Zeit für die Cloud - wissen Sie, wo Ihre Daten sind?

Transkript

1 WHITEPAPER Zeit für die Cloud - wissen Sie, wo Ihre Daten sind? Sorgen Sie für ein sicheres Cloud-Sharing, ohne die Daten Schnüffelangriffen auszusetzen Kurzfassung Berichte, dass Geheimdienste die durch Internet- und Telefonanbieter übermittelten Daten ausspähen konnten, haben das Vertrauen in die Datensicherheit öffentlicher Cloud- Services erschüttert. Obwohl Unternehmen sich bemühen, mit der Technologie Schritt zu halten und ihr Geschäft voran zu bringen, wird durch die Enthüllungen die Unantastbarkeit von geistigem Eigentum, vertraulicher Informationen und Datenschutz in Frage gestellt und sie machen sich Gedanken, wie sie ihre Informationsressourcen in einer Cloud-Umgebung schützen sollen. GESPONSERT VON

2 2 WHITEPAPER ZEIT FÜR DIE CLOUD - WISSEN SIE, WO IHRE DATEN SIND? Der Snowden-Effekt Große Datenmengen haben in den vergangenen Jahren massive Auswirkungen auf die Geschäftswelt gehabt. Das Sammeln und Analysieren von Daten hat zu bahnbrechenden Einsichten geführt, die es Unternehmen jeglicher Größe und Art ermöglichten, Trends zu studieren, Prognosen zu erstellen und sogar Risiken zu begrenzen. Große Datenmengen verändern ganz klar die Art und Weise, wie Unternehmen und Länder operieren. Als Folge des verheerenden Terrorangriffs vom 11. September 2001 wurde mit der Verabschiedung des PATRIOT-Acts eine neue Ära staatlicher Nutzung von Abhör- und Analysetechnologie für jegliche Kommunikation eingeläutet. Das Abgreifen großer Datenmengen im Namen der nationalen Sicherheit wurde als essenzielles geheimdienstliches Mittel verstanden, um terroristische Aktivitäten zu vereiteln. Zu diesem Zeitpunkt waren es jedoch nur wenige, denen die globalen Konsequenzen, abseits der Terrorismusbekämpfung, in den Bereichen der Privatsphäre und Unternehmenssicherheit klar waren. Als die Medien 2013 damit begannen Geheimdokumente 1 von Edward Snowden, einem freien NSA Mitarbeiter, zu veröffentlichen, war schnell klar, dass der Geheimdienst enorme Datenmengen von Online-Serviceprovidern abhörte. 2 Kernstück der NSA-Enthüllungen ist ein Programm mit dem Codenamen PRISM, das unter anderem die Inhalte von s, Chats, VoIP-Anrufen, in Clouds gespeicherten Daten abgreift. 3 Laut vielen veröffentlichen Berichten sammelte die NSA riesige Datenmengen von Serviceprovidern, begründet dadurch, dass der globale Internet-Verkehr in nicht unerheblichem Umfang über Server in den USA läuft. Und die Vereinigten Staaten sind nicht das einzige Land, das so agiert. Der britischen Zeitung The Guardian zufolge belegen die Enthüllungen von Snowden: Die Geheimdienste von Deutschland, Frankreich, Spanien und Schweden haben alle und in enger Zusammenarbeit mit der britischen Abhörbehörde GCHQ in den vergangenen fünf Jahren Verfahren zur flächendeckenden Überwachung des Internet- und Telefonverkehrs entwickelt. 4 Die Aussicht, dass Geheimdienste in der Lage sind, Daten auf öffentlich gehosteten Cloud-Services einsehen können, stellt die vermeintliche Sicherheit der Public Cloud-Infrastruktur in Frage. Dies wirft auch die Frage auf, wie mit Richtlinien und der Governance bezüglich Mitarbeitern verfahren werden sollte, die solche Services eventuell ad hoc einsetzen. Zudem kennen viele Dateneigentümer die einschlägige Gesetzgebung nicht, wenn sie zum ersten Mal ihre Daten in der Cloud speichern. Da Führungskräfte und Benutzer einen immer breiteren und schnelleren Zugriff auf Cloud-Services fordern, ist es für die IT problematisch, Richtlinien durchzusetzen, die eine Nutzung öffentlicher Cloud-Services einschränken wie z. B. Verbraucherdienste zum Synchronisieren und Teilen von Dateien. Viele unterstreichen die