Cloud Computing - Potentiale für die öffentliche Verwaltung

Transkript

1 Cloud Computing - Potentiale für die öffentliche Verwaltung Linda Strick linda.strick@fokus.fraunhofer.de 1 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

2 Cloud Computing Chancen und Risiken 2 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

3 Cloud-Computing ist Most computer savvy folks actually have a pretty good idea of what the term "cloud In a fully implemented Data Center 3.0 computing" means: outsourced, environment, you can decide if an app pay-as-you-go, is on-demand, run locally [ ], in someone else s data somewhere The Cloud in the concept Internet, is etc. finally Clouds are virtualized. center [ ] and Ondemand requisitioning the fly in case [...] you The are word short elasticity on data what is possible when you you can change your mind wrapping peoples minds around leverage [...] gives a web-scale infrastructure implies Insgesamt the ability center finden resources to sich good mehr idea about als the 60 key features: Definitionen (application you and physical) in an dynamically Welche resize You Definition can resource certainly can soll scale your in einem infrastructure on-demand on demand way. allocation or moving within minutes or even seconds, instead customers politischen/wirtschaftlichen have clouds that are from one physical of days or weeks, thereby avoiding server Entscheidungsprozess to another priced like pizza, under-utilization per zugrundegelegt (idle servers) I view cloud and overutilization (blue screen) computing as a transparently. broad of in-house werden? slice. array of web-based resources. Clouds will be the services next aimed at allowing users transformation over to obtain the next a wide range of several years, building functional off of capabilities on a 'payas-you-go' that basis... the software models virtualization enabled. There really are only three types of services that are cloud based: SaaS, PaaS, and Cloud Computing Platforms. Put simply cloud computing is the infrastructural paradigm shift that enables the ascension of SaaS. I would like to propose a 'Cloud Cloud computing is Pyramid' said to to help differentiate be the user-friendly the version various Cloud offerings of grid computing. out there. 3 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

4 Cloud Computing Komplexität Evolutionär Internet, Virtualisierung,... Revolutionär Neuartige Geschäftsmodelle Global Computing Platform: Neuer gesetzlicher Rahmen? Welche Elemente konstituieren die Cloud? Wie ist das Zusammenspiel? Wo werden Standards benötigt? 4 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

5 Cloud-Betriebsmodelle Vertrauenswürdigkeit Cloud Betriebsmodell privat Community hybrid öffentlich intern verwaltet ausgelagert exklusiv offen Organisation Organisation Drittanbieter Drittanbieter Drittanbieter Drittanbieter Organisation Drittanbieter Drittanbieter Drittanbieter Drittanbieter Drittanbieter Intern. Vereinb. SLA SLA SLA SLA AGB spezifisch generisch vertrauenswürdig nicht vertrauenswürdig Technische Details - eigene Infrastruktur - Selbt oder durch Dritten betrieben - klassisches Outsourcing - Infrastruktur und Betrieb bei Provider - Zentralisierte Architektur - Infrastruktur und Betrieb gemeinsam genutzter Resourcen bei Provider (Multi-Client.Plattform) - Öffentliches Internet - dezentralisierte weltweite Architektur auf Infrastruktur des Providers - Daten bleiben unter physischer - Daten unter Kontrolle des Kontrolle Kontrolle des Auftraggebers Providers der Daten - Aber: Provider hat evtl. Zugriff - Aber: Daten auf (z.b. Remote) abgegrenzten Ressourcen 5 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS - Daten unter Kontrolle des Providers - Aber: Daten auf abgegrenzten Resourcen - Infrastruktur und Betrieb bei Provider - Zentralisierte Architektur

6 Cloud Computing Kontrolle Cloud Kunde Cloud Anbieter Verhältnis Steuerung und Entwicklung beim Cloud- Kunden Platform as a Service (PaaS) Software as a Service (SaaS) e.g. Google-Apps for Business, Microsoft CRM, Salesforce.com, e.g. Force.com, Google-App Engine, Microsoft Azure, ORACLE Steuerung und Entwicklung beim Cloud Anbieter Infrastructure as a Service(IaaS) e.g. Amazon EC2 + S3, AppNexus, HP Cloud Enabling Computing, ORACLE, IBM, SUN, Hadoop 6 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

