Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | SICHERHEITSARCHITEKTUR
gelingen, wenn der gesamte Software-Stack der Plattform professionell
und sicher entwickelt bzw. weiterentwickelt wird. Typischerweise setzen
CSPs nicht nur eine Vielzahl verschiedener Software-Komponenten ein,
sondern entwickeln diese auch weiter, um die Dienste der Laufzeit-Umgebung
ihren Kunden optimal bereitstellen zu können. Bei der Software-
Entwicklung muss jeder CSP Sicherheit als festen Bestandteil des Software
Development Life Cycle Prozess (SDLC-Prozess) etabliert haben. Sicherheitsaspekte
müssen in allen Phasen des Software-Entwicklungsprozesses
berücksichtigt werden und es dürfen nur Programme bzw. Module zum
Einsatz kommen, die ordnungsgemäß getestet und auch seitens der
Sicherheitsverantwortlichen des CSP freigegeben wurden.
Software, die von den Kunden entwickelt wird, benötigt nicht nur eine
sichere Basis (die vom CSP zu stellen ist), sondern auch dabei müssen
Sicherheitsaspekte beachtet werden. Es ist zu empfehlen, dass der CSP
entsprechende Anwenderrichtlinien für Kunden zur Erstellung von
sicheren Anwendungen bereitstellt, damit durch die von Kunden selbstentwickelten
Programme gewisse Mindestanforderungen an Sicherheit,
Dokumentation und Qualität erfüllt werden. Dies ist nicht nur hilfreich
für die Kunden, sondern unterstreicht auch die Kompetenz des Providers
und reduziert die Gefahr, dass Sicherheitslücken in Kundensoftware andere
Kunden beeinträchtigen.
Wenn der CSP zur Bereitstellung der Plattform-Dienste auch Drittdienstleister
hinzuzieht, so gelten diese Anforderungen gleichermaßen auch für
sie. Neben Code Reviews sollten zusätzlich auch automatische Review-Tools
eingesetzt sowie Vulnerability Tests durchgeführt werden. Automatische
Review-Tools­können­beispielsweise­häufg­vorkommende­Programmierfehler,
wie Endlosschleifen oder Null-Pointer-Exceptions, erkennen. Bei
höherem Schutzbedarf sollte der CSP auch den von den Kunden selbstentwickelten
Code automatisch auf Schwachstellen überprüfen.
Bei PaaS teilen sich mehrere Kunden eine gemeinsame Plattform, um
Software auszuführen. Eine sichere Isolierung der Kunden-Anwendungen
sollte gewährleistet werden, beispielsweise unter Anwendung von Sandboxing
Technologien. Eine strikte Isolierung der Kundenbereiche trägt
35