Cloud Computing Gefahrenpotentiale und Sicherheitskonzepte

Transkript

1 Cloud Computing Gefahrenpotentiale und Sicherheitskonzepte, BSI Was ist beim Einsatz von Cloud Computing zu beachten? AGCS Expertentage 2011 /

2 Themen Gefährdungen der Cloud Voraussetzungen für den sicheren Einsatz von Cloud Computing Sicherheitsempfehlungen des BSI Filmplakat James Dean in denn sie wissen nicht, was sie tun! 2

3 Wer beschäftigt sich mit Cloud Security? BSI - Bundesamt für Sicherheit i. d. Informationstechnik (D) ENISA Europ. Network and Inform. Security Agency (EU) NIST - National Institute of Standards and Technology (USA) CSA - Cloud Security Alliance ISO - International Organization for Standardization 3

4 Referenzarchitektur Cloud Computing 4

5 Was sind die Risiken? (Public Cloud) Verlust der Kontrolle über die Daten und Anwendungen. Verletzung geltender Vorgaben und Richtlinien (z. B. Datenschutzanforderungen). Viele, unbekannte Nutzer teilen sich eine gemeinsame Infrastruktur. Risiko einer Verletzung der Grundwerte der Informationssicherheit steigt. Daten bzw. Anwendungen werden über das Internet genutzt, so dass ein Ausfall der Internetverbindung den Zugriff unmöglich macht Zunahme von verteilten Denial-of-Service Angriffen auf CloudComputing-Plattformen Sehr hohe Komplexität kann zu erheblichen Sicherheitsproblemen führen (Dienstausfall, Datenverlust, etc.) 5

6 Top Gefährdungen (CSA) Top Threats to Cloud Computing V1.0 Prepared by the Cloud Security Alliance March )Abuse and Nefarious Use of Cloud Computing 2)Insecure Application Programming Interfaces 3)Malicious Insiders 4)Shared Technology Vulnerabilities 5)Data Loss/Leakage 6)Account, Service & Traffic Hijacking 7)Unknown Risk Profile Quelle: 6

7 Cloud Risiken What are the greatest risks for using a cloud environment (select all tat apply)? (Quelle: World Quality Report 2011/12, Capgemini, Sogeti, HP 55 Security 31 Availability 37 Performance 21 it does not meet the expected cost reductions 17 Interoperability 25 Integration with in-house IT 13 Not customizable 4 there are no risks as we rely on SLAs Other

8 Cloud was kommt raus Filmplakat The Fog Nebel des Grauens Filmplakat Wolkig mit Aussicht auf Fleischbällchen 8

9 Bevor man startet Welche Dienstleistungen sollen als Cloud Service bezogen oder bereitgestellt werden? Wie ist der jetzige Status des Geschäftsprozesses? Ist klar um welche Daten es sich handelt und sind die Compliance-Anforderungen definiert? Kann eine Cloud-Lösung die Compliance-Anforderungen einhalten? Wurde eine detaillierte Risikobetrachtung durchgeführt? (setzt wiederum voraus die Art der Daten und den Geschäftsprozess genau zu kennen) 9

10 Wie werden Prozesse Cloud-fähig? Standardisieren Nur Prozesse, die standardisiert sind, können Cloud-fähig gemacht werden Die Vorteile von Cloud-Lösungen lassen sich nicht mit individuellen Anforderungen nutzen Virtualisieren Prozesse und Dienste dürfen nicht an physische Hardware gekettet sein. Automatisieren Cloud Services sollen möglichst ohne menschliche Administration zur Verfügung gestellt und genutzt werden 10

11 Welches Cloud Modell passt? Public Cloud SLA Private! Cloud Eigene IT Eigene IT von Serviceanbieter gehostet Exklusive Nutzung der IT des Serviceanbieters Geteilte Nutzung der IT des Serviceanbieters Hybrid Cloud Hierfür muss schon eine Private Cloud vorhanden sein No Cloud Wenn sonst nichts passt 11

