Welches Prüfsiegel macht eine Cloud wirklich sicher?

Immer mehr Fachbereichsleiter evaluieren und budgetieren in ihrem Verantwortungsbereich Public Cloud Services. Häufig hat man es aber im Zuge der Umsetzung intern mit Cloud-Skeptikern als Gegenüber zu tun, die sich schwer tun zu entscheiden, welcher Cloud-Anbieter die firmeneigenen Daten „behüten“ soll. Abhilfe bei der Qual der Wahl können hier unabhängige Zertifikate schaffen, ist Andreas Dangl, Business Unit Executive Cloud Services bei Fabasoft, überzeugt. Ein Gastkommentar. [...]

Andreas Dangl, Business Unit Executive Cloud Services bei Fabasoft
Andreas Dangl, Business Unit Executive Cloud Services bei Fabasoft (c) Fabasoft

Wie eingangs erwähnt evaluieren und budgetieren immer mehr Fachbereichsleiter  in ihrem Verantwortungsbereich Public Cloud Services (IDC-Studie „Cloud Computing in Deutschland 2017“). Häufig hat man es aber im Zuge der Umsetzung intern mit Cloud-Skeptikern als Gegenüber zu tun, bei denen enorme Aufklärungsarbeit geleistet werden muss. Welche Vorteile die Cloud mit sich bringt, ist meist schnell geklärt, welcher Cloud-Anbieter hingegen die firmeneigenen Daten „behüten“ soll, ist letztendlich schwieriger zu entscheiden. Abhilfe bei der Qual der Wahl können hier unabhängige Zertifikate oder Testate schaffen, die Transparenz beglaubigen und Vertrauen erwecken. Und immerhin ist für 57 Prozent aller Kunden das ausschlaggebende Argument bei der Auswahl eines Cloud-Providers die Vertrauenswürdigkeit (IDG „Cloud Security Studie). Spektakuläre Cyberattacken auf Dienste wie Twitter, Yahoo, Soundcloud und Co. haben ihr übriges zu einem erhöhten Sicherheitsbedürfnis beigetragen. Zu dem gesellen sich zunehmende gesetzliche Regulierungen und steigende Sicherheitsanforderungen innerhalb der EU (siehe auch Blogartikel von Andreas Dangl „5 Cloud-Megatrends 2018“). Bleibt also die Frage zu klären: Woran erkennt man glaubwürdige Zertifikate?

Geprüfte Anbieter garantieren Sicherheit

Anknüpfungspunkte für eine erste Bestandsaufnahme sind die Eigendarstellung der Zertifikatsanbieter im Internet, die Zahl der vergebenen und genutzten Zertifikate sowie die Liste der Unterstützer und Partner. CloudExperten wissen: der größte Unterschied besteht darin, ob Labels nach einem Self-Assessment vergeben werden oder einem externen Audit unterliegen. Bei Self-Assessments wird das Gütesiegel nur anhand einer Selbstauskunft vergeben. Der Kunde muss demnach darauf vertrauen, dass der Anbieter die Kriterien wirklich erfüllt und deren Einhaltung sicherstellt. Bei einem externen Audit überprüft ein Angehöriger einer unabhängigen Zertifizierungsorganisation, ob hinreichende Voraussetzungen hinsichtlich der Qualität und der Sicherheit von CloudServices gegeben sind. Noch einen Schritt weiter gehen Prüfungen, bei denen der Cloud-Anbieter nicht nur am Tag des Audits bestehen muss, sondern wo alle Kriterien den Kunden vertraglich zugesichert werden – also rund um die Uhr, an jedem Tag des Jahres. Dann sind Themen wie Sicherheit, Privacy by Design und Transparenz nachhaltig in der ganzen Firma, in allen Dienstleistungen und in allen Prozessen verankert – also auch bei der Geschäftsführung und im Vorstand.

Wem nun vertrauen?

Mit dem C5-Testat, abgekürzt für „Cloud Computing Compliance Controls Catalogue“, hat das Bundesamt für Sicherheit in der Informationstechnik genau so einen neuen Maßstab in Sachen Sicherheit und Transparenz gesetzt. Als Auditoren kommen Wirtschaftsprüfer wie KPMG oder PwC zum Einsatz, die direkt vom Cloud-Provider beauftragt werden. So will das BSI eine Unabhängigkeit des Zertifikats sichern. Weltweit halten nur fünf Unternehmen dieses Zertifikat – der österreichische Cloud-Anbieter Fabasoft ist der erste europäische Anbieter, der alle 114 technischen und organisatorischen Anforderungen des BSI vollständig erfüllt und diese den Kunden auch vertraglich zusichert.

