Audit-Prüfkriterienkatalog für Cloud Infrastrukturen. Security Audit as a Service (SAaaS)

Größe: px
Ab Seite anzeigen:

Download "Audit-Prüfkriterienkatalog für Cloud Infrastrukturen. Security Audit as a Service (SAaaS)"

Transkript

1 Audit-katalog für Cloud Infrastrukturen Veröffentlichung Security Audit as a Service (SAaaS) Verfasser: in Kooperation mit Frank Dölitzscher (HFU) Christoph Reich (HFU) Tobias Hartmann (ToasterNET) Michael Schäfer (SCHUTZWERK)

2 I Security Audit as a Service. BMBF Fördernummer 01BY1116 Autoren Firma Frank Dölitzscher Hochschule Furtwangen Tobias Hartmann ToasterNET GmbH Christoph Reich Hochschule Furtwangen Michael Schäfer SCHUTZWERK GmbH Über Security Audit as a Service Das Projekt Security Audit as a Service (SAaaS) untersucht wie Cloud Audits die Sicherheit und das Vertrauen in Cloud Computing-Umgebungen erhöhen können. Die Kernkomponente der SAaaS-Architektur ist ein verteiltes Agentensystem von Cloud- Audit-Agenten, die an strategisch wichtigen Punkten einer Cloud Umgebung (z.b. virtuelle Maschinen, Cloud-Managementsystem, Cloud Hosts) verteilt sind und sicherheitsrelevante Ereignisse überwachen. Ein Ereignis kann dabei unterschiedlich komple definierbar sein, wie beispielsweise ein erfolgreicher Benutzerlogin eines Cloud Anwenders auf seiner VM, eine Reihenfolge erfolgloser Loginversuche auf unterschiedlichen VMs, Netzwerkverbindungen zwischen verschiedenen Cloud Instanzen oder ansteigender CPU- Verbrauch auf einer bestimmten VM eines bestimmten Cloud Anwenders. Die aufgenommenen Ereignisse werden von Agenten vorverarbeitet und als abstrahierte Events an eine Comple Event Processing Engine weitergereicht, zur Verarbeitung und Erkennung von cloud-weiten, kundenübergreifenden Sicherheitsvorkommnissen. SAaaS zeichnet den Sicherheitzustand einer sich ständig ändernden Cloud Umgebung auf und bewertet ihn respektive deren Sicherheitslage. Dadurch sollen cloud-spezifische Sicherheitsprobleme, bspw. der Missbrauch von Cloud Ressourcen oder Skalierungsangriffe erkannt werden. SAaaS ist ein gefördertes Projekt des Bundesministeriums für Bildung und Forschung (BMBF) und läuft unter der Projektfördernummer 01BY1116. Dokumentenhistorie Version: Erste Veröffentlichung

3 Inhaltsverzeichnis 1 Inhaltsverzeichnis Zusammenfassung für die Geschäftsleitung 2 1 Einleitung Addressatenkreis Anwendungshinweise Cloud Computing Cloud Eigenschaften Cloud Service Modelle Klassisches IT-Outsourcing versus Cloud Computing Kategorisierung der Auditkriterien IT-Sicherheitsaudits Ablauf eines IT-Sicherheitsaudits IT-Sicherheitsauditarten IT-Sicherheitsaudits und Cloud-Computing Sicherheitsrisiken durch Cloud Computing Klassische Sicherheitsrisisken mit besonderer Relevanz im Cloud Computing Cloud-spezifische Sicherheitsrisiken Übersicht Cloud-Risiken Audit Benutzerzugriff Cloud-Netzwerk, Peripherie Cloud Managementsystem Cloud-Hosts Cloud Backend-Storage-System Infrastrukturübergreifende Kriterien Zugriff durch Mitarbeiter des Cloud Service Providers IaaS-spezifische PaaS-spezifische SaaS-spezifische Personenbezogene Daten in der Cloud 51 6 Weiterführende Literatur 53 Glossar 56 Literaturverzeichnis 56

4 Inhaltsverzeichnis 2 Zusammenfassung für die Geschäftsleitung Cloud Computing ist mehr als nur ein aktueller Hype. In einer Umfrage unter 700 Mittelständigen Unternehmern erklärte ein Drittel der Befragten, dass sie bereits zu 25% Cloud Technologien vor allem im Backend Bereich einsetzen. Unternehmen schätzen nach einer Umfrage Cloud Computing insbesondere, wenn es darum geht über verschiedene Unternehmensteile hinweg die gleiche Software und Schnittstellen bei gleichzeitig geringen Ausrollzeiten in Kombination mit hochfleiblen Lizenzmodellen (Pay per Use) einzusetzen [1]. Ein Grund, warum klassische IT-Sicherheitstools und IT-Security Best Practices nicht fleibel genug für Cloud-Umgebungen sind, liegt in der erhöhten Kompleität dieser Infrastrukturen. Aus Sicht des Cloud Service Providers (CSP) stellt der Betrieb einer Cloud-Umgebung größere Anforderungen an die Sicherheit als traditionelle Rechenzentren. Gründe liegen in cloud-spezifischen Eigenschaften, wie beispielsweise das gemeinsame Nutzen von Ressourcen durch verschiedene Kunden, das sog. Multi-Tenant Nutzermodell. Es ist wichtig, dass ein Provider die Einhaltung von Datenschutzgesetzen, funktionierende Isolationsmaßnahmen bei gemeinsam genutzten Ressourcen, Maßnahmen zur Ausfallsicherheit und Netzwerksangriffserkennung und -vermeidung vorweisen kann. Sicherheitsorganisationen, z.b. das Bundesamt für Sicherheit in der Informationstechnik (BSI), empfehlen Sicherheitsaudits als ein geeignetes Mittel, um die Einhaltung aller vorgeschriebenen Sicherheitsmaßnahmen darzulegen. Doch Untersuchungen zeigen, dass eistierende Sicherheitsstandards Cloud-spezifische Sicherheitsrisiken nicht abdecken. In dem Projekt Security Audit as a Service (SAaaS) untersucht das Cloud Research Lab der Hochschule Furtwangen wie Cloud Audits die Sicherheit und das Vertrauen in Cloud Computing Umgebungen erhöhen können. Um bei der Auditierung von Cloud Infrastrukturen vor allem die Cloud-spezifischen Sicherheitsrisiken zu beachten wurde ein speziell für Cloud Audits angepasster Auditprüfkriterienkatalog entwickelt. Dieser Leitfaden liefert: Übersicht über Risiken durch den Cloud Computing Einsatz Spezielle Anforderungen an IT-Sicherheitsaudits durch spezifische Eigenschaften von Cloud Computing Umgebungen Über 100 Auditprüfkriterien mit Hilfe derer die Sicherheit einer Cloud-Umgebung eingeschätzt werden kann Aufbau des Leitfadens Der vorliegende Leitfaden erläutert zuerst die wichtigsten Begrifflichkeiten zum Thema Cloud Computing, gängige Service Modelle und den Unterschied zu klassischem IT-Outsourcing. Anschließend wird der Ablauf und die gebräuchlichsten Arten von

5 Inhaltsverzeichnis 3 Abbildung 1: Auditprüfkriterienkategorien IT-Sicherheitsaudits betrachtet. Es wird dargestellt, welche besonderen Anforderungen eine Cloud-Umgebung an ein IT-Sicherheitsaudit stellt. Kapitel 3 untersucht Sicherheitsrisiken, die sich durch einen Cloud Computing Einsatz ergeben. Anschließend stellt Kapitel 4 über 100 Auditprüfkriterien speziell für Cloud-Umgebungen vor. Diese sind thematisch aufgeteilt in die Kategorien Benutzerzugriff, Cloud-Netzwerk, Peripherie, Cloud-Managementsystem, Cloud-Hosts, Cloud Backend-Storage-System, Infrastrukturübergreifene Kriterien, Zugriff durch Mitarbeiter des Cloud Service Providers, IaaS-spezifische, PaaS-spezifische und SaaS-spezifische. Im Anschluss wird ein kurzer Überblick über die wichtigsten rechtlichen Grundlagen zum Thema personenbezogene Daten in der Cloud gegeben. Der Auditprüfkriterienkatalog ist als Dokument in PDF Form erhältlich. Zusätzlich ist eine Version der sowie Ihre Einstufung in Schutzbedarfskategorien in elektronischer Tabellenform erhältlich. Über Filter haben Anwender hier die Möglichkeit, die nach Ihren Anforderungen zu sortieren. Zur Integration in einen ggf. bereits bestehenden Auditierungsprozess sind die Auditprüfkriterien zusätzlich nach typischen Auditbereichen klassifiziert. Der Anwender kann die nach den Bereichen Organisation & Vertrag,, Monitoring, Datensicherung, sowie Notfallmanagement & Business Continuity Management (BCM) sortieren und diese so an entsprechender Stelle in seinen Auditierungsablauf einfließen lassen. Für Hinweise, Änderungsvorschläge, Erweiterungen uns sonstige Vorschläge sind wir sehr dankbar. Bitte wenden Sie sich an

6 1 Einleitung 4 1 Einleitung Der vorliegende Auditprüfkriterienkatalog wurde im Rahmen des BMBF geförderten Forschungsprojektes Security Audit as a Service (SAaaS), Projektfördernummer 01BY1116 erstellt. Er ist auf der Projektwebseite [2] frei zum Download verfügbar. 1.1 Addressatenkreis Der Auditprüfkriterienkatalog richtet sich an folgende Zielgruppen: Professionelle Cloud-Anwender mit Sicherheitsbewusstsein IT-Entscheider, die sich mit der möglichen Nutzung von Cloud Computing befassen Cloud Service Provider und deren Administratoren, die eine sichere Cloud bereitstellen wollen IT-Sicherheitsdienstleister die eine Cloud Infrastruktur prüfen Sie richten sich nicht an Privatanwender, die einzelne Cloud Services nutzen, können jedoch auch als Anregung in Sicherheitsfragen genutzt werden. Ein Grundverständnis der Themen der Informationssicherheit auf organisatorischer, personeller, technischer und infrastruktureller Ebene wird vorausgesetzt. Cloud Computing Anwendern soll dieses Dokument helfen, Ihre Cloud-Anwendungen abzusichern. Der Katalog soll Cloud Computing Service Providern (CSP) als Informationsquelle dienen, um Cloud Kunden eine sichere Infrastruktur zu bieten, indem regelmäßig die auf die Cloud Infrastruktur angewandt werden. Dieses Dokument wird allen Cloud Computing Kunden und Providern zugänglich gemacht und bekannt gegeben. 1.2 Anwendungshinweise Die im folgenden aufgeführten Anforderungen und Auditprüfkriterien zeigen auf einem abstrahiertem Niveau, welche Anforderungen und bei einer Auditierung einer Cloud Umgebung gelten sollten. Die Definition, wie ein Prüfkriterium im Einzelnen umgesetzt werden kann, ist Anwendungsfall-spezifisch zu definieren. Eine strukturierte Vorgehensweise und ein effektives Management der Informationssicherheit sind unabdingbare Vorraussetzungen, um ein angemessenes Sicherheitsniveau in einem Unternehmen erfolgreich zu erzielen und aufrecht zu erhalten. Wie ein funktionierendes Managementsystem für Informationssicherheit aufgebaut werden kann, und was dies umfassen sollte, ist in einschlägigen Normen wie in ISO oder dem BSI- Standard zur IT-Grundschutz Vorgehensweise beschrieben [3]. Die aufgeführten Listen der Cloud Risiken, Sicherheitsprobleme sowie Auditprüfkriterien garantieren keine Vollständigkeit und werden regelmäßig weiterentwickelt.

7 1 Einleitung Cloud Computing Cloud Computing ist eine der wohl signifikantesten Veränderungen innerhalb der Informationstechnologie. Es eistieren verschiedene Definitionen zu Cloud Computing. Das Bundesamt für Sicherheit in der Informationstechnologie (BSI) hat die folgende Definition für Cloud Computing festgelegt [3]: Cloud Computing bezeichnet das dynamisch an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen über ein Netz. Angebot und Nutzung dieser Dienstleistungen erfolgen dabei ausschließlich über definierte technische Schnittstellen und Protokolle. Die Spannbreite der im Rahmen von Cloud Computing angebotenen Dienstleistungen umfasst das komplette Spektrum der Informationstechnik und beinhaltet unter anderem Infrastruktur (z. B. Rechenleistung, Speicherplatz), Plattformen und Software. Während es viele unterschiedliche Definitionen zu Cloud Computing gibt, sind sich alle in einem Punkt einig: jede netzwerkfähige Computing Ressource wird im Cloud Computing as-a-service zur Verfügung gestellt. Eine damit einhergehende Abrechnung bei Nutzung stellt den wichtigsten Unterschied zu bisherigen Mainframe Computing Diensten oder reinen Virtualisierungslösungen dar. Vor allem automatisierbare Auf- und Ab-Skalierbarkeit ist für Unternehmen sehr interessant, um Dienste jeglicher Art in einer Cloud Umgebung zu betreiben. Aktuell ist einer der größten Public Cloud Computing Service Provider (CSP) Amazon Web Services mit der Elastic Compute Cloud (EC2). KMUs profitieren von der schnellen Bereitstellung von IT-Ressourcen, ohne die sonst notwendige kostenintensive Hardwareprovisionierung, sowie vorausgehendem Know How Aufbau Ihrer Mitarbeitern (z.b. Hardware Administratoren). Bestellung und Inbetriebnahme einer typischen Webserviceumgebung (Webserver, Datenbank, Loadbalancer) kann nun innerhalb von Stunden geschehen, anstatt mehrerer Wochen. Typische Lastspitzenprobleme bei einem Produktlaunch können durch die fleible Hochskalierung vermieden werden. Sinkt die Zugriffsnachfrage, sorgt eine Rückskalierung dafür, dass benutzte Cloud-Ressourcen (meist virtuelle Maschinen (VMs)) wieder freigegeben werden und sich somit Kosten sparen lassen. Dabei ist wichtig, dass Datenschutzrichtlinien und -gesetze, denen der Cloud-Nutzer unterliegt, immer eingehalten werden müssen [3] Cloud Eigenschaften Das Nationional Institute of Standards and Technology (NIST) charakterisiert Cloud Computing durch folgende Eigenschaften [4]: On-Demand Self-service Kunden können unilateral Computing Ressourcen wie bspw. CPU-Zeit, Speicher und Netzwerkdienste bedarfsabhängig und automatisch buchen oder abbuchen. Es ist keine vorhergehende Absprache mit dem Cloud Provider nötig.

