Cloud Computing Security

Transkript

1 Cloud Computing Security Wie sicher ist die Wolke? Prof. Dr. Christoph Karg Studiengang Informatik Hochschule Aalen SPI Service Modell Prof. Dr. Christoph Karg: Cloud Computing Security 2/14

2 Fünf Merkmale von Cloud Computing Selbstbedienung bei Bedarf Schnelle elastische Bereitstellung von Kapazitäten Zugriff über breitbandiges Netzwerk Gemeinsamer Ressourcen Pool Messbarkeit des Verbrauchs Prof. Dr. Christoph Karg: Cloud Computing Security 3/14 Private Cloud vs. Public Cloud Private Cloud Unternehmen operiert selbst als Cloud Service Provider (CSP) Sicherheitsanforderungen werden durch Richtlinien des Unternehmens festgelegt Kein Verlust der Kontrolle über Daten, Anwendungen und/oder Prozesse Public Cloud Unternehmen lagert Dienste und Daten an einen CSP aus Standort und Dienstqualität des CSP sind entscheidend für die Sicherheit Kontrollverlust in Abhängigkeit von den in Anspruch genommenen Diensten Prof. Dr. Christoph Karg: Cloud Computing Security 4/14

3 Sicherheitsbewertung Ziel: Bewertung von Sicherheit beim Einsatz von Public Clouds Auszulagerndes Vermögen: Daten Dienste, Anwendungen, Prozesse Zu klären: 1. Welche Daten und Dienste wandern in die Cloud? 2. Welche Risiken birgt die Auslagerung? 3. Wie hoch ist der Schaden bei einem Sicherheitsvorfall? Bewertung unter Berücksichtigung von organisatorischen und operativen Aspekten Prof. Dr. Christoph Karg: Cloud Computing Security 5/14 Organisatorische Aspekte Steuerungsmöglichkeiten und Risk Management Wer kontrolliert welchen Teil der Cloud? Wo liegen die Verantwortlichkeiten für Sicherheit? Compliance und Audit Anforderungen Sind die Prozesse des CSP zertifiziert? Ist das Modell des CSP konform zu den Unternehmensrichtlinien? Besteht die Möglichkeit, Audits in der Cloud durchzuführen? Portabilität und Interoperabilität Adaptiert der CSP Standard Technologien? Ist ein CSP Wechsel möglich? IT-Recht und Datenschutz Information Lifecycle Management Prof. Dr. Christoph Karg: Cloud Computing Security 6/14

4 Wer kontrolliert die Public Cloud? Prof. Dr. Christoph Karg: Cloud Computing Security 7/14 Verantwortlichkeit für Sicherheit Je nach Dienstmodell trägt der Kunde einen hohen Anteil an Verantwortlichkeit für die Sicherheit seiner Anwendungen Prof. Dr. Christoph Karg: Cloud Computing Security 8/14

5 IT-Recht und Datenschutz Die Zusammenarbeit mit dem CSP muss vertraglich geregelt werden Es gilt das Recht des Landes, in dem sich die Cloud Hardware befindet In vielen Ländern haben staatliche Organisationen Zugang zu den gespeicherten Daten Herausforderung: Bestimmung des Standorts der Dienste in der Cloud Auslagerung von personenbezogenen Daten ist datenschutzrechtlich bedenklich Thilo Weichert (Landesdatenschützer Schleswig-Holstein): Persönliche Daten in der Cloud generell rechtswidrig. Prof. Dr. Christoph Karg: Cloud Computing Security 9/14 Information Lifecycle Management Prof. Dr. Christoph Karg: Cloud Computing Security 10/14

6 Operative Aspekte Aufbau des Data Centers Wie ist die technische Ausstattung? Wie erfolgt die Ressourcenzuteilung? Existiert eine Zertifizierung (ITIL/ISO)? Ist der CSP innovationsfreudig? Betriebssicherheit sowie Disaster Recovery Welche Schutzmechanismen sind vorhanden? Wie wird die Anwendungsplattform abgesichert? Gibt es einen Notfallplan? Kann man als Kunde eine Inspektion durchführen? Handhabung von Störfällen Wie reagiert der CSP auf Störungen? In welcher Form wird der Kunde informiert? Wie beseitigt der CSP Mängel? Prof. Dr. Christoph Karg: Cloud Computing Security 11/14 Operative Aspekte (Forts.) Datensicherheit Transit Speicherung Backup Schlüsselmanagement Wie werden die Schlüssel gespeichert? Wer hat Zugriff auf die Schlüsselspeicher? Identitäts- und Zugriffsmanagement Kommen standardisierte Techniken zum Einsatz? Ist eine Integration der Unternehmens-PKI möglich? Prof. Dr. Christoph Karg: Cloud Computing Security 12/14

7 Wie sicher ist die Wolke? Die Sicherheit muss individuell bewertet werden Aus technischer Sicht ist Cloud Computing eine verteilte Anwendungsplattform, die entsprechend abgesichert werden muss Die Auslagerung von Daten und Anwendungen in die Cloud bedeutet Verlust von Kontrolle Die Cloud Lösung muss konform zu datenschutzrechtlichen Bestimmungen sein Ein individuell ausgearbeiteter Vertrag mit dem CSP ist zwingend erforderlich Prof. Dr. Christoph Karg: Cloud Computing Security 13/14 Kontakt Prof. Dr. Christoph Karg Studiengang Informatik Hochschule Aalen Beethovenstraße Aalen christoph.karg@htw-aalen.de Prof. Dr. Christoph Karg: Cloud Computing Security 14/14