Cloud-Computing in Rheinland-Pfalz Matthias Bongarth 06.11.2014 Netzdialog 06.11.2014 Folie 1
DER LDI Geschäftsführer: Matthias Bongarth Gründung: 1. Jan. 2003 per Landesgesetz Jahresumsatz: ca. 56 Mio. (2013) Anzahl Mitarbeiter: ca. 200 Standorte: Mainz, Bad Ems DER zentrale IT-Dienstleister Rheinland-Pfalz Applikationen Dienstleistungen und Services Green-IT Hochverfügbarkeit Sicherheit Rechenzentrum / Ausweich-Rechenzentrum Consulting / Analyse / Konzeption rlp-netz Beschaffung / Vergabe Folie 2
Cloud / Polizei-Cloud Gesamtarchitektur IT-Sicherheit ist oberstes Gebot ITSM durch Standardprozesse Portal-Dienste für Anwender Grundsätzliche Unterscheidung in Software as a Service (SaaS) Platform as a Service (PaaS) Infrastructure as a Service (IaaS) Folie 3
Cloud-Services für RLP Landesbeauftragter für Datenschutz und Informationsfreiheit (LfDI) Auszug 9 9 Folie 4
Neue Wege: + Public Cloud Fachliche Anforderungen Kategorie 2 (hohe Anforderungen an IT-Sicherheit) - Sicherheitstechnische und funktionale Anforderungen 5.2.1 Werden ausschließlich verschlüsselte Protokolle zur Datenübertragung genutzt? B 5.2.2 Werden Zugriffsprotokolle revisionssicher aufbewahrt? B 5.2.3 Ist für jeden Zugriff eine Authentisierung nötig? B 5.2.4 Existiert ein Schutz gegen Bruteforce-Angriffe? A 5.2.5 Bietet der CSP verschlüsselte Verbindungen zwischen Cloud-Ressourcen an? B 5.2.6 Bietet der CSP eine konfigurierbare Firewall an? B 5.2.7 Findet eine kryptografisch geschützte Authentifizierung zwischen den Cloud-Ressourcen statt? B 5.2.8 Existiert eine Sicherheitszone für das Management der Cloud? A 5.2.9 Existiert einen eigene Sicherheitszone für das Storage-Netz? A 5.2.10 Bietet der Provider kundenexklusive Hardwareressourcen an? A 5.2.11 Werden Intrusion Detection Systeme zur Abwehr von bekanntem, schadhaftem Netzwerkverkehr eingesetzt? B 5.2.12 Werden Firewallsysteme zur Abwehr von bekanntem, schadhaftem Netzwerkverkehr eingesetzt? B 5.2.13 Existiert eine Stelle, an der über den Sicherheitsstatus und Fehlfunktionen des Cloud-Managementsystems informiert wird? A 5.2.14 Sind die historischen Daten über den Sicherheitsstatus des Cloud- Managementsystems vollständig, über einen ausreichen langen Zeitraum B einsehbar? 5.2.15 Ist einsehbar, wie viele Cloud-Ressourcen aktuell in Gebrauch sind? A 5.2.16 Existiert ein Backup-Cloud-Management System? A 5.2.17 Gibt es einen formalen Security Incidence Response Prozess? Kann dieser an ein CERT des Kunden angebunden werden? B 5.2.18 Wird ein gehärtetes Betriebssystem auf den Virtualisierungshosts eingesetzt? A 5.2.19 Welche Dienste laufen auf dem Host? Sind diese Dienste notwendig? B 5.2.20 Wurden vorinstallierte Standarddienste und Benutzer entfernt? B 5.2.21 Ist für jede Cloud-Ressource eine aktuelle Liste mit installierter Software vorhanden? B 5.2.22 Sind alle vorhandenen Sicherheitsupdates für die installierte Software installiert (Patchlevel)? A 5.2.23 Findet eine regelmäßige Überprüfung über verfügbare Sicherheitspatches der installierten Software statt? B 5.2.24 Sind alle Sicherheitsupdates der verwendeten Hypervisor-Software installiert? A 5.2.25 Werden alle Operationen (Image-Erzeugung, -Duplizierung, Löschung) protokolliert? B 5.2.26 Werden administrative Operationen auf Betriebssystemebene (Anund Abmeldung am System, Installation von Anwendungen, Änderungen von B Berechtigungen, Änderungen im Benutzermanagement, etc.) protokolliert? 