dem Stand der Ansprechpartner für Sicherheitsfragen in der Entwicklung ist. europäischen Richtlinien zu erreichen. X X X X 6.1 X X X X X X 6.3 X X PS 880 (51) X X PS 880 (51) PS 880 (66) X TC-TS Threat Model Die spezifischen Bedrohungen für ein Software-System sollten über ein Threat-Model ermittelt in einem Model kategorisiert werden und in einer Bedrohungsdatenbank klassifiziert werden. TC-TS Bewertung von Bedrohungen Basierend auf die Ergebnisse des Threat-Models sollen konkrete Maßnahmen zur Begegnung der Risiken definiert und kategorisiert werden. PS 880 (51) X X PS 880 (50) X X TC-TS Implementierung Für jede verwendete Programmiersprache sollten Implementierungsrichtlinien definiert werden. Die Richtlinien sollten regelmäßig geprüft und ggf. aktualisiert werden. PS 880 (51-52) PS 880 (54) PS 880 (57-58) X X TC-TS Testing Entsprechend einer Policy klassifizierter Code sollte vor dem Release vorgeschriebenen Testmethoden unterzogen werden. PS 880 (51) PS 880 (54) PS 880 (59) PS 880 (66-72)./. X X TC-TS Quality-Gate Vor dem Deployement sollte ein Quality Gate durchlaufen werden, in dem die Einhaltung der Sicherheitsanforderungen geprüft wird. PS 880 (51) PS 880 (54) PS 880 (59) PS 880 (66-72) X X Gesamtzahl der Controls im vollständigen Prüfkatalog : 220+ TC-TS Response Es sollte eine Response-Policy existieren, die den Umgang mit nach dem release bekannt gewordenen Sicherheitslücken regelt. PS 880 (51) X X Seite 10

11 Komplexität managen Unterschiedliche Verarbeitungskontexte haben in den verschiedenen Servicemodellen unterschiedliche Auswirkungen. Ein ergänzendes Konzept der Sicherheitslevel bricht die Komplexität auf und gibt Entscheidungshilfen. Für jedes im Anforderungskatalog dargestellte Themenfeld wurden Anforderungen für die TRUST-Level 1 bis 4 definiert. Somit ist es möglich, für die jeweiligen Cloud Servicemodelle in Abhängigkeit zu den Anforderungen der ausgelagerten Informationswerte ein Mindest-Subset an Anforderungen zu definieren und in Form eines TRUST-Levels festzuschreiben. Seite 11

12 Anpassung an Business Kontexte Trust Level zur Differenzierung Seite 12

13 Bewertung von Cloud-Services Auch die Anwender haben Aufgaben Problemfelder des Kunden: Schaffung einer Entscheidungsgrundlage Prüfung geeigneter Cloud Anbieter Identifizierung der Sicherheits- und Qualitäts- Anforderungen an Provider Compliance Rückgabe / Löschung von Daten Auslagerung von Services / Daten ins Ausland Aufbewahrungspflichten und Fristen Unterstützung des Kunden durch Cloudability-Check Realisierung durch formalisierte Checkliste und Interviews Ergebnis: Identifizierte Anforderungen zu Sicherheit, Service-Qualität und Compliance Cloud-Profil korrespondiert mit Trust Level Seite 13

14 Von der Trusted Cloud zur Cloudability Die Angebote der Provider mit Kundenanforderungen matchen Auf Basis der Cloud Prüfgrundlage ist ein Cloudability Analyse Tool entstanden, das Anwendern hilft, entsprechende Anforderungen für ihre Cloudvorhaben zu identifizieren. Cloud Prüfstandard Cloudability Analyse Seite 14

15 Cloudability Das Tool für den Fachbereich Vor der Entscheidung, Cloud Services zu nutzen, ist die eigene Cloudability festzustellen (TÜV TRUST IT Cloudability Analyse) Bestandsaufnahme: Identifikation der eigenen Geschäftsprozesse / Services Identifikation der verarbeiteten Informationen Erhebung der Schutzanforderungen an die Informationen Umsetzungsplanung: Welches Service-Modell kann genutzt werden? Welches Umsetzungs-Modell kann genutzt werden? Umsetzung Vertragliche Regelungen für organisatorische und technische Maßnahmen Kommunikationstool zwischen IT und Fachbereich Seite 15

16 Die Cloudability-Analyse Anforderungen für die Auslagerung von Services in die Cloud managen Ziel dieser Bewertung (Cloudability- Check) ist es, für einen betrachteten IT- Service einschließlich seiner Daten und Funktionalität zu entscheiden, welche Sicherheits- und Qualitäts-Anforderungen bei der Auslagerung dieses Services in die Cloud an den entsprechenden Cloud- Dienstleister gestellt werden müssen. Außerdem wird der Cloud-Level für die relevanten Schutzziele ermittelt Trust Level 1-4 Die Analyse wird fragebogengestützt durchgeführt und umfasst über 50 Fragebereiche. Seite 16

17 Trusted Cloud Standard Nutzen von Cloudability und Zertifizierung Kunde Nachweis der Datenund Rechtssicherheit anhand einer Zertifizierung Identifizierte Anforderungen an den Cloud Provider Provider Fazit: - Auf beiden Seiten werde Ressourcen gespart - Sicherheit und Transparenz werden erhöht Seite 17

18 Cloud Computing Der Hype wirkt Das Angebot von Cloud Services steigt ständig Neue und reine Cloud Anbieter drängen auf den Markt Anwender und Cloud Provider stellen Anfragen beim TÜV Erstes TRUSTED CLOUD SERVICE Zertifikat an Host Europe im November 2011 Seite 18

19 Reaktionen Anwender, Provider, Behörden Nach der Pilotzertifizierung von Host Europe gab und gibt es: Gespräche mit diversen Verbänden und Behörden wie dem BSI, der Bitkom, Voice über den Trusted Cloud-Standard als empfohlenen Standard. Eine Vielzahl von Anfragen und einige abgeleitete Angebote an Provider, die die Möglichkeit der Differenzierung ihrer angebotenen Services vom Wettbewerb erreichen wollen. Die Anwenderanfragen nehmen derzeit zu Suche nach Orientierung in der Vielzahl der am Markt platzierten Cloud Service Angebote. Seite 19

20 Trusted Cloud! Kunde GmbH Musterstraße Musterstadt Seite 20

21 Backup Seite 21

22 Scoping für die Cloud-Zertifizierung Welche Kunden sollen durch das Zertifikat angesprochen werden (Privat und/oder Geschäftskunden)? Wie soll das Zertifikat geschnitten sein: Serviceorientiert Global-Aussage Welche Serviceausprägung soll zertifiziert werden IaaS, PaaS, SaaS? Seite 22

23 Beispiel für Trust-Level-Ausprägung Seite 23