12 Sicherheitsempfehlungen des BSI Für Anbieter und Nutzer Grundlagen In 10 Kapiteln sicherheitsrelevante Empfehlungen Ein Kapitel Datenschutz (vom BfDI verfasst) Download: 12

13 Notwendige Sicherheitsmaßnahmen? Eckpunkte! Sicherheitsmanagement beim Cloud-Anbieter Sicherheitsarchitektur ID- und Rechtemanagement Kontrollmöglichkeit für Nutzer Monitoring und SecurityIncident Management Notfallmanagement Portabilität und Interoperabilität Sicherheitsprüfung und nachweis Anforderungen an das Personal Vertragsgestaltung Datenschutz und Compliance 13

14 Sicherheitsmanagement beim Anbieter 14

15 Sicherheitsarchitektur Konzeption und Implementierung einer durchgängigen Sicherheitsarchitektur Rechenzentrumssicherheit Serversicherheit: Host- und Servervirtualisierung (CC-Zertifizierung) Netzsicherheit (Virenschutz, Verschlüsselung, DDoSMitigation, etc.) Anwendungs- und Plattformsicherheit (SDLC, Patchen, etc.) Datensicherheit im Lebenszyklus (Datensicherung, Datenlöschung) Verschlüsselung und Schlüsselmanagement 15

16 ID- und Rechtemanagement 16

17 Monitoring und Security Incident Management Provider 24/7 umfassende Überwachung der Cloud Dienste sowie zeitnahe Reaktion bei Angriffen bzw. Sicherheitsvorfällen Mitteilungspflichten des CSP gegenüber dem Kunden über Sicherheitsvorfälle oder Hinweise auf Sicherheitsvorfälle, die den Kunden betreffen könnten Geeignete Bereitstellung relevanter Logdaten durch den CSP Logging und Monitoring der Aktivitäten von Administratoren Kunden Kunden müssen die Möglichkeit haben, messbare Größen, wie im SLA vereinbart, zu überwachen 17

18 Notfallmanagement 18

19 Portabilität und Interoperabilität 19

20 Sicherheitsprüfung und -nachweis 20

21 Anforderungen an das Personal 21

22 Vertragsgestaltung (1) Transparenz Offenlegung der Standorte des Cloud-Anbieters (Land, Region) Offenlegung der Subunternehmer des Cloud-Anbieters Transparenz, welche Eingriffe der Cloud-Anbieter in Daten und Verfahren der Kunden vornehmen darf Transparenz über staatliche Eingriffs- und Einsichtrechte 22

23 Vertragsgestaltung (2) Service Level Agreement (SLA) 23

24 Datenschutz / Compliance Gewährleistung des Datenschutzes nach deutschem Recht Speicherung und Verarbeitung der personenbezogenen Daten nur innerhalb der Mitgliedsstaaten der EU oder eines Vertragsstaats des EWR Außerhalb der EU oder eines Vertragsstaats des EWR, wenn ein angemessenes Datenschutzniveau gewährleistet werden kann z. B. durch: Entscheidung der EU-Kommission (Argentinien) Beitritt zum Safe-Harbor-Agreement (USA) EU-Standardvertragsklauseln Genehmigung der Aufsichtsbehörde 24

25 Ausblick Aufgrund der technischen und wirtschaftlichen Potenziale kann sich Cloud Computing am Markt durchsetzen, wenn die Frage der angemessenen IT-Sicherheit geklärt wird. Mit zunehmender Verbreitung in der Fläche wird das Konzept für Angreifer attraktiver CSPs sollten frühzeitig Informationssicherheit adressieren und gegenüber den Cloud-Kunden thematisieren (Transparenz) Bei der Absicherung einer Cloud Computing Plattform ist immer der gesamte Cloud Computing Stack zu betrachten Die Erarbeitung und Etablierung von Standards für Interoperabilität und Informationssicherheit wird eine der zentralen Aufgaben in den kommenden Jahren sein 25

26 Kontakt Bundesamt für Sicherheit in der Informationstechnik (BSI) Dr.-Ing. Clemens Doubrava Godesberger Allee Bonn Tel: +49 (0) Fax: +49 (0)