5.2.27 Werden die Protokolldaten dem Kunden zur Verfügung gestellt und können Sie an das SIEM des LDI weitergeleitet werden? 5.2.28 Sind alle Sicherheitsupdates der verwendeten Storagemanagementsoftware installiert? B 5.2.29 Findet eine getrennte Speicherung von Provider-Images und Anwender-Images statt? A 5.2.30 Ist es möglich, auf Daten anderer Kunden zuzugreifen bspw. über Zugriff auf zufällige Bucket-Adressen oder Verzeichnisnamen, Ansteuern höherer Verzeichnisebenen. 5.2.31 Werden Daten sicher gelöscht? A 5.2.32 Ist das Löschen von beliebig ausgewählten Daten und anschließende Suche nach verfügbaren Replikaten möglich? A 5.2.33 Werden verschiedene Versionen des Backups ausreichend lang gespeichert? A 5.2.34 Wird der Zugriff auf Backupdaten protokolliert? B 5.2.35 Existiert ein formal definiertes Informationssicherheitsmanagementsystem? A 5.2.36 Existiert ein Benachrichtigungsmechanismus, ob Sicherheitsmaßnahmen noch aktuell sind (bspw. Ablaufzeiten von Zertifizierungen)? 5.2.37 Welche Unterauftragnehmer sind an dem Betrieb und dem Support der Cloud-Ressourcen beteiligt? 5.2.38 Erfolgt die Schlüsselerzeugung in sicherer Umgebung z.b. auf Clientseite und unter Einsatz geeigneter Schlüsselgeneratoren (Schlüssellänge und Schlüsselkomplexität definiert)? 5.2.39 Dienen kryptographische Schlüssel nur einem Einsatzzweck? Für jedes System / Dienst nur einen dedizierten Schlüssel? 5.2.40 Werden Schlüssel redundant gesichert? Sind sie wiederherstellbar, um einen Verlust eines Schlüssels zu vermeiden? 5.2.41 Wie werden Schlüssel verteilt? Anforderung: sicher (vertraulich, integer und authentisch) B 5.2.42 Haben Administratoren der Cloud Zugriff auf Kundenschlüssel? A 5.2.43 Überprüfung der APIs und Serviceschnittstellen zum Datenexport? B 5.2.44 Werden alle Mitarbeiterzugriffe auf Cloudinfrastrukturkomponenten protokolliert? Ist diese Protokollierung einsehbar? A 5.2.45 Welche Dienste laufen auf der Standard-VM? B 5.2.46 Wurden vorinstallierte Standarddienste und Benutzer entfernt? B 5.2.47 Wird der Kunde über durchgeführte Sicherheitsupdates informiert? A 5.2.48 Können grundsätzlich kundenseitige Richtlinien bezüglich Passwortsicherheit umgesetzt werden? 5.2.49 Ist eine Skalierung der VMs vorgesehen? Funktionieren die Skalierungsgrenzen? A 5.2.50 Ist eine Integritätsprüfung des Exports der in der Cloud gespeicherten Daten möglich? B 5.2.51 Kann man als Kunde Images virtueller Maschinen in die Cloud exportierten und aus ihr importieren? Wenn ja, wie und in welchem Format? Folie 5 B A A B A B A A A
Nächster Schritt: Einbindung Hybride Cloud.rlp Cloud-Service- Provider XY Public Cloud Internet DMZ Landesregierung z.b. (rlp.de, polizei.rlp.de) fw-aussen D OI DOI DMZ Das Deutsche Verwaltungsdiensteverzeichnis andere fw-mitte Service24 Transit Bundesländer (z.b. Hessen, Zugriff Verwaltung rlp-netz Cloud fw-innen rlp- Netz DMZ Elektronisches Grundbuch, rlp-middleware Bayern) Cloud- Management Folie 6
