Microsoft Azure Sicherheit, Datenschutz & Compliance

Transkript

1 Sicherheit, Datenschutz & Compliance Daniel R. Bösel Microsoft Deutschland GmbH

2 Technologietrend: Cloud Einführung VORTEILE Cloud Trend: 70% Tempo 2 Wochen für den neuen Service im Gegensatz zu 6-12 Monate für eine traditionelle Lösung Umfang bis Website-Besucher auf Anhieb Wirtschaft $ in der Cloud kosten $ on premises der CIOs wollen 2016 eine Cloud-first Strategie aufgreifen (IDC CIO Agenda webinar) 430B+ AD Legitimierungen 280% Wachstum der Datenbank in Microsoft Azure von Jahr zu Jahr 50% der Fortune 500 nutzen AZURE EINFÜHRUNG 2

3 Cloud Innovation EINE CHANCE FÜR MEHR SICHERHEIT & COMPLIANCE Bedenken Realisierte vor Vorteile Einführung 94% 60% nannten Bedenken über erfuhren Sicherheitsvorteile, die Datensicherheit als die Einführungsbarriere sie zuvor nicht vorausgesetzt hatten 62% 45% sorgten sich, dass die nannten einen Anstieg Cloud zu im einem Datenschutz Verlust als der Ergebnis Datenkontrolle der Cloud Einführung führen würde SICHERHEIT Design/Betrieb Infrastruktur Netzwerk Identität/Zugriff Daten DATENSCHUTZ COMPLIANCE

4 EINHEITLICHE PLATTFORM FÜR MODERNES BUSINESS Automatisiert verwaltete Ressourcen Elastisch Nutzungsbasiert 4

5 Trustworthy Computing BAUT AUF MICROSOFT S ERFAHRUNG UND INNOVATION 1 st Microsoft Data Center Active Directory Trustworthy Computing Initiative Malware Protection Center SOC 1 UK G-Cloud Level 2 SOC 2 FedRAMP/ FISMA Operations Security Assurance 20+ Data Centers Microsoft Security Response Center Windows Update Global Data Center Services Security Development Lifecycle Digital Crimes Unit ISO/IEC 27001:2005 E.U. Data Protection Directive HIPAA/ HITECH CSA Cloud Controls Matrix PCI DSS Level 1

6 Trustworthy Computing BAUT AUF MICROSOFT S ERFAHRUNG UND INNOVATION 1 st Microsoft Data Center Microsoft Security Response Center Global Data Center Services Trustworthy Computing Initiative 20+ Rechenzentren: Malware Compliance Protection ActiveStandards: Microsoft Center Azure Trustworthy wird in 11 Directory Computing Hohe Investitionen Datenzentren in robuste weltweit Entwickelte den SDL der zum Compliance Prozesse, betrieben, inklusive plus 2 in China Industriestandard schützen Microsoft für die Kunden ISO 27001, FedRAMP und HIPAA Microsoft Windows Entwicklung indem sicherer sie aufkommende Software CSA Cloud Update Controls Matrix wurde Bedrohungen bekämpfen Security Development Lifecycle Digital Crimes Unit FedRAMP/ 20+ Data UK G-Cloud FISMA Centers Level 2 Operations Vortreffliche SOC 2 Security SOC 1 Assurance Sicherheitszentren: E.U. Data Protection ISO/IEC Directive HIPAA/ 27001:2005 HITECH PCI DSS Level 1

7 Geteilte Verantwortung REDUZIERTE KOSTEN FÜR SICHERHEIT + ERHALTUNG VON FLEXIBILITÄT, ZUGANG & KONTROLLE On-Premises IaaS PaaS SaaS Kunden Microsoft

8 Transparenz & unabhängige Prüfung HELFEN KUNDEN SICHERHEITS- & COMPLIANCE VERPFLICHTUNGEN EINZUHALTEN Prüfung durch Dritte Zugriff auf Kontrollberichte Compliance Pakete Optimale Vorgehensweise und Beratung Trust Center Cloud Security Alliance Security Response Center Entwicklungsbericht Security Intelligence Report 8

9 Microsoft s Maßnahmen im Einsatz 9

10 Design & Betrieb Security Development Lifecycle (SDL) Betriebliche Sicherheitskontrollen Simulierte Angriffe Reaktion auf einen Vorfall Sicherheit eingebettet in Planung, Design, Entwicklung & Bereitstellung Gründliche Kontrollen, um Bedrohungen abzuwenden, aufzudecken, einzugrenzen & darauf zu reagieren Härten der Cloud Services durch realistisch simulierte Angriffe Globale, 24x7 Vorfallreaktion, um die Angriffsauswirkungen zu minimieren

11 Schutz der Infrastruktur 24 Stunden überwachte physikalische Sicherheit Sichere Trennung von Multi-Tenant Umgebungen Firewalls Patch Management Systemüberwachung und Protokollierung Antiviren/Antimalware Schutz Erkennung von Bedrohungen Spurensicherung 11