8 1 Einleitung 6 Weitverfügbarerer Netzwerkzugang Die gemieteten Kapazitäten sind über ein Netzwerk, wie das Internet verfügbar. Standards stellen sicher, dass heterogene Endgeräte, z.b. Mobiltelefone, Laptops, Personal Digital Assistants (PDAs), zum Zugriff auf die gemieteten Ressourcen benutzt werden können. Ressourcenteilung Der CSP bietet Ressourcen gemeinsam mehreren Kunden an. Diese Ressourcen werden durch die Mandantenfähigkeit dynamisch einem Kunden zugeordnet oder wieder freigegeben. Ebenso beinhaltet dies eine Lokationstransparenz: Der Kunde hat keine Kenntniss über den Standort der angemieteten Ressource. Dynamische Skalierbarkeit Ressourcen werden (automatisiert) schnell und dynamisch bereitgestellt. Dadurch können die gemieteten Ressourcen schnell gesteigert und reduziert werden. Für den Kunden hat es den Anschein, dass Ressourcen in beliebiger Menge und zu jedem Zeitpunkt verfügbar sind und dass die angemieteten Ressourcen bis ins unendliche gesteigert werden können. Angepasste Systemressourcen Cloudsysteme messen und optimieren die Ressourcenverteilung und -vermietung. Durch die Möglichkeit der Überwachung, Kontrolle und Optimierung des Ressourcenverbrauchs steigt die Transparenz für Cloud Provider und -Kunde Cloud Service Modelle Für Cloud Computing sind folgende Servicemodelle gebräuchlich: Software as a Service (SaaS) Kunden mieten Softwareanwendungen, die auf Systemen des Cloud Providers laufen. Die Anwendungen sind durch verschiedene Endgeräte ansprechbar, bspw. über ein Webinterface eines Mobiltelefons (z.b. Webmail), oder eine Programmschnittstelle. Der Kunde hat nur auf spezielle Anwendungsoptionen des Dienstes Zugriff. Auf das unterliegende Netzwerk oder auf Computerressourcen, wie z.b. das laufende Betriebssystem besteht keine Zugriffsmöglichkeit. Platform as a Service (PaaS) Bei PaaS stellt der CSP eine Umgebung bereit in welcher der Kunde eigene Anwendungen starten und veröffentlichen darf. Diese Anwendungen müssen gegen das Application Programming Interface (API) des Cloud Service Providers programmiert werden. Der Kunde ist nur für die Wartung und Administration seiner eigenen Anwendung zuständig. Die darunter liegende Infrastruktur und die Serviceplattformen (z.b. die Applikationsserver) administriert und wartet der CSP.

9 1 Einleitung 7 Infrastrukture as a Service (IaaS) Der Kunde kann Computing-, Speicher-, Netzwerk, sowie andere grundlegende Computerressourcen mieten und in beliebiger Kombination nutzen. Er kann unterschiedliche Software, bspw. Betriebssysteme und Anwendungssoftware auf den gemieteten Ressourcen installieren und betreiben. Der Kunde hat vollen Zugriff auf die Computerressourcen aber keinen Zugriff auf die darunterliegende Cloud Infrastruktur (z.b. Hardware). Er hat üblicherweise eingeschränkten Zugang auf bestimmte Netzwerkfunktionen, z.b. Firewallregeln. Der vorliegende Leitfaden richtet sich hauptsächlich an das Modell Infrastrukture as a Service. Diese Ausarbeitung betrachtet ausschließlich Regelungen für nicht-öffentliche Stellen geltende Bundesdatenschutzgesetz. 1.4 Klassisches IT-Outsourcing versus Cloud Computing Beim Outsourcing werden Arbeits-, Produktions- oder Geschäftsprozesse einer Institution ganz oder teilweise zu eternen Dienstleistern ausgelagert [3]. Fokus liegt hier auf den IT-gestützten Prozessen. Dabei mietet ein Kunde eine Infrastruktur und nutzt diese allein. Es handelt sich um ein Single-Tenant Nutzungsmodell. Eine Erweiterung setzt eine Kommunikation mit dem eternen Dienstleister voraus. Charakteristisch für IT- Outsourcing ist, dass Verträge meistens über längere Laufzeiten abgeschlossen werden. Bei Cloud Computing mietet der Kunde ebenfalls IT-Ressourcen, teilt sich diese jedoch meist mit anderen Kunden. Dabei handelt es sich um das sogenannte Multi-Tenant Nutzungsmodell. Eine Erweiterung des Cloud Service ist dynamisch und automatisierbar, eine vorherige Abstimmung mit dem Cloud-Dienstleister ist nicht nötig. Cloud Computing Verträge sind in der Nutzungsdauer sehr fleibel. Eine Nutzung von wenigen Minuten bis mehreren Jahren ist möglich. Cloud-Anbieter werden zur Erbringung der IT-Dienstleistungen oft Unteranbieter einbeziehen, wobei auch für dieses Verhältnis die Regeln der Auftragsdatenverarbeitung zu erfüllen sind. Die Einbeziehung von Unteranbietern kann für den Cloud-Anwender intransparent sein, da deren Inanspruchnahme auch nur für einen kurzzeitig gestiegenen Bedarf an Rechenleistung in Betracht kommt und nicht deutlich wird, wessen Kapazitäten genutzt wurden. 1.5 Kategorisierung der Auditkriterien Den aufgeführten Auditprüfkriterien wurden drei Schutzbedarfskategorien, enstprechend des IT-Grundschutzhandbuches des Bundesamts für Sicherheit in der Informationstechnik (BSI), zugeordnet: Kategorie A beschreibt Basisprüfkriterien, die für jeden Cloud Service Provider gelten sollten und regelmäßig geprüft werden müssen. Hierunter fallen Systeme und Daten die einem normalen Schutzbedarf unterliegen.

10 2 IT-Sicherheitsaudits 8 Kategorie AA beschreibt erweiterte, die für Cloud Service Provider gelten, wenn Daten oder Dienste einem hohen Schutzbedarf unterliegen. Kategorie AAA beschreibt, die für Cloud Service Provider gelten, wenn Daten oder Dienste mit einem sehr hohen Schutzbedarf in die Cloud ausgelagert werden sollen. Dienste fallen insbesondere in diese Kategorie, wenn personenbezogene Daten gespeichert oder verarbeitet werden. Diese Einteilung wurde gewählt, um die Anwendbarkeit von anderen Sicherheitsempfehlungen für Cloud Provider, insbesondere des BSI so einfach wie möglich zu gestalten. 2 IT-Sicherheitsaudits Grundsätzlich gestaltet sich der sichere Betrieb von Informations- und Telekommunikationstechnologien komple, da neben den technischen Thematiken auch organisatorische und personelle Aspekte berücksichtigt werden müssen. Weiterhin kommen auch gesetzliche oder vertragliche Vorgaben hinzu, die eine Realisierung bestimmter Sicherheitskonzepte erzwingen. Nur durch ein fehlerfreies Zusammenspiel von organisatorischen Konzepten und technischen Maßnahmen ist ein sicherer Betrieb der IT möglich. Folglich ist es notwendig, dass auch die IT-Sicherheitsaudits zur Sicherstellung aus verschiedenen Perspektiven durchgeführt werden müssen. Im Nachfolgenden wird der grundsätzliche Ablauf von IT-Sicherheitsaudits und mögliche Perspektiven/Ausprägungen beschrieben. 2.1 Ablauf eines IT-Sicherheitsaudits Der Abauf von IT-Sicherheitsaudits wird in der Literatur auf verschiedene Arten beschrieben [5][6][7]. Generell lassen sich alle Vorgehensmodelle auf die nachfolgenden vier grundlegenden Schritte abbilden. 1. Definition der Rahmenbedinungen Vor der eigentlichen Durchführung eines IT-Sicherheitsaudits erfolgt die eakte Definition des Untersuchungsobjekts bzw. die Abgrenzung der zu testenden Umgebung. Dies beinhaltet neben der technischen Eingrenzung auch die Erfassung von Besitzverhältnissen und im Falle von Outsourcing auch die Schaffung der vertraglichen Rahmenbedingungen für eine gesetzeskonforme Durchführung. Da für den sicheren Betrieb einer IT-Umgebung die notwendigen Sicherheitsmaßnahmen durch den jeweiligen Schutzbedarf sowie durch die relevanten Risikoszenarien bestimmt werden, stellen diese auch die Grundlage für die Durchführung eines IT-Sicherheitsaudits

11 2 IT-Sicherheitsaudits 9 dar. Sollten entsprechende Informationen nicht vorliegen, wird innerhalb dieses Schrittes eine grundlegende Risikobewertung vorgenommen. Hieraus ergeben sich dann neben den Sicherheitsanforderungen auch die entsprechenden Prüfungsschwerpunkte, sowie die erforderliche Tiefe und Detaillierung der durchzuführenden Prüfungen. 2. Informationsbeschaffung Der Schritt der Informationsbeschaffung beinhaltet die Sammlung und Erfassung der notwendigen/verfügbaren Informationen. Diese Informationen formen die Basis für die im nachfolgenden Schritt durchgeführte Analyse & Verfikation. Aus technischer Sichtweise (technisches Audit) erfolgt die Informationsbeschaffung je nach Rahmenbedingungen meist in Form einer Internet-Recherche oder durch ein umfassendes Footprinting & Enumeration (System Scans, Application Spidering etc.). Die Informationserfassung von organisatorischen Konzepten (konzeptionelles Audit) erfolgt meist über Checklisten, Fragebögen, sowie über die Sichtung von bestehender Dokumentation. 3. Analyse & Verifikation In diesem Schritt erfolgt die Analyse des Untersuchungsobjekts bezüglich Schwachstellen, sowie die Verifikation der Schwachstelle und die Bewertung des Risikopotentials das von ihr ausgeht. Für ein konzeptionelles Audit erfolgt in diesem Schritt ein Abgleich des festgestellten Schutzbedarf mit den umgesetzten Sicherheitsmaßnahmen. Im Rahmen der technischen Audits werden Anwendungen/Systeme auf bereits bekannte wie auch noch nicht bekannte Schwachstellen überprüft. Generell ist der Umfang und die Tiefe der Analyse/Verifikation einer Schwachstelle abhängig vom definierten Schutzbedarf. 4. Dokumentation & Protokollerstellung In diesem Schritt erfolgt die Dokumentation des Audits. Hierbei ist im Besonderen wichtig, dass die Rahmenbedingungen, Prüfungsschwerpunkte und der Schutzbedarf detaillierte und nachvollziehbar beschrieben sind. Die Dokumentation von Befunden aus der Analyse & Verifikation muss in jedem Fall eine detaillierte Beschreibung der Vorgehensweise zur Ermittlung und Bewertung des Befundes beinhalten, sowie im Fall von technischen Befunden die Wiederholbarkeit und Nachvollziehbarkeit gewährleisten.

12 2 IT-Sicherheitsaudits IT-Sicherheitsauditarten IT Sicherheitsaudits lassen sich nach konzeptionellen Audits und technischen Audits aufteilen. Nachfolgend folgt eine kurze Beschreibung von den möglichen IT-Sicherheitsauditarten: A) Konzeptionelles Audit, B) Architektur Audit, C) Datenschutz Audit, D) Schwachstellen Audit, E) Penetrationstest, F) Application Security Audit und Konfigurationsaudit. Diese werden im Folgenden beschrieben. A) Konzeptionelles Audit (konzeptionell) Um die verschiedenen Konzepte und deren Zusammenspiel innerhalb einer IT-Infrastruktur zu prüfen, wird ein meist fragekatalogbasiertes Audit der einzelnen Konzepte durchgeführt. Dieses erfolgt in Form von Interviews mit den IT- / Systemverantwortlichen, Dokumentationsprüfungen und Ortsbegehungen. Als Grundlage für diese Art von Audits werden oftmals gängige Standards eingesetzt (ISO/IEC 27001, BSI IT-Grundschutz). Für eine IT Infrastruktur sind Prüfungen in verschiedenen Bereichen möglich. Beispiele hierfür sind: Steuerung & Organisation Business Continuity Management (BCM) & Notfallplanung Physische Sicherheit Vertragsbeziehungen Als Ergebnis des Audits erhält man einen Gesamtüberblick über den IST-Zustand an bestehenden/umgesetzten, sowie den daraus ableitbaren, unzureichend vorhanden/umgesetzten Konzepten. Zur Verifikation der Auditergebnisse empfiehlt sich je nach geprüftem Bereich die Durchführung von technischen Audits (z.b. Schwachstellenaudit, Penetrationstest etc.) bzw. Inspektion der Infrastrukturräume oder die Sichtung von Dokumenten, Richtlinien und Verträgen. Das Konzeptionelle Audit umfasst folgende grundlegende Schritte: Definition der Rahmenbedingungen Informationsbeschaffung: Fragebogenbasierte Interviews mit den entsprechenden Verantwortlichen Analyse & Verfikation: Manuelle Verifikation der Angaben aus den Interviews

