» CloudCycle. it » Sicherheit und Compliance am Beispiel einer Bildungscloud. Dieter Rehfeld,

Transkript

1 » CloudCycle» Sicherheit und Compliance am Beispiel einer Bildungscloud Dieter Rehfeld, it

2 Die regio it gmbh ab dem » Gegründet:» Zahlen:» Kunden» regio it: 2003 / INFOKOM: 2004» 343 Mitarbeiter» Umsatz 2010: 44 Mio.» Betreuung Clients: » Betrieb Rechenzentren: 3» Storage: 113 TB» Server: 1.314» Kommunale Verwaltungen» Kommunale Unternehmen» Partnerschaften» Gesellschafterstruktur:» E.V.A. GmbH» INFOKOM Gütersloh Zweckverband» Stadt Aachen» StädteRegion Aachen» Zertifizierungen» DIN EN ISO 9001 Qualitätsmanagement» ISO/IEC IT-Service Management» ISO/IEC Informationssicherheit» berufundfamilie» INFOMA» SAP» Microsoft» Novell 2

3 1 Was ist Cloud Computing? 3

4 Was ist Cloud Computing?» Cloud Computing ist vor allem ein neues Geschäftsmodell» pay per use» pay per unit time» pay per unit module» pay per transaction» Abrechnung nach tatsächlicher Nutzung» zur Erbringung von Services» Cloud Software as a Service (SaaS)» Cloud Platform as a Service (PaaS)» Cloud Infrastructure as a Service (IaaS) 4

5 Was ist Cloud Computing?» auf Basis bestehender Infrastrukturen (state-of-the-art)» Breitbandanbindung» Internet und Web-Technologie» Shared Managed Services» virtuelle Netze» virtueller Storage» virtuelle Server» Höchste Verfügbarkeit 5

6 Was ist Cloud Computing?» unter Nutzung neuer Konzepte zur Administration, Vermarktung und Abrechnung» Self-Service über Online-Warenkorb und Service-Katalog» Automatisierte(s)» Provisionierung durch Cloud-Management-Tools» Monitoring und Messung von Service Levels» Erstellung von Service Level Reports» Bereitstellen zusätzlich benötigter Ressourcen» Ausnutzung der max. Auslastungsgrenze» Abrechnung» Unterstützung von ITSM-Prozessen (z. B. Capacity-, Configuration-, Change- und Release-Management)» Zentrales IT-Securtity Management (Zugangskontrollen, Verschlüsselung, Auditierbarkeit etc.)» 6

7 Was ist Cloud Computing?» an einem Ort des Vertrauens und unabhängig von der Zeit» Private Cloud» Community Cloud» Public Cloud» Trusted Public Cloud» Hybrid Cloud (private/community public/trusted public) 7

8 Was ist Cloud Computing? Cloud Computing ist ein neues Geschäftsmodell zur Erbringung von Services auf Basis bestehender Infrastrukturen (state-of-theart) unter Nutzung neuer Konzepte zur Administration, Vermarktung und Abrechnung an einem Ort des Vertrauens und unabhängig von der Zeit. 8

9 2 Benefits durch die Nutzung der Cloud 9

10 Benefits durch die Nutzung der Cloud» Geringere Kosten durch Skaleneffekte» Wirtschaftliche sinnvolle Auslastung der Investitionen (Hardware)» Agilität» Elastizität und Flexibilität» Höhere Verfügbarkeit» Höhere Sicherheit» Verlagerung des IT-Security Managements auf den Cloudbetreiber» Personaleinsparung 10

11 Antriebsfaktoren für die Nutzung der Cloud 1 = sehr wichtig 4 = unwichtig 11

12 3 Datenschutz und Datensicherheit 12

13 Datenschutz und Datensicherheit [ ] Dabei viel auf, dass typische Themen wie Compliance, IT- Sicherheit oder Lock-in-Effekte zwar diskutiert wurden, aber nicht mehr so im Vordergrund stehen. Interessanter scheint die Frage nach Geschwindigkeit, in der Cloud-Vorhaben umgesetzt werden können, und die nach dem geschäftlichen Nutzen. [ ] Auszug aus Computerwoche: 43/11 Seite 4, Heinrich Vaske, Chefredakteur CW 13