Datenzentralen in Deutschland Dataport [Altenholz, Hamburg] DVZ Datenverarbeitungszentrum M-V GmbH [Schwerin] IT.N IT.Niedersachsen Landesbetrieb [Hannover] IT-Dienstleistungszentrum [Berlin] Informatik und Technik Nordrhein-Westfalen [Düsseldorf] ZIT-BB [Potsdam] Landesbetrieb Daten und Information [Mainz] LIZ Landesinformationszentrum Sachsen-Anhalt [Halle] ZDV-Saar Zentrale Datenverarbeitungsstelle für das Saarland [Saarbrücken] SID Staatsbetrieb Sächsische Informatik Dienste [Dresden] Hessische Datenzentrale [Wiesbaden] Thüringer Landesrechenzentrum [Erfurt] Datenzentrale Baden-Württemberg [Stuttgart] Anstalt für kommunale Datenverarbeitung in Bayern [München] Informatikzentrum Landesverwaltung Baden-Württemberg [Stuttgart] Bayerisches Landesamt für Steuern [München] 06.11.2014 06.11.2014 Netzdialog: Cloud-Computing Netzdialog: in Cloud-Computing RLP - in RLP eine - Standortbestimmung Folie 7
Neue Wege: + Public Cloud / Neusortierung der Kriterien Übergreifende Sicherheitsaspekte, die für Kategorien 2 und 3 gelten Fachliche Anforderungen Kategorie 2 (hohe Anforderungen an IT-Sicherheit) - Sicherheitstechnische und funktionale Anforderungen Fachliche Anforderungen Kategorie 3 (eingeschränkte Anforderungen an IT-Sicherheit) - Sicherheitstechnische und funktionale Anforderungen Betriebliche Anforderungen Kategorie 2 (hohe Anforderungen an IT-Sicherheit) Betriebliche Anforderungen Kategorie 3 (eingeschränkte Anforderungen an IT-Sicherheit) Folie 8
Nächste Schritte Abstimmung mit Cloud-Betreibern - MS 30.09.14 - IBM 23.10. 14 - HP - T-Sys. 8.12.14 Beschluss IT- Planungsrat 16. Sitzung Regelungen auf europäischer Ebene über EURITAS Folie 9
IT-Planungsrat 14. Sitzung: Vorstellung (Werdegang, Inhalt, Ziele) / 15. Sitzung 16. Sitzung: Beschlussfassung 06.11.2014 05.09.2014 Cloud-Computing in Behörden Netzdialog: Cloud-Computing in RLP - Folie 10
Cloud-Betriebsmodelle / Kategorien Die Cloud-Kategorien im Kontext der Datenzentralen Quelle: Richtlinienempfehlung Folie 11
Cloud-Betriebsmodelle (Zusammenfassung) Cloud1 Gov.-Cloud2 Managed Cloud3 Public Cloud4 Public Cloud5 MERKMAL BEREITSTELLER Cloud-Services individuell und exklusiv für einen Landeskunden Die für das Bundesland zuständige Datenzentrale RECHTSGRUNDLAGE Landesdatenschutzgesetz des Bundeslandes RZ-STANDORTE Datenzentrale in Deutschland ZUGANGSNETZ Verwaltungsnetz des Landes SICHERHEIT ISO 27001 (IT-Grundschutz) Cloud-Basisanforderungen plus Zusatzanforderungen Kategorie 1 Folie 12
Cloud-Betriebsmodelle (Zusammenfassung) Gov.-Cloud2 Cloud1 Managed Cloud3 Public Cloud4 Public Cloud5 MERKMAL BEREITSTELLER RECHTSGRUNDLAGE RZ-STANDORTE ZUGANGSNETZ SICHERHEIT Cloud-Services nach einheitlichen Kriterien für das eigene Bundesland bzw. bundes-/(europa)weit Eine Datenzentrale im Rahmen des Kooperationsverbundes der Datenzentralen Landes-/ Bundesdatenschutzgesetz bzw. europäisches Datenschutzgesetz eine/mehrere Datenzentralen bzw. vertraglich gebundene IT-Infrastrukturen in Deutschland Regionales/nationales/europäisches Verwaltungsnetz ISO 27001 (IT-Grundschutz) -Cloud-Basisanforderungen plus Zusatzanforderungen Kategorie 2 Folie 13
Cloud-Betriebsmodelle (Zusammenfassung) Managed Cloud3 Cloud1 Gov.-Cloud2 Public Cloud4 Public Cloud5 MERKMAL BEREITSTELLER RECHTSGRUNDLAGE Ein externer kommerzieller deutscher Anbieter a)ein kommerzieller deutscher Anbieter b) Eine Datenzentrale im Kooperationsverbund der Datenzentralen Landes-/ Bundesdatenschutzgesetz RZ-STANDORTE Deutschland ZUGANGSNETZ Internet (ganz/teilweise) SICHERHEIT Cloud-Basisanforderungen (Kategorie 1-4) Folie 14