13 2 IT-Sicherheitsaudits 11 B) Architektur Audit (konzeptionell) Die Konzeption bei der Anwendungs- und Infrastrukturarchitektur ist ein entscheidender und wichtiger Schritt, da hierbei auch das Fundament für den sicheren Aufbau einer Anwendung bzw einer IT-Infrastruktur gelegt wird. Mit Hilfe einer konzeptionellen Prüfung können bereits in einer frühen Phase der Entwicklung elementare Bestandteile der Architektur bezüglich der Sicherheitsaspekte analysiert und mit dem jeweiligen Schutzbedarf abgeglichen werden. Die Prüfung und Bewertung erfolgt in den meisten Fällen statisch, mit Hilfe von Checklisten, Fragebögen und Metriken. Das Ergebnis des Audits ist die Bewertung des realisierten Sicherheitsniveaus der Anwendungs- und Infrastrukturarchitektur. Ein Architektur Audit umfasst folgende grundlegende Schritte: Definition der Rahmenbedingungen Informationsbeschaffung: Analyse der bestehenden Konzeption Analyse & Verifikation: Fragebogenbasierte Interviews mit den entsprechenden Verantwortlichen Dokumentation: Abgleich des geforderten Schutzbedarfs mit der bestehenden Konzeption und Auswertung der Ergebnisse C) Datenschutzaudit (konzeptionell) Bei der Durchführung eines Datenschutzaudits sind zwei grundlegende Aspekte zu prüfen. Einerseits müssen konkrete Maßnahmen korrekt umgesetzt sein: Rechtskräftige Bestellung eines Datenschutzbeauftragten Führung von Verfahrensverzeichnissen Regelung der privaten Internet- und IT-Nutzung Schulung relevanter Mitarbeiter Einbeziehung eterner Partner in den Datenschutz Andererseits unterliegt die Verarbeitung personenbezogener Daten zahlreichen Einschränkungen und Auflagen, die zu beachten sind: Einschränkung der Datenauswertung (Datamining / Profiling) Pflicht zur Löschung von Daten (Datenvermeidung / -sparsamkeit)

14 2 IT-Sicherheitsaudits 12 Schutz der IT-Grundwerte (Vertraulichkeit, Integrität, Verfügbarkeit) Auf Basis von Fragebögen wird im Rahmen des Audits der IST-Zustand eines Unternehmens zum Datenschutz gemäß der oben aufgeführten Punkte analysiert. Das Ergebnis des Audits ist die Auswertung der Unterschiede zwischen dem SOLL, gemäß der gesetzlichen Vorgaben, und dem analysierten IST. D) Schwachstellenaudit (technisch) Bei einem Schwachstellenaudit handelt es sich um ein technisches IT-Sicherheitsaudit. Im Rahmen des Audits erfolgt eine umfassende Prüfung aller, innerhalb eines definierten Bereichs erreichbaren, IT-Systeme bezüglich vorhandener Sicherheitsschwachstellen. Im Gegensatz zur Vorgehensweise des Penetrationstests (s.u.) liegt der Schwerpunkt dabei auf der Vollständigkeit der Prüfung. Das Ziel des Audits ist eine möglichst große Testabdeckung zu erreichen, um so viele Systeme wie möglich in das Audit einzubeziehen. Mit den Resultaten dieses Audits erhält man Aufschluss über den grundlegenden Stand der IT-Sicherheit des Auditobjekts. Die Basis des Audits bilden automatisierte Security Scans. Deren Ergebnisse werden manuellen Risikoanalysen und Bewertungen unterzogen. Auch eine Verifikation kritischer Schwachstellen durch direkte Angriffsversuche ist möglich. Das Schwachstellenaudit umfasst folgende grundlegende Schritte, bezogen auf Kapitel 2.1, Ablauf eines Sicherheitaudits: Definition der Rahmenbedingungen Informationsbeschaffung: Enumeration (Erfassung) erreichbarer eterner und/oder interner IT-Systeme und Dienste Analyse & Verifikation: Automatisierte Schwachstellen-Scans mit Werkzeugen Dokumentation: Manuelle Analyse und Bewertung der Ergebnisse, zur Identifikation und detaillierten Analyse angreifbarer Schwachstellen Manuelle Verifikation detektierter Sicherheitslücken mittels direkter Angriffe E) Penetration Test (technisch) Innerhalb eines Penetrationstests werden zielgerichtete Angriffe auf IT-Systeme simuliert. Basis des Audits bilden die für die Auditumgebung relevanten Risikoszenarien. Von diesen Szenarien leiten sich dann Angriffsvektoren ab, welche in den Penetrationstest

15 2 IT-Sicherheitsaudits 13 einzubeziehen sind. Abhängig von Perspektive, Szenario und Zielsetzung werden Netzwerkkomponenten, Server, Anwendungen, PC-Clients etc. in die Angriffsversuche einbezogen. Diese reichen vom Eploiting zentraler Systeme, über die Infizierung von PC-Clients mit Trojanischen Pferden bis hin zu Social Engineering. Dabei wird sogenanntes Multistaging praktiziert, bei welchem die Kombination verschiedenster, erfolgreich ausgenutzter Schwachstellen letztendlich zur Erreichung des gesetzten Ziels führen soll (z.b. Eindringen in das interne Netzwerk via Internet oder Erlangung des Zugriffs auf eine zentrale Datenbank). Im Gegensatz zum umfassenden Ansatz des Schwachstellenaudits liegt der Schwerpunkt des Penetrationstests auf der risikobasierten Prüfung. Dabei werden einzelne, für Angriffe besonders relevante IT-Systeme, sowohl detailliert auf Schwachstellen analysiert als auch direkten Angriffen ausgesetzt. Das Ergebnis des Penetrationstests ist eine fundierte Risikobewertung unter Zugrundelegung der definierten Szenarien. Der Penetration Test umfasst folgende grundlegende Schritte: Definition der Rahmenbedingungen: Risikoszenarien, schützenswerte Assets (Daten, Systemen) Analyse & Verifikation: Ableitung möglicher Angriffsvektoren. Manuelle Penetration der Auditumgebung gemäß der definierten Perspektive, Szenario und Zielsetzung Dokumentation: Manuelle Analyse und Bewertung der Ergebnisse F) Application Security Audit (technisch) Bei einem Application Security Audit werden Angriffe auf die Anwendung simuliert. Hierbei werden alle für die Anwendung relevanten Bestandteile (Betriebssystem, Web Server, Frameworks etc.), auch die Anwendung selbst, hinsichtlich vorhandener Schwachstellen analysiert. Hierbei erhalten die Tester lediglich die Informationen über die Anwendung, welche für die Bedienung notwendig sind (Blackbo-Verfahren). Dabei nimmt der Auditor nicht nur die Perspektive unprivilegierter Angreifer ein, sondern betrachtet auch Angriffsvektoren von privilegierter Benutzern der Anwendung. Angriffsversuche reichen vom Eploiting des Basissystems bis hin zur Datenbankmanipulation mittels Eingabe- und Abfragemasken. Weiterhin besteht die Möglichkeit bestimmte (kritische) Abschnitte des Quellcodes (sicherheitsrelevante Funktionen, Bibliotheken, Module etc.) statisch auf Fehler und Optimierungspotenzial zu untersuchen. Der Abdeckungsgrad bei einem sog. Code-Review

16 2 IT-Sicherheitsaudits 14 (Whitebo-Verfahren) ist, im Gegensatz zum Blackbo-Verfahren höher und kann mehr Fehler aufdecken. Grundsätzlich erfolgen Application Security Audits mit dem Ansatz einer vollständigen Prüfung. Jedoch ist, abhängig von der Art der Anwendung sowie den relevanten Bedrohungen, auch ein risikobasierter Ansatz möglich (vergleichbar mit einem Penetrationstest). Als Ergebnis des Audits erhält man eine fundierte Bewertung der Applikationssicherheit sowie der Qualität der Programmierung. Das Application Security Audit umfasst folgende grundlegende Schritte: Definition der Rahmenbedingungen Informationsbeschaffung: Enumeration (Erfassung) und Analyse der Anwendungsarchitektur Analyse & Verfikation: Automatisierte Schwachstellen-Scans, Manuelle Penetration der Auditumgebung, statisches und manuelles Code-Review von kritischen Anwendungskomponenten (z.b. Login-Funktion) Dokumentation: Manuelle Analyse und Bewertung der Ergebnisse, zur Identifikation und detaillierten Analyse angreifbarer Schwachstellen Manuelle Verifikation detektierter Sicherheitslücken mittels direkter Angriffe G) Konfigurationsaudits (technisch) Zwischen Theorie und Prais klafft oft eine Lücke. Mit dem Konfigurationsaudit erfolgt eine detaillierte Analyse, die Schwachstellen von Systemkonfigurationen und die Lücken zwischen SOLL und IST aufzudecken. Die Bandbreite dieser Audits erstreckt sich von einfachen Webserver Konfigurationen über die Einstellungen der Firewall bis hin zu kompleen Konfigurationen, beispielsweise einer Active Directory-Umgebung. Das Ergebnis des Audits ist die Auswertung der Unterschiede zwischen dem SOLL und dem IST der Konfiguration. Das Konfigurationsaudit umfasst folgende grundlegende Schritte: Definition der Rahmenbedingungen Informationsbeschaffung: Erfassung des SOLL-Zustandes der Konfiguration

17 2 IT-Sicherheitsaudits 15 Analyse & Verifikation: Analyse der bestehenden Konfiguration, Erfassung des IST-Zustandes und Durchführung eines SOLL-/ IST-Abgleichs 2.3 IT-Sicherheitsaudits und Cloud-Computing Cloud Umgebungen stellen aufgrund Ihrer spezifischen Eigenschaften und der daraus resultierenden Risiken, siehe Kapitel 3, neue Anforderungen an IT-Sicherheitaudits. Diese können wie folgt zusammengefasst werden: Stärkere Providerabhängigkeit: Datenzugriff und -verfügbarkeit hängt in Cloud- Umgebungen sehr stark vom jeweiligen Provider ab. Schnittstellen zum Zugriff auf Cloud-Ressourcen sind kompleer als in herkömmlichen Rechenzentren. Providerspezifische Schnittstellen zum Zugriff auf Cloud-Ressourcen (APIs) bilden einen zusätzlichen Angriffsvektor und müssen stark abgesichert werden. Das Risiko der Providerbindung und des Dateneinschlusses, Daten-LockIn, darf nicht unterschätzt werden. Standardisierte Schnittstellen zwischen Providern zum Austausch von Cloud-Ressourcen fehlen bislang. Abweichende gesetzliche Bestimmungen: Obwohl ein Cloudservice bei einem Cloud Provider gehostet wird, ist der Cloud Anwender verantwortlich für die gehosteten Services. Dazu gehört auch die Konformität zu bestehenden Gesetzen, z.b. Bundesdatenschutzgesetz (BDSG). Ist der rechtliche Unternehmenssitz des CSP im Ausland, können diese rechtlichen Bestimmungen unter Umständen sehr von denen des Gerichtsstandes des Cloud Anwenders abweichen. Es ist eine Cloud-spezifische Eigenschaft, den genauen, unter Umständen wechselnden Ort der Serviceserbringung für den Cloud Anwender zu verbergen. Dies kann zu Konflikten mit geltenden Datenschutzgesetzen führen. Internet-Abhängigkeit: Werden Unternehmensdaten in der Cloud gespeichert, sind diese oftmals nur über das Internet zugänglich. Dadurch ergeben sich weitere Risiken bezüglich der Datenintegrität, -Verfügbarkeit und Zugriffskontrolle, inklusive aller möglichen Angriffsvektoren für öffentlich zugängliche Ressourcen. Cloud Dynamik: Der Ort der Datenverarbeitung und -speicherung kann sich aufgrund von Skalierungs-, Zugriffsoptimierung oder Infrastrukturausfällen in einer Cloudinfrastruktur dynamisch ändern. Dies stellt große Herausforderungen an ein IT-Sicherheitsmonitoring, denn traditionelle Systeme, beispielsweise Intrusion Detection Systeme (IDS), nicht gewachsen sind. Da in der Cloud Ressourcen dynamisch skalieren können, muss der Cloud Anwender Schwellwerte definieren und deren Einhaltung kontrollieren. Andernfalls könnten durch DoS-Angriffe erhebliche Skalierungskosten verursacht werden. Mandantentrennung: Durch die Mehrmandantennutzung (Multi-tenancy) muss die Isolation der einzelnen Mandanten gewährleistet sein. Zusammenfassend muss ein Cloud Audit Antworten auf die folgenden Fragen liefern:

18 2 IT-Sicherheitsaudits 16 Ist der priviligierte Zugriff geregelt? Der Cloud Provider hat uneingeschränkten Zugriff auf die Cloud Infrastruktur und somit auf alle unverschlüsselt gespeicherten Daten, sowie Schlüssel, die auf der Cloudressource gespeichert sind. Ist jeglicher Zugriff durch Mitarbeiter des Cloud Providers nachvollziehbar und überprüfbar? Wird der Zugriff durch den Cloud Anwender authorisiert? Werden Best Practices eingehalten? Cloud Anwender sind für den sicheren und sorgsamen Umgang mit Daten verantwortlich, auch wenn diese ausgelagert verarbeitet oder gespeichert werden. Verwendet der Cloud Provider angemessene Maßnahmen zur Datensicherheit wie beispielsweise, Datenbackup, angemessene Wiederherstellungszeiten oder starke Algorithmen bei Einsatz von Verschlüsselung? Werden IT-Schutzziele eingehalten? In einer Cloud Umgebung teilen sich mehrere Cloud Anwender die zur Verfügung stehenden physikalischen Ressourcen. Diese Trennung muss sicher geschehen und die Einhaltung von grundlegenden Schutzzielen wie Vertraulichkeit, Integrität, Verfügbarkeit, Datensicherheit und Datentrennung gewährleistet und verifiziert werden. Sind eigene Ressourcen im Falle eines Sicherheits-Incidents bei einem anderen Kunden ebenfalls betroffen? Ist es ratsam, dass man sich Ressourcen mit wirtschaftlichen Mitbewerbern teilt? Ressourcenteilung ist für viele Anwendungsszenarien gefahrlos möglich, allerdings nicht für die Verarbeitung unternehemenskritischer Daten. Es ist folgendes zu klären: Werden Daten über mehrere Verfügbarkeitszonen gespiegelt? Sind Backupstrategien logisch konsistent? Werden Daten verschlüsselt übermittelt und gespeichert? Ist es möglich den Ort der Datenspeicherung zu bestimmen oder einzuschränken? Durch die Zunahme von zwischengeschalteten Technologien hin zu einer virtuellen Infrastruktur (VMs) besteht eine erhöhte Lokationsintranparenz für den Cloud Anwender. Erfolgt eine Unterstützung bei Incident-Aufklärung? In welchem Umfang unterstützt der Cloud Provider den Anwender bei einem Sicherheitsvorfall? Welche Informationen können durch den Provider zur Verfügung gestellt werden? Forensische Analysen können schwierig sein, wenn Logging Informationen nicht benutzerspezifisch erhoben werden. Sind Cloud Ressourcen verfügbar? Ehemals feste Ressourcen werden dynamisch: Wechelnde IP-Adressen, Laufzeitumgebungen und Hostsysteme sind abhängig von Nachfrage, Zeit und Verfügbarkeit. Sind Cloud Ressourcen qualitativ überwachbar? Fehlende Standards erhöhen die Wichtigkeit von vertraglich vereinbarten und überprüfbaren Dienstgütekriterien (Service Level Agreements (SLA)). Erlauben die Cloudschnittstellen die vereinbarten Kriterien ausreichend zu überwachen? Wie können Daten, die ausserhalb des Unternehmensrechenzentrums gespeichert sind, sicher auditiert werden? Gibt es detaillierten Zugang zu Abrechnungsinformationen?

