Compliance Anspruch und Wirklichkeit

Transkript

1 Cmpliance Anspruch und Wirklichkeit 17th Sympsium n Privacy and Security 2012 ETH Zürich, 29. August 2012 Prf. Dr. Stella Gatziu Grivas Leiterin Kmpetenzschwerpunkt Clud Cmputing Hchschule für Wirtschaft, Fachhchschule Nrdwestschweiz Quellen für das Referat Frschungsarbeiten am Kmpetenzschwerpunkt Clud Cmputing im Bereich Clud Life Cycle im Prjekt CLiCk Unser Ziel: Unternehmen beim Einsatz vn Clud Cmputing zu unterstützen «Clud Cmputing Leitfaden: Risk & Cmpliance», Eur Clud Swiss ( Chancen und Risiken Cmpliance mit Fkus auf Persnendaten Auslagerung vn Daten an Dritten und ins Ausland Beispiele (Banken, Industrieunternehmen, Telekmmunikatinsprvider) Vertragsgestaltung IT Sicherheit Studie vn Pnemn Institute durchgeführt in Juli 2012 in Deutschland bei kleinen und mittleren Organisatinen gespnsert vn Micrsft ( Kmpetenzschwerpunkt Clud Cmputing FHNW 2 1

2 Clud Cmputing überall und in jeder Frm gute Definitinen auch auf yutube: der Clud Cmputing ist mehr als Outsurcing, Virtualisierung der Applicatin Service Prvider kann für eine Firma aber auch für eine Privatpersn ein Thema sein ist in beliebigen Dmänen einsetzbar ( kann in Frm eines beliebigen Service angebten werden (Music as a Service) ist da und ist in aller Munde (Knferenzen, Veranstaltungen, im Internet, in der CIO Agenda auch bei Gartners CIO Agenda Teil vn vielen Umfragen, Artikeln, Paneldiskussinen) ist aber kein Heilmittel für alles und kann je nach Einsatz auch Nachteile mit sich bringen (wie Kstensteigerung, Herausfrderung bei der Migratin und Integratin der bei der Cmpliance) Kmpetenzschwerpunkt Clud Cmputing FHNW 3 Der Weg in die Clud Grundlegende Fragen für Unternehmen als Clud-Anwender Welche Einflüsse hat Clud Cmputing auf meinem Unternehmen? IT Organisatin, Gvernance, Risik Management, Cmpliance IT Landschaft Partnerschaften IT Ksten Geschäftsentwicklung Welche Chancen und Risiken gehe ich ein? Welche sind für mich die «richtigen» Anbieter? Welche Angebte gibt es am Markt? Welche Angebte machen für mich Sinn aus strategischer, plitischer und wirtschaftlicher Sicht? Wie können slche Angebte in meine heutige IT Umgebung integriert werden? Brauche ich eine Migratinsstrategie? Wie sll eine slche Migratin durchgeführt werden? Kmpetenzschwerpunkt Clud Cmputing FHNW 4 2

3 IT Cmpliance IT-Gvernance Führung, Organisatin, Verantwrtlichkeiten und Przesse IT Risik Analyse Analyse und Bewertung der strategischen Prblemen IT Cmpliance Einhaltung der gesetzlichen, unternehmensinternen und vertraglichen Regelungen im Bereich der IT-Landschaft rund um die IT- Sicherheit, Verfügbarkeit, Datenaufbewahrung und Datenschutz Kmpetenzschwerpunkt Clud Cmputing, FHNW 5 IT Cmpliance in Abhängigkeit mit IT Gvernance und IT Risik Analyse IT Gvernance Führung, Organisatin, Verantwrtlichkeiten und Przesse IT Risik Analyse Analyse und Bewertung der strategischen Prblemen IT Cmpliance Einhaltung der gesetzlichen, unternehmensinternen und vertraglichen Regelungen im Bereich der IT-Landschaft rund um die IT- Sicherheit, Verfügbarkeit, Datenaufbewahrung und Datenschutz Kmpetenzschwerpunkt Clud Cmputing, FHNW 6 3

