Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | SICHERHEITSPRÜFUNG UND -NACHWEIS
Regelmäßige Sicherheitsüberprüfungen müssen sowohl bei Public als auch
bei Private Cloud Diensten durchgeführt werden. Bei Private Clouds können
allerdings typischerweise von den Betreibern die Ergebnisse von Sicherheitsprüfungen­wie­z.B.­Penetrationstests­einfacher­an­die­Anwender­weitergegeben­werden,­da­diese­sich­innerhalb­einer­gemeinsamen­Institution­befnden.
Um die Wirksamkeit vorhandener technischer Sicherheitsmaßnahmen zu
überprüfen, sind Penetrationstests ein erprobtes und geeignetes Vorgehen.
Sie dienen dazu, die Erfolgsaussichten eines vorsätzlichen Angriffs auf
einen Informationsverbund oder ein einzelnes IT-System vorab einzuschätzen
und daraus notwendige ergänzende Sicherheitsmaßnahmen abzuleiten,
bzw. die Wirksamkeit von bereits umgesetzten Sicherheitsmaßnahmen
zu überprüfen. CSPs sollten für die von ihnen betriebenen Netze
und Systeme, Anwendungen regelmäßig Penetrationstests durchführen.
Generell müssen alle Formen von Sicherheitsprüfungen von Personen mit
geeigneten­Qualifkationen­durchgeführt­werden.­Diese­dürfen­jedochnicht
an der Erstellung der geprüften Strategien und Konzepte beteiligt
gewesen­sein,­um­Betriebsblindheit­und­Konfikte­zu­vermeiden.­Die­
Prüfer bzw. Auditoren müssen möglichst unabhängig und neutral sein.
Sicherheitsprüfung und -nachweis
Cloud Service Anbieter müssen den Cloud-
Nutzern regelmäßig über Sicherheitsmaßnahmen,
Änderungen im IT-Sicherheitsmanagement,
Sicherheitsvorfälle, die Ergebnisse durchgeführter
IS-Revisionen und Penetrationstests berichten
Private � Public �
B C+ A+ B C+ A+
� �
Regelmäßige Penetrationstests � �
Regelmäßige Penetrationstests bei Subunternehmen � �
Regelmäßige und unabhängige Sicherheitsrevisionen � � � �
Regelmäßige und unabhängige Sicherheitsrevisionen
bei Subunternehmern
� � � �
61