ISO 27018: Zertifizierung für Cloud Services

Seit Kurzem können österreichische Cloud Provider mit der ISO 27018-Zertifizierung vertrauensbildende Maßnahmen ergreifen. Die COMPUTERWELT sprach mit Erich Scheiber, Geschäftsführer der staatlich akkreditierten Prüfstelle CIS. [...]

Die Unternehmensdaten einem Cloud Provider anzuvertrauen, ist am Ende immer eine Sache der Transparenz und der gefühlten Nähe. Diverse Aktivitäten wie EuroCloud oder City Cloud gehen in diese Richtung. „Diese Maßnahmen sind schön und gut, besonders für Consumer. Wenn es jedoch darum geht, etwa Forschungsergebnisse in die Cloud zu stellen, braucht es eine klare Absicherung“, sagt Erich Scheiber, Geschäftsführer der Zertifizierungsorganisation CIS, im Gespräch mit der COMPUTERWELT. „Geschäftskunden verlangen von Providern immer mehr, nachzuweisen, wo die Daten liegen, welche Rechtsgrundlage besteht, Informationen über internationale Anbindungen oder darüber, wer zugreifen darf.“

Um diesen Ansprüchen gerecht zu werden, wurde im vergangenen Jahr der Standard ISO 27018 eingeführt. Seit Kurzem darf CIS als eine der ersten Organisationen weltweit entsprechende Zertifizierungen ausstellen. „Mit der Implementierung erreichen Provider ein hohes Schutzniveau, das in großen Teilen die Anforderungen der geplanten EU-Datenschutzgrundverordnung erfüllt. Darüber hinaus verpflichtet die Norm zur Evaluierung sämtlicher in den Geschäftsbeziehungen relevanter nationaler Datenschutzgesetze“, so Scheiber.

BASIS IST ISO 27001

ISO 27018 ist jedoch keine Stand-alone-Zertifizierung, Voraussetzung ist ISO 27001. Der CIS-Geschäftsführer: „Man muss erst die Mindestanforderungen an Informationssicherheit erfüllen, um spezifisch auf die Cloud-Dienste eingehen zu können. Damit sind die grundlegenden Dinge schon geklärt, wie Compliance, Policies bishin zu Sensibilisierung und Schulung der Mitarbeiter. Das alles muss geregelt und in Prozesse gegossen sein, bevor man über eine 27018-Zetifizierung sprechen kann.“ Laut Scheiber genießen zertifizierte Kunden damit doppelte Sicherheit: „Die Cloud-Services bieten gemäß ISO 27001 höchste Verfügbarkeit, Vertraulichkeit und Integrität der verwalteten Daten. Zusätzlich erfüllen sie die spezifischen Datenschutzanforderungen nach ISO 27018 wie Offenlegung von Server-Standorten und Sub-Providern, Wahrung von Betroffenenrechten oder definierte Prozesse zur Rückgabe, Übertragung und Vernichtung verwalteter Daten.“

Microsoft Azure oder Dropbox for Business seien bereits ISO 27018-zertifiziert, so der CIS-Chef. Einer der ersten Interessenten in Österreich ist die Raiffeisen Rechenzentrum GmbH, das größte Bankenrechenzentrum im Süden Österreichs mit rund 100 Mitarbeitern.

Erich Scheiber bestätigt, dass die Nachfrage nach ISO 27001-Zertifizerungen in den letzten Jahren stark gestiegen ist. Mit der Einführung von ISO 27018 soll es einen weiteren Push geben. (wf)