12 Servicesicherheit beginnt beim physischen Rechenzentrum Kameras 24X7 Sicherheitspersonal Absperrungen Einzäunung Alarm Zwei-Faktoren- Zugangskontrolle: Biometrisch & Kartenleser Sicherheitszentrale Erdbebenabstützung Sicherung durch Notstrom Eingrenzung Gebäude Computerraum 12

13 Netzwerk Schutz Netzwerk Isolation Virtuelle Netzwerke Cloud bis On-Premise Verbindungen Trennt den Netzwerkzugang zwischen Kunden, Management Systemen & dem Internet Verbindet zum Cloud Service durch die Nutzung privater IP Adressen, Subnetze Site-to-Site, Point-to- Site und ExpressRoute ermöglichen eine sichere Verbindung mit Azure 13

14 ExpressRoute Verbindungen Ort 1 Ort 2 ExpressRoute Peer WAN Kunde 1 Entwicklung X Isoliertes, virtuelles Netzwerk AZURE: Bietet private Faserverbindungen mittels ExpressRoute Ermöglicht den Zugriff auf Rechner, Speicher und anderen Azure Services KUNDE: Kann Verbindungen zu Azure an einem ExpressRoute Standort erstellen (Exchange Provider Einrichtung) Kann sich direkt mit Azure von seinem vorhandenen WAN Netzwerk (wie ein MPLS VPN), bereitgestellt von einem Netzwerkservice Anbieter, verbinden Verwaltet Zertifikate, Richtlinien und Nutzerzugang 14

15 Identität & Zugriff Microsoft Mitarbeiter-Zugriffsmanagement Enterprise Cloud-Identitäten Azure AD Überwachung & Zugriffsschutz zu Cloud Apps Multi-Faktor-Authentifizierung 15

16 Datensicherheit Möglichkeiten zur Datenverschlüsselung Datentrennung Datenlokation und Redundanz Datenvernichtung 16

17 Datenschutz von Grund auf Datenschutz by design Beschränkter Datenzugriff & -nutzung Vertragliche Verpflichtungen Datenschutzkontrollen sind im Azure Design und Betrieb eingebaut Kundendaten werden nur für den geleitesten Service genutzt und nicht für Werbezwecke Datenverarbeitungs -vereinbarungen, EU Model Clauses, HIPAA BAA

18 Vereinfachte Compliance Effektive Kontrollen Standards für Informationssicherheit Regierungs- & Branchen- Zertifikate ISO SOC 1 Type 2 SOC 2 Type 2 FedRAMP/FISMA PCI DSS Level 1 UK G-Cloud

19 Zertifikate & Programme Programm ISO/IEC SOC 1 SSAE 16/ISAE 3402 SOC 2 Beschreibung Das ISO/IEC 27001:2005 Zertifikat bestätigt, dass Azure die international bekannten Informationssicherheitskontrollen, wie in diesem Standard definiert, implementiert hat. Azure wurde überprüft mittels des Service Organization Control (SOC) Berichterstattungswerk für SOC 1 Type 2 (ehemals SAS 70), das die Effektivität des Designs und Betriebs seiner Kontrollen bestätigt. Azure wurde auf SOC 2 Type 2 überprüft, was eine weitere Untersuchung der Azure Kontrollen bezogen auf Sicherheit, Verfügbarkeit und Vertraulichkeit beinhaltet. FedRAMP/FISMA PCI DSS Level 1 UK G-Cloud IL2 HIPAA BAA Azure hat eine vorläufige Betriebsberechtigung vom Federal Risk and Authorization Management Program (FedRAMP) Joint Authorization Board (JAB) erhalten, nachdem es den benötigten Beurteilungen, die die Einhaltung der FedRAMP Sicherheitsstandards nachweisen, unterzogen wurde. Azure wurde hinsichtlich seiner Compliance mit dem PCI-DSS Level 1, von einem unabhängigen Qualified Security Assessor (QSA) bewertet. Im Vereinigten Königreich wurde Azure die Impact Level 2 (IL2) Beglaubigung verliehen, die weiter Microsoft und Partner Angebote im aktuellen G-Cloud Beschaffungsrahmen und CloudStore steigern. Um Kunden zu helfen HIPAA und HITECH Act Sicherheits- und Datenschutzbestimmungen zu erfüllen, bietet Microsoft ein HIPAA Business Associate Agreement (BAA) für Instanzen des Gesundheitswesens mit Zugriff auf Protected Health Information (PHI). 19

20 Microsoft Engagement Eine einheitliche Plattform für modernes Business

21 Sprechen Sie mit einem Microsoft Sicherheitsexperten Kostenlose Testversion: Informieren Sie sich über weitere Quellen: Trustworthy Computing Cloud Service: Microsoft Trust Center für :