IT SECURITY IN THE HYBRID CLOUD

Transkript

1 IT SECURITY IN THE HYBRID CLOUD Hybrid Clouds Rechtliche Herausforderungen Carmen De la Cruz Böhringer

2 DIE REFERENTEN Carmen De la Cruz Böhringer Carmen De la Cruz Böhringer RA lic. iur. Eidg. dipl. Wirtschaftsinformatikerin Notarin 23

3 Ganz persönlich 24

4 Agenda 1. Cloud Computing 2. Datenschutz & Datensicherheit 3. Urheberrecht & Lizenzen 4. Internationale Verhältnisse 5. Probleme mit der Cloud wer haftet? 6. Zusammenfassung 25

5 Fotolia.com 1

6 Cloud-Ecosystem Internet- Accessprovider CH / Ausland IaaS PaaS SaaS XaaS Cloud- Anbieter Verschlüsselungsanbieter IAM-Provider Unternehmen Cloud-Nutzer CH Ausland 27

7 Arten von Cloud Computing Public Cloud: eine durch einen Cloud Anbieter zur Verfügung gestellte resp. in seinem Eigentum stehende und von ihm betriebene Infrastruktur, eine Plattform oder Software, welche durch eine Vielzahl von Kunden über das Internet genutzt werden, ohne dass der Kunde selbst eine entsprechende IT-Infrastruktur aufbauen muss. Private Cloud: Eine Private Cloud liegt dann vor, wenn dem Unternehmen ein oder mehrere dedizierte(r) (physische(r) virtuelle(r) Server zur Verfügung stehen. Hybrid Cloud und andere Mischformen: verbinden verschiedene Cloud-Modelle (Private, Community oder Public Cloud) 28

8 Hybrid Clouds Herausforderungen: Security- und Service-Integration verschiedener Cloud-Typen Rechtliche Herausforderungen Datenschutz: technische und organisatorische Massnahmen Lizenzrechte Mehrparteiensystem Haftung Verantwortlichkeit Auslandbezug Im Streitfall: Beweislast - Beweisbarkeit 29

9 2 3 Fotolia.com

10 Datenschutz - Rahmen gemäss DSG Auslagerung von Personendaten in die Cloud grundsätzlich zulässig! (Art. 10a DSG) Wenn - die Datensicherheit gewährleistet ist - keine gesetzliche oder vertragliche Geheimhaltungspflicht besteht - die Bearbeitung der Daten durch Dritte (Cloud-Betreiber) nur so erfolgt, wie der Auftraggeber / Kunde es selber tun dürfte - die Bearbeitung der Daten nur zum Zweck des Auftraggebers / Kunde erfolgt Unterschiedliche Anforderungen gemäss Art. 7 DSG bei 31

11 Datensicherheit für Personendaten nach DSG Personendaten: Alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 3 lit. a DSG) Gemäss BGer (BGE 136 II 508ff. (E3.5) ) können auch IP- Adressen als Personendaten gelten, wenn mit vernünftigem Aufwand erkennbar Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden (Art. 7 DSG). Fokus: Schutz der Personendaten zur Verhinderung eines Schadens der betroffenen Person 32

12 Bearbeiten von Personendaten in der Cloud was gilt? Bearbeiten zum Zweck, zu welchem auch der Auftraggeber die Daten bearbeiten darf (Art. 4 Abs. 3 DSG) -> keine gesetzlichen Einschränkungen (vgl. FINMA Outsourcing RS 2008/7) Zweck muss für den betroffenen Endkunden, über welchen Daten bearbeitet werden, erkennbar sein (Art. 4 Abs. DSG) - > AGB-Problematik Freiwillige Einwilligung der Bearbeitung durch den betroffenen Endkunden (Zustimmung) -> AGB-Problematik Ausdrückliche Einwilligung bei Persönlichkeitsprofilen od. besonders schützenswerten Personendaten zwingend -> grundsätzlich nicht nur via AGB lösbar Cloud-Betreiber im Ausland: zusätzliche Anforderungen gemäss Art. 6 DSG (vgl. internationale Verhältnisse) 33

