Risk, Governance & Compliance

Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil C – Compliance

Datenschutz

Wie in Teil 3: "Rechtliche Aspekte beim Cloud Computing" beschrieben, sind zwei wesentliche datenschutzrechtliche Anforderungen zu beachten. Die Anforderungen aus § 11 Abs. 2 BDSG sind vertraglich umzusetzen und es sind Vorkehrungen nach § 9 BDSG zu treffen, wenn die Auftragserteilung innerhalb der EU oder des EWR stattfindet. Bei einer Auftragserteilung in Drittstaaten ist ein angemessenes Datenschutzniveau sicherzustellen. Einen weiteren wichtigen Aspekt stellt die Löschung personenbezogener Daten dar. Diese müssen gelöscht werden, sobald sie nicht mehr für den Zweck benötigt werden, zu dem sie erhoben wurden. Ausnahmen stellen z.B. aufbewahrungspflichtige Daten dar.

Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil B - Cloud-spezifische Risiken

Fehlende Transparenz im Hinblick auf die Datenhaltung und mangelhafte Kontrollmöglichkeiten

Die aus diesem Punkt entstehenden Risiken können über Zertifizierungen gemindert werden. Im Folgenden werden wesentliche Zertifizierungsmöglichkeiten beschrieben. Im konkreten Fall ist zu prüfen und vertraglich zu vereinbaren, ob bei einem Cloud-Anbieter zusätzliche, vom auslagernden Unternehmen selbst durchgeführte Audits vorgenommen werden können (mehr Informationen dazu im nächsten Teil).

Kontroll-ID

Kontrollziel

Maßnahme

Kontrollaktivität

Typ

15

Die Intransparenz im Hinblick auf die Datenhaltung und mangelhafte Kontrollmöglichkeiten werden minimiert.

Vertragliche Regelungen zur Durchführung von Kontrollen

1. Sichtung der vertraglichen Regelungen im Hinblick auf die Durchführung von Kontrollen

2. Durchführung eigener Audits beim Dienstleister oder Nachweise durch Zertifizierungen

m, p

 

 

 

m, d

Zuständigkeit:

Anbieter

Anwender

 

x

x

Tabelle 16: Kontrolle 15 Durchführung von Kontrollen
Quelle: Eigene Darstellung

Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil A – Allgemeine Risiken

Abhängig vom gewählten Implementierungsmodell ergibt sich beim Einsatz von Cloud-Computing ein Kontrollverlust. Sicherheitsmaßnahmen des Internen Kontrollsystems liegen zumindest teilweise im Hoheitsbereich des Dienstleisters1. Aus diesem Grund lassen sich aus Anwendersicht innerhalb eines IKS nicht oder nur sehr schwierig alle Risikobereiche einer Cloud-Umgebung abdecken.

Kontrollverlustmatrix
Abbildung 1: Einflussbereiche nach Cloud-Modell
Quelle: Eigene Darstellung in Anlehnung Loczewski, Thomas, General, Jan, Schwald, Daniel, IT-Governance 16, 2013, S.5.

Welche Risiken bringt die Nutzung von Cloud Computing für Unternehmen mit sich?

Cloud Computing wird von vielen potentiellen Nutzern als risikobehaftet empfunden, vor allen Dingen, was die Speicherung von Daten anbelangt. Diese Sicherheitsbedenken stellen derzeit einen Hauptgrund für die Zurückhaltung vieler Unternehmen gegenüber Cloud Computing dar1. Doch mit welchen Risiken wird ein Unternehmen konfrontiert, wenn es Cloud Computing nutzen möchte?


Allgemeine Risiken

Bei Cloud-Computing-Systemen handelt es sich grundsätzlich um komplexe verteilte Systeme, die zahlreiche Möglichkeiten für Fehlfunktionen, Angriffe, Ausfälle oder Bedienfelder bieten. Es kann daher prinzipiell von den gleichen Risiken ausgegangen werden, denen auch ein klassisches IT-System ausgesetzt ist. Diese umfassen z. B.2:

Risiko

Erläuterung

Versehentlich oder vorsätzlich falsches Handeln

z.B. durch unberechtigte Kopien von Systemen oder Daten, Manipulation, Herunterfahren von Hosts, Änderung an Konfigurationseinstellungen sowie Löschung von Daten durch Mitarbeiter oder Subunternehmer des Cloud-Service-Providers.

Nutzung von Sicherheitslücken beim Anbieter durch interne oder externe Angreifer

z. B. durch Zugriff anderer Kunden auf das Dateisystem, unberechtigte Speicherzugriffe oder Denial-of-Service-Angriffe. Bei externen Angreifern z.B. durch Diebstahl von Daten oder Programmcodes oder die Manipulation oder Löschung von Daten, Accounts, Konfigurationseinstellungen usw..