19 3 Sicherheitsrisiken durch Cloud Computing 17 Ist Datenrückgewinnung möglich? Für Daten die in einer Cloud gespeichert werden sollten folgende Fragen beantwortet werden: Wie lange werden Daten gespeichert? Wie werden Daten archiviert? Wie können Daten wieder zurückgeholt werden? Wieviel Kosten verursacht eine Datenrückholung? Wie wird die Integrität der Daten während der Rückholung gewährleistet? Wie werden Daten sicher vom Cloudspeicher gelöscht? Besteht ausreichende Kontrolle über Cloud Ressourcen? Kann der Cloud Anwender den Ressourcenverbrauch bei Skalierungsaktionen begrenzen. Findet eine Benachrichtigung bei Erreichen der gesetzten Limits statt? Unterstützen Cloud Infrastrukturen den Audit Prozess? Wie können Audit Daten in einer sich permanent ändernden Infrastruktur (VMs starten, stoppen) sinnvoll erhoben, korrelliert und verständlich etrahiert werden? Für Cloud Anwender kann es von Interesse sein, die IT-Infrastruktursicherheit über mehrere Cloud Anbieter hinweg aufrecht zu erhalten und zu auditieren. 3 Sicherheitsrisiken durch Cloud Computing Im Folgenden werden zwei Kategorien von Sicherheitsrisiken identifiziert. Klassische Sicherheitsrisiken (nummeriert mit K1 - Kn) sind Risiken, die auch bei klassischem IT-Outsourcing oder dem Einsatz von Virtualisierung auftreten, jedoch durch die spezifischen Eigenschaften einer Cloud-Umgebung verstärkt werden. Cloudspezifische Sicherheitsprobleme (C1 - Cn) sind neue Sicherheitsprobleme die durch einen Cloud Einsatz entstehen. Die identifizierten klassischen Risiken werden mit klassischem IT-Outsourcing verglichen. In unserer Betrachtung vereint der Begriff IT-Outsourcing die zwei Haupt Modelle IT- Housing und -Outsourcing. Beim IT-Housing stellt ein Kunde eigene Hardware (z.b. Server) im Rechenzentrum eines IT-Housing Dienstleisters auf. Dieser betreibt die nötige Infrastruktur z.b. Netz- und Netzwerkkomponenten. Die Administration des Eigentums bleibt beim Kunden. Bei Outsourcing mietet ein Kunde die komplette Infrastruktur vom Outsourcing-Provider. Dieser ist auch für die komplette Administration zuständig. Im Anschluss an die Risikobeschreibung erfolgt jeweils eine Einordnung betroffener Schutzziele nach IT-Grundschutz. Abbildung 2 zeigt eine typische Cloud Infrastruktur und aus welchen Bereichen Risiken auftauchen. Abbildung 3 geht genauer auf typische Infrastrukturmodule einer Cloud Installation ein und visualisiert Risikopotentiale am Beispiel der Cloud Infrastruktur CloudIA [8] der Hochschule Furtwangen.

20 3 Sicherheitsrisiken durch Cloud Computing 18 Abbildung 2: Sicherheitsrisiken in Cloud Infrastrukturen 3.1 Klassische Sicherheitsrisisken mit besonderer Relevanz im Cloud Computing Bei klassischen Sicherheitsproblemen handelt es sich um bereits bekannte Sicherheitsprobleme, die durch den Einsatz von Cloud Computing jedoch verstärkt werden. Außerdem zählen dazu Probleme, die zwar durch schon eistierende, wohlgeprüfte Sicherheits Best-Practices behandelt sind, deren Anwendung im Cloud Computing jedoch schwierig bis unmöglich ist. K1 - Missbrauch von Administratorrechten Der Missbrauch von Administratorrechten ist bei IT-Housing praktisch ausgeschlossen, da der Provider keinen Kommandozeilenzugriff auf Kundensysteme hat. Bei Outsourcing haben Administratoren Zugang auf die Systeme um Wartungsarbeiten (z.b. Softwareupdates) durchzuführen. Bei Cloud Computing werden VMs meist als managed Root- Server betrieben. Der Cloud Provider ist für die Administration der unterliegenden Hostmaschinen zuständig. Durch Ausnutzung von Sicherheitslücken in der zugrundeliegenden Virtualisierungs- oder Cloud-Managementsoftware, aber auch durch unsichere Konfiguration virtueller Maschinen anderer Kunden kann es Angreifern gelingen unberechtigten Zugriff zu erlangen. Dadurch wäre es möglich Zugriff auf das Dateisystem des Cloud- Hosts, auf das Cloud Storage System, sowie auf das (virtuelle) Cloud Netzwerk zu erhalten. Weiterhin vorstellbar sind: Denial-of-Service-Angriffe auf den Hypervisor, Abhören der Datenkommunikation zwischen Virtuellen Maschinen (VMs), Kompromitierung der Authentiziät durch unberechtigte Speicherzugriffe. Siehe hierzu auch [9].

21 3 Sicherheitsrisiken durch Cloud Computing 19 Abbildung 3: Sicherheitsrisiken in Cloud Infrastrukturen Betroffene Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Autorisierung, Zurechenbarkeit, Verbindlichkeit, Datenschutz K2 - Fehlende Transparenz eingesetzter Sicherheitsmaßnahmen Beim IT-Outsourcing sind die Zuständigkeiten eindeutig geregelt: Der Kunde (Housing) bzw. der Provider (Outsourcing) ist zuständig für eingesetzte Sicherheitsmaßnahmen. Diese sind dem Kunden gegenüber mitzuteilen. Provider weisen die Einhaltung durch Zertifizierung (ISO 2700, BSI IT-Grundschutz) nach. Cloud-Provider hingegen geben absichtlich nicht ihre Sicherheitsmaßnahmen preis, um sich und ihre Kunden vor gezielten Angriffen zu schützen. Somit müssen die Kunden eines Cloud-Providers darauf vertrauen, dass dieser aktuelle Sicherheitsstandards berücksichtigt. Problematisch ist, dass bisher noch keine Standardkriterien für die Sicherheit einer Cloud-Umgebung definiert wurden. Das BSI veröffentlichte lediglich ein Eckpunktepapier mit Sicherheitsempfehlungen für Cloud-Computing-Anbieter. Obwohl darin sehr detailliert Sicherheitsmaßnahmen für Cloud Computing aufgeführt werden, handelt es sich hierbei lediglich um Sicherheitsempfehlungen und nicht um Sicherheitsvorschriften. Betroffene Schutzziele: Datenschutz, Integrität, Verfügbarkeit. K3 - Fehlende Transparenz bei Sicherheitsvorfällen Da bei Housing-Lösungen die Systeme dem Kunden gehören, ist dieser allein für die Sicherung von Beweisspuren eines Sicherheitsvorfalls zuständig. Bei Outsourcing-Providern ist der Dienstleister für die Beweissicherung verantwortlich. Dieser verfügt hierfür über geschultes Fachpersonal z.b. Mitarbeiter eines Computer Emergency Responce Teams (CERT). Bei Cloud Computing müssen sowohl der Kunde als auch der Provider Beweisspuren sammeln. Eine Regelung über Verhalten bei einem Sicherheitsvorfall fehlt jedoch meist. Aktuelle Cloud-

22 3 Sicherheitsrisiken durch Cloud Computing 20 Angebote bieten momentan weder ein transparentes Vorgehen, wie Sicherheitsvorfälle vom Provider erkannt und behandelt werden, noch wie der Provider bei der Aufklärung von Sicherheitsvorfällen agiert. Betroffene Schutzziele: Datenschutz, Integrität, Verfügbarkeit, Zurechenbarkeit. K4 - Bedrohung des Gesamtsystems durch unzureichende Sicherheitskonfiguration einzelner Kundeninstanzen Bei Housing gefährdet eine unsichere Konfiguration nur die jeweiligen eigenen Kundeninstanzen. Bei kompletten Outsourcing-Modellen besteht diese Gefahr nicht, da der Outsourcing-Dienstleister für den sicheren Betrieb zu sorgen hat. Das Problem ist allerdings durch den Einsatz von Virtualisierung bekannt. Mietbare virtuelle Server, sogenannte V-Server (VE), laufen isoliert voneinander auf einem Hostsystem und teilen sich das unterliegende Betriebssystem. Betreibt ein Kunde eine unsichere Software in seiner VE, gefährdet er durch einen möglichen Ausbruch die Sicherheit der anderen Kunden auf dem Hostsystem. Durch die Multi-Tenant-Architektur von Cloud Computing wird diese Gefahr noch verstärkt. Gelangt ein Angreifer durch unsichere Konfiguration auf die gleiche Hostmaschine, sind beispielsweise erweiterte Denial-of-Service-Angriffe durch massive Zugriffe auf schwer teilbare Ressourcen (bspw. Festplatten-I/O) möglich. Cloud- Kunden müssen ihre virtuellen Instanzen auch gegen mögliche Angriffe aus dem internen Rechenzentrum absichern. Betroffene Schutzziele: Verfügbarkeit, Integrität, Datenschutz. K5 - Fehlende Transparenz über Datenverbleib bei Providerkündigung/- wechsel Bei Housing ist die Gefahr den Datenverbleibs nach einer Providerkündigung nicht gegeben, da die Systeme nach Auflösung der Verträge im Eigentum des Kunden verbleiben. Bei Outsourcing sind vertragliche Regelungen notwendig, die dem Kunden eine sichere Löschung von Daten, z.b. durch mehrmaliges Überschreiben der Datenträger, garantieren. Bei Cloud Computing ist dieses Problem verschärft, da mehrere Kunden sich Ressourcen teilen. Daher muss der Cloud Service Provider eine effektive Vorgehensweise zum sicheren Löschen bzw. Vernichten von Daten und Datenträgern haben. Kunden sollten darauf achten, dass vertraglich geregelt ist, zu welchem Zeitpunkt und in welcher Weise der Provider Daten bzw. Datenträger vollständig löschen oder vernichten muss (siehe [3]). Betroffene Schutzziele: Datenschutz, Vertraulichkeit, Integrität. 3.2 Cloud-spezifische Sicherheitsrisiken Während die, in Kapitel 3.1 erwähnten, Sicherheitsprobleme schon durch frühere Technologien bekannt sind, entstehen durch die Eigenschaften von Cloud-Umgebungen neue Sicherheitsrisiken.

23 3 Sicherheitsrisiken durch Cloud Computing 21 C1 - Fehlende Transparenz der Datenlokalität In einem klassischen IT-Outsourcing-Projekt ist dem Kunden bekannt, in welchem Rechenzentrum seine Daten gespeichert werden. Meist kann der Kunde das Rechenzentrum betreten und sich persönlich einen Überblick über physikalische Sicherheitsmaßnahmen verschaffen. Eine Auslagerung der Daten ist ohne vorherige Kundenzustimmung nicht möglich. Bei Cloud Computing haben Kunden aktuell keine Möglichkeiten zu überprüfen wo Daten gespeichert oder virtuelle Maschinen ausgeführt werden. Dies kann unter Umständen Probleme mit lokalen Datenschutzgesetzen verursachen. Während man zwar durch Service Level Agreements (SLA) festlegen kann, dass Daten nur in einem bestimmten Land gespeichert werden, gibt es für Cloud-Kunden momentan keine Möglichkeit, dies auch nachzuprüfen. Ein deutscher Cloud-Provider könnte Kundendaten wiederum unbemerkt zu einem anderen Provider auslagern. Betroffene Schutzziele: Datenschutz, Vertraulichkeit, Verfügbarkeit. C2 - Missbrauch von Cloud-Ressourcen Cloud-spezifische Vorteile, wie der schnelle Zugriff auf zahlreiche virtuelle Maschinen innerhalb weniger Minuten, sind nicht nur für legal agierende Unternehmen attraktiv. Noch nie war es für Angreifer einfacher, leistungsstarke High-Performance-Hardware legal für wenig Geld mieten zu können. Es sind Fälle bekannt, in denen Malware, Trojaner, Phishing-Software oder auch ganze Botnetzwerke, wie z.b. das Zeus-Botnet, auf virtuellen Maschinen der Amazon Cloud gehostet wurden [10]. Zur Authentifizierung eines Kunden werden bei aktuellen Cloud-Providern lediglich gültige Kreditkarteninformationen benötigt. Eine strengere Nutzerauthentifizierung sowie intensives Monitoring von Cloud-Nutzeraktivitäten ist notwendig, um einen Missbrauch von Cloud-Ressourcen zu verhindern. Betroffene Schutzziele: Verfügbarkeit. C3 - Fehlerhafte Isolation geteilter Ressourcen Bei Housing ist der Kunde Eigentümer der ausgelagerten Systeme, bei Outsourcing werden Systeme einem Kunden meist eklusiv zugeordnet (Ausnahme V-Server). Lediglich die Netzwerkinfrastruktur (Kabel, Switches, Router) wird mit anderen Kunden geteilt. Bei Cloud Computing ist eine durchgehende Trennung aller verwendeten Ressourcen (CPU, RAM, Speicher, Netzwerkkomponenten) durch den Einsatz von Virtualisierung schwierig. Obwohl die bisherige Anzahl von erfolgreichen Hypervisor-Ausbrüchen sehr gering ist, steigt diese Gefahr mit zunehmender Codekompleität. Durch die kurze Provisionierungszeit von virtuellen Maschinen werden Ressourcen wie persistente Speichermedien (z.b. Festplatten) von mehreren Kunden (wieder-)verwendet. Problematischer ist dies bei Arbeitsspeicher oder dem Prozessor-Cache. Diese Ressourcen müssen in der Cloud sehr schnell zugeteilt oder freigegeben werden, um den aktuellen Bedarf zu bewältigen. Aktuell bietet kein Cloud-Provider Informationen, wie gemeinsam genutzte Ressourcen nach Freigabe durch einen Kunden sicher bereinigt werden. Durch den Root-

