Fraunhofer Institute for Open Communication Systems Kaiserin-Augusta-Allee 31 10589 Berlin, Germany www.fokus.fraunhofer.de Cloud-Computing für die öffentliche Verwaltung Peter H. Deussen, Linda Strick Fraunhofer-Institut für Offene Kommunikationssysteme Effizienter Staat Berlin, 03.05.2011
Beherrschbarkeit von Risiken in der Cloud Risikofragestellungen nehmen einen breiten Raum in der öffentlichen Diskussion ein Für den öffentliche Sektor gelten besondere Anforderungen Kontrolle über die Aufgabenwahrnehmung und -durchführung Datenschutz, etc. Wirtschaftliche Überlegungen sind erst an zweiter Stelle (Quelle: Gartner) Die Frage nach der Anwendung von Cloud-Technologien im öffentlichen Sektor und die Auslagerung von Diensten in die Cloud muss deshalb in erster Linie aus der Perspektive der Beherrschbarkeit der verbundenen Risiken betrachtet werden Cloud-spezifische Schwachstellen Kategorien Klasse Immanenter Bestandteil in Cloud- Basis-Technologien Durch Cloud-Innovationen verursacht, die Gegenmaßnahmen unmöglich oder schwierig implementierbar machen. Ursprung in einer der Charakteristiken des Cloud Computings Beispiel Virtual machine (VM) escape Unsichere oder obsolete Kryptographie Unzureichende Kontrollen in virtualisierten Netzwerken Unzureichende Schlüsselmanagement-Prozeduren Nichtautorisierter Zugang zu Managementschnittstellen Netzwerkschwachstellen Datenwiedergewinnung (Wiederverwendung phys. Speichers) Manipulation von Abrechnungen In Zusammenarbeit mit Siemens IT Solutions and Services
Mehr Sicherheit in der Cloud Organisation Multiple Standorte Redundante Daten und Prozesse Verteilte Datenhaltung Absicherungsmechanismen auf Netzwerkebene Einheitliches Sicherheitskonzept Zeitnahe Aufdeckung von Schwachstellen und Durchsetzung von Gegenmaßnahmen Dediziertes Expertenteam Konsolidiertes und effektives Bedrohungsmanagement Verkürzte Reaktionszeiten Cloud-Technologie Sofortige und adaptive Ressourcenskalierung DDOS Vereinfachte Audits und Spurensicherung Virtualisierung Sicherheit als Marktfaktor Notwendigkeit für robustere Dienste (Unbekannter Sicherheitskontext) Standardisierte Schnittstellen für Sicherheitsmanagement Security-as-a-service ENISA Leitfaden Cloud Computing Risk Assessment Sicherheitsanforderungen aus heutiger Sicht BSI-Grundschutz als Benchmark-Test für Cloud-Computing Grundschutz Katalog konkreter Gefährdungen und Maßnahmen Gegliedert in thematische Bausteine Grundlage für ISO 27001 Zertifizierung Baustein Outsourcing Bewertung von Cloud-Computing bzgl. zentraler Aspekte Notwendige (nicht hinreichende!) Anforderungen Ergänzt durch ein Eckpunktpapier des BSI (ENTWURF) und fortlaufende Arbeiten
Analyse der Grundschutzanforderungen Beispiel: el Gefahrenanalyse für Outsourcing Für rjede der 25 Gefährdungen wurde eine Einschätzung erarbeitet: Ist das vermutliche Sicherheitsniveau in Clouds höher, gleich, oder niedriger als in Rechenzentren ohne Cloud- Technologien? Bewertungsfaktoren: Spezifische Schwachstellen Cloud-Eigenschaften Betriebsmodell Für private, öffentliche und Community-Clouds Entsprechend für Maßnahmen: Leichter, gleich schwierig, oder schwieriger implementierbar? Deussen, Strick, Peters, Cloud Computing für die öffentliche Verwaltung, ISPRAT-Studie, http://www.fokus.fraunhofer.de/de/elan/_docs/isprat_cloud_studie_20110106.pdf Gefahrenlage Outsourcing Closed Clouds Private Clouds Situation im wesentlichen vergleichbar mit Auslagerung von IT- Dienstleistungen an einen herkömmlichen Dienstleister Virtualisierung und konsolidiertes, homogenes Management mindern viele Gefahren und machen Maßnahmen leichter implementierbar, z.b. Änderungsmanagement Kontrolle/Qualitätssicherung Allerdings: Verwendung herstellerspezifischer Cloud-Technolgien erschwert u.u. Anbieterwechsel (lock-in) Interoperabilitätsstandards Föderierte Modelle (Community Clouds) Zusätzliche Schwierigkeiten aufgrund fehlender Ansätze für föderiertes Management Prozesse und Daten durchlaufen mehrere Verwaltungsdomänen mit unterschiedlichen Policies, Rollenstrukturen, usw. Identitätsmanagement Fehlermanagement Änderungsmanagement, etc.
Gefahrenlage Outsourcing Öffentliche Cloud Selbstbedienung + Netzwerkzugang Perimeter -Ansatz (Firewalls, physikalische Abschottung) nur bedingt verwendbar (IaaS, PaaS, SaaS Konfiguration) Resultierende Gefährdungen sind z.b. Unzureichende Authentifizierung Missbrauch von Fernwartungszugängen, etc. Selbstbedienung widerspricht Transparenz- und Kooperationsanforderungen im Risikomanagement Enge personelle Kooperation zwischen Auftraggeber und Anbieter gefordert: Sicherheitskonzept Notfallkonzept Offenlegung und Bewertung interner Prozesse, etc. Konsolidiertes Risikomanagement Nur schwer in AGBs (oder generische SLA-Templates) zu fassen Zusammenfassung & Folgerungen Private Cloud Bezüglich heutiger Standards eine grundsätzliche Option zur Modernisierung behördlicher Rechenzentren Community-Cloud Kooperationsmodell zur IT-Konsolidierung Föderierte Managementansatze werden benötigt, um ggf. heterogene Technologien und Organisationsformen zu vereinheitlichen Sicherheitszertifizierung für Cloud- Anbieter Erweiterung der BSI Grundschutzkataloge in Vorbereitung Ansätze für konsolidiertes Risikomanagement zwischen Anbieter und Behörde (bzw. behördliches Rechenzentrum) Rahmen für SLAs Öffentliche Cloud/hybride Cloud Selbstbedienung/Netzwerkzugang Transparenz & Kontrolle
Danke für Ihre Aufmerksamkeit! Fragen? Umfrage Readyness für Cloud Computing? Virtualisierung wird in fast allen Rechenzentren eingesetzt Fast alle Behörden sind bereit, IT-Ressourcen kooperativ zu nutzen
Umfrage Auslagerung von Dienstleistungen Ca. 75% aller Befragten haben IT- Dienstleistungen an Unternehmen öffentlichen Hand ausgelagert: Fachanwendungen Kommunikation und Infrastruktur