WOHL GRENZENLOS SEIN. und seine Grenzen. Rainer Petri Dipl.- Wirtsch.- Ing. / T.I.S.P. Senior Consultant, Sophos CEE

Transkript

1 ÜBER DEN WOLKEN MUSS DIE FREIHEIT WOHL GRENZENLOS SEIN Cloud Computing und seine Grenzen Rainer Petri Dipl.- Wirtsch.- Ing. / T.I.S.P. Senior Consultant, Sophos CEE 1

2 IT Trends Cloud Computing Mobility - BYOD Version 2.0 Mobility Version 1.0 Mobility Version 0.0 2

3 Cloud Computing is without doubt the biggest IT story for a generation Steve Ballmer, Microsoft (at RSA Conference 2012) Statements anno dazumal Das Automobil ist nur eine vorübergehende Erscheinung Kaiser Wilhelm II (1912) Das Internet ist eine Spielerei für Computerfreaks, in der liegt keine Zukunft Ron Sommer (1993) 640 Kilobyte Speicherkapazität reichen für jedermann und für alle Ewigkeiten Bill Gates (1981) Nixdorf baut schließlich Motorräder und keine Mopeds Heinz Nixdorf (1985) - Auf die Frage, warum Nixdorf denn keine PCs bauen würde 3

4 Umsatz Cloud Anbieter B2B Umfeld Deutschland Umsatz in Mrd Prognostiziert ab 2013 Institut Statista (Sept. 2012): Cloud Umsatz im Business-to-Business-Umfeld 4

5 IT Trends Deutschland Die wichtigsten Hightech-Themen 2013 Cloud Computing 59% BITKOM Brachenumfrage Juni

6 Sensitive Data in the Cloud Does your organization transfer sensitive or confidential data to the cloud? 49% YES (consolidated view) Source: Ponemon Institute June 2013: Confidential Data in the Cloud; 6

7 Lost on the Road to Cloud Computing? 7

8 Bewertung der Cloud Typen Kriterien Public Hybrid Private Was_Entscheider_wissen_muessen.pdf 8

9 Potential der Schutzmöglichkeiten Allokation personenbezogener Daten im Cloud Service Bewertung der Cloud Typen Datenschutz Dynamic Grad der Weisungs und Direktionsmöglichkeit SaaS (Software as a Service) PaaS (Platform as a Service) IaaS (Infrastructure as a Service) Public Hybrid Private Datenschutzempfehlung eher nicht bedingt empfehlenswert Was_Entscheider_wissen_muessen.pdf 9

10 Cloud Fakten Deutschland Der NSA-Skandal hat Cloud Computing einen Dämpfer versetzt Deutsche Cloud-Anbieter können angesichts der gewachsenen Bedeutung von Sicherheit und Datenschutz punkten Rechenzentrum ausschließlich im Rechtsgebiet der EU Hauptsitz im Rechtsgebiet der EU Basis: 344 Unternehmen "Cloud-Monitor 2014", IT-Branchenverbandes Bitkom,

11 Cloud Fakten Deutschland Der NSA-Skandal hat Cloud Computing einen Dämpfer versetzt. Deutsche Cloud-Anbieter können angesichts der gewachsenen Bedeutung von Sicherheit und Datenschutz punkten. 13 % der Unternehmen haben geplante Cloud-Projekte zurückgestellt 11% sogar bestehende Cloud-Lösungen aufgegeben 23 % nehmen nächstes Jahr aus Sicherheitsbedenken keine Cloud-Dienste in Anspruch Die Private Cloud wird gegenüber der Public Cloud klar favorisiert "Cloud-Monitor 2014", IT-Branchenverbandes Bitkom,

12 12

13 Cloud Computing & Security? Unternehmen müssen sich bewusst sein, dass ausländische Dienste möglicherweise da mitlesen Peter Schaar, Bundesdatenschutzbeaufragter Der Bundesdatenschutzbeaufragte Peter Schaar sähe deutsche Firmendaten am liebsten in einer deutschen Cloud - nur gibt es die nicht. Computerwoche,

14 Zeitschrift CIO, IT-Cloud Sicherheit wird im DACH Raum zur Daueraufgabe für Unternehmen. So wird es höchste Zeit, die unabhängig parallel laufenden Bemühungen des BMI (BSI) und des BMWI (Trusted Cloud) zueinander zu führen Beide Ministerien haben bereits Millionen mit dem Ergebnis verbrannt, dass Cloud Standards nach eigener Aussage frühestens im Frühjahr 2015 zu erwarten sind 14

15 Wichtige Standardisierungsorganisationen im Cloud Computing 15

16 16

17 Cloud Computing & Security He thought he was lost, but then he saw the sign 17

18 Das große Missverständnis Cloud Computing Who is most responsible for protecting data in the cloud? >> Customers think Achieving Cloud Compliance: customer, not cloud provider, responsible C l o u d P r o v i d e r C l o u d C o n s u m e r S h a r e d Achieving-cloud-compliance-Customer-not-cloud-providerresponsible Encryption in the Cloud, Sponsored by Thales e-security Independently conducted by Ponemon Institute LLC, July