24 3 Sicherheitsrisiken durch Cloud Computing 22 Zugang bei IaaS-Instanzen ist eine größere Angriffsfläche vorhanden, um die Isolierung zu durchbrechen. Ebenfalls steigt das Risiko sogenannter Seitenkanal-Angriffe. Schadhafte Cloud Anwender können die Ressourcennutzung anderer, auf dem Rechner befindlicher, VMs ausspionieren und darüber weitere Aktivitäten zum unbefugten Zugriff auf die in den anderen VM gespeicherten und verarbeiteten, Daten entwickeln [9]. Betroffene Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Zurechenbarkeit, Verbindlichkeit, Datenschutz. C4 - Fehlendes Sicherheitsmonitoring Ein Sicherheitsvorfall innerhalb einer Cloud-Umgebung sollte vom Cloud-Provider erkannt und beseitigt werden. Aktuell wird jedoch von keinem Provider ein automatisches System betrieben, das den Kunden über ein bestehendes Sicherheitsproblem in Kenntnis setzt. Besonders bei der Verarbeitung von sicherheitskritischen Daten kann es für einen Cloud-Kunden jedoch wichtig sein, seine Systeme für die Dauer des Vorfalls ggf. zu stoppen, um so die Integrität der Daten zu gewährleisten sowie die Gefahr für die eigenen Systeme zu minimieren. Um eine nachhaltige Risikoanalyse eines Cloud-Computing- Einsatzes durchzuführen ist es wichtig zu wissen: Welche Maßnahmen zum Schutz der Cloud-Umgebung eistieren (Virenschutz, Intrusion Detection System (IDS), Abwehrmaßnahmen von Denial-of-Service Angriffen, Firewall-Konfigurationen, Patch- und Änderungsmanagement) Historie über Serviceausfälle Installierte Software auf Hostsystemen inkl. Softwareversionen Ergriffene Maßnahmen zur Verfügbarkeit, Ausfallsicherheit und Backup Wer hat Zugriff auf Daten, Konfigurationen, Logdateien etc.? Welche Informationen werden bei einem Sicherheitszwischenfall übermittelt? Betroffene Schutzziele: Verbindlichkeit, Verfügbarkeit, Datenschutz, Vertraulichkeit. C5 - Verwendung unsicherer APIs Cloud-Provider bieten ihren Kunden Cloud Application Programming Interfaces (APIs) zur Steuerung der Cloud-Ressourcen (VMs, Softwarekomponenten) an. Diese werden zur Provisionierung neuer Instanzen sowie zum Management, zur Orchestrierung und Überwachung laufender Instanzen eingesetzt. Dadurch hängt die Sicherheit eines Cloud-Systems nicht mehr nur von der Absicherung und dem sicheren Betrieb der gemieteten Instanzen (VMs, Software) ab, sondern ebenfalls von der Sicherheit der angebotenen APIs. Authentizität, Zugangskontrolle, Verschlüsselungs- und Monitorfunktionen müssen robust gegen (un-)absichtlichen Missbrauch gestaltet sein, um die Einhaltung von Sicherheitsrichtlinien zu unterstützen [11]. Da vor allem Drittanbieter zusätzliche Cloud-Funktionen auf diesen APIs aufbauen, z.b. Loadbalancing-Systeme, entsteht so eine weitere, teils komplee Architekturschicht zwischen Cloud-Instanz und angebotenem Service, die kritisch zu untersuchen ist. Der

25 3 Sicherheitsrisiken durch Cloud Computing 23 Einsatz von standardisierten Protokollen sowie Maßnahmen zur sicheren Softwareentwicklung (Microsoft Secure Development Lifecycle (SDL) oder Software Assurance Maturity Model (SAMM) des Open Web Application Project (OWASP)) adressieren dieses Problem. Betroffene Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit, Verbindlichkeit, Datenschutz. C6 - Fehlende Interoperabilität und Portabilität von Cloud-Providern Eine Interoperabilität unterschiedlicher Cloud Provider ist zur Abbildung von Hochverfügbarkeitsszenari oder im Falle eines Providerwechsels wichtig. Bei Housing-Providern ist dies kein Problem, da der Kunde Eigentümer der Systeme ist und diese selbst betreibt (Installation, Administration). Bei Outsourcing-Modellen müssen meist nur providerspezifische Monitoring-Schnittstellen beachtet werden. Aktuelle Cloud-Computing-Angebote unterschiedlicher Provider sind jedoch inkompatibel zueinander. Eine Migration einer Cloud- Instanz von einem Anbieter zu einem anderen (Portabilität) ist ebenfalls nicht möglich. Dies birgt das Risiko der Anbieterabhängigkeit (Vendor Lock-in). Die Nutzung bspw. eines Microsoft Azure-Datenbankdienstes durch einen auf Google App Engine entwickelten Cloud-Dienst ist derzeit nicht möglich [3]. Die Verabschiedung und Einhaltung von Standards für Cloud-Komponenten könnte eine Lösung sein. Erste Anstrengungen in diese Richtung verfolgen die folgenden Projekte: Open Cloud Computing Interface [12] Open Virtualization Format (OVF) [13] Open Stack Cloud Software Rackspace Hosting, NASA [14] Weiterhin ist eine eindeutige Eit-Vereinbarung zwischen Cloud-Provider und -Kunde notwendig, die eindeutige Formate, Beibehaltung logischer Relationen und ggf. Offenlegung aller verbundenen Kosten beinhaltet [3]. Betroffene Schutzziele: Verfügbarkeit. C7 - Fehlerhafte Konfiguration durch steigende Kompleität Während bei klassischen Outsourcing Modellen noch eine verwaltbare Kompleität der Systeme und Abhängigkeiten herrscht, nimmt die Kompleität in Cloud Computing Infrastrukturen sprunghaft zu. Aktuelle Ausfallszenarien, verursacht durch fehlerhafte Netzwerkupgrades [15] oder Logikfehler in der unterbrechungsfreien Stromversorgung beim Cloud Anbieter Amazon Web Services (AWS), belegen dieses Risiko [16]. Schlägt beispielsweise eine schreibende Transaktion auf ein Cloud Image fehl, kann dadurch auch evtl. das Backup-Image irreversibel beschädigt werden, und im Notfall nicht mehr starten. Betroffene Schutzziele: Verfügbarkeit. C8 - Fehlerhafte Skalierung und fehlerhafte Abrechnung Durch die nutzungsgenaue Abrechnung ergeben sich finanzielle Risiken bei der Nutzung

26 3 Sicherheitsrisiken durch Cloud Computing 24 von Cloud Computing. Aktuelle Cloud Angebote verursachen bei dauerhafter Benutzung höhere Kosten als traditionelle Outsourcing Modelle. Fehler in den kompleen Abrechnungsmodellen der CSP können zu immens erhöhten Rechnungen für Cloud Anwender führen indem bspw. Ressourcen in Rechnung gestellt werden, die nicht benutzt wurden. Weiterhin kann finanzieller Schaden durch Ausnutzung von Skalierungseffekten verursacht werden. Angreifer könnten durch eine große Anzahl gefälschter Anfragen die Erzeugung neuer Cloud Instanzen verursachen (z.b. Zugriffe auf Onlineshops, das Setzen von Artikeln in Warenkorb), ohne dass jemals ein Geschäftsprozess erfolgreich abgeschlossen wird (Absenden einer Bestellung). Betroffene Schutzziele: Intigrität, Verfügbarkeit. C9 - Nichtanwendbarkeit bestehender Best-Practices Aktuelle Best Practices der sicheren Datenverarbeitung, beispielsweise Mehr-Augen Authentifikation Gateways funktionieren im Cloud Computing eventuell nicht mehr, da normalerweise der Zugriff dazu sehr eingeschränkt wird. Eine Cloud Eigenschaft ist ja gerade der Zugriff von überall. Betroffene Schutzziele: nicht genau definierbar. 3.3 Übersicht Cloud-Risiken Tabelle 1 liefert einen zusammenfassenden Überblick über die Cloud-Sicherheitsprobleme und ordnet sie den betroffenen Schutzzielen sowie ihrer ursprünglichen Eigenschaft (IT- Outsourcing, Virtualisierung, Cloud Computing) zu. Falls bekannt, werden Beispiele aufgeführt,ob ein Sicherheitsproblem schon einmal ausgenutzt wurde. Alle müssen bei einer Auditierung einer Cloud Computing Infrastruktur addressiert werden. Nr. Risiko Ursache Bekannte Vorfälle Betroffene Schutzziele Gegenmaßnahmen K1 Missbrauch OC - Vertraulichkeit, Detaillierte Monitoring von Administratorrechten Integrität, Umgebung, Verfügbarkeit, Datenschutzbes- Authentizität, timmungen für Autorisierung, Zurechenbarkeit, CSP-Mitarbeiter einsehen Verbindlichkeit, Datenschutz Fortsetzung auf nächster Seite Legende C: Cloud-spezifische Bedrohung V: Gefahr durch Einsatz von Virtualisierungslösung bekannt OC: Gefahr ist sowohl bei IT-Outsourcing als auch bei Cloud-Systemen vorhanden, Auswirkungen werden allerdings durch den Einsatz von Cloud Computing vergrößert

27 3 Sicherheitsrisiken durch Cloud Computing 25 Nr. Risiko Ursache Bekannte Vorfälle K2 Fehlende OC & V Heartland Data Transparenz Breach [17], eingesetzter 2009 Sicherheitsmaßnahmen K3 Fehlende OC Amazon Service Transparenz Health bei Sicherheitsvorfällen Dashboard Historie [18] K4 K5 C1 C2 Bedrohung des Gesamtsystems durch unzureichende Sicherheitskonfiguration einzelner Kundeninstanzen Fehlende Transparenz über Datenverbleib bei Provider- kündigung/- wechsel Fehlende Transparenz der Datenlokalität Missbrauch von Cloud- Ressourcen OC, V Amazon: BitBucket UDP-Flood- Attacke [19], 2009 Betroffene Schutzziele Datenschutz, Integrität, Verfügbarkeit Datenschutz, Integrität, Verfügbarkeit, Zurechenbarkeit Verfügbarkeit, Integrität, Datenschutz OC - Datenschutz, Vertraulichkeit C - Datenschutz, Vertraulichkeit, Verfügbarkeit C Zeus-Botnetz, Trojaner und manipulierte Office- Dokumente in Amazon EC2 [20], 2010 Gegenmaßnahmen Offenlegung von Sicherheitsprozessabläufen des CSP, z.b. Patchmanagement, Logdateien Feste Regelungen bei Sicherheitsvorfällen, z.b. Offenlegung von Logdateien Detaillierte Monitoring- Umgebung Detailliert definierte Eit-Strategien, Nachweis über Prozeduren zum sicheren Löschen von Ressourcen Verfügbarkeit Strengere Registrierungskriterien bei Cloud- Angeboten, bessere Verifizierung von neuen Cloud- Nutzern Fortsetzung auf nächster Seite Legende C: Cloud-spezifische Bedrohung V: Gefahr durch Einsatz von Virtualisierungslösung bekannt OC: Gefahr ist sowohl bei IT-Outsourcing als auch bei Cloud-Systemen vorhanden, Auswirkungen werden allerdings durch den Einsatz von Cloud Computing vergrößert

28 3 Sicherheitsrisiken durch Cloud Computing 26 Nr. Risiko Ursache Bekannte Vorfälle C3 Fehlerhafte C Red- & Blue- Isolation Pill Eploits geteilter durch J. Ressourcen Rutkowska [21], 2008, Cloud Burst durch Kortchinsky [22], 2009 C4 C5 Fehlendes Sicherheitsmonitoring Verwendung unsicherer APIs C6 Fehlende Interoperabilität und Portabilität C7 Steigende Kompleität Betroffene Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Zurechenbarkeit, Verbindlichkeit, Datenschutz C - Verbindlichkeit, Verfügbarkeit, Datenschutz, Vertraulichkeit C Angriff auf Vertraulichkeit, Amazon Integrität, SOAP API Verfügbarkeit, durch Nils Zurechenbarkeit, Gruschka [23], Verbindlichkeit, 2009 Datenschutz C EMC Storage- Verfügbarkeit Cloud- Angebot schließt [24], 2010, Iron Mountain beendet Cloud- Storage- Angebot [24], 2010 C Amazon Ausfälle, 04/2011, 08/2011 Gegenmaßnahmen Verpflichtende SLAs bezüglich Patchmanagement und Schwachstellenvermeidung, Berücksichtigung von Best-Practices bei Installation und Konfigurationen Detaillierte Monitoring- Umgebung Einsatz nur über verschlüsselte Kommunikationspfade, Verwendung starker Authentizität und Zugangskontrollen Einsatz von standardisierten Formaten, Protokollen und Schnittstellen, Eindeutige Definition von Eit-Kriterien Fortsetzung auf nächster Seite Legende C: Cloud-spezifische Bedrohung V: Gefahr durch Einsatz von Virtualisierungslösung bekannt OC: Gefahr ist sowohl bei IT-Outsourcing als auch bei Cloud-Systemen vorhanden, Auswirkungen werden allerdings durch den Einsatz von Cloud Computing vergrößert