Cloud-Betriebsmodelle (Zusammenfassung) Public Cloud4 Managed Cloud3 Cloud1 Gov.-Cloud2 Public Cloud5 MERKMAL BEREITSTELLER RECHTSGRUNDLAGE Ein externer kommerzieller europäischer Anbieter a)ein kommerzieller deutscher Anbieter b) Eine Datenzentrale im Kooperationsverbund der Datenzentralen Europäisches Datenschutzgesetz RZ-STANDORTE Europa ZUGANGSNETZ SICHERHEIT Internet (ganz/teilweise) Cloud-Basisanforderungen (Kategorie 1-4) Folie 15
Cloud-Betriebsmodelle (Zusammenfassung) Public Cloud5 Managed Cloud3 Cloud1 Gov.-Cloud2 Public Cloud4 MERKMAL Diverse Anbieter mit unbekannten/verschiedenen Standorten BEREITSTELLER Kommerzielle, internationale Anbieter ohne Individualvertrag RECHTSGRUNDLAGE Keine, unterliegen nicht dem Bundesdatenschutzgesetz RZ-STANDORTE Unbekannt, weltweit ZUGANGSNETZ SICHERHEIT Internet Unsicher, deshalb laut Richtlinienempfehlung ausdrücklich nicht für die öffentliche Verwaltung vorgesehen/empfohlen Folie 16
Cloud Erfolgsgeschichte Folie 17
Öffnung der Cloud über VLANs Folie 18
Trennen von LTNs auf vhost Firewall LTN Justiz LTN Polizei Virtualisierungshost *VMs aus unterschiedlichen LTNs auf einer Physik sofern die betriebenen Verfahren ein vergleichbares Sicherheitsniveau haben Folie 19
Cloudisierung eines Rechenzentrums 1 + Standardisierung 2 + Systemkonsolidierung 3 + Virtualisierung 4 + 5 + 6 + 7 + 8 IT-Servicemanagement (ITIL) BSI-Zertifizierung ISO 27001 Provisionierung & Orchestrierung Enabling Self Service Automatisierung = Sichere Gov-Cloud 05.11.2014 Parlamentarischer Beirat Folie 20
Cloud: Organisationsstruktur (neu) VM VM 1 Applikation Betriebssystem VM n Applikation Betriebssystem Team E 1, 9, E n Virtualisierungsschicht Host Virtuelles Netzwerk Virtuelle Hardware Betriebssystem Physisches Netzwerk Storage Hardware-Schicht Team D (org.) Team C Team B Team A Folie 21
Wir können Cloud aber sicher! Roll out Cloud-Services RP Cloud Polizei RP Cloud Polizei RP + SL Cloud Landesverwaltung RP Cloud für andere Bundesländer vergleichbares Sicherheitsniveau! Management und Daten nur im LDI im LDI verfügbare Cloud- Kategorien Public Cloud nach Bedarf des Landes Hybride Cloud Cloud-Services RP Daten außerhalb LDI Folie 22
Cloud-RL der Datenzentralen Folie 23
Entscheidungsfindung 1. Sicherheitseinstufung des auszuschreibenden Verfahrens 2. Bestimmung besonderer Kriterien Betrieb in hoheitlicher Hand erforderlich? Berufs-oder besondere Amtsgeheimnisse betroffen? 3. Anforderungen an Betreiber (Cloud-Service-Provider CSP) 4. Exit-Strategie und Datenmigration 5. Auswahl Partner zur Begleitung der Ausschreibung 6. Rechtliche Aspekte Folie 24
Schutzbedarf / Cloud-Betriebsmodell Kategorie 2: National Government Kategorie 3: Cloud unter deutschem Kategorie 4: Public Cloud unter europäischem Recht Schutzbedarf Kategorie 1: Cloud Cloud Recht normal X X X X hoch X X sehr hoch X Allerdings bleibt für eine endgültige Entscheidung zu berücksichtigen, dass weitere Randbedingungen, wie beispielsweise die in Kapitel 4.2 dargestellten besonderen Kriterien, in die Überlegungen einzubeziehen sind. Dies obliegt der Verantwortung des Dateneigentümers. Folie 25
DER zentrale IT-Dienstleister des Landes Rheinland-Pfalz! Vielen Dank für Ihre Aufmerksamkeit! Folie 26