19 Das große Missverständnis Cloud Computing 3. L AW Y E R S V I E W data and ist processing. In general, the cloud user is primarily responsible for his 19

20 Bewertung der Cloud Typen Responsibility depends on type of service - IaaS: Infrastructure as a Service - PaaS: Platform as a Service - SaaS: Software as a Services Cloud Customer responsibility Cloud Service Provider responsibility Type of Service Area of Responsibility IaaS PaaS SaaS

21 Cloud Computing & Security Generelle Risiken Cloud ist eine Black Box Cloud Provider Wer ist das wirklich? Kann er Daten einsehen? Cloud ist grenzenlos (cross-border) Wo sind die Daten wirklich (physikalisch) Einhaltung gesetzlicher Vorgaben? PCI DSS Compliance? 21

22 Security-Risiken in der Cloud Rund um den Globus "Ressourcenbörse Provider haben Handel mit ihren Ressourcen untereinander aufgebaut Temporärer "Zukauf" von Cloud-Services um etwaige Engpässe und Lastspitzen kundenneutral bewerkstelligen zu können Cloud Computing Anbieter C kauft Ressourcen Cloud Computing Anbieter B Kunde kauft Ressourcen Cloud Computing Anbieter A Wo sind meine Daten? Wer hat Zugriff auf meine Daten? 22

23 Clouds Rund um den Globus Cloud Computing macht vor nationalen Grenzen nicht halt Wo sind meine Daten? Wer hat Zugriff auf meine Daten?

24 Daten-Splitting: Bei Clouds sind die Daten über mehrere Standorte verteilt; wo genau ist oft unklar Cloud Computing ist auf Virtualisierung angewiesen - Viele Kunden können Service gleichzeitig nutzen Wo sind meine Daten? Wer hat Zugriff auf meine Daten? 24 24

25 Compliance in der Cloud Wo ist das Problem? Wer Dokumente mit Bezug auf fremde Personen bei einem Cloud-Service bearbeitet, muss diesem strenggenommen einen Auftrag zur Datenverarbeitung geben

26 Sicherheitsempfehlungen BSI B = Basisanforderung C = Confidentiality A = Availability 26

27 27 <kes> Special, Sicheres Cloud Computing, März 2012 Die Sorge Ernst nehmen 27

28 Can Providers access my Files? B I G B R OT H E R S E C U R I T Y 28

29 Can Providers access my Files? Aus der Praxis: Fotograf speichert selbst gefertigte künstlerische Aktfotos in SkyDrive Zugang wurde ihm gesperrt! Auf Nachfrage warum: Antwort von MS: Die Bilder verstoßen gegen den Verhaltenskodex des Dienstes

30 Can Providers access my Files? Statement from Microsoft Gordon Frazer, Managing Director, VP International at Microsoft Microsoft ist ein US-basiertes Unternehmen und muss sich an die Gesetze der USA halten Legalisiert durch den USA-Patriot-Act haben US-Behörden Zugriff auf Daten in der Cloud auch wenn diese in Europa (EU) gespeichert sind USA PATRIOT Act: Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act 30

31 Can Providers access my Files? Statement from Dropbox "Dropbox employees are prohibited from accessing user files Like all U.S. companies, Dropbox must follow U.S. law Our Terms of Service have always stated that Dropbox must comply with law enforcement officials, < >. All companies that store user data (Google, Amazon, etc.) are not above the law and must comply with court orders and have similar statements in their terms of service. Arash Ferdowsi, CTO of Dropbox. 31

32 Technology Background Dropbox 175 million users Dropbox uses modern encryption methods to both transfer and store your data. Secure Sockets Layer (SSL) and AES-256 bit encryption Aber Transferierte Daten sind theoretisch nach dem Verlassen des "sicheren" https-kanals für Mitarbeiter der Empfängerseite lesbar 32

33 Technology Background 175 million users To ensure everyone has the ability to view and share files on the web painlessly, Dropbox currently does not support the creation of your own private keys Meanwhile, please know that Dropbox takes the security of your files seriously. All files stored on Dropbox servers are encrypted. 33

34 Technology Background How cloud storage works User PW **** to encrypt folder That would be nice S3 Dropbox folder S3 = Amazon Simple Storage Service 34

35 Technology Background How cloud storage works User PW **** to encrypt folder S3 Dropbox folder Check content Dropbox HQ Encrypt with Public Key SSL Encryption User PW **** to decrypt folder Encrypt with User PW Decrypt Private Key (Dropbox) S3 = Amazon Simple Storage Service 35

36 National Security Letter NSL USA PATRIOT Act Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act of

37 The Reality Government requests from around the world to hand over user data Aus Deutschland: Offenlegungen

38 ?? Die richtigen Konsequenzen für Unternehmen: Zu den wichtigsten Sicherheitsmaßnahmen zählt dabei die Verschlüsselung, sowohl beim Transport als auch bei der Speicherung * 38

