Jan-Peter Schulz Senior Security Consultant

Transkript

1 Jan-Peter Schulz Senior Security Consultant

2 2

3 Definitionen im Rahmen des Cloud Computing Cloud Computing ist ein Modell, das es erlaubt, bei Bedarf jederzeit und überall bequem über ein Netz auf einen geteilten Pool von konfigurierbaren Rechnerressourcen (z. B. Netze, Server, Speichersysteme, Anwendungen und Dienste) zuzugreifen, die schnell und mit minimalem Managementaufwand oder geringer Serviceprovider-Interaktion zur Verfügung gestellt werden können. ( The NIST Definition of Cloud Computing (Draft) ) n Folgende Charakteristika definieren laut NIST einen Cloud Service: On-demand Self Service Broad Network Access Resource Pooling Rapid Elasticity Measured Service Chancen und Risiken von Cloud Computing 3

4 Definitionen im Rahmen des Cloud Computing n Unterschied zu Hosting? Abrechnung nach Verbrauch Elastizität Full Managed Service durch Provider n Warum erst jetzt? Virtualisierung große Bandbreiten verfügbar n Warum Cloud? Wolke als Symbol für Internet Chancen und Risiken von Cloud Computing 4

5 Definitionen im Rahmen des Cloud Computing n Public Cloud ein Anbieter Nutzung durch Allgemeinheit oder große Gruppe Zugriff über Internet n Private Cloud (internal/corporate cloud) Betrieb für eine Institution Bereitstellung durch Institution selbst oder Dritte Zugriff über Intranet n Community Cloud geteilte Nutzung durch mehrere Institutionen Bereitstellung durch eine Institution oder Dritte n Hybrid Cloud Nutzung mehrerer Cloud-Infrastrukturen Chancen und Risiken von Cloud Computing 5

6 Definitionen im Rahmen des Cloud Computing Applica8on Layer Pla1orm Layer DB, Web, etc. Infrastructure Layer Virtualisierung, Betriebssystem, Hardware, Storage, Netzwerk SaaS PaaS IaaS Infrastructure as a Service Pla1orm as a Service So4ware as a Service Servicemodelle 6

7 7

8 Chancen des Cloud Computing n Konzentration auf Kernkompetenzen n niedrigere IT-Kosten (35 65 %) keine Softwarelizenzen keine Hardware geringerer Administrationsaufwand geringe Komplexität weniger IT-Know how erforderlich n schnellere Einführung neuer IT-Lösungen n ortsunabhängige Verfügbarkeit zu jeder Zeit n Skalierbarkeit n Flexibilität Anpassung an eigene Bedürfnisse 8

9 Chancen des Cloud Computing n Kostenersparnis bei Informationssicherheit Rechenzentrumssicherheit: Gebäudeüberwachung, Zutrittskontrolle, Brandschutz, USV, Klimatisierung, Notfallpläne Datenspeicherung und Versionsverwaltung: Archivierungskosten, Verwaltungskosten, Kosten für Fehler-, Konfigurations-, Patch- und Änderungsmanagement Sicherheitsarchitektur: Firewalls, IDS/IPS, Antivirensoftware, MonitoringSystem Informationssicherheit und Compliance: Kosten für Sicherheitszertifizierungen und Auditierungen n Es entstehen lediglich Kosten für: Entwurf bzw. Anpassung eines Sicherheitskonzepts, Zugangsgeräte und Sicherheitsmaßnahmen für Endgeräte n Aber: Diese Kosten würden auch ohne Cloud Computing entstehen. 9

10 Chancen des Cloud Computing n Spezialisierung sorgt für ständige Weiterentwicklung und Verbesserung der Informationssicherheit beim Provider Aktualität: zeitnahes Einspielen sicherheitsrelevanter Patches und Updates Einsatz von aktuellsten Sicherheitslösungen Verfügbarkeit: höhere Verfügbarkeit z. B. durch redundantes Rechenzentrum n Insgesamt höheres Informationssicherheitsniveau! 10