Des Weiteren gibt es eine Reihe von ISO-Zertifizierungen, die ebenso für eine hohe Qualität von CloudDiensten bürgen. Anerkannt ist die ISO-Zertifizierung nach ISO/IEC 27001, die auch beim IT-Grundschutz-Zertifikat des BSI berücksichtigt wird. 2014 führte die International Organization for Standardization (ISO) die Erweiterung ISO/IEC 27018:2014 ein, die auf CloudDienste abgestimmt ist und den Datenschutz in der Cloud regelt. Besonders wertvoll für Kunden ist das Zertifikat ISO 20000-1, das vor allem auf die Bedürfnisse und Anforderungen der Kunden ausgerichtet ist. Die Zielsetzung hierbei lautet: höchstmögliche Qualität bei ITServices. Last but not least: das vom TÜV Rheinland vergebene Zertifikat für „Certified Cloud Services“ qualifiziert Cloud-Anbieter durch interne und externe Analysen der technischen, physikalischen und organisatorischen Sicherheitsmaßnahmen.

Die „Stars“ unter den Cloud-Services

2016 wurde von der unabhängigen Non-Profit-Organisation EuroCloud Star (ECSA) zum ersten Mal weltweit eine 5-Sterne-Zertifizierung vergeben. Fabasoft erhielt als bislang einziges CloudService mit 5 Sternen die höchste Auszeichnung und wurde damit zur sichersten Cloud der Welt gekürt. Für Cloud-Nutzer hat diese Zertifizierung die Bedeutung einer Versicherungspolice gegen Datenmissbrauch. Das Besondere daran: bei der Überprüfung wird die gesamte Wertschöpfungskette ins Visier genommen.

Worauf sollten Sie also bei Zertifikaten achten?

  • Unabhängigkeit der Zertifizierungsorganisation
  • Unterschied zwischen Self-Assessments und externen Audits beachten
  • Vertraglich verankerte Kriterienkataloge wie z. B. das C5-Testat des BSI
  • ISO-Standards

*Andreas Dangl ist Business Unit Executive Cloud Services bei Fabasoft, einem europäischen Cloud-Anbieter für Business-to-Business-Collaboration „Made in Europe“.

 


Mehr Artikel

Frauen berichten vielfach, dass ihre Schmerzen manchmal jahrelang nicht ernst genommen oder belächelt wurden. Künftig sollen Schmerzen gendersensibel in 3D visualisiert werden (c) mit KI generiert/DALL-E
News

Schmerzforschung und Gendermedizin

Im Projekt „Embodied Perceptions“ unter Leitung des AIT Center for Technology Experience wird das Thema Schmerzen ganzheitlich und gendersensibel betrachtet: Das Projektteam forscht zu Möglichkeiten, subjektives Schmerzempfinden über 3D-Avatare zu visualisieren. […]

News

KI ist das neue Lernfach für uns alle

Die Mystifizierung künstlicher Intelligenz treibt mitunter seltsame Blüten. Dabei ist sie weder der Motor einer schönen neuen Welt, noch eine apokalyptische Gefahr. Sie ist schlicht und einfach eine neue, wenn auch höchst anspruchsvolle Technologie, mit der wir alle lernen müssen, sinnvoll umzugehen. Und dafür sind wir selbst verantwortlich. […]

Case-Study

Erfolgreiche Migration auf SAP S/4HANA

Energieschub für die IT-Infrastruktur von Burgenland Energie: Der Energieversorger hat zusammen mit Tietoevry Austria die erste Phase des Umstieges auf SAP S/4HANA abgeschlossen. Das burgenländische Green-Tech-Unternehmen profitiert nun von optimierten Finanz-, Logistik- und HR-Prozessen und schafft damit die Basis für die zukünftige Entflechtung von Energiebereitstellung und Netzbetrieb. […]

FH-Hon.Prof. Ing. Dipl.-Ing. (FH) Dipl.-Ing. Dr. techn. Michael Georg Grasser, MBA MPA CMC, Leiter FA IT-Infrastruktur der Steiermärkischen Krankenanstaltengesellschaft m.b.H. (KAGes). (c) © FH CAMPUS 02
Interview

Krankenanstalten im Jahr 2030

Um sich schon heute auf die Herausforderungen in fünf Jahren vorbereiten zu können, hat die Steiermärkische Krankenanstaltengesellschaft (KAGes) die Strategie 2030 formuliert. transform! sprach mit Michael Georg Grasser, Leiter der Fachabteilung IT-Infrastruktur. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*