Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | ID- UND RECHTEMANAGEMENT
(z. B.­Zwei-Faktor-Authentisierung)­auf­die­Dienste­zugreifen­können,­wennder
Zugang zum genutzten Dienst direkt über das Internet erfolgt. Greift ein
Kunde über ein VPN aus dem abgesicherten Kundennetz auf die Cloud-
Dienste zu, für das er sich mit zwei Faktoren authentisieren muss, ist eine
zusätzliche Zwei-Faktor-Authentisierung zur Nutzung der Cloud Services
nicht zwingend erforderlich.
Bei verschlüsselter Kommunikation zwischen CSP und Servicekonsumenten,
wie im Abschnitt 4.3 gefordert, kann zur Erhöhung der Sicherheit
der Zugriff auf die Services auf bestimmte IP-Adressen oder Domains
beschränkt werden.
Ein weiteres Thema, das beim Cloud Computing eine Schlüsselrolle spielt,
ist die Föderation von Identitäten bei der Authentisierung von Unternehmenskunden,
bei der Bereitstellung von Single-Sign-On-Lösungen (SSO)
und dem Austausch von Identitätsattributen zwischen dem Serviceanbieter
und den Identitätsanbietern. Im Unternehmensumfeld sind SAML oder
WS-Federation­weit­verbreitet,­wobei­SAML­deutlich­häufger­eingesetztwird.
Die Alternative zu SAML und WS-Federation ist eine SSO-Lösung, die
über einen gesicherten VPN-Tunnel eingesetzt wird. Der weitverbreitete
SAML-Standard­wird­häufg­in­den­Versionen­1.1­und­2.0­eingesetzt.­Nach­
Möglichkeit sollte SAML 2.0 unterstützt werden, da in diesem Standard
verschiedene proprietäre Erweiterungen integriert wurden und damit eine
breite Basis an Einsatzszenarien adressiert werden kann.
Autorisierung
Das Rechtemanagement muss gewährleisten, dass jede Rolle nur die
Daten (auch Metadaten) sehen darf, die zur Erfüllung der Aufgabe notwendig
sind. Die Zugriffskontrolle sollte rollenbasiert erfolgen und die
eingerichteten Rollen und Berechtigungen sollten regelmäßig überprüft
werden. Generell sollte das Least Privilege Model genutzt werden, Benutzer
und CSP-Administratoren sollten nur die Rechte besitzen, die sie zur
Erfüllung ihrer Aufgaben benötigen. Besonderes Augenmerk sollte dabei
auf privilegierte Benutzer gerichtet werden. Handelt es sich bei einer
44