Eckpunktepapier Sicherheitsempfehlungen CloudComputing Anbieter

  • View
    20

  • Download
    0

Embed Size (px)

DESCRIPTION

Sicherheitsempfehlungen zur Cloud-Security

Text of Eckpunktepapier Sicherheitsempfehlungen CloudComputing Anbieter

  • Eckpunktepapier

    Sicherheitsempfehlungen fr Cloud Computing Anbieter Mindestanforderungen in der Informationssicherheit

  • CLOUD COMPUTING | INHALT

    Inhaltsverzeichnis

    Vorwort 3

    Das BSI im Dienst der ffentlichkeit 5

    1 Einleitung 8

    1.1 Motivation 8 1.2 Zielsetzung 9 1.3 Adressatenkreis 10 1.4 Anwendungsweise 10 1.5 Thematische Abgrenzung der

    BSI-Sicherheitsempfehlungen 11

    2 Cloud Computing Grundlagen 14

    2.1 Was ist Cloud Computing? 14 2.2 Was unterscheidet eine Public Cloud

    von einer Private Cloud? 16 2.3 Welche verschiedenen Servicemodelle werden

    im Cloud Computing angeboten? 17 2.4 Was unterscheidet Cloud Computing von

    klassischem IT-Outsourcing? 18 2.5 Strategische Planung der Cloud Computing

    Services durch den Nutzer 19

    3 Sicherheitsmanagement beim Anbieter 23

    4 Sicherheitsarchitektur 28

    4.1 Rechenzentrumssicherheit 28 4.2 Server-Sicherheit 30 4.3 Netzsicherheit 32 4.4 Anwendungs- und Plattformsicherheit 34 4.5 Datensicherheit 37 4.6 Verschlsselung und Schlsselmanagement 39

    5 ID- und Rechtemanagement 43

    1

  • CLOUD COMPUTING | INHALT

    6 Kontrollmglichkeiten fr Nutzer 47

    7 Monitoring und Security Incident Management 49

    8 Notfallmanagement 53

    9 Portabilitt und Interoperabilitt 57

    10 Sicherheitsprfung und -nachweis 60

    11 Anforderungen an das Personal 63

    12 Vertragsgestaltung 67

    12.1 Transparenz 67 12.2 Service Level Agreement (SLA) 69

    13 Datenschutz und Compliance 73

    13.1 Datenschutz 73 13.2 Compliance 75

    14 Ausblick 79

    15 Glossar 82

    16 Referenzen 86

    17 Dankesworte 89

    2

  • CLOUD COMPUTING | VORWORT

    Vorwort

    Minimierte Risiken beim Cloud Computing

    Cloud Computing hat das Potential, die Bereitstellung und Nutzung von Informationstechnologie nachhaltig zu verndern. Damit IT-Dienstleistungen aus der Cloud jedoch zuverlssig genutzt werden knnen, ist die Informationssicherheit einer der Schlsselfaktoren. Um im Hinblick auf Sicherheit beim Cloud Computing eine tragfhige Basis zu schaffen, hat das Bundesamt fr Sicherheit in der Informationstechnik (BSI) im September 2010 einen praxisnahen Austausch angeregt. Sowohl Anbieter entsprechender Lsungen als auch deren Anwender sowie Sicherheitsexperten waren aufgerufen, das vom BSI verffentlichte Eckpunktepapier mit Mindestanforderungen an die Informationssicherheit beim Cloud Computing zu diskutieren.

    Nicht nur die klassischen Angriffsszenarien sind fr Cloud-Systeme relevant. Hinzu kommen spezielle Charakteristika wie etwa die Tatsache, dass sich mehrere Nutzer eine gemeinsame IT-Infrastruktur teilen. Zudem stellt die dynamische Verteilung der IT-Leistung ber mehrere Standorte hinweg eine besondere Herausforderung dar.

