Sicherheitsempfehlung für Cloud Computing Anbieter

12 Vertragsgestaltung
CLOUD COMPUTING | VERTRAGSGESTALTUNG
Die genauen Modalitäten der Nutzung von Cloud Services sollten klar
geregelt werden. Dazu gehören neben der Beschreibung der gewünschten
Leistungen inklusive Dienstgütevereinbarungen unter anderem die Klärung
von Punkten wie Ansprechpartnern, Reaktionszeiten, IT-Anbindung,
Kontrolle der Leistungen, Ausgestaltung der Sicherheitsvorkehrungen,
Umgang mit Kundendaten und Weitergabe von Informationen an Dritte.
12.1 Transparenz
Nur wenn der CSP seinen Kunden überzeugend darlegen kann, wie und
unter welchen Rahmenbedingungen er arbeitet, können die Kunde das notwendige­Vertrauen­in­den­CSP­aufauen,­jenseits­der­technischen­Maßnahmen,
die der CSP ergreift. Insbesondere Public Cloud Provider stehen hier in
der­Pficht,­dem­Kunden­die­notwendigen­Informationen­zu­liefern.
Zunächst müssen Cloud Service Anbieter ihre Vertrags- und Geschäftsbedingungen
nachvollziehbar offenlegen. Vor allem sollte transparent sein, welche
Eingriffe der Cloud Service Anbieter oder Dritte in Daten und Verfahren der
Kunden vornehmen dürfen. Zu den Vertragsgrundlagen gehören auch Service
Level Agreements (SLAs), in denen unter anderem der Umfang der angebotenen
Dienste, Verfügbarkeitsanforderungen, Reaktionszeiten, Rechenleistung,
zur Verfügung stehender Speicherplatz und Support geregelt sind.
Cloud Service Anbieter müssen ihren Kunden offen legen, an welchen
Standorten (also in welchen Ländern und welchen Regionen) die Daten
gespeichert und verarbeitet werden. Hierbei spielt weniger die geographische
Entfernung eine Rolle, als die Frage, was für Auswirkungen die Standortwahl
auf die angebotenen Dienste und die gespeicherten Daten haben
kann. Sehr wichtig ist auch, wie die jeweiligen Standorte abgesichert sind
und wie der Zugriff auf die Kundendaten durch Dritte geregelt ist.
Je nach Standort der CSP-Rechenzentren sind diverse gesetzliche Rahmenbedingungen
zu beachten. In einigen Ländern dürfen beispielsweise
kryptographische Verfahren nicht ohne Genehmigung eingesetzt werden.
Dies kann dazu führen, dass der CSP zwar Verschlüsselung einsetzen kann,
aber unter Umständen staatlichen Stellen den Zugriff ermöglichen muss.
67