14 Datenschutz und Datensicherheit [ ] Cloud-Anwender, also die datenschutzrechtlich verantwortlichen Stellen, dürften Cloud-Services nur dann in Anspruch nehmen wenn sie in der Lage sind, ihre Pflichten als verantwortliche Stellen in vollem Umfang wahrzunehmen und die Umsetzung der [ ] Gemäß 3 Abs. 7 BDSG ist eine verantwortliche Stelle jede Datenschutz- t und dinformationssicherheitsanforderungen i h it f geprüft Person oder Stelle, die personenbezogene Daten für sich selbst haben (lassen). erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag [ ] [ ] vornehmen Nimmt ein lässt Cloud-Anwender und allein oder (verantwortliche gemeinsam mit anderen Stelle) über von einem die Zwecke entsprechenden und Mittel Anbieter der Verarbeitung nun Cloud-Services von personenbezogenen in Anspruch, ogenenso Daten wird Letzterer entscheidet. als [ ] Auftragnehmer nach 11 Abs. 2 BDSG tätig. Die Verantwortung für die Rechtmäßigkeit bleibt gemäß 11 Abs. 1 [ ] Die datenschutzrechtlichen Schwerpunkte knüpfen bei dem BDSG beim Anwender (verantwortliche Stelle). [ ] möglichen Kontrollverlust des Anwenders (verantwortliche Stelle) über die Daten an, wenn sich die Datenverarbeitung nicht mehr vor Ort sondern ausgelagert in der Cloud vollzieht und der Anwender selbst keinen konkreten Zugriff mehr auf die Daten hat. [ ] Auszug aus: Orientierungshilfe Cloud Computing der Arbeitskreise Technik und Medien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder 14

15 Datenschutz und Datensicherheit Quelle: CIO News vom cio de/was ist cloud computing/anwender/ / 15

16 Datenschutz und Datensicherheit Die Schule hat durch [ ] technische und organisatorische Maßnahmen sicherzustellen, dass die [ ] Daten verschlossen aufbewahrt werden und nur die ausdrücklich autorisierten Mitarbeiter in dem jeweils erforderlichen Umfang Zugriff haben. Quelle: Gesetz zum Schutz personenbezogener Daten (Datenschutzgesetz Nordrhein-Westfalen - DSG NRW - ) in der Fassung der Bekanntmachung vom 9. Juni 2000 Quelle: Verwaltungsvorschrift Datenschutz an öffentlichen Schulen vom Az.: /38 16

17 Fazit Datenschutz in der Cloud» Hinsichtlich der ausgelagerten Datenverarbeitung benötigt die verantwortende Stelle» Transparenz» Zugriff und die Möglichkeit der Beeinflussung» Kontrolle und Nachweis» Das kann nur gewährleistet werden durch:» Vertraulichkeit» Integrität» Revisionssicherheit» Transparenz» Verfügbarkeit» Nachweisbarkeit, Auditierbarkeit 17

18 Offene Punkte für den Einsatz von CloudComputing» Compliance-Vorgaben umsetzen und nachweisen» Sicherheit transparent machen» Auditierungen ermöglichen» Rechtliche Rahmenbedingungen erfüllen» Interoperabilität zwischen den Clouds ermöglichen» Schnittstellen zwischen den Clouds ermöglichen» Kein Cloud-Einschluss» Cloud-Services von Drittanwendungen» Breitband muss flächendeckend verfügbar sein» 18

19 4 Innovationsprojekte der regio it 19

20 Cloud Innovationsprojekte bei der regio it Government Green Cloud Laboratory CloudCycle O(SC)²ar Virtuelle Infrastruktur Gemeinsame virtuelle Infrastruktur mit Partnern 20

21 CloudCycle CLOUDCYCLE» Bereitstellung, Verwaltung und Vermarktung» von portablen Cloud-Diensten» mit garantierter Sicherheit und Compliance» während des gesamten Life-Cycle 21

