Wie ein Wechsel in die Cloud laut Mobiliar die Datensicherheit verbessern kann

Welche Vorbereitungen müssen Unternehmen treffen, bevor Sie in die Cloud gehen?

Christian Zeller: Man muss die Anforderungen aus Sicht des Business erheben und den angestrebten Mehrwert validieren sowie die damit verbundenen Abhängigkeiten und Risiken aus Sicht des Unternehmens. Rechtliche und regulatorische Anforderungen müssen verifiziert und in der spezifischen Umsetzung geklärt und adressiert werden. Zudem muss man den strategische Ansatz für die Cloud Transition und die Zielarchitektur definieren (Cloud native oder Lift&Shift-Approach), und zwar auf Basis einer ganzheitlichen Planung. Ebenfalls nötig ist es, die veränderte Risikosituation aus der Nutzung der Cloud zu analysieren und zu bewerten (hybride Umgebung On-Prem & Cloud). Die IT-Sicherheitsstrategie und das Target Operating Model (Cloud-Bereitstellungs- und Servicemodell) müssen auf das Cloud-Umfeld adaptiert werden, ebenso die relevanten Sicherheitsprozesse. Ausbildungsinitiativen im Kontext Cloud-Sicherheit und -Nutzung sind zu konzipieren und zu starten. Für die angestrebte Cloud Transition (Cloud Journey) und das zu etablierende Sicherheitsdispositiv ist eine längerfristige Planung zu erstellen.

Welche Sicherheitsrisiken ergeben sich mit einem Wechsel in die Cloud?

Folgende Risiken gilt es abzuwägen:

• die Nutzung von Services mit Datenspeicherung, welche nicht den Datenschutzanforderungen entsprechen (z.B. EDöB-Staatenliste).

• ein möglicher Kontrollverlust und Abhängigkeiten hinsichtlich der Daten und IT-Infrastrukturen (single-point-of-failure).

• mangelnde Datensicherheit in der Datenübertragung beim Zugriff auf diese Daten sowie ungenügender Schutz vor versehentlicher Löschung oder Veränderung von Daten.

• regulatorische und rechtliche Risiken, die sich nicht über die Standardangebote und -verträge der Cloud-Anbieter absichern lassen (u.a. fehlende Audit- und Weisungsrechte etc.).

• Provider-Abhängigkeiten und Vendor-Lock-in.

• ein möglicher Verlust des Know-hows beim internen Fachpersonal und fehlende Bestellerkompetenz.

Was sind die grössten Herausforderungen beim Aufbau einer sicheren Cloud-Umgebung?

Herausfordernd ist die sichere Konfiguration und Überwachung der eingesetzten Cloud Services und Schnittstellen. Nicht zu unterschätzen ist auch die Komplexität der eingesetzten Cloud-Sicherheitstechnologien und der notwendigen Transparenz zur laufenden Steuerung und Kontrolle. Weitere Challenges sind die Integration und Abhängigkeiten zum bestehenden Sicherheitsportfolio (On-Prem) sowie die laufende Adaptierung und Ausrichtung des Sicherheitsportfolios aufgrund des sich rasch veränderenden Umfeldes bei den Anbietern (Kadenz der Weiterentwicklung). Schwierigkeiten bereitet allenfalls auch das fehlende Know-how der Fachspezialisten für die Definition der notwendigen Sicherheitspolicies und deren Kontrolle hinsichtlich der verwendeten Cloud-Technologien und -Services.

Was bedeutet ein Wechsel in die Cloud aus datenschutzrechtlicher Sicht?

Ein Wechsel in die Cloud bedeutet Abhängigkeit von Standardverträgen und entsprechende rechtliche Implikationen, daraus resultierend die Notwendigkeit zur Prüfung von bestehenden vertraglichen Vereinbarungen mit den Kunden. Aufgrund der weltweiten Vernetzung und der Virtualität kann auch ein Kontrollverlust hinsichtlich der Datenspeicherungsorte entstehen. Zudem kann die Konzentration der Daten verschiedener Nutzer bei einem Cloud-Provider bei ungenügender Abgrenzung/Isolierung der verschiedenen Daten zu Nutzungsverletzungen führen. Schliesslich führt die Dezentralisierung der Datenspeicherung zu erhöhten Compliance-Risiken. Daraus können wiederum Risiken für die Gewährleistung von Datenschutz/-sicherheit oder der Einhaltung anderer gesetzlicher Pflichten entstehen (Aufbewahrungs- oder Beweispflicht, Einhaltung von Geheimhaltungspflichten, etc.).

Welche sicherheitstechnischen Vorteile bietet eine Cloud-Infrastruktur im Vergleich zu einer On-Prem-Lösung?

Eine Cloud-Umgebung erhöht die Ausfallsicherheit aufgrund der verteilten, elastischen Infrastrukturen und Redundanzen. Auch die Datensicherheit wird erhöht, sofern ein professionelles Security-Management durch den Anbieter nach dem 24/7-Prinzip besteht und die Datenhaltung in umfassend geschützten Rechenzentren erfolgt. Die Investitionen in die Sicherheit sind bei den Hyperscalern schliesslich um ein Vielfaches höher als das, was bei On-Prem-Lösungen möglich ist. In einer Cloud-Umgebung ist ausserdem der Automatisierungsgrad höher, beispielsweise bezüglich Wartung und Weiterentwicklung der IT-Infrastuktur und -Sicherheit (XaaS-Orientierung). Neue Sicherheitskomponenten und Funktionalitäten sind in der Cloud sofort und umfassend verfügbar. Ein sicherer Betrieb von On-Prem-Lösungen setzt hingegen entspechende personelle Ressourcen und internes Know-how voraus, was vor dem Hintergrund des Fachkräftemangels eine Herausforderung ist.

Inwiefern entsteht durch die Nutzung von Multi-Cloud ein Security-Mehraufwand?

Die Abhängigkeiten wie auch die Komplexität nehmen tendenziell zu, insbesondere in der Kombination von Serviceangeboten mehrerer Anbieter - es braucht also Fachwissen im spezifischen Kontext der jeweiligen Provider. Ein Mehraufwand entsteht zudem für die Regelung und die Kontrolle der vertraglichen und juristischen Anforderungen für die einzelnen Angebote. Ausserdem steigen die Aufwände für die Service-Provider-Steuerung und die Prüfung sowie für das umfassende Monitoring der Servicequalität. Auch die Inkompabilität von Cloud-Technologien und -Services der verschiedenen Anbieter verursacht zusätzlichen Aufwand. Die sichere Orchestrierung von Multi-Cloud-Angeboten erfordert schliesslich spezifisches Wissen und Fachspezialisten. Fehlt das Know-how zur sicheren Gestaltung der unterschiedlichen Sicherheitsarchitekturen, erhöht sich die Fehleranfälligkeit, was wiederum zu Mehraufwand in der Umsetzung führt.

Die Antworten der weiteren Teilnehmenden des Podiums finden Sie hier.