Notwendigkeit von Kontrolle, da bei einem Zugriff auf dezentrale Daten über CDN, WebDAV oder andere Web-Protokolle die Daten nicht verschlüsselt werden und mit den Daten anderer Unternehmen vermengt werden können. Hierdurch können Daten unerwünschten Schnüfflern ausgesetzt werden angefangen bei Hackern, bis hin zu staatlichen Abhörspezialisten, Anwälten oder sogar File Sharing- Anbietern. Und: Sobald Daten auf diesen Dritt-Servern gespeichert wurden, verbleiben sie dort oft, auch nachdem sie gelöscht wurden. Das heißt: IT-Organisationen haben keine Kontrolle mehr über ihre Daten. Die globalen Konsequenzen Die Reaktionen auf die Enthüllung von PRISM und anderen Datenabhöraktionen sind völlig uneinheitlich und hängen von Faktoren wie Land, kultureller Sensibilität gegenüber Fragen der Privatsphäre und Geheimhaltung sowie der damit verbundenen Angst vor terroristischen Bedrohungen ab. In den USA war die Reaktion auf PRISM verhaltener als in Europa, so Markus Rex, CEO und Mitbegründer von owncloud Inc., dem Anbieter von Filesync und share Software für Unternehmen, die die Vorteile von Cloud-Services mit gleichzeitig sicherer Verwaltung und Kontrolle sensibler, lokal gespeicherter Daten gewährleistet Da Cloud-Services zum Großteil über in den USA ansässige Anbieter laufen, gefällt es US-Kunden dann auch durchaus, dass Daten in den USA bleiben. Eine solche Differenzierung von Daten innerhalb definierbarer Grenzen ist nicht immer gegeben. Laut Computerworld stellte ein großes Fortune 500-Unternehmen bei einem Routine-Audit fest, dass sein Cloud-Provider zu einer reinen Hülle geworden war und die Erbringung seiner Leistungen an ein Offshore-Unternehmen outgesourct hatte. 5 Auch die Network World berichtete, dass Serviceprovider ein Netzwerk aus Datenzentren [betreiben], die kooperieren, um eine hohe Verfügbarkeit und Sicherheit von Kundendaten zu gewährleisten. Dies bedeutet manchmal auch, dass Daten u. a. bei Katastrophenfällen, Service Level- Einsätzen und Anforderung von Ressourcen und Kosten im Land verschoben werden. 6 Da Cloud- Services zum Großteil über in den USA ansässige Anbieter laufen, gefällt es US-Kunden dann auch durchaus, dass Daten in den USA bleiben. Markus Rex, CEO und Mitbegründer von owncloud Inc.

3 3 WHITEPAPER ZEIT FÜR DIE CLOUD - WISSEN SIE, WO IHRE DATEN SIND? Verbraucherservices von Dropbox und Google bleiben die beliebtesten Cloud- Speicherdienste in Unternehmen, obwohl mittlerweile noch andere, sichere Alternativen für Unternehmen verfügbar sind. QUELLE: Enterprise cloud storage still losing out to Dropbox in the workplace, 10. April TechRepublic. enterprise-cloud-storage-still-losing-out-to-dropbox-in-the-workplace/# Für Unternehmen, für die es aufgrund von Compliance oder rechtlichen Fragen wichtig ist, Daten innerhalb der eigenen Landesgrenzen zu halten, kann eine solche Uneindeutigkeit zum Problem werden. Cloud-Serviceprovider, egal ob in den USA oder anderswo ansässig, dürfen oder können bestimmte Informationen, wo die Daten eines Kunden gespeichert sind, nicht weitergeben. Mittels Metadaten, Verschlüsselungsalgorithmen und Zugriffsspuren ist es möglich, Daten zu verfolgen. Und Serviceprovider, die in einem anderen Land tätig sind, können immer noch den Überwachungsgesetzen und/oder praktiken ihres Heimatlandes unterliegen oder durch sie möglicherweise beeinträchtigt werden. Während europäische Unternehmen zurückhaltender waren, ihre Firmendaten auf US-Servern hosten zu lassen, sind ihre Bemühungen eventuell doch nicht ausreichend gewesen. Wie die Washington Post berichtete, ist es Geheimdiensten auch gelungen, Daten von Knotenpunkten zwischen Datenzentren auf der ganzen Welt abzuhören, darunter auch solche, die Google und Yahoo für Kundenservices nutzen. 