Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | VERTRAGSGESTALTUNG
den zu einzelnen Punkten konkrete Werte angegeben, so müssen diese
auch messbar sein, beispielsweise bei den Verfügbarkeitsanforderungen.
Der CSP muss seinen Kunden die Möglichkeit geben, die Einhaltung der
vereinbarten Werte zu überprüfen oder überprüfen zu lassen. Dazu kann
der CSP diese Leistungsparameter seinen Kunden beispielsweise über
spezielle Schnittstellen zugänglich machen.
Wichtig sind auch Regelungen zum Gerichtsstandort, dem anwendbaren
Recht sowie die Vertragssprache. Die Eigentums- und Urheberrechte an
Daten, Systemen, Software und Schnittstellen sind festzulegen.
Es sollten im SLA jedoch auch sicherheitsrelevante Inhalte festgehalten sein.
So­kann­sich­der­CSP­zu­bestimmten­Sicherheitsmaßnahmen­verpfichten­
(z. B.­Nutzung­eines­Intrusion­Prevention­Systems).­Auch­wenn­der­Nutzerdies
nicht sofort überprüfen kann, schafft eine Nennung von Sicherheitsmaßnahmen
Vertrauen gegenüber dem CSP. Ebenso sollten Vertraulichkeitsvereinbarungen
(Non-Disclosure-Agreements) vertraglich vereinbart
werden. Dies kann auch in einem zusätzlichen Security-SLA geschehen.
Setzt ein CSP Subunternehmer zur Erbringung der von ihm angebotenen
Services­ein­(z. B.­wenn­ein­SaaS-Anbieter­IaaS­von­einem­Dritten­nutzt),so
kann vom CSP aus Vertrauen geschaffen werden, indem den Cloud-
Nutzern die relevanten Aussagen zur Informationssicherheit und zur
Dienstgüte aus den SLAs mit Drittanbietern offen gelegt werden.
Im Falle einer Geschäftsverlagerung oder Insolvenz des CSP muss der Kunde
noch auf seine Daten zugreifen können und die Vertraulichkeit der Daten
sowie Verfügbarkeit der Anwendungen und Daten müssen weiter gewährleistet
sein. Das deutsche Insolvenzrecht kennt hier Regelungen, die einzuhalten
sind, um dies zu gewährleisten. Sollte der CSP nicht deutschem Recht
unterliegen, sind die entsprechenden Vorschriften dem Kunden zu erläutern.
Cloud­Computing­Anbieter­sollten­verpfichtet­werden,­nach­Beendigungeines
Auftrags alle gespeicherten Kundendaten inklusive Datensicherungen
dem Kunden zu übergeben und alle gespeicherten Kundendaten zu löschen.
70