Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | SICHERHEITSPRÜFUNG UND -NACHWEIS
10 Sicherheitsprüfung und
-nachweis
Ein Bestandteil jedes erfolgreichen Informationssicherheitsmanagements ist
die regelmäßige Überprüfung der etablierten Sicherheitsmaßnahmen und
des Informationssicherheits-Prozesses. Cloud Service Anbieter müssen regelmäßig
den IT-Sicherheitszustand ihrer Geschäftsprozesse, Dienste und ihrer
Plattformen überprüfen und kontinuierlich verbessern und weiterentwickeln.
Es bietet sich an, regelmäßig Reviews und Prüfungen durch unabhängige
Dritte durchführen zu lassen, um Betriebsblindheit zu vermeiden und
entsprechende Prüfnachweise den Cloud-Nutzern zur Verfügung stellen.
Auf der Basis einer Informationssicherheitsrevision (IS-Revision) können
Aussagen über die wirksame Umsetzung von Sicherheitsmaßnahmen sowie
deren Aktualität, Vollständigkeit und Angemessenheit und damit über
den aktuellen Zustand der Informationssicherheit getroffen werden. Die
IS-Revision ist somit ein Werkzeug zum Feststellen, Erreichen und Aufrechterhalten
eines angemessenen Sicherheitsniveaus in einer Institution.
Die Kernforderung an die CSPs nach Sicherheitsprüfung und -nachweis
hat verschiedene Facetten:
» Ergebnisse der von CSPs selbst durchgeführten Sicherheitstests sollten
in geeigneter Form veröffentlicht werden.
» Die Kunden haben ein berechtigtes Interesse daran, eigene
Sicherheitsprüfungen durchzuführen oder Dritte in ihrem Auftrag
durchführen zu lassen.
Nutzt ein CSP Subunternehmen zur Erbringung seiner Services, so entlässt­ihn­dies­nicht­von­der­Verpfichtung,­die­Sicherheit­dieser­Dienste­zuüberprüfen,
da der CSP gegenüber seinen Kunden für die Gesamtsicherheit
seines Angebots verantwortlich und dies nicht auf Subunternehmer
übertragen kann. In einem solchen Fall muss der CSP die erforderlichen
Nachweise aller notwendigen Sicherheitsprüfungen von seinen Subunternehmern
einfordern. Generell sollten durchgeführte Sicherheitsprüfungen
so dokumentiert werden, dass es möglich ist, diese bei Bedarf an seine
Kunden weitergeben zu können, sowohl die Nachweise beim CSP selber
als auch bei dessen Subunternehmen.
60