29 4 Audit 27 Nr. Risiko Ursache Bekannte Vorfälle Betroffene Schutzziele Gegenmaßnahmen C8 Fehlerhafte C - Verfügbarkeit Auditierung Skalierung und Abrechnungsrisiken C9 Nichtanwendbarkeit C - nicht definierbar Anwendungshender bestespezifische Lösungen Best- Practices Tabelle 1: Übersicht Cloudrisiken Legende C: Cloud-spezifische Bedrohung V: Gefahr durch Einsatz von Virtualisierungslösung bekannt OC: Gefahr ist sowohl bei IT-Outsourcing als auch bei Cloud-Systemen vorhanden, Auswirkungen werden allerdings durch den Einsatz von Cloud Computing vergrößert Abbildung 4: Typische Komponenten einer Cloud-Infrastruktur 4 Audit Abbildung 4 zeigt den Aufbau einer typischen Cloud Infrastruktur. Sie zeigt den Benutzerzugriff, der typischerweise über unterschiedliche Geräte erfolgen kann. Neben einem Webinterface ist auch der Zugriff über gängige Kommunikationsprotokolle, z.b. SSH,

Sicherheitsprobleme für IT-Outsourcing durch Cloud Computing

Sicherheitsprobleme für IT-Outsourcing durch Cloud Computing Mathias Ardelt, Frank Dölitzscher, Martin Knahl, Christoph Reich Sicherheitsprobleme für IT-Outsourcing durch Cloud Computing Best Paper AWARD HMD 2011 Sowohl fehlende Standards aufseiten der Cloud- Provider

Mehr

BSI-Mindestsicherheitsanforderungen an Cloud-Computing-Anbieter

BSI-Mindestsicherheitsanforderungen an Cloud-Computing-Anbieter BSI-Mindestsicherheitsanforderungen an Cloud-Computing-Anbieter Alex Didier Essoh und Dr. Clemens Doubrava EuroCloud Deutschland_eco e.v. Köln 02.02.2011 Ziel Ziel des BSI ist es, gemeinsam mit den Marktteilnehmern

Mehr

Anforderungen für sicheres Cloud Computing

Anforderungen für sicheres Cloud Computing Anforderungen für sicheres Cloud Computing Isabel Münch Bundesamt für Sicherheit in der Informationstechnik EuroCloud Deutschland Conference Köln 18.05.2011 Agenda Überblick BSI Grundlagen Sicherheitsempfehlungen

Mehr

Sicherheit und Datenschutz in der Cloud

Sicherheit und Datenschutz in der Cloud Sicherheit und Datenschutz in der Cloud Kennen Sie die Herausforderungen der Zukunft? VDE Rhein-Main e.v. Arbeitsgemeinschaft IK Thomas Kochanek Montag, den 24.10.2011 Sicherheit und Datenschutz in der

Mehr

Sicherheitsanalyse von Private Clouds

Sicherheitsanalyse von Private Clouds Sicherheitsanalyse von Private Clouds Alex Didier Essoh und Dr. Clemens Doubrava Bundesamt für Sicherheit in der Informationstechnik 12. Deutscher IT-Sicherheitskongress 2011 Bonn, 10.05.2011 Agenda Einleitung

Mehr

Cloud Computing. Oliver Berthold und Katharina Wiatr, Berliner Beauftragter für Datenschutz und Informationsfreiheit. Dozenten

Cloud Computing. Oliver Berthold und Katharina Wiatr, Berliner Beauftragter für Datenschutz und Informationsfreiheit. Dozenten Cloud Computing Oliver Berthold und Katharina Wiatr, Berliner Beauftragter für 02.06.2015 1 Dozenten Katharina Wiatr Referentin für Beschäftigtendatenschutz (030) 13889 205; wiatr@datenschutz-berlin.de

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen RWE Effizienz GmbH Flamingoweg 1 44139 Dortmund für das IT-System RWE eoperate IT Services die Erfüllung aller

Mehr

IT-Security on Cloud Computing

IT-Security on Cloud Computing Abbildung 1: IT-Sicherheit des Cloud Computing Name, Vorname: Ebert, Philipp Geb.: 23.06.1993 Studiengang: Angewandte Informatik, 3. FS Beruf: IT-Systemelektroniker Abgabedatum: 08.12.2014 Kurzfassung

Mehr

IT-Grundschutz: Cloud-Bausteine

IT-Grundschutz: Cloud-Bausteine IT-Grundschutz: Cloud-Bausteine Dr. Clemens Doubrava Bundesamt für Sicherheit in der Informationstechnik Grundlagen der Informationssicherheit und IT-Grundschutz 12.09.2013 Was sind die Risiken? (Public

Mehr

Anforderungen an Cloud Computing-Modelle

Anforderungen an Cloud Computing-Modelle Anforderungen an Cloud Computing-Modelle Rechtsanwalt Martin Kuhr, LL.M. 26.11.2010 6. Darmstädter Informationsrechtstag oder: zwischen Wolkenhimmel und Haftungshölle F.A.Z. Wer steht vor Ihnen? - Rechtsanwalt

Mehr

Datenschutzgerechtes CloudComputing -Risiken und Empfehlungen -

Datenschutzgerechtes CloudComputing -Risiken und Empfehlungen - Datenschutzgerechtes CloudComputing -Risiken und Empfehlungen - Dr. Thomas Reinke Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (Bereich Technik und Organisation)

Mehr

ITIL & IT-Sicherheit. Michael Storz CN8

ITIL & IT-Sicherheit. Michael Storz CN8 ITIL & IT-Sicherheit Michael Storz CN8 Inhalt Einleitung ITIL IT-Sicherheit Security-Management mit ITIL Ziele SLA Prozess Zusammenhänge zwischen Security-Management & IT Service Management Einleitung

Mehr

Cloud Computing Wohin geht die Reise?

Cloud Computing Wohin geht die Reise? Cloud Computing Wohin geht die Reise? Isabel Münch Bundesamt für Sicherheit in der Informationstechnik 14. ComIn Talk Essen 17.10.2011 Agenda Einleitung Chancen und Risiken von Cloud Computing Aktivitäten

Mehr

IT-Grundschutz-Baustein Cloud Management. Erwan Smits & Dominic Mylo

IT-Grundschutz-Baustein Cloud Management. Erwan Smits & Dominic Mylo IT-Grundschutz-Baustein Cloud Management Erwan Smits & Dominic Mylo Projekt-Beteiligte Kooperation BSI und Atos Erwan Smits Atos Dominic Mylo Atos Dr. Clemens Doubrava BSI Alex Didier Essoh BSI Dr. Patrick

Mehr

Cloud Computing aus Sicht von Datensicherheit und Datenschutz

Cloud Computing aus Sicht von Datensicherheit und Datenschutz Cloud Computing aus Sicht von Datensicherheit und Datenschutz Peter Batt Bundesministerium des Innern Ständiger Vertreter des IT-Direktors Berlin, den 19. April 2012 Grundlagen: Sicherheitsempfehlungen

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen SLA Software Logistik Artland GmbH Friedrichstraße 30 49610 Quakenbrück für das IT-System Meat Integrity Solution

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen Agfa HealthCare GmbH Konrad-Zuse-Platz 1-3 53227 Bonn für das IT-System IMPAX/web.Access die Erfüllung aller

Mehr

TELEKOM CLOUD COMPUTING. NEUE PERSPEKTIVEN. Dietrich Canel Telekom Deutschland GmbH 03/2013 1

TELEKOM CLOUD COMPUTING. NEUE PERSPEKTIVEN. Dietrich Canel Telekom Deutschland GmbH 03/2013 1 TELEKOM CLOUD COMPUTING. NEUE PERSPEKTIVEN. Dietrich Canel Telekom Deutschland GmbH 03/2013 1 DIE TELEKOM-STRATEGIE: TELCO PLUS. 2 AKTUELLE BEISPIELE FÜR CLOUD SERVICES. Benutzer Profile Musik, Fotos,

Mehr

IT-Dienstleistungszentrum Berlin

IT-Dienstleistungszentrum Berlin IT-Dienstleistungszentrum Berlin»Private Cloud für das Land Berlin«25.11.2010, Kai Osterhage IT-Sicherheitsbeauftragter des ITDZ Berlin Moderne n für die Verwaltung. Private Cloud Computing Private Cloud

Mehr

Sicheres Cloud Computing

Sicheres Cloud Computing Sicheres Cloud Computing für die öffentliche Verwaltung mit der Private Cloud praktische Erfahrungen BSI Grundschutztag am 26.6.2014 IT-Dienstleistungszentrum Berlin Dipl.-Ing. Karsten Pirschel Moderne

Mehr

Datenschutz in der Cloud. Stephan Oetzel Teamleiter SharePoint CC NRW

Datenschutz in der Cloud. Stephan Oetzel Teamleiter SharePoint CC NRW Datenschutz in der Cloud Stephan Oetzel Teamleiter SharePoint CC NRW Agenda Definitionen Verantwortlichkeiten Grenzübergreifende Datenverarbeitung Schutz & Risiken Fazit Agenda Definitionen Verantwortlichkeiten

Mehr

Cloud Computing mit IT-Grundschutz

Cloud Computing mit IT-Grundschutz Cloud Computing mit IT-Grundschutz Holger Schildt Bundesamt für Sicherheit in der Informationstechnik Grundlagen der Informationssicherheit und IT-Grundschutz BITKOM World am 08.03.2013 Agenda Einführung

Mehr

Compass Security AG [The ICT-Security Experts]

Compass Security AG [The ICT-Security Experts] Compass Security AG [The ICT-Security Experts] Live Hacking: Cloud Computing - Sonnenschein oder (Donnerwetter)? [Sophos Anatomy of an Attack 14.12.2011] Marco Di Filippo Compass Security AG Werkstrasse

Mehr

CeSeC Certified Secure Cloud

CeSeC Certified Secure Cloud CeSeC Certified Secure Cloud 1 Bayerischer IT-Sicherheitscluster e.v. 28.02.2014 Was ist CeSeC Certified Secure Cloud? Die Certified Secure Cloud, oder kurz CeSeC genannt, ist ein technischer und organisatorischer

Mehr

Übersicht Kompakt-Audits Vom 01.05.2005

Übersicht Kompakt-Audits Vom 01.05.2005 Übersicht Kompakt-Audits Vom 01.05.2005 Bernhard Starke GmbH Kohlenstraße 49-51 34121 Kassel Tel: 0561/2007-452 Fax: 0561/2007-400 www.starke.de email: info@starke.de Kompakt-Audits 1/7 Inhaltsverzeichnis

Mehr

Jan-Peter Schulz Senior Security Consultant

Jan-Peter Schulz Senior Security Consultant Jan-Peter Schulz Senior Security Consultant 2 Definitionen im Rahmen des Cloud Computing Cloud Computing ist ein Modell, das es erlaubt, bei Bedarf jederzeit und überall bequem über ein Netz auf einen

Mehr

Best Practice Sichere Webseite vom Server bis CMS 02.12.2014 Dr. Markus Müller Bereichsleiter secunet AG Stephan Sachweh Geschäftsführer Pallas GmbH /

Best Practice Sichere Webseite vom Server bis CMS 02.12.2014 Dr. Markus Müller Bereichsleiter secunet AG Stephan Sachweh Geschäftsführer Pallas GmbH / Best Practice Sichere Webseite vom Server bis CMS 02.12.2014 Dr. Markus Müller Bereichsleiter secunet AG Stephan Sachweh Geschäftsführer Pallas GmbH Pallas stellt sich vor Wir sind ein MSSP: Managed Security

Mehr

Inhaltsverzeichnis. Einleitung 15

Inhaltsverzeichnis. Einleitung 15 Inhaltsverzeichnis Einleitung 15 1 Umfang und Aufgabe des IT-Security Managements 19 1.1 Kapitelzusammenfassung 19 1.2 Einführung 19 1.3 Informationen und Daten 20 1.4 IT-Security Management ist wichtig

Mehr

Bestimmungen zur Kontrolle externer Lieferanten

Bestimmungen zur Kontrolle externer Lieferanten Bestimmungen zur Kontrolle externer Lieferanten Internet-Sicherheit Für Lieferanten der Kategorie Geringes Internetrisiko Internet- 1. Ressourcenschutz und Systemkonfiguration Die Daten von Barclays sowie

Mehr

> Typische Fallstricke beim Cloud Computing. Ulf Leichsenring

> Typische Fallstricke beim Cloud Computing. Ulf Leichsenring > Typische Fallstricke beim Cloud Computing Ulf Leichsenring > Agenda > Sicherheitsaspekte beim Cloud Computing > Checkliste der Hauptsicherheitsaspekte > Rechtliche Sicherheitsaspekte > Datenschutzaspekte

Mehr

Cloud Computing. D o m i n i c R e u t e r 19.07.2011. Softwarearchitekturen

Cloud Computing. D o m i n i c R e u t e r 19.07.2011. Softwarearchitekturen Cloud Computing D o m i n i c R e u t e r 19.07.2011 1 Seminar: Dozent: Softwarearchitekturen Benedikt Meurer GLIEDERUNG Grundlagen Servervirtualisierung Netzwerkvirtualisierung Storagevirtualisierung

Mehr

RECHTLICHE ASPEKTE BEIM CLOUD COMPUTING Technik-Evolution bringt Business-Revolution

RECHTLICHE ASPEKTE BEIM CLOUD COMPUTING Technik-Evolution bringt Business-Revolution RECHTLICHE ASPEKTE BEIM CLOUD COMPUTING Technik-Evolution bringt Business-Revolution Dr. Johannes Juranek, Partner bei CMS Reich-Rohrwig Hainz Rechtsanwälte GmbH Ebendorferstraße 3, 1010 Wien WS 2011 1.

