Managed Private Cloud Security Tobias Stuke Cloud & Shared Security Office (Lead) November 3, 2015
Einleitung: Cloud Definition HPEs Definition entspricht der des NIST: Cloud ist eine Liefermethode: The delivery of computing as a service rather than a product, whereby shared resources are provided as a utility over a network. (HPE CSSO Summary, based on definition of US NIST) Bestimmbarkeit des Daten-Standortes ist KEIN Cloud Kriterium nach NIST NIST Cloud Reference Model (NIST): Einordnung HPE Managed Private Cloud Die Google Cloud mit weltweit verteilten Datenpaketen könnte genausogut Private (Exklusiv für 1 Kunde) wie auch Public sein mit HPE Managed Private Cloud als Basis HPE Managed Private Cloud als HEC Basis Community : Schweizer Kunden Private : Nicht für die Allgemeinheit 2
HPE Managed Private Cloud: Sicherheit Netzwerk Intranet Kunde SAP Intranet Eigene Kunden Gemeinsames IPS HEC Verbindung nach Wahl (VPN, MPLS, ) DDOS Schutz Interne Zonen- Eigenes IPS DDOS Schutz Web App HTTPS Jump Zugangsnetz- SSL VPN
HPE Managed Private Cloud: Compliance & Transparenz Intranet Kunde SAP Intranet Anmerkung zu USA Patriot Act : Dieses US Gesetz steht in Widerspruch zu EU Recht. Vertragspartner von SAP (HEC) ist HPE Schweiz (nicht US). Für EU und CH Bürger (ausschließliche ) wäre die Befolgung illegal!. Zum Thema gibt es ein schriftliches Statement von HPE. Es gibt keine Zugriffsrechte auf Kundendaten nach USA. Schweizer Account (HEC) Schweizer Vertragspartner Schriftliche Versprechen zu Patriot Act Gemeinsame Security Governance Infrastruktur Kunden Account Executive Helion Cloud Security Office Jump Nur EU Zugriffe auf Kundendaten Kein Zugriff aus USA Auditrecht Eigene Security Governance (Kundenspezifisch): Risiko Management Policy Reporting Schwachstellenscan Account unabhängig Option: Kunden Security Officer Eigene SIcherheitstest (Scan, Pentest) Non-US Instanz - Automation Helion Cloud Security Office Daten-Standort: Schweiz (Balsberg & Lupfig) Jährlicher ISO 27001 Audit für RZ ISAE3402 SOC 1 Typ2 Security Incident Experten Option oder ad-hoc: Digital Intelligence
HPE Managed Private Cloud: Technische Sicherheit Intranet Kunde (Untrusted Rating) SAP Intranet (Untrusted Rating) Hinweis Definition Untrusted : Netzwerke außerhalb der Kontrolle von HPE Managed Private Cloud HP AD Authentication Isolierung zwischen & Multi-Factor Authentication Kunden Account Executive 3-stufiger Zugangs-Prozess zu Helion Cloud Security Office : AV/Malware Protection dows : AV/Malware Protection Jump Option: Kunden Security Officer Konfigurationskontrolle (Policy Control) Policy Reporting (mit Account Sec Officer) Sec Incident/Event Mgt (SIEM) für Option oder ad-hoc: Digital Intelligence