Ein Denial-of-Service-Angriff (DoS-Angriff oder DoS-Attacke) bezeichnet einen Angriff von Hackern, bei dem ein oder mehrere Serverdienste überlastet werden. Ziel ist es, eine Webseite unzugänglich zu machen oder den Webserver zu einem Systemabsturz zu provozieren.

Missbrauch der Plattform des Providers

z.B. durch Brute-Force-Angriffe auf Passwörter, Botnetze oder Schadsoftware.

Ein Brute-Force-Angriff wird oftmals zum Knacken von Passwörtern anwendet. Dies kann über Ausprobieren aller möglichen Buchstaben- oder Zahlenkombinationen erfolgen oder aber durch sogenannte Wörterbuchangriffe. Bei Wörterbuchangriffen wird davon ausgegangen, dass viele Benutzer bekannte Wörter als Passwort einsetzen. Es werden also Begriffe aus Wörterbüchern zur Passwortfindung verwendet.

Bei einem Botnetz werden Rechner von Nutzern mit Schadsoftware bespielt, oftmals im Unwissen des Nutzers. Diese Schadsoftware stellt die Basis für massenhaften Spamversand dar.

Nutzung von Sicherheitslücken auf den Übertragungswegen

Bei der Übertragung via Internet zwischen Kunde und Anbieter z.B. durch Abhören des Datenverkehrs oder für Man-in-the-Middle-Angriffe sowie bei bereitgestellten Schnittstellen und APIs.

Bei einem Man-in-the-Middle-Angriff klinkt sich ein Angreifer in den Datenverkehr zwischen Sender und Empfänger ein und manipuliert diesen.

Sicherheitsmängel der technischen Infrastruktur

Bedingt durch fehlende oder unzureichende Sicherheitskonzepte können Sicherheitsmängel in unterschiedlichen Bereichen der technischen Infrastruktur entstehen z.B. durch lückenhafte Zutrittskontrolle, missbräuchlicher Umgang mit Datensicherungen, mangelhafte Löschung defekter Speichermedien vor Austausch oder Aussonderung etc..

Tabelle 1: Allgemeine Risiken
Quelle: Eigene Darstellung

Rechtliche Aspekte beim Cloud Computing

Laut einer Umfrage der Bitkom Research GmbH und der KPMG AG hat die Mehrheit der Unternehmen Sorge um Compliance-Anforderungen in Bezug auf die Nutzung von Cloud-Lösungen.

Sorge um Compliance-Anforderungen bei Cloud Computing

Durch die Nutzung von Cloud-Lösungen werden einige Rechtsgebiete berührt. Im Folgenden werden die einschlägigen gesetzlichen Aspekte erläutert, die beim Einsatz von Cloud Computing in deutschen Unternehmen zu beachten sind.

Welche Vorteile kann die Nutzung von Cloud Computing für Unternehmen mit sich bringen?

Cloud Computing ist derzeit ein allgegenwärtiges Thema in der Informationstechnologie1. Der Anteil der Cloud-Befürworter steigt stetig. Wie Unternehmen zu Cloud Computing stehen

Vom Jahr 2011 bis zum Jahr 2015 ist die Anzahl der Unternehmen, die Cloud Computing nutzen, in Summe um 26% von 28% auf insgesamt 54% gestiegen. Bei Unternehmen mit 100 bis 1.999 Mitarbeitern nutzen bereits 62% Cloud Computing, bei Unternehmen mit 2.000 Mitarbeitern oder mehr sogar 69%. Bei kleinen und mittelständischen Unternehmen ist die Nutzung im Jahr 2015 noch geringer. So nutzen 52% der Unternehmen mit 20 bis 99 Mitarbeitern Cloud Computing2.

Cloud Computing, seine Betriebsformen und Servicemodelle – eine Einführung

Der Hintergrund der Bezeichnung Cloud Computing liegt in der schematischen Darstellung des Internets in Form von Zeichnungen. Dafür wird eine Ansammlung stilisierter vernetzter Computer verwendet, um die eine Wolke gezeichnet wird, die das Internet darstellt. Im Zusammenhang mit Cloud Computing symbolisiert die Wolke die Unbekanntheit des physischen und geographischen Speicherortes für den Benutzer1.Cloud Computing Schema

Zum Cloud Computing existiert eine Vielzahl von Definitionen, eine einheitliche präzise Definition des Cloud Computing existiert jedoch nicht2. Es werden häufig Definitionen verwendet, die sich ähneln, jedoch immer wieder variieren3. Generell lässt sich Cloud Computing als Netzwerk bezeichnen, das an den Bedarf des Nutzers angepasste IT-Infrastrukturen, in der Regel über das Internet, zur Verfügung stellt4.