Mehr

ISMS und Sicherheitskonzepte ISO 27001 und IT-Grundschutz

ISMS und Sicherheitskonzepte ISO 27001 und IT-Grundschutz ISMS und Sicherheitskonzepte ISO 27001 und IT-Grundschutz Aufbau eines ISMS, Erstellung von Sicherheitskonzepten Bei jedem Unternehmen mit IT-basierenden Geschäftsprozessen kommt der Informationssicherheit

Mehr

Security Audits. Ihre IT beim TÜV

Security Audits. Ihre IT beim TÜV Security Audits Ihre IT beim TÜV Thinking Objects GmbH Leistungsstark. Sicher. Nachhaltig. Gegründet 1994 inhabergeführt Hauptsitz Stuttgart Kompetenter IT-Dienstleister und Systemintegrator Schwerpunkte:

Mehr

Thementag Cloud Computing Datenschutzaspekte

Thementag Cloud Computing Datenschutzaspekte Thementag Cloud Computing Datenschutzaspekte Gabriel Schulz Stellvertreter des Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern Heise online 30. Juni 2011: US-Behörden

Mehr

Informationssicherheit zentral koordiniert IT-Sicherheitsbeauftragter

Informationssicherheit zentral koordiniert IT-Sicherheitsbeauftragter Informationssicherheit zentral koordiniert IT-Sicherheitsbeauftragter Informationssicherheit lösungsorientiert Informationssicherheit ist für Unternehmen mit IT-basierten Prozessen grundlegend: Neben dem

Mehr

Cloud-Computing. Selina Oertli KBW 28.10.2014

Cloud-Computing. Selina Oertli KBW 28.10.2014 2014 Cloud-Computing Selina Oertli KBW 0 28.10.2014 Inhalt Cloud-Computing... 2 Was ist eine Cloud?... 2 Wozu kann eine Cloud gebraucht werden?... 2 Wie sicher sind die Daten in der Cloud?... 2 Wie sieht

Mehr

IT kompetent & wirtschaftlich

IT kompetent & wirtschaftlich IT kompetent & wirtschaftlich 1 IT-Sicherheit und Datenschutz im Mittelstand Agenda: - Wieso IT-Sicherheit und Datenschutz? - Bedrohungen in Zeiten globaler Vernetzung und hoher Mobilität - Risikopotential

Mehr

Sind Privacy und Compliance im Cloud Computing möglich?

Sind Privacy und Compliance im Cloud Computing möglich? Sind und Compliance im Cloud Computing möglich? Ina Schiering Ostfalia Hochschule für angewandte Wissenschaften Markus Hansen Unabhängiges Landeszentrum für Datenschutz www.ostfalie.de Wolfenbüttel, Germany

Mehr

Einführung eines ISMS nach ISO 27001:2013

Einführung eines ISMS nach ISO 27001:2013 Einführung eines ISMS nach ISO 27001:2013 VKU-Infotag: Anforderungen an die IT-Sicherheit (c) 2013 SAMA PARTNERS Business Solutions Vorstellung Olaf Bormann Senior-Consultant Informationssicherheit Projekterfahrung:

Mehr

BSI-Sicherheitsemfehlungen für Anbieter in der Cloud

BSI-Sicherheitsemfehlungen für Anbieter in der Cloud BSI-Sicherheitsemfehlungen für Anbieter in der Cloud Dr.-Ing. Clemens Doubrava, BSI VATM-Workshop Köln / Referenzarchitektur Cloud Computing 2 Was sind die Risiken für CSP? (Public Cloud) Finanzielle Risiken

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-5 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen e-netz Südhessen GmbH & Co. KG Dornheimer Weg 24 64293 Darmstadt für das IT System Querverbundleitstelle Darmstadt

Mehr

Hosting in der Private Cloud

Hosting in der Private Cloud Security Breakfast 26.10.2012 Hosting in der Private Cloud Praxis, Compliance und Nutzen Stephan Sachweh, Technischer Leiter Pallas GmbH Hermülheimer Straße 8a 50321 Brühl information(at)pallas.de http://www.pallas.de

Mehr

Interview zum Thema Datenschutz & Datensicherheit in der Cloud

Interview zum Thema Datenschutz & Datensicherheit in der Cloud Interview zum Thema Datenschutz & Datensicherheit in der Cloud Matthias Bongarth Götz Piwinger Zehn Fragen an Matthias Bongarth, Geschäftsführer des Landesbetriebs Daten und Information, Rheinland Pfalz

Mehr

Grenzen und Möglichkeiten. Senatsverwaltung für Inneres und Sport Verfassungsschutz Bereich: Wirtschaftsschutz René K.

Grenzen und Möglichkeiten. Senatsverwaltung für Inneres und Sport Verfassungsschutz Bereich: Wirtschaftsschutz René K. Grenzen und Möglichkeiten Senatsverwaltung für Inneres und Sport Verfassungsschutz Bereich: Wirtschaftsschutz René K. 1 Agenda Definition Architektur Durchgängigkeit der Technologien Risiken Pro Contra

Mehr

Migration einer bestehenden Umgebung in eine private Cloud mit OpenStack

Migration einer bestehenden Umgebung in eine private Cloud mit OpenStack Migration einer bestehenden Umgebung in eine private Cloud mit OpenStack CeBIT 2014 14. März 2014 André Nähring Cloud Computing Solution Architect naehring@b1-systems.de - Linux/Open Source Consulting,

Mehr

Vertrags- und Lizenzfragen im Rahmen des Cloud Computing LES Arbeitsgruppenmeeting 13. Mai 2011

Vertrags- und Lizenzfragen im Rahmen des Cloud Computing LES Arbeitsgruppenmeeting 13. Mai 2011 Vertrags- und Lizenzfragen im Rahmen des Cloud Computing LES Arbeitsgruppenmeeting 13. Mai 2011 Heymann & Partners Übersicht Erscheinungsformen des Cloud Computing Vertragsgestaltung beim Cloud Computing

Mehr

Cloud Computing. Datenschutzrechtliche Aspekte. Diplom-Informatiker Hanns-Wilhelm Heibey

Cloud Computing. Datenschutzrechtliche Aspekte. Diplom-Informatiker Hanns-Wilhelm Heibey Cloud Computing Datenschutzrechtliche Aspekte Diplom-Informatiker Hanns-Wilhelm Heibey Berliner Beauftragter für Datenschutz und Informationsfreiheit Was ist Cloud Computing? Nutzung von IT-Dienstleistungen,

Mehr

Cloud Computing Security

Cloud Computing Security Cloud Computing Security Wie sicher ist die Wolke? Prof. Dr. Christoph Karg Studiengang Informatik Hochschule Aalen 24.6.2010 SPI Service Modell Prof. Dr. Christoph Karg: Cloud Computing Security 2/14

Mehr

Kornel. Voigt. Terplan. Christian. Cloud Computing

Kornel. Voigt. Terplan. Christian. Cloud Computing Kornel Terplan Christian Voigt Cloud Computing Inhaltsverzeichnis Die Autoren 13 Einführung 15 1 Taxonomie von Cloud-Computing 21 1.1 Einsatz einer Multi-Tenant-Architektur bei Cloud-Providern 21 1.2 Merkmale

Mehr

Stefan Kusiek BFW-Leipzig

Stefan Kusiek BFW-Leipzig Stefan Kusiek BFW-Leipzig Schnellere Geräte (CPU, HDD, RAM, ) Mehrere Geräte (CPU, HDD, RAM, ) Mehrere Geräte (Rechner, Server, ) Cluster Preiswerter????? Mindestgröße Installation Konfiguration Wartung

Mehr

SOLIDCLOUD. Produktübersicht

SOLIDCLOUD. Produktübersicht Produktübersicht SOLIDCLOUD Sicherheit in Bestform: Infrastructure as a Service (IaaS) mit SOLIDCLOUD Mit SOLIDCLOUD bietetet ITENOS eine standardisierte IaaS-Cloud-Lösung für Unternehmen. Gestalten und

Mehr

Die Spezialisten für innovative Lösungen im Bereich Document Output Management

Die Spezialisten für innovative Lösungen im Bereich Document Output Management Die Spezialisten für innovative Lösungen im Bereich Document Output Management Agenda Wer ist Rasterpunkt Einführung Software as a Service Hat SaaS Marktpotential? SaaS im Document Output Management: Konvertierung

Mehr

SICHERHEIT IN DER CLOUD: WAS BLEIBT NACH DEM HYPE? Jörn Eichler Berlin, 9. April 2013

SICHERHEIT IN DER CLOUD: WAS BLEIBT NACH DEM HYPE? Jörn Eichler Berlin, 9. April 2013 SICHERHEIT IN DER CLOUD: WAS BLEIBT NACH DEM HYPE? Jörn Eichler Berlin, 9. April 2013 AGENDA Cloud-Computing: nach dem Hype Grundlagen und Orientierung (Daten-) Sicherheit in der Cloud Besonderheiten für

Mehr

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Anstalt des öffentlichen Rechts

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Anstalt des öffentlichen Rechts Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Anstalt des öffentlichen Rechts IT-Grundschutz und Datenschutz im Unternehmen implementieren Heiko Behrendt ISO 27001 Grundschutzauditor Fon:

Mehr

11. Kommunales IuK-Forum Niedersachsen. 25./26. August 2011 in Stade. Cloud Computing im Spannungsfeld von IT Sicherheit und Datenschutz

11. Kommunales IuK-Forum Niedersachsen. 25./26. August 2011 in Stade. Cloud Computing im Spannungsfeld von IT Sicherheit und Datenschutz 11. Kommunales IuK-Forum Niedersachsen 25./26. August 2011 in Stade Cloud Computing im Spannungsfeld von IT Sicherheit und Datenschutz Bernd Landgraf ITEBO GmbH Tel.: 05 41 / 96 31 1 00 E-Mail: landgraf@itebo.de

Mehr

Lehrgang Information Security Management

Lehrgang Information Security Management Lehrgang Security Management Das Zeitalter der Datenkommunikation bietet ungeahnte Möglichkeiten der, Kommunikation, der Vereinfachung, Beschleunigung von Arbeitsabläufen, Geschäftsabschlüssen. Geschäftsprozesse

Mehr

Cloud Computing Governance. Thomas Köhler Leiter Public Sector RSA The Security Division of EMC

Cloud Computing Governance. Thomas Köhler Leiter Public Sector RSA The Security Division of EMC Cloud Computing Governance Thomas Köhler Leiter Public Sector RSA The Security Division of EMC Definition Cloud - Wolke Wolke, die; -, -n; Wölkchen: Hoch in der Luft schwebende Massen feiner Wassertröpfchen

Mehr

Information Security Policy für Geschäftspartner

Information Security Policy für Geschäftspartner safe data, great business. Information Security Policy für Geschäftspartner Raiffeisen Informatik Center Steiermark Raiffeisen Rechenzentrum Dokument Eigentümer Version 1.3 Versionsdatum 22.08.2013 Status

Mehr

Kirstin Brennscheidt. Cloud Computing und Datenschutz. o Nomos

Kirstin Brennscheidt. Cloud Computing und Datenschutz. o Nomos Kirstin Brennscheidt Cloud Computing und Datenschutz o Nomos Inhaltsverzeichnis Abkürzungsverzeichnis I Einleitung 1. Motivation und Begriff des Cloud Computing 11. Gegenstand der Untersuchung III. Gang

Mehr

Netz16 GmbH Managed Service / Cloud Solutions. www.netz16.de Netz16 GmbH Firmenpräsentation / Stand 2014 S. 1

Netz16 GmbH Managed Service / Cloud Solutions. www.netz16.de Netz16 GmbH Firmenpräsentation / Stand 2014 S. 1 Netz16 GmbH Managed Service / Cloud Solutions www.netz16.de Netz16 GmbH Firmenpräsentation / Stand 2014 S. 1 Vorstellung Netz16 Eckdaten unseres Unternehmens Personal 80 60 40 20 0 2010 2011 2012 2013

Mehr

IT-Grundschutz-Bausteine Cloud Computing

IT-Grundschutz-Bausteine Cloud Computing IT-Grundschutz-Bausteine Cloud Computing, BSI Referat B22 Analyse von Techniktrends in der Informationssicherheit 3. Cyber-Sicherheits-Tag für Teilnehmer der Allianz für Cyber-Sicherheit in der Spielbank

Mehr

Cloud Computing Gefahrenpotentiale und Sicherheitskonzepte

Cloud Computing Gefahrenpotentiale und Sicherheitskonzepte Cloud Computing Gefahrenpotentiale und Sicherheitskonzepte, BSI Was ist beim Einsatz von Cloud Computing zu beachten? AGCS Expertentage 2011 / 24.10.2011 Themen Gefährdungen der Cloud Voraussetzungen für

Mehr

Cloud Computing bereitet sich für den breiten Einsatz im Gesundheitswesen vor.

Cloud Computing bereitet sich für den breiten Einsatz im Gesundheitswesen vor. Cloud Computing im Gesundheitswesen Cloud Computing ist derzeit das beherrschende Thema in der Informationstechnologie. Die Möglichkeit IT Ressourcen oder Applikationen aus einem Netz von Computern zu

Mehr

Security by Design. Praktische, individuelle und wirtschaftliche Lösung für den Mittelstand

Security by Design. Praktische, individuelle und wirtschaftliche Lösung für den Mittelstand Polizeipräsidium Mittelfranken Security by Design Praktische, individuelle und wirtschaftliche Lösung für den Mittelstand Referent: Matthias Wörner (MW IT-Businesspartner) gepr. IT Sachverständiger Matthias

Mehr

Wie man die Qualität von Cloud Services beurteilen und absichern kann. Andreas Weiss EuroCloud Deutschland

Wie man die Qualität von Cloud Services beurteilen und absichern kann. Andreas Weiss EuroCloud Deutschland Wie man die Qualität von Cloud Services beurteilen und absichern kann Andreas Weiss EuroCloud Deutschland IT Beschaffung Data Center fokussiert X-Node IaaS PaaS SaaS Kühlung Powe r and UPS LAN/WAN

Mehr

Das Sicherheitsprofil Software-as-a-Service im Anwendungsfall Kundenbeziehungsmanagement

Das Sicherheitsprofil Software-as-a-Service im Anwendungsfall Kundenbeziehungsmanagement Das Sicherheitsprofil Software-as-a-Service im Anwendungsfall Kundenbeziehungsmanagement (CRM) Dr. Patrick Grete Referat B22 Analyse von Techniktrends in der Informationssicherheit 2. IT-Grundschutz Tag

Mehr

Cloud Security geht das?

