Daten sicher bereitstellen

Transkript

1 CAFM und die Cloud Daten sicher bereitstellen Dipl.-Ing. Michael Heinrichs, Geschäftsführer IMS GmbH Stand A19

2 Die Cloud kommt. Nicht nur für Musik. Abgesehen davon, dass der Begriff schon wolkig genug ist. Die Cloud ist auf dem Weg. Und oft genug schon angekommen. Vorbehalte gegenüber Datensicherheit, Verfügbarkeit und Eignung für die eigene Anwendung sind nur einige der Oft nicht genug vermittelten Felder, aus denen häufig Ablehnung resultiert. Ist das denn wirklich alles so kompliziert? 2

3 Cloud Monitor Bitkom

4 Aktuelle, geplante, diskutierte Plattformarten in Unternehmen nach KPMG 4

5 Aktuelle, geplante, diskutierte Anwendungen in Unternehmen nach KPMG 5

6 Grundsätzliche Checkpoints Ein paar Faktoren scheinen selbstverständlich. Wirklich? Eine leistungsfähige Plattform entscheidet mit über die Akzeptanz der Lösung. Und das meint nicht nur das meist virtuelle System, auf dem Ihre Umgebung betrieben wird, sondern vor allem die darunter liegende Hardware und die darüber liegende Software-Schicht. Es sollte mindestens die gleiche Tiefe und Qualität an Backups für den Fall von Hard- und Softwarefehlern, als auch von menschlichem Versagen vorgehalten werden, die auch Ihre interne IT-Strategie vorsieht. Aber wie kann dies auf verteilten Systemen gewährleistet werden? Ausfallsicherheit gilt für die Plattform selbst, aber auch für deren Anbindung bis in Ihr Netz. Einmal seitens des Rechenzentrums, aber auf in Ihr Unternehmen. Und: Welche Rolle spielen Siegel und Zertifikate? 6

7 Was bieten Zertifikate? 7

8 Was heißt schon verschlüsselt? 8

9 Was heißt schon verschlüsselt? Verschlüsselung Der Transportweg sollte verschlüsselt sein, und zwar nach Stand der Technik. Das Zertifikat selbst sollte den aktuellen Anforderungen genügen, als auch seine Auslieferung und Implementierung. Es schadet also nicht, auch die Daten selbst verschlüsselt abzulegen, und zwar sowohl die Datenbank als auch Verzeichnisse und Daten. 9

10 Tausche Passwort gegen Schokolade? Social Engineering Vielfältige Angriffspunkte ergeben sich aus Ihrem Arbeitsalltag. Und nicht nur dort. Wer kann dem schon widerstehen (29% vs. 48%)? Zwei-Faktor-Authentifizierung kann helfen, ist aber teuer. Was sind Ihnen Ihre Daten wert? Zumindest sollten Sie den Umgang mit der Cloud und ihren Schwachpunkten in Ihrem Unternehmen thematisieren. 10

11 Zurück zu harten Kriterien Rahmenbedingungen Deutsches Rechenzentrum, mindestens aber EU Deutsches Recht für den Betrieb Gerichtsstand in Deutschland Support ebenfalls Regelungen zur Auftragsdatenverarbeitung nach 11 BDSG beachten (strafbewehrt für den Kunden) Redundante RZ-Technik (Strom, Klima) Bauliche Trennung oder Brandabschnitte Redundante Außenanbindung, auch baulich Eigene redundante Anbindung nicht vergessen Zutrittskontrolle Notfallkonzept, Sicherheitskonzept Penetration-Tests (TÜV, Secunet) Backup Backup Backup 11

12 Und wie verhalten sich die CAFM-Anbieter? Anzahl der CAFM-Anbieter in %, die eine Cloud-Lösung anbieten nach GEFMA MÜ 12

13 Und jetzt bitte zum Mitschreiben? Die Cloud ist ein interessantes Angriffsziel Denn hier lagern viele und potentiell interessante Daten. 13

14 Und jetzt bitte zum Mitschreiben? Verschlüsselung und fehlerhafte Implementierung Nicht nur schwache Passwörter oder Social Engineering bedrohen die Sicherheit. Sondern auch fehlerhafte Krypto-Implementierung durch den Anbieter oder den Lieferanten der Sicherheitslösung selbst (OpenSSL, Cisco etc,) sind auch in der Zukunft zu erwarten. 14

15 Und jetzt bitte zum Mitschreiben? Absicherung der Schnittstellen Angefangen bei simplem Dateiaustausch per sftp oder FTPS bis hin zu SSH oder Webservices für Ihr ERP, REG-IS oder Ihre GLT sollten alle externen Verbindungen ebenfalls gesichert werden, denn sie exponieren sich von Hause aus. Ein VPN-Tunnel kann eine gute Idee sein. 15

16 Und jetzt bitte zum Mitschreiben? Trennung der Subsysteme Was nicht das gleiche macht, gehört nicht zusammen. Firewall, Webserver, Fileserver, Anwendungsserver, Datenbankserver und Backupsysteme gehören nicht nur ausfallsicher angelegt, sondern auch getrennt. Mindestens virtuell, ggf. auch physisch. 16

17 Und jetzt bitte zum Mitschreiben? Einige Fragen, die Sie sich stellen sollten Was passiert, wenn meine Daten nicht zur Verfügung stehen? Wie groß ist meine Abhängigkeit (nicht nur von der Software, auch vom Cloud-Anbieter und der Zuverlässigkeit meines eigenen Internetzugangs)? Wem gehören die Daten, wie komme ich an diese neutral auch nach Vertragsende heran? 17

18 IaaS, PaaS, SaaS, ist doch alles Cloud? SaaS = reine Programmnutzung von der Stange ASP = reine Programmnutzung, aber individualisert PaaS = fertige Plattform, eigene Anwendung IaaS = nur die Technik 18

19 Drei erfolgreiche Beispiele für CAFM aus der Cloud Konzern mit rund 20k Anwendern Diakonisches Werk Whitelabel-Lösungsanbieter 19

20 Wer möchte Schokolade? CAFM und die Cloud Daten sicher bereitstellen Dipl.-Ing. Michael Heinrichs, Geschäftsführer IMS GmbH Stand A19