Startseite > Office & Kommunikation > Die Schattenseiten der Wolke

Cloud-Computing

Die Schattenseiten der Wolke

24. April 2012, 14:11 Uhr | Bernd Jäger, Leiter Risk & Compliance Consulting Practice bei Colt

Fortsetzung des Artikels von Teil 1

Kontrollverlust

Solange ITK-Dienste im eigenen Haus erbracht werden, besteht zumindest theoretisch die Möglichkeit, sich detailliert über Prozesse, Prozeduren und damit gegebenenfalls verbundene Probleme informieren sowie Maßnahmen zur Verbesserung ergreifen oder das Restrisiko genau kennen und akzeptieren zu können.

Gibt man die Erbringung solcher Dienste in fremde Hände und dazu noch in die Wolke, wird dies unter Umständen praktisch unmöglich, da man noch nicht einmal den Aufenthaltsort seiner Daten kennt oder weiß, wie Sicherheitsprozeduren an diesem Ort gelebt werden. Wie sicher sind die Systeme konfiguriert und wie sieht etwa der Patch-Mechanismus aus? Wo werden meine Daten und Log-Dateien gespeichert? Und wie? Welche Daten wird der Anbieter, beispielsweise im Falle einer strafrechtlichen Verfolgung, in dem betroffenen Land herausgeben? Das sind nur einige der Fragen, die sich in solch einem Fall auftun werden.

Dieser Kontrollverlust und die Tatsache, dass häufig die Anforderungen im Falle einer Virtualisierung oder der Migration in die Cloud bezüglich bestimmter regulatorischer Vorgaben ungeklärt sind, resultieren in einem zurzeit nur schwer überblickbaren Betriebsrisiko. So wurde zum Beispiel der Standard bezüglich des sicheren Umgangs mit Kreditkartendaten um einige „Richtlinien“ zum Thema Virtualisierung erweitert. Die Hersteller von Virtualisierungssoftware sind dabei, diese zu interpretieren und Schützenhilfe für die Diskussion mit den PCI-Auditoren zu geben.

Neben den bereits erwähnten Herausforderungen bezüglich der Prozesse, die eigentlich nicht neu sind, sondern in der Cloud nur schwerer zu kontrollieren, verändert die Einführung der Virtualisierungstechnik aber auch die klassische Rollenverteilung im Betrieb einer ITK-Infrastruktur. Gab es bei den Providern früher eine klare Trennung zwischen einem Netzwerk- oder Firewall-Administrator und einem Server-Administrator, so sind dies nun unter Umständen ausschließlich virtuelle Komponenten – Software-Prozesse auf der gleichen Hardware-Plattform – welche von einem „Cloud-Administrator“ über eine gemeinsame grafische Konsole verwaltet werden. Dies erfordert eine zusätzliche Ausbildung der ehemaligen Netzwerk- oder Server-Administratoren, auch wenn moderne Virtualisierungsplattformen die Vergabe von administrativen Aufgaben an verschiedene Benutzer erlauben. Ein Beispiel ist etwa die Verwaltung der Kunden-Firewall durch den Kunden selbst über das Internet.