7 Chancen Partizipation, Transparenz und Kooperation Möglichkeiten für die Neugestaltung einer digital unterstützen Verwaltung wie auch einer digital unterstützen Demokratie. 1. neue Formen der Partizipation von Bürgern, Unternehmen, sowie von Mitarbeitern der Behörden. 2. neuen Formen von Partizipation bedingen zugleich neue Anforderungen an die Transparenz von politischem Handeln und über Verwaltungsvorgänge. 3. damit verbundenen sind neuen Herausforderungen an effiziente Kooperation innerhalb öffentlicher Verwaltungen und zwischen Verwaltung und Wirtschaft. Wirtschaft Wettbewerbsvorteile kurze Entwicklungszyklen Wenig Startkapitel keine Investitionen für IT Konzentration auf das Kerngeschäft 7 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

8 Risiken Sicherheit in der Cloud Größtes Hemmnis für den Einstieg 8 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

9 Risiken - Sicherheit in der Cloud Für den öffentliche Sektor gelten besondere Anforderungen Kontrolle über die Aufgabenwahrnehmung und -durchführung Datenschutz und Privacy Protection für alle! Sicherheit in der Cloud Datenschutz Vertraulichkeit Verfügbarkeit 9 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

10 Anforderungen Datenschutz/Datentrennung Beachtung rechtlicher Aspekte und Regularien Gültige nationale Rechtsprechung bei der Verarbeitung personenbezogener Daten Trennung von sensiblen personenbezogenen Daten und Systemverwaltung Nachvollziehbare Mandantentrennung Sichere Ressourcenteilung Maßnahmen zur Datenlöschung Effektive Zugriffsmechanismen (Self-Service) Rechte- und Rollenmodel 10 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

11 Anforderungen Governance Rechtliche Zuverlässigkeit Datenschutz Telekommunikationsgesetz, etc.. Wirtschaftliche Vorteilhaftigkeit Leistungsadäquanz Kosteneffizienz Steuerbarkeit Service Level Agreements Durchgängiges Rollenmodell (definiert Rechte und Pflichten) Vergaberecht Risikobeherrschbarkeit Transparenz von Prozessen Etablierung von Kontrollmechanismen Audits Reporting (z.b. Datenschutzbeauftragte) Steuerung über SLAs 11 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

12 Anforderungen Compliance Berücksichtung der gültigen Rechtsprechung (regional, national, EU) z.b.gerichtsstandort des Cloud-Anbieters innerhalb der EU Einhaltung von Regularien Datenschutzgesetze Spezialgesetze (Gesundheit, Arbeitsrecht, Vergaberecht...)... Durchführung von Audits Beachtung von Lizenzbestimmungen und verträgen Berücksichtung von Haftungsfragen Einhaltung von SLAs 12 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

13 Risikoanalyse Wie sicher ist die Cloud nun wirklich? 13 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

14 Sicherheitsanforderungen aus heutiger Sicht BSI-Grundschutz als Benchmark-Test für Cloud-Computing Grundschutz Katalog konkreter Gefährdungen und Maßnahmen Gegliedert in thematische Bausteine Grundlage für ISO Zertifizierung Bausteine Outsourcing und Datenschutz Bewertung von Cloud-Computing bzgl. zentraler Aspekte Notwendige Anforderungen Ergänzt durch Eckpunktpapier des BSI 14 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

15 Complexity of Applicable Law Studie Historical Historical Analysis on European Data Protection Regulations 17 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

