172
Sicherer Transfer der Daten in die Cloud
Neben der sicheren, isolierten Aufbewahrung der Daten spielt der sichere
Transport der Daten (z.B. SSH, IPSec, TLS/SSL, VPN) vom Kunden in die Cloud
und zwischen den Cloud‐Rechenzentren eine wichtige Rolle.
Sichere Datenverarbeitung
Bei der Datenverarbeitung ist es besonders wichtig, alle Zugriffe und alle
Aktivitäten z.B. in den Speicherdiensten und Cloud‐Anwendungen zu
überwachen und zu protokollieren, um die Angriffe zu erkennen.
Beispielsweise könnten Zugriffe zu ungewöhnlichen Zeiten bzw. von
ungewöhnlichen Orten aus ein Indiz für Angriffe sein.
Des Weiteren spielen Portabilität und Interoperabilität eine wichtige Rolle,
um die Gefahren eines Vendor Lock‐ins, d.h. die zwangsweise Bindung an
einen Anbieter aufgrund von Kompatibilitätsproblemen der Systeme bei
einem Wechsel, zu minimieren. Dafür müssen Exit‐Vereinbarungen mit dem
Cloud‐Anbieter mit zugesicherten (Standard‐)Formaten unter Beibehaltung
aller logischen Relationen getroffen werden.
Sicherer Zugang zu den Cloud‐Diensten
Nicht nur die Daten selbst, sondern auch Zugangsdaten für Cloud‐Dienste
oder eigene Anwendungen müssen geschützt werden. Zugangsdaten sollten
einerseits verschlüsselt übertragen und andererseits regelmäßig
rotiert/geändert werden. Eine regelmäßige Rotation minimiert die Gefahren
durch Kompromittieren der Zugangsdaten und bewirkt gleichzeitig einen
Zusatzschutz in der Verwaltung der Zugangsrechte, z.B. wenn Mitarbeiter
das Unternehmen verlassen, Zugangsrechte aber nicht gelöscht wurden.
Im Allgemeinen sollten starke Authentifizierungen (z.B. eine Zwei‐Faktor‐
Authentifizierung) einfachen Authentifizierungsmechanismen (z.B.
Nutzername und Passwort) vorgezogen werden. Bei den Cloud‐Lösungen
wie auch bei klassischer On‐Premise‐IT sollten die Zugriffsrechte individuell
nach dem Need‐to‐Know‐Prinzip vergeben werden, und die vergebenen
Rollen und Rechte sind regelmäßig zu überprüfen.
Darüber hinaus sollten die „Best Practices“ im Bereich der
Schlüsselverwaltung genutzt werden:
kein Zugriff der Administratoren auf die Schlüssel;
keine Offenlegung von Schlüsseln im Klartext;