4 Clud Cmputing und Datenschutz «Datenschutz bezeichnet den Schutz des Einzelnen vr dem Missbrauch persnenbezgener Daten Der Begriff wurde auch verwendet für den Schutz wissenschaftlicher und technischer Daten gegen Verlust der Veränderung und Schutz gegen Diebstahl dieser Daten Das Bundesgesetz über den Datenschutz (DSG) ist das Datenschutzgesetz der Schweiz. Es bezweckt den Schutz der Persönlichkeit und der Grundrechte vn natürlichen und juristischen Persnen, über die Daten bearbeitet werden ( SR Bundesgesetz über den Datenschutz) ( Clud Cmputing» ist auch «Datenverarbeitung in der Wlke» über Netze angeschlssene Rechnerlandschaft, in welche die eigene Datenverarbeitung ausgelagert wird Kmpetenzschwerpunkt Clud Cmputing FHNW 7 Clud Cmputing und IT Cmpliance Drei typische Fragen Stellt der Einsatz vn Clud Cmputing zusätzliche Cmpliance-Aufgaben an einem Unternehmen? Unterschiede zu Outsurcing? Wer hat für IT Cmpliance zu srgen? Wer trägt die Verantwrtung? Gemäss Eidgenössischem Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB): «Unternehmen und Behörden, die slche Dienste in Anspruch nehmen, sind sich ft zu wenig bewusst, dass die primäre Pflicht zur Einhaltung der Datenschutzregeln zunächst einmal bei ihnen selbst liegt und nicht beim Anbieter, der die Daten auf einem Clud-Server speichert der in der Clud bearbeitet» Welche ist die Rlle des Clud-Prviders? TRUST schaffen, indem der Clud-Prvider für die Sicherheit der Daten srgt Einhaltung vertraglicher Zustimmungen Kmpetenzschwerpunkt Clud Cmputing, FHNW 8 4

5 Clud Cmputing und Outsurcing: Grundlegende Unterschiede Veränderungen im Serviceeinkauf Kriterium Klassisches Outsurcing Clud Cmputing Services Services sind auf Kunden abgestimmt Services sind vm Prvider standardisiert, industrialisiert, autmatisiert und skalierbar Service Level Individuell Prvider bestimmt Standard Technlgie Mitbestimmung durch Kunde Prvider bestimmt Standard Releasemanagement Mitbestimmung durch Kunde Prvider bestimmt Standard Vertrag Kunde gibt vr Prvider bestimmt Standard Preismdelle Kunde gibt vr Prvider bestimmt Standard Standrt der Daten Mitbestimmung durch Kunde Prvider bestimmt Standard Betreuung Ansprechpartner Selbstbedienung durch den Kunden über Web Prtale Sberan Surcing Wrkbk / Sberan Kmpetenzschwerpunkt Clud Cmputing FHNW 9 Unterschiede zu Outsurcing Rechtl. Rahmenbedingungen in Bezug auf die Daten Auslagerung der Daten im Ausland: Kntrllverlust grösser als im Inland Gemäss schweizerischem Recht müssen Länder, in welche Persnendaten ausgelagert werden, das gleiche datenschutzrechtliche Niveau bieten wie die Schweiz (in EU-Ländern wie Deutschland gewährleistet). USA erreicht das datenschutzrechtliche Niveau der Schweiz nicht Datenbearbeitung durch Dritte: Das schweizerische Recht ermöglicht natürlichen swie juristischen Persnen zu bestimmen, vn wem, b und wie ihre Daten verarbeitet werden. Handelt es sich bei den zu migrierenden Daten um Persnendaten, können besndere Geheimnispflichten bestehen (z.b. Bankgeheimnis). Besndere Regulierung: Regulierungen verlangen unter Umständen besndere Massnahmen (z.b. bei Finanzdienstleistern, Dienstleistern des Gesundheitswesens, Versicherungsdienstleister etc.). Kmpetenzschwerpunkt Clud Cmputing, FHNW 10 5

6 Rlle vm Clud Prvider TRUST schaffen aber wie? Clud Anwender Clud Anwender Clud Anwender Clud Anwender Clud Anwender Clud Anwender Anwender vertraut Anbieter blind Anwender macht es allen recht Individuelle Abstimmung Der Vertrag Standards, Richtlinien und Zertifizierungen zusammen auftreten in einer Cmmunity «intelligente Systeme» als Intermediatrs Clud Prvider Clud Prvider Clud Prvider Clud Prvider Clud Prvider Clud Prvider Kmpetenzschwerpunkt Clud Cmputing FHNW 11 Kein «blindes Vertrauen»: Clud Anwender trägt die Verantwrtung Der Clud Anwender ist die verantwrtliche Stelle und bleibt für die Einhaltung sämtlicher datenschutzrechtlicher Bestimmungen verantwrtlich Der Clud Anwender muss einen schriftlichen Auftrag an den Clud Anbieter erteilen, damit er die inhaltlichen Anfrderungen erfüllen kann Eine Verletzung seitens Clud Anbieters muss strafrechtliche Flgen haben Die Einbeziehung vn Unter-Anbietern kann für den Clud Anwender intransparent sein Der Clud Anwender hat sich regelmässig vn der Einhaltung der beim Clud Anbieter als Auftragnehmer getrffenen technischen und rganisatrischen Massnahmen zu überzeugen. Dem Clud Anwender wird es dabei nicht immer möglich sein, eine Vr-Ort-Prüfung durchzuführen Eine blsse Zusicherungen des Clud Anbieters ist nicht ausreichend Eine Zertifizierung bei einer unabhängigen und kmpetenten Prüfstelle vn Clud Anbietern könnte eine Lösung sein (Aktivitäten vn EurClud Swiss, Zertifikat für SaaS) Das Vrliegen vn Zertifikaten entbindet den Clud Anwender jedch nicht vn seinen Kntrllpflichten UND der Clud Anwender braucht eine EXIT-Strategie!! Kmpetenzschwerpunkt Clud Cmputing FHNW 12 6