39 Cloud Problem & Lösungsansatz Selbst wenn US Cloud Anbieters in der EU sitzt, ist dieser verpflichtet, die Daten auf Anfrage an die US-Regierung weiterzugeben Heißt, dass deutsche Unternehmen laut BDSG streng genommen gar keinen US-Dienstleister nutzen dürfen Bei Verstoß gegen das BDSG: Gelduße bis zu ( 43 Absatz 2) Umgangen werden kann dies jedoch durch Starke Verschlu sselung (AES) der Daten vor der Übertragung >> S c h l ü s s e l g e w a l t b e i m N u t z e r d e r C l o u d << 39

40 So, last but not least 40 40

41 41

42 Im Markt

43 SOPHOS CONFIDENTIAL > Mitarbeiter weltweit > Umsatz 400 Mio. US$ (GJ 2012/2013) > 150 Millionen Anwender Endpoint Protection Mobile Control E Mail Security SafeGuard Enterprise Web Protection UTM 43

44 SafeGuard Enterprise Modulare Security Suite zur Verschlüsselung (AES 256 bit) von Endgeräten, Wechselmedien, Netzwerk, Cloud Zentrale Management Konsole Zentrales Key Management EAL4 Certification BSI Zertifizierung SafeGuard Enterprise VS NfD Verschluss Sache Nur für den Dienstgebrauch FIPS

45 SafeGuard Enterprise Überblick: Module Festplatten - verschlüsselung (FDE) Erzwungene Security Policy Zentrale Administration zur Umsetzung der Security Policy - Zeit- und kostenoptimiert - Zentrales Schlüsselmanagement - Einhaltung von Compliance Vorgaben inkl. Logging Datenverschlüsselung für Arbeitsgruppen im Netzwerk Alternative Erweitertes Mgmt. - MS BitLocker (Windows 7 / 8 ) - Mac FileVault SafeGuard Enterprise Datenverschlüsselung in der Cloud Datenaustausch sowohl intern & extern Verschlüsselung von Wechselmedien Datenaustausch sowohl intern & extern 45

46 SafeGuard Enterprise FileShare Encryption Benutzertransparente Verschlüsselung für Arbeitsgruppen im Netzwerk File Server - Personaldaten - Buchhaltung - Betriebsrat - Geschäftsleitung Backup SafeGuard Management - Verschlüsselte Daten auf Server - Verschlüsselter Datentransfer zwischen Client Server Benutzertransparente Ver- und Entschlüsselung 46

47 SafeGuard Enterprise Cloud Encryption Benutzertransparente Verschlüsselung für Arbeitsgruppen in der Cloud Cloud Backup SafeGuard Management - Verschlüsselte Daten in der Cloud - Verschlüsselter Datentransfer zwischen Client Cloud Benutzertransparente Ver- und Entschlüsselung 47

48 SafeGuard Enterprise Cloud Encryption Verschlüsselung und Speicherung von Daten in der Cloud Überall-Zugriff und gemeinsames Bearbeiten von Daten in der Cloud Transparenter Zugriff von SafeGuard-Clients SafeGuard Mgmt Verschlüsselung erfolgt am Client (benutzertransparent) Schlüsselgewalt bleibt im eigenen Unternehmen 48

49 SafeGuard Enterprise Cloud Encryption Verschlüsselung für Arbeitsgruppen in der Cloud - Alle Daten verschlüsselt - Schlüssel bleiben im eigenen Unternehmen SafeGuard Mgmt Tell password *** Benutzertransparente Ver- und Entschlüsselung Entschlüsselung auf fremdem Client 49

50 SafeGuard Enterprise Cloud Encryption ********* Tell password *** Benutzertransparente Ver- und Entschlüsselung Entschlüsselung auf fremdem Client 50

51 SafeGuard Enterprise Cloud Encryption Verschlüsselung für Arbeitsgruppen in der Cloud - Alle Daten verschlüsselt - Schlüssel bleiben im eigenen Unternehmen Free Download SafeGuard Mgmt Tell password *** Benutzertransparente Ver- und Entschlüsselung Entschlüsselung auf ipad, iphone, Android 51

52 Sophos Mobile Encryption iphone, ipad, Android Smartphones und Tablets Datenschutz auf Mobilgeräten Vorhaltung verschlüsselter Dokumente aus dem Modul SafeGuard Cloud Storage Free Download

53 Sophos Mobile Encryption Admin View 53

54 SafeGuard Enterprise Umfassende Verschlüsselung Kundennutzen Device Encryption Keine Daten in falschen Händen Kein Imageschaden Compliance mit Vorgaben Kein Anwendertraining Keine User Verantwortung Native Device Encryption Keine Daten in falschen Händen Zeit - und kostenoptimierte Admin. BitLocker, FileVault Compliance konform Central Management Zeit-/kostenoptimierte Admin. (Cross platform) Erzwungene Sec. Policy Compliance konform File Share Kein Daten in falschen Händen Compliance mit Vorgaben Cloud Storage Kein Daten in falschen Händen Compliance mit Vorgaben Datenaustausch Intern/Extern nur in verschlüsselter Form Mobile Encryption - Keine Daten in falschen Händen Data Exchange Kein Daten in falschen Händen Compliance mit Vorgaben 54