Cloud Security geht das? Wolfgang Straßer Geschäftsführer Dipl.-Kfm. Cloud Security geht das? @-yet GmbH, Schloß Eicherhof, D-42799 Leichlingen +49 (02175) 16 55 0 Sicherheit in der Cloud geht das? im Prinzip ja aber @-yet GmbH,

Mehr

GIS-Projekte in der Cloud

GIS-Projekte in der Cloud GIS-Projekte in der Cloud GIS Server ArcGIS PostGIS Geodaten GeoJSON QGIS GIS Stack GRASS GIS Web GIS Shapefile CartoDB Leaflet Geodatenbank Desktop GIS APIs GISday 2014 19.11.2014 Cloud Computing Was

Mehr

Deutscher Städtetag 29. Forum Kommunikation und Netze, 29.03.2012

Deutscher Städtetag 29. Forum Kommunikation und Netze, 29.03.2012 Deutscher Städtetag 29. Forum Kommunikation und Netze, 29.03.2012 Über den Wolken. ist die Freiheit nicht grenzenlos: Eckpfeiler aktueller Rechtsfragen zur Cloud in der Verwaltung Klaus M. Brisch LL.M.

Mehr

synergetic AG Open House 2012 Ihr Unternehmen in der Wolke - Cloud Lösungen von synergetic

synergetic AG Open House 2012 Ihr Unternehmen in der Wolke - Cloud Lösungen von synergetic synergetic AG Open House 2012 Ihr Unternehmen in der Wolke - Cloud Lösungen von synergetic Markus Krämer Vorsitzender des Vorstandes der synergetic AG Verantwortlich für Strategie und Finanzen der synergetic

Mehr

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3

Sicherheitstechnische Qualifizierung (SQ), Version 10.0 Security Assurance Level SEAL-3 Die Zertifizierungsstelle der TÜV Informationstechnik GmbH bescheinigt hiermit dem Unternehmen Deutsche Telekom AG Products & Innovation T-Online-Allee 1 64295 Darmstadt für das IT-System Developer Garden

Mehr

Informationssicherheitsmanagement

Informationssicherheitsmanagement Informationssicherheitsmanagement Informationssicherheitsmanagement in der betrieblichen Praxis Anforderungen nach ISO/IEC 27001:2013 und das Zusammenwirken mit dem Qualitätsmanagement ISO 9001 IKS Service

Mehr

COBIT 5 Controls & Assurance in the Cloud. 05. November 2015

COBIT 5 Controls & Assurance in the Cloud. 05. November 2015 COBIT 5 Controls & Assurance in the Cloud 05. November 2015 Charakteristika der Cloud On-Demand Self Service Benötigte IT-Kapazität selbstständig ordern und einrichten Broad Network Access Zugriff auf

Mehr

Cloud Computing Chancen für KMU

Cloud Computing Chancen für KMU Cloud Computing Chancen für KMU Sascha A. Peters Cluster Manager IT FOR WORK 31. Oktober 2012 Cloud Computing Worüber reden alle? Fragen zum Thema Cloud Was ist Cloud Computing und wofür wird es genutzt?

Mehr

Prüfschema Erteilung des Datenschutz-Siegels Datenschutzkonform. durch die Prüfstelle. greeneagle certification GmbH Frankenstraße 18a 20097 Hamburg

Prüfschema Erteilung des Datenschutz-Siegels Datenschutzkonform. durch die Prüfstelle. greeneagle certification GmbH Frankenstraße 18a 20097 Hamburg Prüfschema Erteilung des Datenschutz-Siegels Datenschutzkonform durch die Prüfstelle greeneagle certification GmbH Frankenstraße 18a 20097 Hamburg Dokumententitel: Erteilung des Datenschutz-Siegels Datenschutzkonform

Mehr

Was Ihr Cloud Vertrag mit Sicherheit zu tun hat

Was Ihr Cloud Vertrag mit Sicherheit zu tun hat Was Ihr Cloud Vertrag mit Sicherheit zu tun hat EC Deutschland 14 Mai 2013- Konzerthaus Karlsruhe Ziele des Vortrags - ein Weg in die Cloud 1. Sicherheit eine mehrdimensionalen Betrachtung 2. Zusammenhang

Mehr

Datenschutzbeauftragter Datenschutzberatung - externer Datenschutzbeauftragter - Datenschutzaudits

Datenschutzbeauftragter Datenschutzberatung - externer Datenschutzbeauftragter - Datenschutzaudits Datenschutzbeauftragter Datenschutzberatung - externer Datenschutzbeauftragter - Datenschutzaudits www.ds-easy.de Seminare für Datenschutzbeauftragte Seite 2 von 5 Egal, ob Sie sich weiterqualifizieren

Mehr

CLOUDCYCLE Ferner integriert der Broker neue Konzepte zur geographischen Eingrenzung der Nutzung von Cloud-Diensten und assoziierter Daten.

CLOUDCYCLE Ferner integriert der Broker neue Konzepte zur geographischen Eingrenzung der Nutzung von Cloud-Diensten und assoziierter Daten. TRusted Ecosystem for Standardized and Open cloud-based Resources Das Vorhaben hat den Aufbau eines Cloud-Ecosystems zum Ziel, welches exemplarisch für den Anwendungsbereich der Patientenversorgung im

Mehr

Modellierung von Informationsverbünden mit Consumer-Endgeräten und BYOD

Modellierung von Informationsverbünden mit Consumer-Endgeräten und BYOD Modellierung von Informationsverbünden mit Consumer-Endgeräten und BYOD Erfahrungen und Empfehlungen für Zertifizierungen nach ISO 27001 auf der Basis von IT-Grundschutz Jonas Paulzen Bundesamt für Sicherheit

Mehr

Checkliste: Technische und organisatorische Maßnahmen

Checkliste: Technische und organisatorische Maßnahmen Checkliste: Technische und organisatorische Maßnahmen Folgende technische und organisatorische Maßnahmen wurden nach 9 BDSG für folgende verantwortliche Stelle getroffen: Musterstein GmbH Musterweg 2 4

Mehr

Cordula E. Niklaus, Fürsprecherin ll.m. Anwaltskanzlei Niklaus, Zürich - www.niclaw.ch. niclaw

Cordula E. Niklaus, Fürsprecherin ll.m. Anwaltskanzlei Niklaus, Zürich - www.niclaw.ch. niclaw Blindflug im Wolkenmeer? Rechtliche Aspekte zum Cloud Computing Last Monday vom 27. Juni 2011 Cordula E. Niklaus, Fürsprecherin ll.m. Anwaltskanzlei Niklaus, Zürich - www..ch Persönliches Cordula E. Niklaus,

Mehr

IT-Sicherheit auf dem Prüfstand Penetrationstest

IT-Sicherheit auf dem Prüfstand Penetrationstest IT-Sicherheit auf dem Prüfstand Penetrationstest Risiken erkennen und Sicherheitslücken schließen Zunehmende Angriffe aus dem Internet haben in den letzten Jahren das Thema IT-Sicherheit für Unternehmen

Mehr

IT-Grundschutz-Novellierung 2015. Security Forum 2015. Hagenberger Kreis. Joern Maier, Director Information Security Management

IT-Grundschutz-Novellierung 2015. Security Forum 2015. Hagenberger Kreis. Joern Maier, Director Information Security Management IT-Grundschutz-Novellierung 2015 Security Forum 2015 Hagenberger Kreis Joern Maier, Director Information Security Management 1 AGENDA 1 Ausgangslage 2 unbekannte Neuerungen 3 mögliche geplante Überarbeitungen

Mehr

Die Cloud aus der Sicht des Daten- und Geheimschutzes. Hannover, 13.06.2012, Helmuth Hilse

Die Cloud aus der Sicht des Daten- und Geheimschutzes. Hannover, 13.06.2012, Helmuth Hilse Die Cloud aus der Sicht des Daten- und Geheimschutzes Hannover, 13.06.2012, Helmuth Hilse Helmuth Hilse Dipl.-Ing. Nachrichtentechnik IT-Security-Beauftragter (TÜV), IT-Security-Manager (TÜV), IT-Security-Auditor

Mehr

ISO 27001 Zertifizierung

ISO 27001 Zertifizierung ISO 27001 Zertifizierung - Zertifizierte IT-Sicherheit nach internationalen Standards Trigonum GmbH Trigonum Wir machen Unternehmen sicherer und IT effizienter! - 2 - Kombinierte Sicherheit Datenschutz

Mehr

Infoblatt Security Management

Infoblatt Security Management NCC Guttermann GmbH Wolbecker Windmühle 55 48167 Münster www.nccms.de 4., vollständig neu bearbeitete Auflage 2014 2013 by NCC Guttermann GmbH, Münster Umschlag unter Verwendung einer Abbildung von 123rf

Mehr

Unternehmensvorstellung

Unternehmensvorstellung Unternehmensvorstellung Stand zum 14. September 2010 If you think technology can solve your security problems, then you don't understand the problems and you don't understand the technology - Bruce Schneier

Mehr

Cloud Computing im Mittelstand

Cloud Computing im Mittelstand Cloud Computing im Mittelstand Mehr Sicherheit durch ganzheitliche Lösungen Darmstadt, 25. November 2010 IT-Grundschutz-Tag Dr. Clemens Plieth Managing Director Service Delivery cplieth@pironet-ndh.com

Mehr

> Cloud-Richtline. Richtlinie der Universität Münster zur Auslagerung von Daten in Cloud-Dienste. IV-Sicherheitsteam Juni 2013

> Cloud-Richtline. Richtlinie der Universität Münster zur Auslagerung von Daten in Cloud-Dienste. IV-Sicherheitsteam Juni 2013 > Cloud-Richtline Richtlinie der Universität Münster zur Auslagerung von Daten in Cloud-Dienste IV-Sicherheitsteam Juni 2013 Einleitung 1 > Inhalt 1 Einleitung... 2 2 Geltungsbereich... 3 3 Abgrenzung

Mehr

(IT - Dienstleistungsvertrag)

(IT - Dienstleistungsvertrag) (IT - Dienstleistungsvertrag) Seite 1 von 5 Auftraggeber (nachfolgend Kunde genannt) Auftragnehmer (nachfolgend Provider genannt) Transoffice GmbH Industriestrasse 27 61381 Friedrichsdorf 1. Präambel Das

Mehr

Datenschutz- und IT-Sicherheitsaudit

Datenschutz- und IT-Sicherheitsaudit Datenschutz- und IT-Sicherheitsaudit Eine Chance für das Gesundheitswesen 54. GMDS- Jahrestagung Essen, 2009-09-09 Dr. Bernd Schütze Agenda 54. GMDS-Jahrestagung Essen, 2009-09-09 1. 2. M&M a) b) Audit

Mehr

Zertifizierung der IT nach ISO 27001 - Unsere Erfahrungen -

Zertifizierung der IT nach ISO 27001 - Unsere Erfahrungen - Zertifizierung der IT nach ISO 27001 - Unsere Erfahrungen - Agenda Die BDGmbH Gründe für eine ISO 27001 Zertifizierung Was ist die ISO 27001? Projektablauf Welcher Nutzen konnte erzielt werden? Seite 2

Mehr

Vertrauen bestärken: Wege zur Auditierung von Cloud-Diensten. RA Dr. Jan K. Köcher Datenschutzauditor (TÜV) koecher@dfn-cert.de

Vertrauen bestärken: Wege zur Auditierung von Cloud-Diensten. RA Dr. Jan K. Köcher Datenschutzauditor (TÜV) koecher@dfn-cert.de Vertrauen bestärken: Wege zur Auditierung von Cloud-Diensten RA Dr. Jan K. Köcher Datenschutzauditor (TÜV) koecher@dfn-cert.de Herausforderungen Cloud Übermittlung von Daten an einen Dritten und ggf. Verarbeitung

Mehr

Secure Cloud - "In-the-Cloud-Sicherheit"

Secure Cloud - In-the-Cloud-Sicherheit Secure Cloud - "In-the-Cloud-Sicherheit" Christian Klein Senior Sales Engineer Trend Micro Deutschland GmbH Copyright 2009 Trend Micro Inc. Virtualisierung nimmt zu 16.000.000 14.000.000 Absatz virtualisierter

Mehr

Lösungen die standhalten.

Lösungen die standhalten. Unsere IT ist doch sicher! Wozu ISO 27001? RBP Seminar, LRZ München, 27.10.2011 Marc Heinzmann, plan42 GmbH ISO 27001 Auditor Lösungen die standhalten. plan42 GmbH Wir sind ein Beratungsunternehmen ohne

Mehr

Klein Computer System AG. Portrait

Klein Computer System AG. Portrait Klein Computer System AG Portrait Die Klein Computer System AG wurde 1986 durch Wolfgang Klein mit Sitz in Dübendorf gegründet. Die Geschäftstätigkeiten haben sich über die Jahre stark verändert und wurden

Mehr

Die Microsoft Cloud OS-Vision

Die Microsoft Cloud OS-Vision Die Microsoft Cloud OS-Vision 29-01-2014, itnetx/marcel Zehner Seit Oktober 2013 steht Microsoft mit dem neuen Betriebssystem Microsoft Windows Server 2012 R2 am Start. Aus Sicht von vielen Unternehmen

Mehr

Robert-Bosch-Straße 18 D-63303 Dreieich Tel.: +49 6103 37416-00 Fax: +49 6103 37416-99 www.isw-online.de

Robert-Bosch-Straße 18 D-63303 Dreieich Tel.: +49 6103 37416-00 Fax: +49 6103 37416-99 www.isw-online.de Robert-Bosch-Straße 18 D-63303 Dreieich Tel.: +49 6103 37416-00 Fax: +49 6103 37416-99 www.isw-online.de Inhaltsverzeichnis ISW nur ein paar Worte Cloud Computing Die richtige Cloud-Lösung Problematiken

Mehr

Checkliste: Technische und organisatorische Maßnahmen

Checkliste: Technische und organisatorische Maßnahmen Checkliste: Technische und organisatorische Maßnahmen Folgende technische und organisatorische Maßnahmen wurden nach 9 BDSG für folgende verantwortliche Stelle getroffen: Musterstein GmbH Musterweg 2-4

Mehr