7 Die Wahl des Clud Prviders hängt mit der Einhaltung der Sicherheitsrichtlinien Studie vn Pnemn Institute durchgeführt in Juni 2012 in Deutschland bei kleinen und mittleren Organisatinen, gespnsert vn Micrsft Interviews vn 668 IT- Verantwrtlichen: 52% direkt unter dem CIO 17% direkt unter dem Cmpliance Officer 16% direkt unter dem Chief Infrmatin Security Officer) Pnemn Studie Kmpetenzschwerpunkt Clud Cmputing FHNW 13 Aber Vrsicht: Haben die Unternehmen die Verantwrtung an die Clud-Prvider ausgelagert? Pnemn Studie Kmpetenzschwerpunkt Clud Cmputing FHNW 14 7

8 Der Vertrag ein MUSS Das Kntrllinstrument des Clud Anwenders 1. Ziel Nutzungsbedingungen lesen 2. Ziel: Sich Infrmieren Vr-Ort-Kntrlle meistens nicht möglich Anerkannte Gütesiegel können die Kntrlle des Anbieters erleichtern, entbinden aber nicht vn der Kntrllpflicht des Clud-Anwenders Bei Unter-Anbietern muss der Clud- Anbieter vr Unterbeauftragung eine Kntrlle durchführen Kmpetenzschwerpunkt Clud Cmputing FHNW 15 Der Vertrag Empfehlungen gemäss EurClud Swiss Leitfaden Kmpetenzschwerpunkt Clud Cmputing FHNW 16 8

9 Standards und Richtlinien als Lösung? Standards und Richtlinien NIST (Natinal Institute f Standards and Technlgy) ENISA (Eurpean Netwrk and Infrmatin Security Agency) CSA (Clud Security Alliance) BSI (in Deutschland: Bundesamt für Sicherheit in der Infrmatinstechnik) Kmpetenzschwerpunkt Clud Cmputing FHNW 17 Zertifizierung als Lösung? EurClud Deutschland (EurClud Star Audit) Zertifikat für Prviders tätig im Schweizer Markt ist unterwegs TÜV (Geprüfter Datenschutz Clud Cmputing V1.0) datenschutz_zertifizierung_unternehmen/datenschutz_zertifizierung_unternehmen.jsp Mehr Infrmatinen unter Kmpetenzschwerpunkt Clud Cmputing FHNW 18 9

10 Cmmunity Cluds als Lösung? Unternehmen der Organisatinen der gleichen Branche kmmen zusammen und bilden einen Cmmunity Clud, die dann nur den Mitgliedern der Cmmunity zugänglich sind. gleiche Anfrderungen an Funktinalität und Anwendungen gleiche Anfrderungen an Security und Cmpliance Cmmunity Cluds bieten Applicatin Stre (SaaS Angebte), IaaS und PaaS Angebte Austausch in der Cmmunity Einige Beispiele aus der Verwaltung: GvClud Prjekt vn Infrmatikstrategie vn Bund G-Clud Prjekt vn England ( Auch in anderen Dmänen sichtbar Cmmunity Clud für die Finanzindustrie, Educatin Clud Kmpetenzschwerpunkt Clud Cmputing FHNW 19 Eine webbasierte Infplace als Lösung? CLiCK Prjekt (Clud Life Cycle) Ein «intelligentes» System als Experte) Business Case Framewrk Persnalisierter Input Prvider Landscape Clud Readiness Assessment KB Use Case Repsitry Kmpetenzschwerpunkt Clud Cmputing FHNW 20 10

11 W sind wir heute? Wie wird der Clud Prvider ausgewählt? und 38% gehen auf zertifizierte Prviders Pnemn Studie Kmpetenzschwerpunkt Clud Cmputing FHNW 21 Zusammenfassung Awareness über IT-Cmpliance Herausfrderungen mit dem Einsatz vn Clud Services ist da!! Wir brauchen jedch Expertise in der Vertragsschliessung und SLAs Zertifizierungen und Gütesiegel Cmmunity Cluds Expertenwissen allen zugänglich Kmpetenzschwerpunkt Clud Cmputing FHNW 22 11

12 VIELEN DANK FÜR IHRE AUFMERKSAMKEIT! University f Applied Sciences Nrthwestern Switzerland FHNW Schl f Business Institute f Infrmatin Systems Prf. Dr. Stella Gatziu Grivas Head Cmpetence Center Clud Cmputing T stella.gatziugrivas@fhnw.ch Kmpetenzschwerpunkt Clud Cmputing, FHNW 23 12