Cloud-Sicherheit bezeichnet Anforderungen und Maßnahmen, durch die sich Cloud-Dienste und die dort gespeicherten Daten sicher nutzen und absichern lassen, einschließlich der Abgrenzung der Verantwortlichkeiten zwischen Anbieter und auftraggebender Institution.
Auf einen Blick
Cloud-Dienste gelten im IT-Grundschutz in nahezu allen Bereitstellungsmodellen als Sonderform des Outsourcings, ausgenommen die Private Cloud On-Premise.
Nach dem britischen National Cyber Security Centre (NCSC) teilen sich Anbieter und Kunde die Verantwortung für Sicherheit und Verfügbarkeit von Daten und Workloads; wie viel beide übernehmen, hängt vom Diensttyp und von der Umsetzung durch den Anbieter ab.
Ein unter DORA fallender Versicherer bleibt bei der Nutzung von IKT-Dienstleistungen jederzeit in vollem Umfang für seine Verpflichtungen nach DORA und nach dem anwendbaren Finanzdienstleistungsrecht verantwortlich.
Was ist Cloud-Sicherheit?
Der IT-Grundschutz des BSI versteht Cloud Computing als das dynamisch an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen über ein Netz. Der Baustein OPS.2.2 beschreibt Anforderungen, durch die sich Cloud-Dienste sicher nutzen lassen, und stuft sie in nahezu allen Bereitstellungsmodellen, abgesehen von der Private Cloud On-Premise, als Sonderform des Outsourcings ein. Artikel 6 Nummer 30 der NIS-2-Richtlinie definiert den Cloud-Computing-Dienst als digitalen Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind.
Nutzt ein unter DORA fallender Versicherer Cloud-Dienste, bleibt er nach Artikel 28 Absatz 1 Buchstabe a DORA jederzeit in vollem Umfang für die Einhaltung seiner Verpflichtungen verantwortlich; zur Cloud-Sicherheit gehört daher auch, die Verantwortungsbereiche zwischen Anbieter und Versicherer klar abzugrenzen, wie es der IT-Grundschutz des BSI verlangt. Die Vorschrift bezieht sich allgemein auf die Nutzung von IKT-Dienstleistungen durch Finanzunternehmen; die Abgrenzung der Verantwortungsbereiche in dieser Form ist eine Basis-Anforderung des Bausteins OPS.2.2 des IT-Grundschutzes.
Wie wird Cloud-Sicherheit umgesetzt?
Die Sicherheit eines Cloud-Dienstes beruht nach dem britischen National Cyber Security Centre (NCSC) auf einer gemeinsamen Verantwortung für Sicherheit und Verfügbarkeit von Daten und Workloads, die zwischen Cloud-Anbieter und Kunde geteilt ist. Der Umfang, den beide Seiten jeweils übernehmen, hängt von der Art des Dienstes ab und davon, wie der Anbieter ihn umgesetzt hat. Wer Cloud-Dienste nutzt, delegiert die Verwaltung von Teilen des Dienstes und damit einen Teil der Sicherheitsverantwortung an den Anbieter; die Verantwortung eines unter DORA fallenden Versicherers für die Einhaltung seiner Verpflichtungen bleibt davon unberührt.
Nach dem Kriterienkatalog C5 des BSI legt die Dokumentation des Modells geteilter Sicherheitsverantwortung klar fest, wer für den Umgang mit Schwachstellen und Sicherheitsvorfällen verantwortlich ist. Im Rahmen von C5 bleibt der Cloud-Anbieter dafür verantwortlich, dass Entwicklung und Betrieb des Cloud-Dienstes die anwendbaren C5-Kriterien erfüllen.
Cloud-Sicherheit im Vergleich
Das Shared Responsibility Model teilt die Aufgaben zwischen Cloud-Anbieter und Kunde auf, während Cloud-Sicherheit mehr umfasst als diese Aufteilung. Im Kriterienkatalog C5 dient das Modell geteilter Sicherheitsverantwortung dazu, Schnittstellen und Abhängigkeiten zwischen den Aktivitäten des Cloud-Anbieters und denen der Cloud-Kunden zu definieren und zu steuern; zur Cloud-Sicherheit gehören dagegen auch Strategie und Sicherheitsrichtlinie für die Cloud-Nutzung.
Welche Aufgaben der Cloud-Sicherheit bleiben beim Cloud-Kunden?
| Merkmal | Worauf es ankommt |
|---|---|
| Aufgaben, die beim Kunden bleiben | Nach dem britischen NCSC bleiben beim Kunden unter anderem, sicherzustellen, dass der Dienst seine Sicherheitsanforderungen erfüllen kann, die gewählten Dienste sicher zu konfigurieren und zu entscheiden, welche Daten er in den genutzten Diensten speichert. |
| Betriebssystem und Anwendungen bei IaaS | Beim Servicemodell Infrastructure as a Service (IaaS) hat der Cloud-Kunde nach einer Hilfestellung des UP KRITIS die volle Kontrolle und Verantwortung über das IT-System vom Betriebssystem an aufwärts. |
| Eigene Datensicherung | Bei erhöhtem Schutzbedarf sollte die Institution nach dem Baustein OPS.2.2 prüfen, ob zusätzlich zu den vertraglich festgelegten Datensicherungen der Cloud-Diensteanbietenden eigene Datensicherungen erstellt werden sollen. |
| Schlüsselmanagement bei eigener Verschlüsselung | Bei erhöhtem Schutzbedarf sollte ein geeignetes Schlüsselmanagement sichergestellt sein, wenn eigene Verschlüsselungsmechanismen genutzt werden (Anforderung des Bausteins OPS.2.2). |
Schutz im Ernstfall
Vorbeugen
- Auf Basis der Strategie für die Cloud-Nutzung eine Sicherheitsrichtlinie für die Cloud-Nutzung erstellen; das verlangt der Baustein OPS.2.2 des IT-Grundschutzes.
- Cloud-Dienste strategisch planen und Sicherheitsanforderungen, Verantwortlichkeiten und Schnittstellen sorgfältig definieren und vereinbaren.
- Schnittstellen und Verantwortlichkeiten für die Cloud-Nutzung identifizieren und dokumentieren und erkennbar machen, wie die Verantwortungsbereiche zwischen Anbieter und auftraggebender Institution voneinander abgegrenzt sind.
Beispiele aus der Praxis
- Ein Unternehmen nutzt einen Cloud-Dienst und hält fest, welche Schnittstellen es gibt und welche Aufgaben beim Anbieter und welche beim Kunden liegen.
- Eine Organisation delegiert die Verwaltung von Teilen eines Cloud-Dienstes an den Anbieter und behält die Entscheidung, welche Daten sie dort speichert.
- Ein Versicherer könnte etwa bei der Nutzung eines Cloud-Dienstes vertraglich festhalten, welche Verantwortungsbereiche beim Anbieter und welche beim Versicherer liegen.