Sicherheitsempfehlung für Cloud Computing Anbieter

1.5
CLOUD COMPUTING | EINLEITUNG
Jeder CSP muss daher in einer Risikoanalyse ermitteln, welche Gefährdungen
für die von ihm betriebenen Dienste aktuell und relevant sind,
welche Auswirkungen diese haben können und wie die erkannten Risiken
behandelt­werden­sollen,­beispielsweise­durch­spezifsche­Sicherheitsmaßnahmen.
In abgespeckter Form müssen auch Cloud-Nutzer die Risiken
bewerten, die für sie durch eine Verlagerung von Daten oder Anwendungen
in die Cloud entstehen können. Die in diesem Eckpunktepapier vorgelegten
Sicherheitsempfehlungen bilden ein Rahmenwerk, um die aus Sicht des BSI
kritischen Bereiche beim Cloud Computing zu adressieren.
Bei der Risikobetrachtung steht ein CSP vor der Herausforderung, dass er den
Wert bzw. den Schutzbedarf der Kundendaten meist im Vorfeld nicht kennt.
Ein Ausweg wäre, für alle Kunden und ihre Daten ein hohes oder sehr hohes
Schutzniveau anzubieten. Dies ist aber erfahrungsgemäß für Daten mit einem
normalen Schutzbedarf zu teuer. CSPs sollten das Thema Informationssicherheit
frühzeitig gegenüber ihren Kunden ansprechen. Informationssicherheit
gehört mit zu den wesentlichen Entscheidungsgründen von Kunden, wenn es
um die Auswahl von Cloud Service Anbietern und konkreter Cloud-Dienstleistungen
geht. Daher sollten CSPs ihren Kunden darlegen, wie gut sie in puncto
Informationssicherheit aufgestellt sind. Dazu gehört, dass sie den Kunden
aufzeigen, welche Sicherheitsmaßnahmen bei ihren Angeboten zum Standardumfang
gehören und welche optional erhältlich sind, aber sie sollten die
Kunden auch darauf hinweisen, welche Sicherheitsmaßnahmen diese selber
ergreifen müssen.
Thematische Abgrenzung der BSI-Sicherheitsempfehlungen
In diesem Dokument liegt der Schwerpunkt auf Sicherheitsbetrachtungen
der Cloud-basierten Verarbeitung von Informationen, die einen normalen
bis­hohen­Schutzbedarf­haben,­wie­z. B.­frmenvertrauliche­Informationen,schützenswerte
personenbezogene Daten. Die Festlegung des Schutzbedarfs
von Informationen, Anwendungen und IT-Systemen orientiert sich an den
Schutzbedarfskategorien nach IT-Grundschutz (siehe BSI-Standard 100-2
[1]). Der Schutz von Informationen, die als staatliche Verschlusssache eingestuft
wurden, wird in diesem Dokument nicht explizit betrachtet.
11