COBIT 5 Controls & Assurance in the Cloud. 05. November 2015

Transkript

1 COBIT 5 Controls & Assurance in the Cloud 05. November 2015

2 Charakteristika der Cloud On-Demand Self Service Benötigte IT-Kapazität selbstständig ordern und einrichten Broad Network Access Zugriff auf die Cloud über das Netzwerk mittels verschiedener Endgeräte Resource Pooling Gebündelte Ressourcen (Multi Mandanten Modell) Rapid Elasticity Schnelle und flexible Skalierbarkeit der Ressourcen Measured Service Es wird nur für die Ressourcen gezahlt, die auch genutzt werden Page 2

3 Cloud Service Modelle SaaS Software as a Service Software und Infrastruktur liegt bei einem externen Dienstleister und kann vom Nutzer als Dienst verwendet werden PaaS Platform as a Service Bereitstellung einer Laufzeit- oder Entwicklungsumgebung, zur Unterstützung des Softwarelebenszyklus IaaS Infrastructure as a Service Zugang zu virtueller Computerhardware (Rechner, Speicher, Netze, ) Eigene Gestaltung eines virtuellen Computer Clusters -> Für die Funktionsweise ist man selbst verantwortlich XaaS Anything as a Service Beispiel: Security as a Service (SECaaS) Page 3 5 November 2015 COBIT 5, Controls & Assurance in the Cloud Quelle:

4 Anforderungen an den Weg in die Cloud Governance Security Assurance Vorteile nutzen Page 4 5 November 2015 COBIT 5, Controls & Assurance in the Cloud

5 Der Weg in die Cloud Page 5

6 Unterstützung durch COBIT 5 - Übersicht Governance Risk Assessment Nutzung von Entscheidungsmodellen Vertragsgestaltung Security Übersicht potentieller Bedrohungen und Gegenmaßnahmen Assurance Vorschläge für angemessene Kontrollmechanismen Assurance Frameworks Speziell auf Cloud Computing ausgerichtetes Prüfprogramm Page 6

7 Cloud Governance Page 7

8 Risk Assessment Risiken beim Einsatz von Cloud Computing Vertraulichkeit und Integrität ist nicht zwingend gewährleistet Daten könnten von Dritten gelöscht/eingesehen werden Verletzung der Compliance Nicht immer eine physikalische Trennung zwischen Mandanten gegeben u.v.m. COBIT 5 unterstützt durch beispielhafte Darstellung von Risikofaktoren beim Einsatz von Cloud Computing die Darstellung von sog. Cloud Risk Scenarios Risk Scenarios = Beschreibung des Einflusses (positiv oder negativ) eines bestimmten Ereignisses auf die Unternehmensziele Page 8

9 Auszug aus COBIT 5: Risikofaktoren Insgesamt 27 Risiken behandelt: IaaS 12 Risiken; PaaS 4 Risiken; SaaS 11 Risiken Page 9 5 November 2015 COBIT 5, Controls & Assurance in the Cloud

10 Entscheidungsunterstützung COBIT 5 bietet einen Leitfaden zur: 1.) Vorbereitung der internen Umgebung (Prozesse, Policies..) 2.) Auswahl des Cloud Service Models (SaaS, PaaS ) 3.) Auswahl des Cloud Deployment Model (public vs private cloud) 4.) Auswahl des Cloud Provider Entscheidungsmodelle: Helfen z.b. bei der Entscheidungsfindung für oder gegen den Einsatz von Cloud Computing und dabei welcher Cloud-Service der beste für das Unternehmen ist Page 10 5 November 2015 COBIT 5, Controls & Assurance in the Cloud

11 Beispiel: Entscheidungsbaum (SaaS, PaaS..) Page 11

12 Vertragsgestaltung COBIT 5 gibt Tipps, welche Themen bei der Vertragsgestaltung jedenfalls beachtet werden sollen. Beispiele: Leistungsumfang Verpflichtungen der Vertragspartner Vertragsende Haftung und (Daten)Eigentum Mindeststandards hinsichtlich Security und Datenschutz Zahlungsbedingungen, Laufzeit und Kündigung Leistungsmessung (SLAs) Anwendbares Recht Business Continuity, Datenvernichtung und Ausstiegsszenarien Page 12

13 Security Page 13

14 Security COBIT 5 bietet eine Übersicht zu 20 potentiellen Bedrohungen und Vorschläge wie man diesen begegnen kann Page 14

15 Assurance Page 15

16 Security und Assurance Frameworks & Co COBIT 5 bietet eine Übersicht zu vorhandenen Frameworks, Standards und Certifications inkl. deren Vor- und Nachteile. Behandelt werden folgende 13: ISO 2700x ISO COBIT AICPA/CICA Trust Services (SysTrust and WebTrust) AICPA Service Organization Control (SOC) Reports CSA - Cloud Control Matrix Jericho Forum Self-Assessment Scheme (SAS) CSA STAR Certification European Network and Information Security Agency (ENISA) Background Intelligent Transfer Service (BITS) Federal Risk and Authorization Management Program Leet Security Rating Methodology NIST SP Page 16 5 November 2015 COBIT 5, Controls & Assurance in the Cloud

17 Benefits und Challenges der Frameworks (Auszug) Page 17

18 COBIT 5 umgelegt auf Cloud Computing COBIT liefert Vorschläge zur Aufteilung der Verantwortlichkeiten hinsichtlich der Implementierung von Kontrollen (Kunde vs. Cloud Service Provider) Page 18

19 COBIT 5 umgelegt auf Cloud Computing Vorschläge, wer welche Kontrolle implementieren sollte Unterteilung zwischen CSP, Client oder Beide Page 19

20 CSA Cloud Control Matrix Cloud Control Matrix Framework, welches für die Cloud erstellt wurde Wurde entwickelt, um den Anbietern von Cloud Diensten grundlegende Sicherheitsprinzipien und richtlinien zur Verfügung zu stellen Es werden ca. 130 Kontrollen bereitgestellt (16 Domänen) Inklusive Mapping zu anderen Frameworks, wie z.b. zu COBIT 5, PCI-DSS, ISO 2700x etc. Page 20

21 COBIT 5 Controls and Assurance in the Cloud, Auszug aus dem Inhaltsverzeichnis 1. Introduction 2. Cloud Computing Fundamentals 3. Governance and Management in the Cloud 4. Security Considerations for Cloud Computing 5. Assurance in Cloud Computing 6. Putting It All Together + Appendices Page 21

22 Zertifizierungen von AWS Amazon SOC2 SOC3 Page 22 5 November 2015 COBIT 5, Controls & Assurance in the Cloud