7 Unwiderstehlichkeit der Public Cloud Mit mehr als 1 Mrd. Dateien, die täglich allein auf Dropbox gespeichert werden 8, haben sich Verbraucher eifrig bei öffentlichen Cloud-Services eingeklinkt, was auf die größere Einfachheit zurückzuführen ist, mit der man mehrere Geräte über die Cloud verknüpfen kann, und den Aufwand bei File-Sharing und Datensynchronisation senken kann. 9 Dateisynchronisierung und File Sharing hat die Verbraucherwelt im Sturm erobert, da dies einfache Möglichkeiten sind, Fotos, Dokumente und dergleichen jederzeit und mit jedem Gerät zu teilen, erklärt Terri McClure, Senior Analyst der Enterprise Strategy Group (ESG), einem führenden Unternehmen für IT-Forschung, -Analyse und Strategie. Leider haben viele Mitarbeiter diese Verbraucher-Apps an den Arbeitsplatz mitgebracht und verwenden sie, um Firmendaten zu speichern und zu teilen, was der Unternehmens-IT heftige Kopfschmerzen bereitet, wenn sensible und manchmal sogar reglementierte Firmendaten in für Verbraucher gedachten Cloud- Services gespeichert werden. Die betriebliche Nutzung einer Public Cloud wird als unvermeidlich propagiert, wobei man sich auf das Konzept der Hybrid-Cloud stützt, um private und öffentliche Cloud-Ressourcen zu verknüpfen, die nach den Prognosen von Gartner bis 2018 von fast der Hälfte aller Großunternehmen genutzt werden. 10 Das Ende des Schattendaseins von Cloud-Services Viele Provider die einst mit Verbraucher-Serviceangeboten begannen, bieten nun Business-Versionen an, wobei diese zusätzlichen Optionen hauptsächlich auf der Verschlüsselung von Daten beruhen; Serviceprovider nutzen immer noch gemeinsame Speicherressourcen, um Daten vieler Kunden zu speichern. Bei Anderen ist es eventuell erforderlich, Daten zu verschieben oder zu duplizieren statt sie unberührt unter Kontrolle der durch die IT eingeführten Sicherheitsrichtlinien zu belassen. Und es besteht auch keine Möglichkeit sicherzustellen, dass Firmendaten gelöscht werden können nachdem Benutzer sie an einen cloudbasierten Service hochgeladen haben. Darüber hinaus können Benutzer unbeabsichtigt gegen Geheimhaltungsvereinbarungen verstoßen und Cloud-Anbieter können gerichtlich aufgefordert werden, die Unternehmensdaten herauszugeben. Eine weiteres Problem besteht für Unternehmen darin, dass die Cloud-Branche immer noch relativ jung ist und sich rasch weiterentwickelt, was es schwierig macht, Veränderungen vorauszusehen, die sich möglicherweise auf Sicherheit und Datenschutz auswirken. Was Unternehmen brauchen, ist Flexibilität und die Sicherheit, dass die Technologie, die sie heute einkaufen, auch bei zukünftigen Anwendungsfällen greift, für die sie im Moment noch nicht ausgelegt sind, erklärt Rex. Dies ist eine Herausforderung, wenn man von externen Cloud-Systemen abhängig ist. Die Technologieentwicklung erfolgt schnell, und es lässt sich nur schwer sagen, was in zwei, geschweige denn in 10 Jahren von Serviceprovidern angeboten werden wird. Viele aufstrebende Serviceprovider stehen vor der dauerhaften Herausforderung, Marktchancen zu maximieren und ihre Geschäftsmodelle zu optimieren und so zu verändern, dass sie ihre optimale Rolle finden können. Welche Möglichkeiten gibt es? Die jüngsten NSA-Enthüllungen haben erheblich zu einer empfundenen Dringlichkeit beigetragen, Kontrolle über Firmendaten zu erlangen, erklärt McClure von ESG. Viele Firmen machen sich Sorgen darüber, ihre Geschäftsdaten in die Cloud zu stellen, und suchen stattdessen nach einer Hybridlösung, die den Mitarbeitern Tools bietet, um produktiv zu sein und der IT Möglichkeiten, sensible und reglementierte Firmendaten hinter einer eigenen Firewall zu sichern und zu kontrollieren.

