Security-Analyse von Cloud-Computing Mathias Ardelt

Kapitel 3: Security-Analyse von Cloud-Computing 57
zum Beispiel eine Explosion oder Feuer in einem Rechenzentrum das andere Rechenzentrum
nicht beeinflussen kann.
Das BSI definiert jedoch keine Möglichkeiten, dass diese physischen Sicherheitsmaßnahmen
von den Cloud-Kunden überprüft werden können. Hierfür könnte
definiert werden, dass das Rechenzentrum entweder von den Cloud-Kunden
persönlich besichtigt werden kann oder dass die physischen Sicherheitsmaßnahmen
des Rechenzentrums von unabhängigen Parteien überprüft werden können.
G11 Unbekannte Sicherheitsmechanismen
Zusammenfassung der Gefahr
Bei dem Einsatz von Cloud-Computing sind die eingesetzten Sicherheitsmaßnahmen
unbekannt. Cloud-Provider legen absichtlich nicht ihre Sicherheitsmaßnahmen
offen, um sich und ihre Kunden vor gezielten Angriffen zu schützen.
Analyse der BSI-Mindestsicherheitsanforderungen an Cloud-Computing-
Anbieter
Sicherheitsprüfung und –nachweis B Vt+ Vf+
Der Cloud-Anbieter muss dem Cloud-Nutzer regelmäßig berichten
✓
über Sicherheitsmaßnahmen, Änderungen im IT-
Sicherheitsmanagement, über Sicherheitsvorfälle, über die Ergebnisse
durchgeführter IS-Revisionen und Penetrationstests.
Auch im Falle einer drohenden Insolvenz ist der Cloud-Nutzer
zu unterrichten.
Regelmäßige Penetrationstests
✓
Regelmäßige Penetrationstests bei Subunternehmen
✓
Regelmäßige und unabhängige Sicherheitsrevisionen ✓ ✓
Regelmäßige und unabhängige Sicherheitsrevisionen bei Subunternehmern
✓ ✓
Tabelle 12: BSI-Auszug „Sicherheitsprüfung und –nachweis“ 69
69 BSI: BSI-Mindestsicherheitsanforderungen an Cloud-Computing-Anbieter – Entwurf, S. 12