Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | CLOUD COMPUTING GRUNDLAGEN
Typischerweise haben CSPs zwar ihre Angebote auf bestimmte Arten von
Informationen oder Anwendungen zugeschnitten. Dabei stehen sie aber
vor­der­Herausforderung,­dass­sie­den­spezifschen­Schutzbedarf­der­Kundendaten
nicht kennen. Sie könnten für alle Kundendaten ein hohes oder
sehr hohes Schutzniveau anbieten, aber das dürfte für Daten mit einem
normalen Schutzbedarf zu teuer sein.
Um jedem Cloud-Kunden einen Service anbieten zu können, der Kunden­aus­verschiedenen­Bereichen­sowohl­funktional­als­auch­fnanziellüberzeugt,
sollten CSPs frühzeitig Informationssicherheit gegenüber den
Cloud-Kunden thematisieren. CSPs sollten ihren Kunden darlegen, welche
Sicherheitsmaßnahmen bei ihren Angeboten zum Standardumfang
gehören, welche zusätzlich zugekauft werden können und für welche
Sicherheitsmaßnahmen die Kunden selbst verantwortlich sind. Dies hilft
auch, Missverständnissen vorzubeugen. So werden hohe Schäden, die
von Zwischenfällen wie Datenverlusten verursacht werden, oft dem CSP
angelastet, obwohl es der Cloud-Kunde war, der nicht für ausreichende
Sicherheit seiner Daten gesorgt hatte, weil er ein zu niedriges Schutzniveau
gewählt hat bzw. ein zu hohes Risiko eingegangen ist.
Deshalb ist es auch für den CSP essentiell, dass der Cloud-Kunde den
Schutzbedarf der ausgelagerten Informationen oder Anwendungen kennt
bzw. sich im Klaren über das gebotene Schutzniveau ist. So kann der CSP
dem Kunden auch mögliche Sicherheitsvorteile deutlich machen, die sich
durch die Nutzung von Cloud-Diensten ergeben können.
Schon im Rahmen der strategischen Entscheidung, ob und in welcher
Form ein Cloud Service eingesetzt wird, müssen daher die sicherheitsrelevanten
Rahmenbedingungen vom Nutzer vorher herausgearbeitet werden.
Dies gilt ebenso für Public wie für Private Clouds, und dort genauso
jeweils­für­IaaS,­PaaS­und­SaaS.­­Hierzu­gehören­u. a.­folgende­Schritte:
»­ ­Strukturanalyse­von­IT-Systemen­(z. B.­bei­IaaS)­und­Anwendungen,­umeine­Abgrenzung­zu­ermöglichen­und­alle­Schnittstellen­zu­identifzieren
20