Sicherheit für die Cloud
Praxis-Tipp: Security von Cloud-Computing-Diensten sicherstellen
Fortsetzung des Artikels von Teil 1
Auch Ausstiegsszenarien festlegen
5. Sicherheitsarchitektur erarbeiten: Arbeitsteilung und Schnittstellen zwischen dem Provider und dem eigenen Unternehmen detailliert festlegen. Dabei prüfen, ob die die technischen und organisatorischen Sicherheitsmaßnahmen Lücken aufweisen und diese schließen.
6. Prozesse definieren: Prozesse für Reporting, Incident-Management und Audits beim Dienstleister festschreiben. Hier liegt in der Praxis ein extrem hohes Konfliktpotenzial, Stichwort »Verantwortung abschieben«.
7. Anbieter prüfen: Im Vorfeld genau prüfen, oder der Service-Provider die geforderten beziehungsweise zugesagten Leistungen auch tatsächlich erbringen kann. Ein wichtiger Punkt: Nachhaken, ob der Provider Subunternehmen einsetzt. Wenn ja, kann dies das Risiko erhöhen.
8. Die Einhaltung regulatorischer Anforderungen durch den Provider klären: Hier ist beispielsweise festzulegen, wie der Anbieter mit (sensiblen) Daten umzugehen hat, Stichwort Datenschutz. Dabei ist zu berücksichtigen, dass es in den einzelnen Ländern unterschiedliche Regelungen gibt, die das Speichern von personenbezogenen Informationen oder Geschäftsdaten regeln. Diese Vorgaben müssen in den Vertrag mit dem Provider aufgenommen werden.
9. Messbare Serviceniveaus festlegen: Für sicherheitsrelevante Kriterien sollen nur solche Service-Level vereinbart werden, die sich messen lassen. Ein Beispiel: ein Prozentsatz, der die Verfügbarkeit eines Services definiert (99,99 Prozent). Die vorgeschlagene Messmethode muss sorgfältig geprüft werden.
10. Ausstiegsszenario fixieren: Der Kunde sollte im Vorfeld festlegen, wie die Ausstiegsbedingungen im Falle eines Provider-Wechsels aussehen. Ein »Vendor-Lock-in« kann laut Experton Group den Nutzer von Cloud-Services im Ernstfall teuer zu stehen kommen.
Noch ein Hinweise: Der Beitrag »Praxis IT-Provider-Management: Auf den richtigen Vertrag kommt es an« geht detailliert auf Punkte ein, die beim Abschluss eines Vertrages mit I-Service-Providern zu beachten sind.
- Praxis-Tipp: Security von Cloud-Computing-Diensten sicherstellen
- Auch Ausstiegsszenarien festlegen
