Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | ID- UND RECHTEMANAGEMENT
5 ID- und Rechtemanagement
Die Identitäts- und Berechtigungsverwaltung ist ein wichtiger Bestandteil
der Zugriffskontrolle. Ein CSP muss diese mit geeigneten organisatorischen,
personellen und technischen Maßnahmen absichern. Daher sollte
die Identitätsverwaltung von jeder Cloud Computing Plattform unterstützt
werden. Die Unterstützung kann darauf basieren, dass ein Serviceanbieter
selbst dem Kunden ein ID-Management anbietet oder Schnittstellen
zu externen Identitätsanbietern bereitstellt. Für beide Modelle,
Serviceanbieter mit oder ohne integriertem ID-Management, werden im
Folgenden die Themen Authentisierung und Autorisierung näher betrachtet,
die in Cloud Computing Plattformen abgebildet werden müssen.
Authentisierung
Hardware, Software und Services werden beim Cloud Computing von
vielen Nutzern in Anspruch genommen. Aufgabe des Identitäts- und
Berechtigungs-Managements ist es, dafür zu sorgen, dass nur befugte
Personen die IT-Ressourcen nutzen können. Der Zugriff auf alle IT­
Systeme­oder­Dienste­muss­durch­Identifkation­und­Authentikationder
zugreifenden Benutzer oder IT-Systeme abgesichert werden. Für
sicherheitskritische Anwendungsbereiche sollte starke Authentisierung
verwendet werden, also Zwei-Faktor-Authentisierung, wie es zum Beispiel
beim Online-Banking üblich ist. Netzzugriffe sollten grundsätzlich über
eine starke Authentisierung abgesichert werden. Diese hohen Anforderungen
gelten insbesondere für die Mitarbeiter des CSP: Sie sollten ebenfalls
nur über eine starke Authentisierung Zugriff auf die zu administrierenden
IT-Ressourcen­erhalten,­also­z. B.­über­eine­Hardware-basierte­Authentisierung
mit Chipkarten oder USB-Sticks oder über Einmal-Passwörter, die
auch von Hardwaregeräten generiert werden können. Dies ist für Zugriffe
über das Internet absolut unumgänglich. Greift ein CSP-Administrator
aus einem gesicherten Firmennetz über ein VPN, für das er sich bereits
mit zwei Faktoren authentisieren musste, auf die Systeme beim CSP zu,
dann kann in diesem Fall auf eine erneute Zwei-Faktor-Authentisierung
verzichtet werden.
Auch Servicekonsumenten sollten bei hohen Anforderungen an die Sicherheit
der bereitgestellten Services nur nach einer starken Authentisierung
43