16 Anforderungen an Cloud-Anbeiter Ergänzungen Standardisiertes Prozessmanagement ITIL/COBIT (Nachholbedarf) Technische und organisatorische Maßnahmen, z.b. Gesicherte Netze (Firewalls, IDS, IPS, DDoS-Abwehr,...) Spezielle Anforderungen bzgl. Virtualisierung (z.b. Umgang mit Images, Absicherung von Hypervisoren) Anforderung an Verschlüsselung Identitäts- und Rechtemanagement Multifaktor-Authentifizierung Transparenz Standorte müssen bekannt sein Subunternehmer (Vertragsgestaltung!) Klienten-seitige Konfiguration durch den Cloud-Betreiber bedarf Zustimmung Vermeidung von lock-in Situationen Interoperable und portierbare Anwendungen und Daten (offenen Schnittstellen) 18 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

17 Trust in Cloud Migration, Szenarien und Standards 20 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

18 Private Clouds Sichere Cloud - eingeschränkte Elastizität Vorteile Agilität Reduzierte Kosten Erhöhte Kontrolle Probleme Umfassende Modernisierung verursacht Kosten jenseits Budgetierung Wirtschaftlichkeitsmodelle (ÖV?) Intranet Private Cloud Cloud-basiertes Datenzentrum für eine oder mehrere Behörden Umsetzungen werden bereits vollzogen IaaS: PaaS: SaaS: wird von Shared-Service Centern angeboten ( Services anstelle von Servern ) Verzeichnisdienste z.b. für Geodaten (Vermessungsämter, Behörden für Stadtentwicklung, etc.) Thin Clients Fachverfahren (ERP, CRM, Finanzen, etc.) 21 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

19 Öffentliche bzw. hybride Clouds Modell für ÖPP Dienst-Auslagerung in öffentliche Clouds ist kritisch zu bewerten (Datenschutz, Transparenz, etc.) Allerdings offeriert der privatwirtschaftliche Sektor ein großes Potential an Ressourcen und Know-how Optionen Auslagerung öffentlicher Daten in die Cloud Verkehrsinformationen, Wetterdaten, Wirtschaftsdaten, Finanzdaten, digitale Karten, etc. Entwicklung sicherer Dienste Elektronische Safes für Daten & Dokumente (verschlüsselt, fragmentiert) Anforderungen externe IT-Audits und Kontrollen durch den Auftraggeber Protokollierungs- und Zusammenarbeit Portabilität zwischen verschiedenen Clouds (Vermeidung von»lock-ins«-) transparentes, standardkonformes Dienst- und Systemmanagement Transparenz bezüglich der Standorte Offenlegung von Subunternehmern und Verträgen Intranet Private Cloud Internet Öffentliche Cloud Cloud-basiertes Datenzentrum mit temporärer Nutzung einer öffentlichen Cloud 22 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

20 Migration Road Map Erstellung eine Cloud-Strategie Welche Dienste aus der Cloud kommen in Frage Definition geeigneter Sicherheitslevel Bewertung der Cloud-Angebote und SLAs Bewertung der eigenen Compliance und Sicherheits-Anforderungen Risk-Assessment, ROI Analyse und Business-Case Auswahl der ersten (geeigneten) Szenarios Auswahl geeigneter Cloud Anbieter Referenzarchitektur dient als Blueprint Cloud-Anbieter kann seine Angebote (Service) daran darstellen Vorbereitung der eigenen IT-Organisation Konsolidierung Automatisierung der Prozesse / Aufbau eines Cloud-Lifecycles Ggf. Erweiterung des IT Service-Katalogs und Managements 23 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

21 Migration Road Map Start mit einer isolierten Cloud-Installation bzw. einer externen privaten Cloud Low-risk Szenarios Standardisierung von IT-Infrastrukturen Bereitstellung eines Self-service Portals (Behörden-) Unternehmens-weite Einführung (Shared Services) Erweiterung der Cloud-Kapazitäten Überführung vorhandener Dienste in die Cloud Definition von wiederverwendbaren Anwendungen Konsolidierung der Anwendungen 24 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