11 11

12 Risiken des Cloud Computing n Die Daten liegen an einem anderen Ort! n Umsetzung von Richtlinien und Vorgaben kann nicht erfolgen n unberechtigter Zugriff auf die Daten durch Insider und Outsider n fehlerhafte Konfigurationen n klassische Netzwerkangriffe n unsichere oder unvollständige Datenlöschung n aber auch Ausfall des Internetzugangs beim Kunden 12

13 Risiken des Cloud Computing n Datenschutz Cloud-Computing ist Auftragsdatenverarbeitung ( 11 BDSG). Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren. Verantwortlich für die Daten bleibt immer der Auftraggeber. EU fordert eine Verarbeitung personenbezogener Daten in Ländern mit gleichem Datenschutzniveau. außerhalb der EU nur durch Selbstverpflichtungserklärung Safe Harbor erlaubt (Liste unter 13

14 Risiken des Cloud Computing n SaaS Lock-In keine einheitlichen DB-Schemata keine einheitlichen API keine Export-Möglichkeiten n PaaS Lock-In Applikationen können nicht portiert werden. n IaaS Lock-In Virtuelle Server können nicht portiert werden. Daten können aufgrund unterschiedlicher Storage-Systeme nicht portiert werden. 14

15 Risiken des Cloud Computing n Cloud Service Termination or Failure IP-Adressen werden wegen Aktivitäten anderer Cloud-Kunden gesperrt. Konfiszierung von IT-Infrastruktur durch Behörden Insolvenz des Providers Übernahme des Providers 15

16 16

17 Maßnahmen n Auswahl der auszulagernden Geschäftsprozesse (Anforderung Vertraulichkeit/Verfügbarkeit) des Cloud- und Service-Modells Auswahl eines vertrauenswürdigen Cloud-Anbieters ( Sicherheitsempfehlungen für Cloud Computing Anbieter n Berücksichtigung von rechtlichen Rahmenbedingungen (z. B. personenbezogene Daten) Orten der Datenspeicherung n Einfordern von Transparenz der Betriebsabläufe Zertifizierungen nach Sicherheitsstandards (ISO 27001, BSI IT-GS) n Abschließen von SLAs (Betriebssicherheit, Datensicherheit, Datenschutz, Berechtigungskonzept) Geheimhaltungsvereinbarungen 17

18 Maßnahmen n Vereinbarung von konkreten Sicherheitsmaßnahmen Verfügbarkeit Zusicherung von Verfügbarkeitszeiten Auslieferung der Daten nach Vertragsende oder Wechsel Nutzung von starken Authentisierungsmechanismen (2-Faktor) Einsatz von Verschlüsselungen (Kommunikation/Speicherung) zeitnahes Einspielen von Patches und Updates Vorgaben über sichere Konfiguration Audits Nutzung verteilter Rechenzentren Vertraulichkeit Redundanz von Daten (Datensicherungen) Festlegen, welche Prüfungsmethoden anwendbar sind (Pentest, Log-Auswertung, Monitoring) 18

19 19

20 Fazit n Abwägung der Sicherheitslevel intern - extern (Vertraulichkeit/ Verfügbarkeit) n Abhängigkeit vom Provider n Abschließen von Verträgen mit umfassenden Leistungsvereinbarungen n Kosten gegen Risiko abwägen n Blick auf die Wirtschaftlichkeit Konkurrenz n Theoretische Risiken bleiben Verlust der Kontrolle über die Daten Provider als interessanteres Ziel 20

21 Fazit Auch die Cloud kann einmal ausfallen, aber: The Amazon interruption, ( ) was the computing equivalent of an airplane crash. It is a major episode with widespread damage. But airline travel,( ) is still safer than traveling in a car analogous to cloud computing being safer than data centers run by individual companies. ( 22.April 2011) 21

22 Fazit 22

23 23

24 Jan-Peter Schulz Telefon: Mobil: (0) (0)

25 Status Quo des Cloud Computing 280 Unternehmen (DACH) befragt 25

26 Status Quo des Cloud Computing 280 Unternehmen (DACH) befragt 26

27 Status Quo des Cloud Computing 280 Unternehmen (DACH) befragt 27

28 Status Quo des Cloud Computing 280 Unternehmen (DACH) befragt 28

29 Status Quo des Cloud Computing 29