4 4 WHITEPAPER ZEIT FÜR DIE CLOUD - WISSEN SIE, WO IHRE DATEN SIND? Flexibilität trifft auf Filesharing Die Taskforce für Datenspeicherungslösungen der TERENA (Transeuropäische Forschungs- und Bildungsnetzwerkvereinigung) hat sich viele alternative Filesync und -share Lösungen angesehen und festgestellt, dass ihrer Community am besten mit Lösungen aus integrierter Open Source-Software gedient ist, die sich lokal betreiben lassen und offene Speicherlösungen bieten. Forschungs- und Bildungseinrichtungen haben ihre eigenen Datenschutz- und Regelungsbedürfnisse, und nur durch eine offene und flexible Lösung können sie Aufgaben des Filesync und share am besten nutzen, sagt Péter Szegedi, Projektentwicklungsleiter von TERENA. Der Ansatz hinter der Unternehmens-Serverarchitektur von owncloud, die auf dem beliebten owncloud Open Source Filesync und share Community-Projekt basiert, soll es Unternehmen ermöglichen, owncloud zu untersuchen, zu prüfen und so zu verändern, dass es ihren Anforderungen entspricht, so owncloud-ceo Markus Rex. Die Organisation entwickelte eine Lösung, mit der die IT die Kontrolle über sensible Daten zurückerlangt und größere Flexibilität, Offenheit und Ausbaufähigkeit mit lokalen Servern und Speicheroptionen kombiniert. Der Server kann den physischen Speicher nutzen, der sich im Datenzentrum eines Unternehmens befindet oder bei Drittanbietern von Speicherlösungen gemountet ist. Bei beiden Optionen kann die IT Unternehmensdateien wie mit jedem anderen Element der Infrastruktur auch verwalten und schützen. Aus Sicht des Benutzers bietet owncloud Zugriff auf Dateien, die über einen Standard-Browser sowie den Desktop-Client freigegeben, zurückgeholt und verwaltet werden können. Damit wird sichergestellt, dass der Benutzer immer mit der letzten Version der Datei arbeitet. Außerdem können Benutzer ihre Produktivität steigern, indem sie Dateien auf einem mobilen Gerät oder Tablet durchsuchen, herunterladen, bearbeiten und hochladen können. Unternehmen sollten nicht gezwungen sein, zwischen lokalen und cloudbasierten Lösungen entscheiden zu müssen, erklärt Rex. Der Schlüssel liegt darin sicherzustellen, dass die IT die Nutzung sensibler Daten gewährleisten, sichere Filesync und -share Services anbieten und sogar den Benutzerzugriff auf Services wie Dropbox für unkritische Informationen aktivieren kann. owncloud ermöglicht es Unternehmen, ihre Daten dort zu lassen, wo sie sind. Die IT behält mit Auditing- und Protokollfunktionen die volle Kontrolle, während die Daten im Rahmen der Sicherheits- und Governance-Richtlinien des Unternehmens verbleiben. Es gibt weit mehr Sicherheitsrisiken als eine fehlende Verschlüsselung und die Vermengung von Datenbeständen. Die IT muss in der Lage sein, Dateien durch Software zu verfolgen, zu schützen und zu verwalten, die auf Servern läuft, die sie sicher kontrollieren kann, und Richtlinien mithilfe physischer, virtueller oder privater Cloud- Server mit einer lokalen oder dezentralen Speicherung zu etablieren. Zunächst muss ein Unternehmen seine Risikotoleranz bestimmen, um festzulegen, wie es Benutzer Dateien synchronisieren und teilen lassen möchte. Dies bedeutet, ein Gleichgewicht zu schaffen zwischen bequemem Arbeiten und Fragen der Geheimhaltung und Sicherheit, erklärt Rex. Es gibt Tools wie Verschlüsselungsalgorithmen, die einen Zugriff auf Daten praktisch unmöglich machen, die aber für die meisten Benutzer in ihrer Handhabung zu umständlich sind. Im Grunde müssen sich sichere Filesync und -share Routinen im Unternehmen in bestehende IT-Systeme und Richtlinien wie Authentifikationssysteme, Benutzerverzeichnisse, Governance- Arbeitsabläufe, Eindringlingserkennung, Überwachung, Protokollierung und Speicherverwaltung integrieren. Bestehende Geschäftsprozesse sollten erhalten bleiben und den Administratoren die Wahl lassen wo und wie sie Daten speichern. Und um dem Überlaufen von Benutzern vorzubeugen, muss die IT in der Lage sein, die Funktionalität von Dateisynchronisierung und File Sharing im Unternehmen mithilfe von APIs und mobilen Bibliotheken zu erweitern, um einzigartige Serviceanforderungen zu erfüllen und sich verändernden Benutzerbedürfnissen Rechnung zu tragen. Daher ziehen auch viele Unternehmen private Cloud-Optionen Public Clouds oder sogar Hybrid-Cloud-Implementierungen vor, in denen Administratoren die Kontrolle über Unternehmensdaten behalten, wo sie gerade abgelegt sind, während Endbenutzer über sichere Cloud-Portale mithilfe der täglich von ihnen genutzten Geräte auf Dateien zugreifen können. Karl-Eugen Binder, ehemaliger CIO der Stuttgart Inscurance Group in Deutschland erkannte, dass das Unternehmen seine eigene Cloud- Lösung brauchte, nachdem Mitarbeiter aus Marketing und Verkauf damit begannen, eigenständig Dropbox zu nutzen. Die potenzielle Gefährdung vertraulicher Dateien war ein nicht akzeptables Risiko. Stattdessen entwickelte das Unternehmen seine eigene private Cloud mit der Software von owncloud. Es betreibt jetzt eine komplett private Cloud zur internen Verteilung von Dokumenten, eine zweite zur selektiven Bereitstellung von Informationen zu Vorschriften über geistiges Eigentum, sowie eine dritte für nach außen gerichtete Marketinginformationen. Wir mussten eine bessere Lösung als Dropbox finden, erklärt er. Wir nahmen Dropbox aus den internen Netzwerken und konnten Benutzern gute Services und Möglichkeiten zur Unterstützung ihrer sonstigen Geräte anbieten. Das wurde von ihnen bereitwillig akzeptiert.