22 Provider site admins & developers orchestrates Auditors Federation interfaces Customer site Admins & developers Security: Auth, Crypto, Data/Storage security, Endpoint Security, RBAC, Net Security Competence Center ELAN Referenzarchitektur (NIST) End User Cloud Applications utilizes Service interop Platform Interop Infrastruct. Interop provides provides provides utilizes utilizes SaaS PaaS IaaS utilizes provides utilizes utilizes Service Support Interfaces: Metering, Reporting, SLA mgmt, Capacity planning, Billing, monitoring, Auditing, ediscovery, Helpdesk, backup, Account mgmt, Catalogs/Orders utilizes Cloud Platform Interop provides Cloud Platform Cntl Platform components: (App Runtime, App Server, Storage, Database, Development Environment, Usage Accounting) Virtualization and VM Management, V-LAN, V-SAN, V-NAS, VPN utilizes Provisioning, Management, Operating Systems Non-virtual interfaces (physical) provides Firmware, Hardware: CPU, RAM, SAN and NAS Storage, switches, routers, firewalls, fiber and Ethernet links Data Center Facilities utilizes 25 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

23 Cloud Computing in der öffentlichen Verwaltung Anwendungsszenarien Identifikation von drei Anwendungsgebieten Trennung von offenen Daten und vertraulichen bzw. personenbezogenen Verwaltungsdaten Optimierung von Prozessen zwischen Verwaltungen, Bürgern und Unternehmen P23R-Familie Sichere Daten-/ Dokumentenspeicherung Bereitstellung einer Cloud-Infrastruktur für KMUs goberlin Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

24 S a a S Der elektronische Safe als Trusted Service bedenkenlos in die Public Cloud PKI IDM PRM COM Bürger CUBE apps CUBE apps Citzizen client apps Unterstützende Plattformdienste CUBE esafe Administration Cloud Private/ Public Cloud CUBE apps CUBE apps Admin. Software app MIG Migration / interop interface 27 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS Anbieterunabhängige Verschlüsselung Verwaltung des Safes durch eine privatwirtschaftlichen Anbieter (öffentliche Cloud) ist denkbar Voraussetzung: Sichere Verschlüsselung (mit upgrade entsprechend state of the art ), extrem hohe Verfügbarkeit Daten-Interoperabilität (via MIG) Notwendig, um lock-ins zu vermeiden Standardisierte Formate für signierte Dokumente Elektronischer Datensafe Sicherer Langzeitspeicher für persönliche Daten und Dokumente Cryptographisch signiert Beweiswerterhaltung

25 Nutzungsszenarien als Standardisierungsinstrument stärkt das Vertrauen Methodik zur Identifikation von Standardisierungsanforderungen Wo ist noch etwas zu tun? Evaluation von vorhandenen Standards Wie gut regelt ein Standard ein bestimmtes Szenario Welche Nutzungsfälle sind berücksichtigt? Treiber zur Entwicklung von Standards Interaktion und Diskussion mit Stakeholdern anhand konkreter Beispiele Berücksichtigung nationaler Anforderungen Welche Anforderungen ergeben sich aus nationalen Kontexten? Sind nationale Standards und rechtliche Rahmenbedingungen zu berücksichtigen? 28 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

26 Fazit 29 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS 29

27 Cloud Computing - Potentiale Private Clouds sind sicher und unter Kontrolle des Auftragnehmers Kooperationen mit Cloud Anbietern Erfahrungen der Hersteller nutzen notwendig Öffentliche/hybride Clouds für Anwendungen mit niedrigem Schutzbedarf z.b. Open Data in öffentlichen Clouds (Public Sector Information), Social Networks Trennung von öffentlichen und personenbezogenen Daten Vertrauenswürdige Unterstützungsdienste für den Bürger duch elektronische Safes Mehr Trust im Bereich Sicherheit durch Gütesiegel, Zertifikate oder Mehr Trust durch Standardisierung standardisierte kontextabhängige Szenarien und Use-Cases Nachvollziehbarkeit er eigenen Problemfelder offenen Schnittstellen erleichtern Portabilität und Interoperabilität 30 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS

28 Danke für Ihre Aufmerksamkeit Linda Strick Fraunhofer Institut für offene Kommunikationssysteme (FOKUS) 32 Führungskräfte Forum Cloud Computing Berlin, FhI FOKUS