Recht in der Cloud. Die rechtlichen Aspekte von Cloud Computing. Nicole Beranek Zanon Lic. iur., EMBA HSG. Alpiq Cloud Days 2014

Transkript

1 Recht in der Cloud Die rechtlichen Aspekte von Cloud Computing Nicole Beranek Zanon Lic. iur., EMBA HSG

2 2 Agenda Ausgangslage: Cloud oder eigener Betrieb?Cloud Ecosystem Die wichtigsten rechtlichen Themen Auswahl des Cloud-Anbieters Zusammenfassung

3 3 1

4 4 Äpfel nicht mit Birnen vergleichen! Strategische Chancen nutzen Wie sieht der Ist-Zustand im Vergleich zur Cloud-Lösung aus? Welche Flexibilität wird gebraucht? Welches Profil habe ich als Unternehmen? Welche Daten sind für unser Unternehmen kritisch? Ist IT eine Kernkompetenz des Unternehmens? Rechtliche Rahmenbedingungen gleich, unabhängig ob Cloud oder nicht Cloud

5 5 2 Fotolia.com

6 6 Cloud-Ecosystem Internet- Accessprovider CH / Ausland IaaS PaaS SaaS XaaS Cloud- Anbieter Verschlüsselungsanbieter IAM-Provider Unternehmen Cloud-Nutzer CH Ausland

7 7 Mögliche Betriebsmodell-Szenarien Szenario 1 Szenario 2 Szenario 3 Szenario 4 Szenario 5 Legende: Service Provider Service Provider Service Provider Service Provider Service Provider Service Provider Software Provider Applikation Betrieb Software Middleware Applikation Betrieb Software Middleware Applikation Betrieb Appl.-SW & Middleware Betrieb Applikation & Betrieb Applikation Software Middleware Hardware Applikation & Betrieb Applikation Software Middleware Hardware Hosting Provider Szenario 4 Hosting Hardware Netzwerk RZ Infrastruktur Hosting Hardware Netzwerk RZ Infrastruktur Hosting Hardware Netzwerk RZ Infrastruktur Housing Netzwerk RZ Infrastruktur Housing Netzwerk RZ Infrastruktur SaaS: Applikation von Drittanbieter wird bei Hosting Partner auf dessen Hardware in einem RZ eines Dritten betrieben

8 8 3

9 9 Anwendbares Recht + Gerichtsstand Gerichtsstand Anwendbares Recht Vollstreckbare Urteile (im In- und Ausland) Was ist sonst noch wichtig? Wo steht das Rechenzentrum Wer beherrscht die Firma des Cloud-Anbieter? Kapitalisierung Kooperationen, Drittpartner + Unterbeauftragte mit Zugriffsmöglichkeiten Zertifizierungen

10 10 Leistungsstörungen Service Level / Kick-Back Redundanzen Schnittstellen Mitteilungen / Kontakte Datenrückgabe / -zugriff

11 11 Daten- und Informationsschutz - Datenpolicy Qualifizierung Daten Data-Owner bestimmen Klassifikation bestimmen: geheim, vertraulich/intern, öffentlich Inventarisierung: Zugriffsart/-berechtigung Speicherort Qualifikation der Dienste

12 12 Datenschutz I - Grundprinzipien Rechtma ssigkeit Zweckbindung Verha ltnisma ssigkeit Erkennbarkeit / Transparenz Integrita t ( Richtigkeit ) Datensicherheit

13 13 Datenschutz II Datensicherheit Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden (Art. 7 DSG).

14 14 Datensicherheit III - technische + org. Massnahmen Angemessene Massnahmen (Art. 8 Abs. 2 VDSG): Gemäss dem Zweck, Art und Umfang der Datenbearbeitung Einschätzung der möglichen Risiken für die betreffende Person Gegenwärtiger Stand der Technik Grundsatz (Art. 8 Abs. 1 VDSG): Vertraulichkeit, Verfügbarkeit, Integrität

15 15 Kündigung, Haftung und Legal Interception Klare Kündigungsregeln Risikominimierung durch klare Regeln Zugriff von NSA & Co. Prozesse für den Zugriff Unterstützung beim Wechsel Vendor-Look-In vermeiden Konkurs des/der Anbieter berücksichtigen

16 16 4 Tom Bayer Fotolia.com

17 17 Interdisziplinäre Herausforderungen des Kunden Überwachung & Mitigation von Risiken Identifikation von Risiken Implementation - Schnittstellen + Verantwortlichkeiten Awareness Analyse der Daten Auswahl RZ/Cloud- Anbieter

18 18 5

19 19 Zusammenfassung Die Welt wird komplexer Reduktion der Komplexität durch: Vertrauenswürdige Partner und Ansprechpersonen suchen Sorgfältige Redaktion der Verträge / Compliance bereits beim Set-Up & Auswahl Evaluation der eigenen Daten Back-Up zu Drittanbieter / Escrow Agreement für SW Technisch immer up to date

20 20 Danke für Ihre Aufmerksamkeit Vielen Dank für Ihre Aufmerksamkeit! delacruzberanek.com