    Die zahlreichen Rckmeldungen der Branche auf diese BSI-Initiative haben gezeigt, dass sich der Ansatz einer gemeinsamen, praxisorientierten Diskussion von Anbietern und Anwendern bewhrt hat: Das Eckpunktepapier wurde von den Marktteilnehmern weitgehend positiv aufgenommen. Das belegen die zahlreichen Anfragen genauso wie die vielen konstruktiven Kommentare. Die Ergebnisse dieser Diskussion sind nun in dem vorliegenden Band dokumentiert.

    Ziel des BSI ist es, gemeinsam mit den Beteiligten sinnvolle und angemessene Sicherheitsanforderungen an das Cloud Computing zu entwickeln, die einen Schutz von Informationen, Anwendungen und Systemen gewhrleisten. Diesem Ziel sind wir ein gutes Stck nher gekommen. Die im Folgenden beschriebenen Mindestanforderungen sind skalierbar in Richtung Verfgbarkeit und Vertraulichkeit. Sie bieten eine methodische Grundlage, um

    3

  • CLOUD COMPUTING | VORWORT

    einerseits weitere Aspekte integrieren zu knnen und um sie kontinuierlich an sich verndernde Gegebenheiten anzupassen. Andererseits bilden sie eine gute Basis in den Diskussionen auf internationaler Ebene. Internationale StandardsbildendieZertifizierungsgrundlagefrdieAspekteInteroperabilitt und Informationssicherheit. Erst auf dieser Basis wird sich fr Anwender die Mglichkeit erffnen, sich von den unterschiedlichen Cloud-Angeboten ein umfassendes, verlssliches Bild zu machen. Als nchsten Schritt planen wir, Cloud Computing in die IT-Grundschutz-Vorgehensweise des BSI einzuarbeiten.

    Denn nur, wenn die entsprechenden Dienstleistungen auf hohem Sicherheitsniveau bereitgestellt werden, lassen sich die Potentiale von Cloud-LsungenwiehoheFlexibilittundEffizienz,aberauchsinkendeKosten bei der Bereitstellung und Nutzung von Informationstechnologie wirklich nutzen.

    Ich wnsche Ihnen eine aufschlussreiche Lektre.

    Michael Hange Prsident des Bundesamtes fr Sicherheit in der Informationstechnik

    4

  • CLOUD COMPUTING | DAS BSI IM DIENST DER FFENTLICHKEIT

    Das BSI im Dienst der ffentlichkeit

    Das Bundesamt fr Sicherheit in der Informationstechnik wurde am 1. Januar 1991 mit Sitz in Bonn gegrndet und gehrt zum Geschftsbereich des Bundesministeriums des Innern.

    Mit seinen derzeit rund 550 Mitarbeiterinnen und Mitarbeitern und 62 Mio. Euro Haushaltsvolumen ist das BSI eine unabhngige und neutrale Stelle fr alle Fragen zur IT-Sicherheit in der Informationsgesellschaft.

    Als zentraler IT-Sicherheitsdienstleister des Bundes ist das BSI operativ fr den Bund, kooperativ mit der Wirtschaft und informativ fr den Brger ttig.

    Durch die Grundlagenarbeit im Bereich der IT-Sicherheit bernimmt das BSI als nationale IT-Sicherheitsbehrde Verantwortung fr unsere Gesellschaft und ist dadurch eine tragende Sule der Inneren Sicherheit in Deutschland.

    Ziel des BSI ist der sichere Einsatz von Informations- und Kommunikationstechnik in unserer Gesellschaft. IT-Sicherheit soll als wichtiges Thema wahrgenommen und eigenverantwortlich umgesetzt werden. Sicherheitsaspekte sollen schon bei der Entwicklung von IT-Systemen und -Anwendungen bercksichtigt werden.

    5

  • CLOUD COMPUTING | DAS BSI IM DIENST DER FFENTLICHKEIT

    Das BSI wendet sich mit seinem Angebot an die Anwender und Hersteller von Informationstechnik. Zielgruppe sind die ffentlichen Verwaltungen in Bund, Lndern und Kommunen sowie Privatanwender und Unternehmen.

    Das Eckpunktepapier zum Cloud Computing gibt einen kompakten berblick ber die wichtigsten organisatorischen, personellen, infrastrukturellen und technischen Informationssicherheitsmanahmen fr Cloud Computing Anbieter.