5 5 WHITEPAPER ZEIT FÜR DIE CLOUD - WISSEN SIE, WO IHRE DATEN SIND? Fazit: Einige Daten müssen vertraulich bleiben Das externe Speichern von Daten kann einer Organisation die Möglichkeit nehmen, ihre Daten angemessen zu verwalten, zu kontrollieren oder sicherzustellen, dass Daten tatsächlich gelöscht wurden. Nur wenige Unternehmen sind jedoch bereit, die Vorteile aufzugeben, die Cloud-Services bei der Verbesserung von Agilität und optimierten Geschäftsprozessen bieten. In der Folge haben sie damit zu kämpfen, wie sich diese Technologien wirksam einsetzen lassen, ohne sich dabei Sicherheitsrisiken aussetzen zu müssen. Und sie erkennen, dass Endbenutzer verstärkt zu externen Services wechseln können, die ihnen eine größere Flexibilität und Mobilität bieten als das Unternehmen selbst. Durch die Beibehaltung einer lokalen Verwaltung von Filesync und share Services kann die IT jedoch eine private Cloud-Lösung nutzen, um die nötige Cloud-Technologie und die Anforderungen an Sicherheit und Datenschutz in Einklang zu bringen und die Kontrolle über sensible Daten wiederzuerlangen, ohne unnötige Risiken einzugehen. Mit der Option zur Stärkung der Kontrollierbarkeit und Regelung des Zugriffs auf Dateien können IT-Administratoren ausgeklügelte Regeln für Benutzer und Geräteverbindungen festlegen und Zugriffe auf Grundlage dieser Regeln verhindern. Außerdem entsprechen die Möglichkeiten und Ausbaufähigkeit lokaler Filesync und -share Lösungen ideal der einfachen Handhabung und des Komplettzugriffs, die anfangs die Nutzung von Cloud-Services ins Rollen brachten, wobei die IT jetzt jedoch sensible Daten in der eigenen Cloud- Umgebung kontrollieren kann. Besuchen Sie bitte Hier finden Sie Informationen über owncloud, Links zum Herunterladen der Software, und detaillierte Produktunterlagen. 1 Mirrien Gidda, Edward Snowden and the NSA files timeline, 25. Juli 2013, The Guardian. 2 Eric Schmitt, David E. Sanger and Charlie Savage, Administration Says Mining of Data Is Crucial to Fight Terror, 7. Juni 2013, The New York Times. 3 Verge Staff, Everything you need to know about PRISM, 17. Juli The Verge. 4 Julian Borger, GCHQ and European spy agencies worked together on mass surveillance, 1. November The Guardian. 5 Stacy Colett, Do you know where your cloud data is?, 16. Dezember Computerworld. 6 Brandon Butler, Do you know where your cloud data is?, 25. April Network World. 7 Barton Gellman and Ashkan Soltani, NSA infiltrates links to Yahoo, Google data centers worldwide, Snowden documents say, 30. Oktober The Washington Post. world/national-security/nsa-infiltrates-links-to-yahoo-google-data-centers-worldwide-snowden-documents-say/2013/10/30/e51d661e e3-8b74-d89d714ca4dd_story.html 8 Stephen Shankland, Dropbox clears 1 billion file uploads per day, 27. Februar CNET. 9 Charlie Osborne, Report tags top consumer trends for 2013, 13. Dezember 13, CNET Gartner Says Nearly Half of Large Enterprises Will Have Hybrid Cloud Deployments by the End of 2017, 1. Oktober 1, Gartner, Inc.