Sicherheit in der Cloud
Die meisten Unternehmen tappen im Dunkeln
In immer mehr Unternehmen kommen Cloud-Services zum Einsatz. Das Thema Cloud-Sicherheit wird jedoch von vielen Firmen nach wie vor deutlich unterschätzt.
Der TÜV Trust IT kommt jetzt zu der niederschmetternden Einschätzung, dass vielen Unternehmen die Komplexität der Sicherheitsanforderungen beim Einsatz von Cloud-Services nur unzureichend bewusst ist. Dabei muss beim Einsatz von Cloud-Lösungen einiges beachtet werden. Das beginnt bereits bei der Auswahl eines passenden Providers. So gehört es beispielsweise zu den Pflichtanforderungen, dass der Cloud-Provider ein IS-Risikomanagementsystem mit entsprechenden Maßnahmen etabliert hat und eine kontinuierliche Bewertung der Risikosituation vornimmt.
Darüber hinaus müssen Informationen und Dokumente in Bezug auf ihr Schutzniveau klassifiziert und gekennzeichnet werden. Auch angemessene Geheimhaltungsvereinbarungen für Mitarbeiter und Dritte sind erforderlich. Die Verträge müssen zudem den Schutz aller Vermögenswerte der Organisation garantieren, was insbesondere für den Datenaustausch und die Sicherheitsmechanismen gilt.
Viele Firmen berücksichtigen auch nicht, dass differenzierte Richtlinien und Verfahrensweisen für die Gerätewartung erforderlich sind, um die Kontinuität und Verfügbarkeit des Betriebs sicherzustellen. So ist beispielsweise eine Backup-Strategie vonnöten, in der die Anforderungen an Backup-Frequenzen, Auswahl der Backup-Medien sowie Lokation der Backup-Systeme abgebildet sind. Auch Rücksicherungen in regelmäßigen Abständen sollten berücksichtigt werden.
Auch im Notfall muss alles reibungslos funktionieren. Dem Thema Notfallmanagement (Business Continuity Management) sollten Firmen deshalb hohe Beachtung schenken. Die Experten empfehlen, dass dessen dokumentierte Pläne sollten einen hohen Detaillierungsgrad aufweisen und regelmäßig getestet und validiert werden. Nicht vergessen werden darf auch, dass die Prozesse, IT-Systeme und Infrastruktur des Cloud-Providers transparent und differenziert dokumentiert sind.
Für das Netzwerkmanagement wiederum müssen dokumentierte Richtlinien und Verfahrensanweisungen mit Zugriffskontrolle, Zugängen, Segmentierung, Routing, Logging etc. vorhanden sein. »Dies sind jedoch nur Beispiele eines umfassenden Analyse-Spektrums«, sagt Stefan Möller, Leiter Vertrieb der TÜV Trust IT. Dazu gehören auch zahlreiche andere Aspekte wie die Reglementierung des Zugriffs auf Source-Codes, Vorgaben für die Verschlüsselung zum Schutz sensibler Daten oder die Festlegung der Kundenkommunikationsprozesse, in der alle Datenschutzbelange geregelt sind.
Lesen Sie mehr zum Thema