    6

  • 1 Einleitung

    7

  • CLOUD COMPUTING | EINLEITUNG

    1 Einleitung

    1.1 Motivation

    Das Thema Cloud Computing ist derzeit eines der am meisten diskutierten Themen in der Informationstechnik (IT). Hinter dem Begriff Cloud Computing stehen aber weniger neue Technologien, sondern deren Kombination und konsequente Weiterentwicklung ermglichen neue IT-Services und neue Geschftsmodelle.

    Wie bei vielen neuen Techniken und Dienstleistungen werden auch beim Cloud Computing die Aspekte Informationssicherheit und Datenschutz intensiv diskutiert und durchaus kritischer beleuchtet als bei schon lnger vorhandenen Angeboten. Viele Umfragen und Studien zeigen, dass potentielle Kunden Bedenken bezglich Informationssicherheit und Datenschutz beim Cloud Computing haben, die einem verstrkten Einsatz entgegen stehen. Bei den Nutzern von Cloud-Angeboten muss noch das notwendige Vertrauen aufgebaut werden.

    Das BSI hat daher Empfehlungen fr sicheres Cloud Computing erstellt, die sich zunchst an Cloud Service Provider (CSP) richten. CSPs haben die MglichkeitenunddiePflicht,Informationssicherheitineinemangemessenen Umfang umzusetzen. Das vorliegende Eckpunktepapier kann von CSPs als Richtschnur fr die Umsetzung von Sicherheitsmanahmen genutzt werden. Andererseits knnen Cloud-Nutzer, die sich mit den vorliegenden Empfehlungen beschftigen, die CSPs nach deren Umsetzung fragen. Der erste Schritt fr einen Cloud-Kunden sollte es jedoch immer sein, sich ber die Schutzbedrftigkeit der eigenen Daten und Anwendungen klar zu werden. Davon hngt im Wesentlichen ab, ob und unter welchen Rahmenbedingungen geschftsrelevante Daten und Anwendungen in die Cloud verlagert werden knnen.

    Das Eckpunktepapier stellt einen berblick ber die wesentlichen Felder von Cloud Computing dar, in denen Sicherheit umgesetzt werden sollte. Nicht fr alle Cloud Services sind alle aufgefhrten Punkte gleich relevant. Da sich beispielsweise die Gefhrdungslage fr Private und Public Clouds in manchen Bereichen unterscheidet, mssen zum Teil auch andere Sicherheitsmanahmen umgesetzt werden.

    8

  • CLOUD COMPUTING | EINLEITUNG

    DasvorliegendeDokumentbetrachtetnichtnurCloud-spezifischeAspekte, sondern richtet den Blick auch auf grundlegende Anforderungen der Informationssicherheit, da diese die Basis bilden, auf der alle Cloud-Dienste aufsetzen sollten. Die Empfehlungen wurden weitgehend abstrakt gehalten, ohne detaillierte Anweisungen fr deren Umsetzung zu geben. Dies wrde zum einen den Umfang des Dokuments sprengen und zum anderen lsst dies die Vielfltigkeit der Cloud-Angebote nicht zu. Die Bewertung der Sicherheit eines bestimmten Angebots muss daher immer auch individuell erfolgen.

    1.2 Zielsetzung

    Obwohl weltweit IT-Dienstleistungen aus der Wolke immer strker in Anspruch genommen werden, zeigen fast alle Umfragen und Studien, dass es auch eine Vielzahl von Bedenken gibt, die Anwender vor der Nutzung von Cloud Computing Diensten zurckschrecken lassen. Als eines der grten Hindernisse wird immer wieder mangelndes Vertrauen in die Sicherheit der bereitgestellten Services genannt. Als zentrale Stelle des BundesfrdieInformationssicherheitistesdemBSIwichtig,dieAufbauphase von Cloud Services aktiv mitzugestalten.

    Primres Ziel des vorliegenden Eckpunktepapiers ist es, eine Grundlage fr die Diskussion zwische