Um die Sicherheit ihrer Daten und Applikationen nicht zu gefährden, sollten sich Unternehmen vor einer Cloud-Migration vier wesentliche Fragen stellen. Welche das sind und wie die richtigen Antworten lauten, das erfahren Sie in diesem Dokument.
Inhalt:
Cloud Computing ist heute zum Hauptbestandteil nahezu jeder Transformationsstrategie geworden. Die Flexibilität, Skalierbarkeit und Robustheit verteilter Cloud-Ressourcen erlaubt es Unternehmen, sich auf ihre Kernziele zu konzentrieren und in unsicheren Zeiten schnell und agil auf Veränderungen reagieren zu können.
Vor der Migration von Daten und Applikationen in eine Cloud-Infrastruktur sollten sich Unternehmen jedoch sorgfältig Gedanken machen und einige wichtige Fragen beantworten. Schließlich ist jedes Unternehmen anders und hat ganz individuelle Anforderungen. aber auch Cloud-Umgebungen unterscheiden sich erheblich in ihrer Leistungsfähigkeit, den Kosten und den Managementanforderungen. Vor allem aber darf der Schritt in die Cloud nicht zu Sicherheitsproblemen führen.
Dieses Dokument geht auf die wichtigsten Fragen ein, die sich Unternehmen für eine sichere Cloud-Migration stellen sollten. Es sind im Wesentlichen die folgenden:
- Wer ist für die Cloud-Migration verantwortlich?
- Was ist zu tun?
- Wann sind Security-Maßnahmen notwendig?
- Wo sind diese zu implementieren?
Originalauszug aus dem Dokument:
Die Entscheidung für eine Cloud-Strategie bzw. für einen Provider können Unternehmen nicht allein auf Grundlage technischer Erwägungen treffen, denn durch die DSGVO und andere Regelwerke werden Speicherung und Verarbeitung bestimmter Daten (z.B. Kundendaten und andere personenbezogene Informationen) streng reglementiert. Dabei ist zwischen der Private und der Public Cloud zu unterscheiden: Die Private Cloud steht ganz unter der Aufsicht des Unternehmens, das damit auch alleine die volle Verantwortung für die gesamte Sicherheit und Compliance tragen muss. Bei der Public Cloud wird die Verantwortung hingegen zwischen Kunde und Provider geteilt (Modell der geteilten Verantwortung). Das Unternehmen muss sich dementsprechend nur um die Sicherheit und Compliance im eigenen Aufgabenbereich kümmern, was den Aufwand stark reduziert. Dabei ist aber eine genaue Prüfung der folgenden Kriterien anzuraten:
Vertragliche Konditionen: Dem Unternehmen muss klar sein, von welchem Cloud Provider zu welchen vertraglichen Konditionen die Cloud-Services erbracht werden. Dazu gehören Person und Sitz des Cloud Providers sowie anwendbares Recht, Gewährleistung und Haftung, Service Levels, Einschaltung von Unterauftragnehmern und Rückmigration bei Vertragsende.
Sicherheit und Datenschutz: Wenn es speziell um die Speicherung und Verarbeitung datenschutzrelevanter Daten geht, sollte ein Cloud-Rechenzentrum innerhalb der EU gewählt werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zudem einen Anforderungskatalog (Cloud Computing Compliance Controls Catalogue – kurz: C5) aufgestellt, mit dem die Sicherheit von Cloud-Diensten beurteilt werden kann.