22 Das CloudCycle Ökosystem Dienstemarktplatz einkaufen Kunde bereitstellen einrichten nutzen Mehrwert- dienstleister Lösungs- anbieter bereitstellen Cloud- Betreiber bereitstellen Hersteller von Cloud- Plattformen 22

23 Das CloudCycle Ökosystem einkaufen Kunde» Heutige Cloud-Lösungen bereitstellen» Provider-Lock-In einrichten nutzen» keine Standards Mehrwert- dienstleister Lösungs- anbieter» rudimentäre Schnittstellen Betreiber» keine Compliance bereitstellen Dienstemarktplatz Cloud- B t ib» keine Zertifizierungen» geringe Anwender-Akzeptanz bereitstellen Hersteller von Cloud- Plattformen 23

24 Das CloudCycle Ökosystem Dienstemarktplatz einkaufen Kunde bereitstellen einrichten Mehrwert- dienstleister Lösungs- anbieter bereitstellen Cloud- Betreiber bereitstellen nutzen Hersteller von Cloud- Plattformen 24

25 Trusted Service Definition 25

26 Trusted Service Definition 26

27 Evaluationsszenarien Bildungs-Cloud Schulverwaltung Pädagogische Anwendungen egovernment-cloud Hoheitliche Dienste Nichthoheitliche Dienste Öffentlich-rechtlicher Cloud Betreiber Privatwirtschaftlicher Cloud Betreiber» Bildungs-Cloud» egovernment-cloud» Notengebung und Zeugnisse, Stundenplanerstellung,» Lernsoftware, Übungsumgebung Kollaborationsplattform,» Bürgerportale, Virtuelles Rathaus, Bürgerämter, Formularserver,» Antragsverfahren, Payment-Dienste, 27

28 Evaluationsszenarien Potenzial Bildungs-Cloud regio it aachen: 105 Schulen Arbeitsplätze Kommunale Informationsverarbeitung Baden-Franken: 130 Berufliche Schulen 600 Allgemeinbildende Schulen Arbeitsplätze Bundesrepublik Deutschland: Berufliche Schulen (2,8 Mio. Schüler) Allgemeinbildende Schulen (8,9 Mio. Schüler) Arbeitsplätze» Bildungs-Cloud» egovernment-cloud» Notengebung und Zeugnisse, Stundenplanerstellung,» Lernsoftware, Übungsumgebung Kollaborationsplattform,» Bürgerportale, Virtuelles Rathaus, Bürgerämter, Formularserver,» Antragsverfahren, Payment-Dienste, 28

29 BildungsCloud für Berufskolleg IT-Lösungen für Berufskollegs aus der Cloud» Viele Berufskollegs vor allem in Nordrhein-Westfalen werden von ihren kommunalen Rechenzentren bei der Nutzung von IT unterstützt. tüt t» Gleichwohl sind viele örtliche Lösungen gekennzeichnet durch kostenintensive dezentrale Anwendung und teilweise noch dezentrale Betreuung durch engagierte g Lehrer.» Im Rahmen von CloudCycle sollen prototypisch die Rahmenbedingungen für eine BildungsCloud der beruflichen Bildung konzeptionell erarbeitet werden, aber auch gemeinsam mit Berufskollegs in der Praxis getestet t t werden.» Die Vision ist eine Community Cloud der Beruflichen Bildung in Deutschland.» Wesentliche Voraussetzung für die Nutzung der BildungsCloud sind breitbandige Anwendungen der Berufskollegs. Hier gibt es vielfach dezentrale gute Lösungen. Eine mustergültige Lösung ist die Strategie der Hansestadt Hamburg, die sämtliche Schulen mit Breitband versorgt. 29

30 Das Projektkonsortium Antragsteller Forschung und Cloud- Technologie und Standardisierung Forschung und Lehre Mittelstand und öffentlicher Sektor Assoziierte Partner 30

31 CloudCycle Ergebnisse» Vertraulichkeit und Integrität» Revisionssicherheit, Transparenz» Nachweisbarkeit, Auditierbarkeit» Portabilität (Provider Lock-In) 31

32 regio it regio it gesellschaft für informationstechnologie mbh Niederlassung: Gütersloh Lombardenstr. 24 Carl-Bertelsmann-Str Aachen Gütersloh tel tel