BYOD in Unternehmen

Welche Risiken durch BYOD in Unternehmen entstehen und wie mit diesen umgegangen werden kann

man brings own device“Bring your own device“ (BYOD) bezeichnet die Nutzung privater mobiler Geräte, wie z.B. Tablet-PCs, Notebooks oder Smartphones, innerhalb von Unternehmensnetzwerken. Auf diesen mobilen Geräten wird auf vom Arbeitgeber bereitgestellte Ressourcen wie E-Mail, Kontakte, Kalender, Datenbanken sowie persönliche Einstellungen und Daten zugegriffen.

Die Nutzung privater IT-Geräte in Unternehmen hat ein hohes Kosteneinsparpotential, birgt jedoch eine Vielzahl von Risiken, die betrachtet werden müssen:

  • Komplexität und damit der Betriebsaufwand der IT-Infrastruktur steigt

Unternehmensnetzwerke sind häufig nicht heterogen ausgelegt. Ein heterogenes Netzwerk erfordert einen höheren Aufwand für die Administration von Strukturen, Protokollen und Diensten.

Directive on Payment Services – PSD 2

Ziele, Zusammenfassung und Übersicht der Themen und mögliche Arbeitspakete für PSD-2-ProjektePSD 2 Richtlinie

Das Rundschreiben 4/2015 (BA) der BaFin – Mindestanforderungen an die Sicherheit von Internetzahlungen (kurz MaSI) – gilt als Vorbereitung auf die PSD-II-Zahlungsdiensterichtlinie (Directive on Payment Services). Während die MaSI einen starken Fokus auf die Sicherheit von Internetzahlungen gelegt hat, reguliert PSD II den grundsätzlichen Zahlungsverkehr. Das spannendste Thema ist dabei sicherlich die Einbindung innovativer Marktteilnehmer und die Verpflichtung für Zahlungsdienstleister, sich gegenüber „Third Party Providers“ (TPPs) in Form von geeigneten Schnittstellen zu öffnen. Dazu zählen die Kontoinformationsdienste („Account Information Services“, kurz AIS) oder die Zahlungsauslösedienstleister („Payment Initiation Services“, kurz PIS).

ISO/IEC 27019 und der IT-Sicherheitskatalog der Bundesnetzagentur - ein Weg zur Zertifizierung

Ein wesentlicher Erfolgsfaktor für die Funktionsfähigkeit unserer modernen Gesellschaft ist die Energieversorgung. Diese umfasst die Versorgung der Gesellschaft mit Strom, Gas, Wasser und Heizverfahren aus unterschiedlichsten Quellen. Als Quellen können Windkraftanlagen, Kohlekraftwerke, Kernkraftwerke, Wasserkraftwerke, Wärmekopplungsanlagen, Gezeitenanlagen, Biogasanlagen, Solaranlagen, Gaskraftwerke und weitere Anlagen der Energiegewinnung genannt werden.

Waren es bis Ende der 1990er-Jahre im Wesentlichen Kohle-, Wasser- und Kernkraftwerke, so sind es heute immer mehr Windkraft-, Biogas-, Solar- und Wasserkraftwerke, Tendenz stark steigend. Darüber hinaus hat die Liberalisierung des Energiemarktes dazu beigetragen, dass die Anzahl der Marktteilnehmer in Bezug auf die Erzeugung und den Handel sowie den Vertrieb der Energie stark gewachsen ist. Betrug der Anteil der erneuerbaren Energie (Wasser, Wind, Biogas, Batterie, Sonne …) 2014 rund 28%, so wird sich dieser 2050 voraussichtlich bundesweit insgesamt 80% oder mehr belaufen, wie einer von der IRR-Innovationsregion Rheinisches Revier GmbH (Jühlich) beauftragten Studie zu entnehmen war. Nicht zu vergessen ist in diesem Zusammenhang die immer noch bestehende Absicht der heutigen Bundesregierung, bis Ende 2022 den Ausstieg aus der Kernenergie als Energielieferant geschafft zu haben.

Anhand der Energieversorgungseinrichtungen für Strom (Netzbetreiber) lässt sich der Sachverhalt der ansteigenden Energieversorger gut verdeutlichen. Waren es früher vier bis sechs große regionale und überregionale Netzbetreiber, Netzverteiler und Energieversorger, so sind es heute bundesweit wesentlich mehr kleinere und mittelständische Netzbetreiber (z.B. Stadtwerke), welche die Auflagen der Bundesnetzagentur (BNetzA) erfüllen müssen.

Seiten