13 Datenschutz Herausforderungen in der Hybrid Cloud Erfüllen unterschiedlicher Anforderungen (Zustimmung, Security etc.) Workaround bei Nutzung ursprünglichen Personendaten in der Public Cloud -> Pseudonymisierung und Anonymisierung ABER Beispiel USA: Verknüpfung von Geburtsdatum, PLZ und Geschlecht erlaubt eindeutige Identifizierung von bis zu 87% aller Einwohner, d.h. von 250 Mio. sind bis zu 217 Mio. eindeutig identifizierbar -> Segregierungen -> Zugriffskonzepte, Chinese Walls etc. -> rigide Security (Logs etc.) Risiko bleibt in jedem Fall regulierter, desto höher Bei Verletzung: Imageschaden Zukünftig wesentlich höhere Bussen (2% d. Umsatzes) 34

14 Fotolia.com 2

15 Lizenzfragen I Nutzungsrecht gemäss Vertrag zwischen Cloud-Anbieter und Kunde zeitlich limitiertes Nutzungsrecht nicht übertragbar (# traditionelle Modelle) Updates oder Upgrades, Release Management usw. obliegt dem Cloud-Anbieter kein CAPEX -> reines Nutzungsrecht (OPEX) Kein Anspruch auf eine URG-Kopie 36 Urheberrecht des Kunden beschränkt sich auf das vertraglich beschriebene Nutzungsrecht. Dem Kunden stehen keine weiteren Rechte, kein elektr. oder physisches Lizenzmaterial (CD, Source Code) zu. Gleichzeitig entfällt für den Kunden jegliche Pflicht zur Wartung, Implementierung neuer Software Versionen, Bug Fixing usw.

16 Lizenzfragen II Herausforderungen Migration in die Cloud -> Lizenzfragen Keine Übertragbarkeit Wartungsfragen Haftung für Schnittstellen Anwendbares Recht Gerichtsstand 37

17 Falko Matte - Fotolia.com 4

18 Outsourcing ins Ausland - Datenschutz Datenbekanntgabe ins Ausland: tatsächliche Ort der Datenverarbeitung respektive der Serverstandort massgenbend Datenauslagerung: Art. 6 DSG Keine Bekanntgabe von Personendaten ins Ausland, wenn die Persönlichkeit der betroffenen Person schwerwiegend gefährdet Liste des EDÖB ist massgebend, ob ein genügender Datenschutz für natürliche Personen gewährleistet ist die meisten EU Staaten werden als genügend eingestuft -> nur Datenbearbeitungsvertrag nach Art. 10a Abs. 1 DSG erforderlich aber nicht alle EU Staaten sind genügend (z.b. Kroatien) USA: ungenügend Ausnahme Safe Harbour in diesem Fall ist nicht nur Datenbearbeitungsvertrag nach Art. 10a Abs. 1 DSG, sondern noch zusätzlich Datenschutzgarantien nach Art. 6 Abs. 2 lit. a DSG notwendig 39

19 M.Schuppich fotalia.com 5

20 Vertragsbeziehungen und Haftung Private Cloud IaaS Iaas Public Cloud XaaS PaaS 41

21 6

22 Zusammenfassung Je vertraulicher, geheimer, wichtiger oder sensitiver (weil z.b. besonders schützenswert) die Daten sind, umso eher ist von einer Auslagerung der Daten in die Cloud, insbesondere in eine ausländische Cloud, abzusehen, und desto strikter und umfassender müssen die (Datenschutz-)Sicherheitsvorkehrungen und deren Kontrolle sein. EDÖB 43

23 44 Carmen De la Cruz

24 THANK YOU Amsterdam Brussels Copenhagen Dublin Dusseldorf Frankfurt Hilversum London Madrid Paris Stockholm Vienna Zurich